Las contraseñas llevan décadas protegiendo nuestras cuentas, pero también son una fuente constante de problemas. Se olvidan, se reutilizan, se filtran y pueden entregarse sin querer en una página falsa. Activar un segundo factor mejora la situación, aunque códigos por SMS y algunas notificaciones también pueden ser engañados.
Las passkeys, o llaves de acceso, ofrecen una alternativa: en lugar de escribir un secreto, confirmas el inicio de sesión con el mismo método que utilizas para desbloquear tu dispositivo, como un PIN, la cara o la huella. La experiencia es sencilla, pero debajo hay criptografía diseñada para evitar varios de los ataques habituales contra las contraseñas.
Adoptarlas no significa pulsar «crear passkey» en todos los sitios sin pensar. Conviene saber dónde se guardan, cómo se sincronizan y qué ocurrirá si pierdes el dispositivo. Esta guía propone una transición segura y gradual.
Qué es exactamente una passkey
La FIDO Alliance define una passkey como una credencial de autenticación basada en sus estándares que permite entrar en una aplicación o sitio usando el desbloqueo del dispositivo. Es un término general y multiplataforma, no una función exclusiva de una marca.
Al crearla se genera un par de claves criptográficas:
- una clave pública se registra en el servicio;
- una clave privada queda bajo el control de tu dispositivo o proveedor de passkeys.
Cuando intentas entrar, el servicio envía un reto. Tu dispositivo lo firma después de que confirmes tu identidad localmente. El servidor verifica la firma con la clave pública. La clave privada no se envía al sitio y no existe una contraseña compartida que el servicio deba guardar.
El reconocimiento facial o la huella sirven para desbloquear la credencial en el dispositivo. No se entregan al sitio web. La ayuda oficial de Google aclara, por ejemplo, que los datos biométricos permanecen en el dispositivo y no se comparten con Google.
Por qué resisten mejor el phishing
Una contraseña puede escribirse en cualquier formulario que parezca auténtico. Una passkey, en cambio, está vinculada al sitio para el que fue creada. El navegador y el sistema operativo comprueban el dominio antes de permitir su uso.
Por eso una copia visual de la página de acceso no puede pedir la credencial de otro dominio y reutilizarla. Tampoco hay un secreto idéntico que pueda emplearse en dos servicios distintos. La explicación de seguridad de Apple detalla que las passkeys se basan en WebAuthn y en criptografía de clave pública.
Esto reduce el riesgo de phishing, relleno automatizado de credenciales y filtraciones de bases de contraseñas. No elimina todos los peligros: un atacante todavía puede intentar controlar tu sesión, convencerte para aprobar otra acción o explotar un dispositivo mal protegido. La passkey mejora la autenticación, pero no sustituye las actualizaciones, el bloqueo de pantalla y la prudencia.
Dónde se guarda la llave privada
Aquí está la decisión práctica más importante. Una passkey puede guardarse de varias formas:
- en el gestor de credenciales del sistema y sincronizarse con tu cuenta;
- en un gestor de contraseñas compatible;
- solo en un dispositivo concreto;
- en una llave de seguridad física compatible con FIDO2.
Las passkeys sincronizadas resultan cómodas porque aparecen en otros dispositivos vinculados al mismo proveedor. Apple las sincroniza mediante el llavero de iCloud cuando están activadas las condiciones necesarias. Google Password Manager y otros gestores ofrecen mecanismos equivalentes. Microsoft también permite elegir entre un gestor sincronizado, Windows Hello, un teléfono o una llave física, según el servicio y el entorno.
Una passkey vinculada a un único dispositivo ofrece otro modelo: no sale de ese equipo, pero tendrás que crear alternativas o preparar una vía de recuperación. No existe una opción universalmente mejor. Para una cuenta personal suele importar la comodidad de la sincronización; para una organización regulada puede ser prioritario controlar dónde existe cada copia.
¿Qué ocurre si pierdes el móvil?
Perder un dispositivo no implica necesariamente perder la cuenta. Si la passkey estaba sincronizada, podrá recuperarse en otro equipo al acceder de forma segura al proveedor. Si también existe en otro dispositivo o en una llave física, puedes utilizar esa copia.
El riesgo aparece cuando dependes de una sola credencial local y no has configurado recuperación. Antes de retirar una contraseña o un método anterior, comprueba qué alternativas acepta cada servicio: otra passkey, una llave física, códigos de recuperación, un dispositivo ya conectado o un proceso de verificación de identidad.
También debes actuar si el dispositivo se pierde o es robado. Revisa las sesiones abiertas y elimina la passkey asociada desde la configuración de seguridad de la cuenta. Google explica este proceso en su guía para crear, comprobar y retirar passkeys.
Usar el móvil para entrar en un ordenador
No siempre necesitas guardar la passkey en el equipo que tienes delante. Muchos servicios permiten mostrar un código QR en el ordenador, escanearlo con el teléfono y aprobar el acceso allí. El protocolo comprueba además la proximidad de los dispositivos mediante Bluetooth.
FIDO denomina a este mecanismo autenticación entre dispositivos. La conexión de proximidad ayuda a impedir que alguien distante reutilice el código, mientras que la protección real del intercambio depende de capas criptográficas adicionales. Es útil en un ordenador nuevo o en un equipo que no quieres convertir en dispositivo de confianza.
No crees una passkey local en un ordenador público o compartido. Si otra persona puede desbloquear ese equipo, podría utilizar la credencial. En esos casos, usa el teléfono para aprobar el acceso y cierra la sesión al terminar.
Plan de adopción en siete pasos
1. Protege primero el dispositivo
Activa un bloqueo de pantalla sólido, instala actualizaciones y revisa quién conoce el PIN. La passkey confirma que alguien puede desbloquear el dispositivo; por eso su protección local es esencial.
2. Elige dónde quieres guardarlas
Decide si prefieres el gestor del sistema, uno multiplataforma o una llave física. Evita repartir credenciales sin saber qué proveedor las administra.
3. Empieza por una cuenta importante, no por todas
Prueba con un servicio que ofrezca una gestión clara de passkeys y métodos de recuperación. Comprueba la creación, el inicio de sesión y la lista de dispositivos.
4. Añade una alternativa
Crea una segunda passkey en otro dispositivo o utiliza una llave de seguridad. Guarda los códigos de recuperación fuera del equipo principal cuando el servicio los ofrezca.
5. Prueba el acceso cruzado
Inicia sesión desde otro ordenador usando el móvil o la sincronización. Es mejor descubrir ahora una incompatibilidad que hacerlo durante una emergencia.
6. Revisa antes de eliminar métodos antiguos
Algunos servicios mantienen la contraseña; otros permiten un acceso completamente sin contraseña. No retires una vía conocida hasta haber verificado las alternativas y la recuperación.
7. Mantén un inventario sencillo
Anota qué proveedor guarda las passkeys de tus cuentas críticas y qué dispositivo de respaldo tienes. No necesitas registrar secretos: solo el mapa de recuperación.
Errores frecuentes
El primero es confundir comodidad con ausencia de riesgo. Si el PIN del móvil es débil o compartido, la credencial también queda expuesta a quien controle físicamente el aparato.
El segundo es crear una passkey en un equipo ajeno. Google advierte que cualquier persona capaz de desbloquear ese dispositivo podría volver a entrar en la cuenta, incluso después de cerrar la sesión.
El tercero es depender de un único ecosistema sin planificar un cambio. Si utilizas sistemas de varios fabricantes, comprueba si tu proveedor funciona en todos ellos o conserva una alternativa. La guía de Microsoft sobre creación y almacenamiento muestra las distintas ubicaciones que pueden aparecer durante el proceso.
El cuarto es asumir que todos los sitios las admiten del mismo modo. Algunos ofrecen passkeys como método principal; otros las usan como segundo factor o mantienen la contraseña como recuperación. Lee las opciones concretas de cada cuenta.
Una transición, no un interruptor
Las passkeys solucionan una debilidad fundamental de las contraseñas: ya no tienes que compartir un secreto con cada servicio ni decidir si una página de acceso merece tu confianza. El dispositivo reconoce el dominio, conserva la clave privada y autoriza la operación localmente.
Su adopción será gradual. Durante un tiempo convivirán passkeys, contraseñas, códigos y llaves físicas. El objetivo no es cambiar todo en una tarde, sino mejorar primero las cuentas más valiosas y comprobar que siempre existe una ruta de recuperación.
Una buena configuración debe superar tres preguntas: ¿dónde se guarda la passkey?, ¿qué otro dispositivo puede utilizarla? y ¿cómo recuperaré la cuenta si pierdo ambos? Si puedes responderlas, estarás aprovechando la comodidad sin convertirla en un nuevo punto único de fallo.
No hay comentarios:
Publicar un comentario