Por qué la contraseña se convirtió en una carga
Una contraseña debe ser larga, única y secreta, tres condiciones difíciles de sostener en decenas de cuentas. Cuando se reutiliza, una filtración en un servicio puede abrir la puerta a otros mediante pruebas automatizadas. Cuando se inventa una clave fácil, aumenta la posibilidad de adivinarla. El gestor de contraseñas mejora mucho esta situación, pero la autenticación sigue dependiendo de que el sitio reciba un secreto.
Las campañas de suplantación explotan precisamente ese momento. Una página falsa imita el acceso y persuade al usuario para que escriba sus credenciales. La recomendación de CISA sobre autenticación multifactor sitúa FIDO/WebAuthn como la opción ampliamente disponible resistente al phishing, porque una credencial vinculada al dominio legítimo no funciona en el dominio impostor.
Qué ocurre al crear una passkey
Durante el registro, el dispositivo genera un par criptográfico. El servicio recibe la clave pública; la privada permanece protegida por el autenticador, que puede ser el propio teléfono, ordenador o una llave física. Al entrar, el servicio envía un reto y la clave privada lo firma después de que la persona desbloquee el autenticador mediante PIN, huella, rostro u otro método local.
El estándar WebAuthn del W3C especifica que la credencial queda asociada a una parte de confianza concreta, identificada por su dominio. El servidor verifica la firma con la clave pública, pero no recibe la clave privada ni el dato biométrico. La biometría, cuando se usa, desbloquea una operación en el dispositivo; no se envía como una fotografía al sitio.
La resistencia al phishing tiene una condición
Una passkey es resistente al engaño de dominio porque el navegador y el autenticador comprueban para qué servicio fue creada. Eso evita entregar la misma credencial a una copia visual alojada en otra dirección. También desaparecen el reciclaje de contraseñas y el robo de una base de datos de secretos equivalentes.
La FIDO Alliance define las passkeys como pares de claves únicos para cada aplicación o servicio y explica que pueden permanecer en un dispositivo o sincronizarse mediante un proveedor de credenciales. La protección no es absoluta: una sesión ya abierta, un dispositivo desbloqueado o un proceso de recuperación débil pueden seguir siendo objetivos. La seguridad debe abarcar todo el recorrido.
Sincronización frente a control físico
Las passkeys sincronizadas ofrecen comodidad: al cambiar de teléfono, el gestor puede llevar las credenciales al nuevo dispositivo bajo la protección de la cuenta principal. Las passkeys ligadas a una llave de seguridad o equipo concreto ofrecen un control físico más explícito, pero exigen conservar un respaldo y planificar pérdidas. Ningún modelo es siempre mejor; depende del riesgo y de la capacidad de soporte.
Antes de activar una passkey conviene comprobar dónde se guarda, cómo se recupera la cuenta del proveedor y qué dispositivos tienen acceso. El problema se parece al de ordenar un archivo digital personal: la comodidad de una plataforma no elimina la necesidad de conocer copias, dependencias y rutas de salida.
La transición será híbrida durante un tiempo
Muchos servicios mantienen contraseña, código y passkey a la vez. Esa convivencia ayuda a no dejar fuera a quien usa equipos antiguos, pero puede conservar un acceso débil como puerta trasera. Una implantación responsable permite registrar más de una passkey, muestra los dispositivos asociados, facilita revocar una credencial perdida y explica la recuperación antes de que ocurra una emergencia.
También necesita una interfaz comprensible. Pedir una passkey sin distinguir entre «este dispositivo», «otro dispositivo» o «llave de seguridad» genera abandonos. El diseño debe evitar presiones y opciones asimétricas como las descritas en las interfaces que intentan manipular. Seguridad y accesibilidad no son etapas separadas.
Un plan prudente para adoptarlas
Se puede empezar por cuentas de correo, administración o trabajo que ofrezcan soporte maduro. Antes de retirar métodos anteriores, conviene registrar un segundo dispositivo o llave, guardar códigos de recuperación en un lugar protegido y verificar que los datos de contacto están actualizados. En una organización, el inventario debe incluir propietarios, equipos compatibles y procedimiento de baja.
Quien todavía no pueda usar passkeys debería mantener contraseñas únicas en un gestor y activar el mejor segundo factor disponible. La migración no justifica desactivar protección antes de comprobar la recuperación. Las passkeys resuelven una parte difícil del problema: evitan que cada persona memorice y entregue secretos reutilizables. Su éxito depende de que el ecosistema haga igual de robustos el alta, la sincronización, la pérdida y la salida.
