Las passkeys son credenciales digitales que permiten acceder a una cuenta sin escribir una contraseña convencional. En lugar de recordar una clave que puede ser robada o reutilizada, la persona valida el acceso con su dispositivo, mediante un PIN, huella, reconocimiento facial u otro método local de desbloqueo. Las passkeys utilizan criptografía de clave pública y están diseñadas para resistir muchos ataques de phishing que dependen de páginas falsas de inicio de sesión.
Si una web propone «iniciar sesión con una passkey», no significa que esté guardando tu huella digital en sus servidores. En el diseño habitual, el sistema operativo o el dispositivo verifica localmente que el usuario puede utilizar la credencial; el servicio recibe una prueba criptográfica, no una copia de la huella o del rostro. Es un cambio sustancial respecto de las contraseñas tradicionales.
Qué son las passkeys y cómo funcionan
Las passkeys se basan en un par de claves criptográficas. Una clave pública puede asociarse a la cuenta en el servicio y una clave privada se conserva bajo el control del dispositivo o del proveedor de credenciales. Cuando se inicia sesión, el servicio plantea un desafío y el dispositivo demuestra que posee la clave privada correspondiente sin enviarla.
El sistema incorpora una vinculación con el origen del servicio, lo que hace que una credencial creada para un dominio legítimo no funcione del mismo modo ante una página fraudulenta con otra dirección. Esa resistencia al phishing es uno de sus principales argumentos de seguridad. Sin embargo, «resistente» no significa que una cuenta sea invulnerable a todas las amenazas: los dispositivos infectados, las sesiones secuestradas o los mecanismos alternativos de recuperación siguen requiriendo protección.
Diferencia entre passkey, contraseña y verificación en dos pasos
La diferencia entre passkeys y contraseñas está en qué secreto se comparte y cómo se confirma la identidad. Una contraseña se escribe en el servicio, aunque viaje cifrada durante la conexión, y puede caer en una filtración o introducirse en una web falsa. Una passkey no necesita revelar la clave privada. La autenticación de dos factores tradicional añade una segunda prueba al uso de la contraseña, mientras una passkey puede integrar verificación del usuario y posesión de una credencial en un único proceso.
| Método | Qué introduce el usuario | Riesgo característico |
|---|---|---|
| Contraseña | Una cadena de caracteres | Reutilización, filtraciones, phishing |
| Contraseña + código | Clave y segundo factor | Phishing en tiempo real o robo de sesión |
| Passkey | PIN o biometría del dispositivo | Recuperación, control del dispositivo y accesos alternativos |
| Llave física FIDO | Presencia de un dispositivo compatible | Pérdida física y necesidad de respaldo |
Cómo crear una passkey paso a paso
Crear una passkey suele comenzar desde los ajustes de seguridad de una cuenta compatible. El servicio muestra la opción para añadir una nueva credencial, el navegador o dispositivo solicita confirmar el desbloqueo local y después se registra la clave pública. El proceso concreto cambia según el proveedor, el sistema operativo y el gestor de credenciales.
Un ejemplo sencillo: una trabajadora entra en el panel de seguridad de su cuenta corporativa, añade una passkey desde su portátil y comprueba que puede iniciar sesión sin introducir contraseña. Antes de retirar el método anterior, la empresa debe revisar opciones de recuperación y el acceso desde otros equipos. En organizaciones con dispositivos compartidos conviene establecer políticas claras de gestión de identidades para no vincular accesos corporativos a equipos personales sin control.
Las passkeys se pueden sincronizar entre móvil y ordenador
Las passkeys sincronizadas permiten recuperar credenciales en varios dispositivos cuando el gestor y las plataformas son compatibles. También existen credenciales vinculadas a un único dispositivo, como determinadas llaves de seguridad físicas. FIDO Alliance distingue entre ambas modalidades, con ventajas diferentes en comodidad, custodia de credenciales y controles de seguridad.
La sincronización no supone necesariamente que la clave privada esté disponible para el sitio web. El modelo depende de cómo el proveedor de credenciales protege la copia y la recuperación. El usuario debe conocer dónde se guardan sus claves, qué ocurre al cambiar de teléfono y qué procedimiento seguir si pierde el dispositivo principal.
Son las passkeys seguras para una empresa
Las passkeys para empresas pueden reducir ataques basados en robo de contraseñas y dar una experiencia de acceso más sencilla, pero deben integrarse con políticas de cuentas, permisos, copias de seguridad, gestión de dispositivos y respuesta a incidentes. La seguridad no se limita al acceso inicial: también importan los sistemas y las aplicaciones que se ejecutan después de iniciar sesión.
La diferencia se entiende al compararlas con una vulnerabilidad técnica. Una passkey no corrige por sí sola un servidor comprometido o una aplicación desactualizada. Nuestro análisis de los fallos críticos de PHP y cómo afectan a las empresas aborda una amenaza diferente; ambas cuestiones forman parte de la protección digital, pero exigen defensas complementarias. También es relevante revisar dependencias de servicios externos, como muestra la información sobre la capacidad de AWS y la demanda empresarial de IA.
Errores frecuentes al activar una passkey
Los errores al usar passkeys incluyen no configurar métodos de recuperación, ignorar en qué gestor se guardó la credencial, compartir dispositivos sin separar usuarios o creer que cualquier ataque informático queda neutralizado. Una organización debería inventariar sus cuentas esenciales y asegurar que la salida de un empleado no dependa de un teléfono personal para recuperar el acceso.
La experiencia de autenticación también debe revisarse desde el lado de los proveedores: no todos los servicios ofrecen las mismas opciones ni conservan las mismas alternativas de inicio de sesión. Incluso si se usa passkey, una contraseña de recuperación débil o un procedimiento de soporte demasiado permisivo puede reintroducir riesgos. Para la dimensión empresarial de la infraestructura, lee también cómo las grandes plataformas cambian sus condiciones de uso.
Preguntas frecuentes
Estas respuestas breves aclaran consultas relacionadas y permiten distinguir los supuestos en los que debe revisarse la documentación específica.
¿Una passkey es lo mismo que una huella digital?
Passkey y huella digital. No. La huella puede servir para desbloquear localmente una credencial, pero la passkey es el mecanismo criptográfico usado para autenticar la cuenta.
¿Qué pasa si pierdo el móvil con mis passkeys?
Pérdida del móvil con passkeys. Depende de dónde estén almacenadas: algunas se sincronizan mediante un gestor seguro y otras están ligadas al dispositivo. Conviene preparar recuperación y credenciales alternativas.
¿Las passkeys son inmunes al phishing?
Passkeys y phishing. Su diseño ofrece resistencia al phishing de credenciales vinculando el acceso al origen del servicio, pero no elimina el fraude, el malware o el secuestro de sesión.
¿Puedo usar passkeys en varios dispositivos?
Passkeys en varios dispositivos. Sí, según el sistema y el gestor. También existen passkeys vinculadas a un dispositivo concreto.
¿Hay que eliminar todas las contraseñas al activar passkeys?
Contraseñas tras activar passkeys. No necesariamente. Primero hay que comprobar la compatibilidad y el plan de recuperación de cada servicio; mantener una contraseña débil como alternativa puede reducir la protección.
Fuentes y fecha de revisión
Documentación consultada y contrastada el 24 de octubre de 2026. En materias jurídicas y fiscales deben revisarse los cambios normativos posteriores.
- FIDO Alliance: Passkeys
- FIDO Alliance: funcionamiento de FIDO
- FIDO Passkey Central: seguridad de las passkeys
