Passkey

Las passkeys (o claves de acceso) son un método de autenticación que permite iniciar sesión en aplicaciones y sitios web sin necesidad de utilizar una contraseña tradicional. Este sistema, impulsado por la FIDO Alliance y basado en los estándares FIDO2 y WebAuthn, mejora la seguridad y simplifica el acceso a las cuentas digitales.

En Idento hemos preparado esta guía para empresas y profesionales que desean comprender cómo funcionan las passkeys, qué ventajas ofrecen frente a las contraseñas convencionales y en qué casos conviene utilizarlas. El objetivo es aclarar este concepto y resolver las dudas más habituales sobre una tecnología que está transformando la autenticación online.

A diferencia de una contraseña, una passkey utiliza un sistema criptográfico basado en dos claves: una pública, que se almacena en el servicio, y otra privada, que permanece protegida en el dispositivo del usuario y nunca se comparte. Para acceder a la cuenta, basta con verificar la identidad mediante la huella dactilar, el reconocimiento facial o el PIN del dispositivo.

¿Cómo funciona una passkey?

Las passkeys utilizan un sistema de criptografía de clave pública, similar al empleado en otros ámbitos de la seguridad informática.

Cuando un usuario crea una passkey, se generan automáticamente dos claves:

• Clave pública, que se almacena en el servidor del servicio.
• Clave privada, que permanece únicamente en el dispositivo del usuario.

Cuando se inicia sesión, el servidor envía un desafío criptográfico que únicamente puede resolverse mediante la clave privada. La validación se realiza localmente tras confirmar la identidad mediante biometría o PIN.

Como la clave privada nunca abandona el dispositivo, no puede ser interceptada ni robada durante el proceso de autenticación.

¿Para qué sirve una passkey?

El principal objetivo de una passkey es sustituir las contraseñas tradicionales por un sistema más seguro y sencillo de utilizar.

Entre sus aplicaciones más habituales se encuentran:

• Acceder a cuentas corporativas.
• Iniciar sesión en plataformas online.
• Proteger servicios bancarios.
• Acceder a aplicaciones móviles.
• Autenticarse en herramientas en la nube.
• Reducir la dependencia de gestores de contraseñas.

Cada vez más empresas están incorporando este sistema para mejorar tanto la seguridad como la experiencia de usuario. Una de las últimas ha sido la plataforma de publicidad Google Ads.

¿Qué ventajas tienen las passkeys?

Las passkeys ofrecen importantes beneficios frente a las contraseñas convencionales.

Mayor protección frente al phishing

Al no existir una contraseña que introducir, el usuario no puede entregarla accidentalmente en una página fraudulenta.

No pueden reutilizarse

Cada passkey es única para un servicio concreto, evitando uno de los problemas más frecuentes de las contraseñas: su reutilización en diferentes plataformas.

Menor riesgo de filtraciones

Los servidores únicamente almacenan la clave pública. Aunque se produzca una brecha de seguridad, los atacantes no pueden obtener la clave privada necesaria para autenticarse.

Inicio de sesión más rápido

El acceso suele completarse con una huella dactilar, reconocimiento facial o el PIN del dispositivo, eliminando la necesidad de recordar contraseñas complejas.

Mejor experiencia de usuario

Además de incrementar la seguridad, las passkeys reducen los problemas derivados del olvido de contraseñas y las solicitudes de restablecimiento.

¿Qué diferencias existen entre una passkey y una contraseña?

Diferencias entre passkeys y contraseñas tradicionales

¿Qué dispositivos son compatibles con las passkeys?

Actualmente, las passkeys cuentan con un amplio soporte por parte de fabricantes y proveedores tecnológicos.

Entre las plataformas compatibles se encuentran:

• Windows
• macOS
• Android
• iOS y iPadOS

También son compatibles con los principales navegadores modernos, como:

• Google Chrome
• Microsoft Edge
• Safari
• Mozilla Firefox (con soporte progresivo según versión)

Asimismo, muchos gestores de contraseñas permiten sincronizar passkeys entre dispositivos autorizados.

¿Cómo crear una passkey?

Aunque el proceso puede variar ligeramente según el servicio, normalmente consta de los siguientes pasos:

1. Acceder a la configuración de seguridad de la cuenta.
2. Seleccionar la opción para crear una passkey.
3. Confirmar la identidad mediante huella, reconocimiento facial o PIN.
4. Guardar la passkey en el dispositivo o en un gestor compatible.

Una vez creada, podrá utilizarse para iniciar sesión sin introducir una contraseña.

¿Son seguras las passkeys?

Sí. Actualmente se consideran uno de los métodos de autenticación más seguros disponibles para usuarios finales.

Su diseño elimina gran parte de los riesgos asociados a las contraseñas tradicionales, especialmente:

• Ataques de phishing.
• Robo de credenciales.
• Reutilización de contraseñas.
• Ataques por fuerza bruta.
• Filtraciones masivas de bases de datos de contraseñas.

No obstante, la seguridad también depende de proteger adecuadamente el dispositivo donde se almacena la clave privada.

Preguntas frecuentes sobre las passkeys

¿Una passkey sustituye completamente a la contraseña?

En muchos servicios sí. Sin embargo, algunas plataformas mantienen la contraseña como método alternativo o de recuperación.

¿Necesito utilizar la huella dactilar?

No necesariamente. La autenticación puede realizarse mediante huella, reconocimiento facial o el PIN del dispositivo.

¿Qué ocurre si cambio de teléfono?

Dependerá del sistema utilizado. Si las passkeys están sincronizadas mediante la cuenta del fabricante o un gestor compatible, podrán recuperarse automáticamente al configurar el nuevo dispositivo.

¿Puedo utilizar una misma passkey en varios dispositivos?

Sí. Muchos ecosistemas permiten sincronizar las passkeys de forma segura entre dispositivos autorizados.

¿Funcionan sin conexión a Internet?

La verificación de identidad se realiza localmente, aunque normalmente será necesaria una conexión para acceder al servicio online correspondiente.

¿Todas las páginas web permiten iniciar sesión con passkeys?

No. Aunque la adopción está creciendo rápidamente, todavía existen numerosos servicios que únicamente admiten contraseñas tradicionales o autenticación multifactor.

¿Quieres añadir nuevos conceptos técnicos a tu vocabulario?

Si te interesa aprender más conceptos sobre marketing digital, ciberseguridad, ia, ecommerce y, en general, sobre el mundo digital, te invitamos a que sigas curioseando en nuestra Wiki.