Passkeys: qué son, cómo funcionan y cómo implantarlas con seguridad

Las contraseñas llevan décadas siendo la puerta de entrada a casi todos los servicios digitales, pero también son uno de sus puntos más débiles. Se reutilizan, se filtran, se adivinan y, sobre todo, pueden entregarse sin querer en una página falsa. Las passkeys —también llamadas claves de acceso— plantean un cambio de modelo: en lugar de demostrar quién eres escribiendo un secreto compartido, el dispositivo responde a un reto criptográfico y tú autorizas la operación con el mismo gesto con el que desbloqueas el móvil o el ordenador.

En agosto de 2026 ya no hablamos de una tecnología experimental. Los principales sistemas operativos, navegadores y gestores de credenciales la incorporan, el estándar WebAuthn continúa evolucionando y las guías de identidad digital del NIST sitúan la resistencia al phishing en el centro de la autenticación moderna. Aun así, adoptar passkeys no significa pulsar un botón y olvidarse de la seguridad: hay que comprender qué protegen, qué riesgos permanecen y cómo diseñar la recuperación de cuentas.

Qué es una passkey

Una passkey es una credencial criptográfica vinculada a una cuenta concreta de un sitio web o una aplicación. Se basa en los estándares FIDO y en WebAuthn, la API de autenticación web del W3C. Cuando se crea, se genera un par de claves:

• Una clave pública, que el servicio guarda y puede conocer sin comprometer la cuenta.
• Una clave privada, que permanece protegida por el dispositivo, el gestor de credenciales o una llave física compatible.

Al iniciar sesión, el servicio envía un reto. La clave privada lo firma y el servidor verifica la firma con la clave pública. La clave privada no se transmite y el usuario no tiene que memorizarla ni copiarla. Para autorizar su uso se emplea normalmente la biometría, el PIN o el patrón local del dispositivo.

Es importante separar dos ideas. La huella o el reconocimiento facial no se envían al sitio web: sirven para desbloquear localmente la credencial. Y la passkey no es “tu cara convertida en contraseña”; es una clave criptográfica cuya utilización ha sido autorizada en un dispositivo concreto.

Por qué las passkeys resisten mejor el phishing

El phishing funciona porque una contraseña puede escribirse en cualquier formulario que parezca legítimo. Una passkey, en cambio, queda asociada al dominio para el que fue creada. El navegador y el autenticador verifican el origen antes de permitir su uso. Si una persona llega a una copia visual de su banco alojada en otro dominio, la passkey del banco no debería estar disponible para esa página.

Esta vinculación al origen es la diferencia decisiva frente a las contraseñas y también frente a muchos códigos de un solo uso. Un código recibido por SMS o generado por una aplicación mejora la seguridad respecto a usar solo una contraseña, pero puede ser solicitado por un sitio falso y reenviado en tiempo real por un atacante. CISA recomienda priorizar métodos de autenticación multifactor resistentes al phishing, como las llaves de seguridad, y sitúa los códigos temporales en un nivel inferior de protección. Puede consultarse su guía de MFA para pequeñas y medianas empresas.

El NIST formaliza esta distinción en SP 800-63B-4. Su nivel de garantía AAL3 exige un autenticador criptográfico con clave privada no exportable y resistencia al phishing; en AAL2, los servicios deben ofrecer al menos una opción resistente al phishing. No todas las passkeys desplegadas de la misma forma alcanzan automáticamente el nivel máximo, pero la dirección técnica es clara: reducir la dependencia de secretos que el usuario pueda revelar.

Passkey, llave física y biometría: no son lo mismo

El vocabulario puede confundir porque varias piezas colaboran en el mismo proceso:

• Passkey sincronizada: se guarda en un gestor de credenciales y puede estar disponible en varios dispositivos del usuario mediante sincronización cifrada.
• Passkey vinculada a dispositivo: permanece en un autenticador concreto y no se exporta. Es habitual en entornos corporativos de alta seguridad.
• Llave de seguridad física: dispositivo USB, NFC o similar que puede almacenar credenciales FIDO2. Suele requerir un PIN y, en algunos modelos, biometría.
• Biometría: mecanismo local para desbloquear el dispositivo o autorizar el uso de la clave; no es la credencial que recibe la web.

Las passkeys sincronizadas aportan comodidad y recuperación entre dispositivos. Las vinculadas a hardware ofrecen mayor control y pueden ajustarse mejor a políticas corporativas estrictas. No existe una única opción óptima para todos: la elección depende del nivel de riesgo, la movilidad del usuario, los sistemas compatibles y el plan de recuperación.

Qué ha cambiado en 2025 y 2026

La adopción ha pasado de las demostraciones técnicas al uso cotidiano. La FIDO Alliance informó en mayo de 2026 de unos 5.000 millones de passkeys activas y de que el 68 % de las organizaciones encuestadas estaban desplegándolas, probándolas o implantándolas para su personal. Son cifras procedentes de su propio informe global de 2026; sirven para medir tendencia, aunque no equivalen a un censo independiente de toda Internet.

También ha madurado el marco normativo y técnico. El NIST publicó en julio de 2025 la revisión 4 de sus directrices de identidad digital, y el W3C publicó en mayo de 2026 WebAuthn Level 3 como especificación candidata a recomendación. La evolución del estándar incorpora capacidades para escenarios más ricos, pero el principio esencial se mantiene: credenciales de clave pública limitadas al servicio que las creó y activadas con consentimiento del usuario.

El contexto de amenaza refuerza la necesidad. El ENISA Threat Landscape 2025 analizó 4.875 incidentes ocurridos entre julio de 2024 y junio de 2025. El informe identifica el ransomware como la amenaza de mayor impacto en la Unión Europea y mantiene la ingeniería social y el abuso de credenciales entre los vectores relevantes. Las passkeys no detienen el ransomware por sí solas, pero reducen una vía habitual de entrada: el robo y la reutilización de credenciales.

Ventajas reales para usuarios y empresas

Menos contraseñas que recordar y reutilizar

La credencial se crea y gestiona automáticamente. Esto evita que el usuario invente variantes predecibles, repita la misma contraseña o la guarde en lugares inseguros. También reduce los restablecimientos por olvido, una carga frecuente para los equipos de soporte.

Protección frente a bases de datos robadas

El servidor almacena una clave pública, no el secreto necesario para autenticarse. Una intrusión sigue siendo grave porque puede exponer datos personales, sesiones, configuraciones o información de negocio, pero el atacante no obtiene de la tabla de passkeys una clave privada reutilizable para iniciar sesión.

Inicio de sesión más rápido

En un flujo bien diseñado, basta con seleccionar una cuenta y desbloquear el dispositivo. Esta reducción de pasos puede mejorar la conversión en registros, compras o áreas de cliente. La ventaja no es solo técnica: una autenticación segura que la gente evita usar deja de ser segura en la práctica.

Mejor defensa contra campañas de phishing con IA

La inteligencia artificial facilita generar mensajes convincentes, adaptar el idioma y personalizar cebos a gran escala. Ya analizamos esa evolución en cómo los ciberdelincuentes utilizan la inteligencia artificial. Las passkeys no evalúan si el mensaje parece auténtico; eliminan parte del problema al impedir que la credencial funcione en un dominio impostor.

Lo que las passkeys no solucionan

Presentarlas como una defensa absoluta sería un error. Mejoran de forma notable la autenticación, pero no sustituyen una estrategia de seguridad completa.

• Sesiones robadas: un malware, una extensión maliciosa o una vulnerabilidad puede sustraer cookies de sesión después del inicio de sesión.
• Dispositivo comprometido: si el sistema está controlado por un atacante, la autorización local puede ser manipulada o el acceso legítimo abusado.
• Ingeniería social fuera del login: un delincuente puede persuadir a la víctima para realizar una transferencia, instalar software o revelar información.
• Recuperación débil: si la cuenta vuelve a una contraseña o a un SMS fácilmente secuestrable, el atacante intentará usar esa ruta alternativa.
• Administración deficiente: cuentas antiguas, permisos excesivos y dispositivos no revocados siguen creando riesgo.

La seguridad final es tan fuerte como el camino más débil. Implantar passkeys y mantener una recuperación basada únicamente en preguntas personales o correo sin protección puede trasladar el ataque, no eliminarlo.

Sincronización, privacidad y dependencia del ecosistema

Las passkeys sincronizadas permiten usar la misma credencial en distintos dispositivos. Apple, Google, Microsoft y gestores independientes ofrecen mecanismos propios. La sincronización suele estar cifrada y protegida por la cuenta principal del ecosistema, pero introduce una dependencia operativa: si se pierde el acceso a esa cuenta, la recuperación de las passkeys dependerá de los controles configurados.

Google explica que los datos biométricos utilizados para desbloquear una passkey permanecen en el dispositivo. Apple documenta que la recuperación del llavero de iCloud combina la autenticación de la cuenta, un número de confianza y el código del dispositivo, con límites frente a intentos repetidos. Estos diseños son más sólidos que enviar una copia legible de las claves, pero cada organización debe evaluar el proveedor, los dispositivos admitidos y la salida del ecosistema.

Para reducir el bloqueo, conviene registrar más de un autenticador cuando el servicio lo permita: por ejemplo, una passkey sincronizada y una llave física de reserva custodiada por separado. En empresas, la política debe definir quién emite, revoca y reemplaza credenciales, y qué ocurre cuando una persona cambia de teléfono, deja la compañía o pierde el equipo.

Cómo empezar a usar passkeys como usuario

1. Protege primero tu cuenta principal. El correo y la cuenta del sistema operativo suelen ser la llave de recuperación de muchos servicios. Activa una passkey o una llave física y conserva códigos de recuperación en un lugar seguro.
2. Añade passkeys en servicios críticos. Prioriza correo, gestor de contraseñas, banca cuando esté disponible, tiendas con medios de pago, redes sociales y paneles profesionales.
3. No elimines el método anterior de inmediato. Comprueba que puedes iniciar sesión desde tus dispositivos habituales y que existe una recuperación fiable.
4. Registra una copia de seguridad. Puede ser otro dispositivo, una segunda passkey o una llave FIDO2 física.
5. Revisa periódicamente los dispositivos autorizados. Elimina equipos vendidos, perdidos o que ya no utilizas.
6. Desconfía de cualquier solicitud inesperada. Una passkey reduce el phishing de credenciales, pero nadie debería pedirte aprobar un acceso que tú no has iniciado.

Para reconocer fraudes que intentan llevarte a páginas falsas, sigue siendo útil conocer las señales básicas de phishing descritas por INCIBE: urgencia, remitentes alterados, enlaces engañosos, peticiones de datos y adjuntos inesperados.

Cómo implantar passkeys en una web o aplicación

1. Definir el modelo de cuenta

Antes de programar, hay que decidir si la passkey será opcional, el método principal o la única vía de acceso. También debe resolverse cómo se identificará al usuario: correo, nombre de cuenta o experiencia “usernameless”, en la que el autenticador ofrece las cuentas disponibles.

2. Mantener una transición segura

En una base de usuarios existente, una migración gradual suele ser más realista. Se puede invitar a crear una passkey después de un inicio de sesión válido, mostrar sus beneficios y permitir varios autenticadores. El diseño debe evitar mensajes ambiguos como “activar biometría”, porque la biometría es solo uno de los mecanismos locales posibles.

3. Diseñar la recuperación antes del lanzamiento

La recuperación debe tener un nivel de seguridad coherente con el acceso normal. Para cuentas de bajo riesgo puede combinar correo verificado, comprobaciones de dispositivo y periodos de espera. Para administración, finanzas o datos sensibles, conviene exigir controles adicionales, revisión humana o credenciales de respaldo resistentes al phishing.

4. Proteger sesiones y operaciones sensibles

La autenticación inicial no basta. Las sesiones deben tener cookies seguras, caducidad razonable, rotación y revocación. Cambiar el correo, añadir un método de pago, exportar datos o crear un administrador puede requerir una nueva verificación. Además, hay que prevenir ataques XSS, CSRF, inyecciones y vulnerabilidades de plugins o dependencias.

5. Probar compatibilidad y accesibilidad

El flujo debe verificarse en navegadores, móviles y ordenadores reales, incluidos escenarios de código QR o autenticación entre dispositivos. También debe funcionar con tecnologías de apoyo, mensajes comprensibles y alternativas para personas que no pueden utilizar biometría. Un PIN de dispositivo puede autorizar una passkey sin exigir huella o rostro.

6. Medir sin invadir la privacidad

Conviene registrar métricas agregadas: tasa de creación, éxito de acceso, abandonos, recuperación y tickets de soporte. No es necesario almacenar datos biométricos ni detalles innecesarios del dispositivo. La telemetría debe obedecer al principio de minimización y a la normativa aplicable.

Passkeys en WordPress: oportunidades y precauciones

WordPress puede beneficiarse especialmente en cuentas de administradores, editores, tiendas y áreas privadas. El primer objetivo debería ser reducir el riesgo de toma de control del panel, donde una contraseña robada puede permitir instalar plugins, modificar contenido, crear usuarios o inyectar código.

Antes de elegir un plugin o proveedor, conviene revisar quién mantiene el proyecto, la frecuencia de actualizaciones, la compatibilidad con multisitio y WooCommerce, el almacenamiento de credenciales, las opciones de recuperación y la posibilidad de exigir passkeys solo a determinados roles. También hay que probar el acceso de emergencia sin dejar una puerta trasera débil.

Una implantación prudente puede seguir este orden:

1. Crear un entorno de pruebas o una copia staging.
2. Activar passkeys para uno o dos administradores.
3. Registrar al menos dos autenticadores por cuenta crítica.
4. Comprobar copias de seguridad, recuperación y revocación.
5. Extender el sistema a editores, clientes o miembros.
6. Documentar el procedimiento y formar a las personas usuarias.

La autenticación debe integrarse en un mantenimiento más amplio: actualizaciones, mínimo privilegio, copias externas, monitorización, protección del correo y revisión de extensiones. Explorar servicios ocultos o amenazas lejanas puede resultar llamativo, pero para la mayoría de webs el riesgo cotidiano está en credenciales robadas, software desactualizado y configuraciones débiles. Nuestro artículo sobre privacidad y seguridad en la dark web aporta contexto sobre exposición de datos, aunque no sustituye las medidas preventivas en el sitio principal.

Preguntas frecuentes sobre passkeys

¿Una passkey funciona sin huella dactilar?

Sí. Puede autorizarse con el PIN, el patrón o el mecanismo de desbloqueo del dispositivo. La disponibilidad exacta depende del sistema y del autenticador.

¿Qué ocurre si pierdo el móvil?

Si la passkey estaba sincronizada, puede recuperarse en otro dispositivo tras superar la protección de la cuenta del proveedor. Si estaba vinculada únicamente al dispositivo, necesitarás otra credencial registrada o el proceso de recuperación del servicio. Por eso es recomendable tener un método de respaldo.

¿Pueden robar una passkey desde la base de datos de una web?

La web conserva la clave pública, que no permite generar las firmas de la clave privada. Una brecha puede exponer otros datos y sigue requiriendo respuesta, pero no equivale a robar una tabla de contraseñas reutilizables.

¿Las passkeys sustituyen siempre al doble factor?

Una passkey puede combinar posesión del autenticador y verificación local del usuario en un único gesto. Según su tipo y despliegue, puede satisfacer requisitos multifactor. La organización debe evaluar el nivel de garantía, no asumirlo solo por la etiqueta “passkey”.

¿Debo borrar todas mis contraseñas?

No de forma precipitada. Crea y prueba las passkeys, registra alternativas y revisa la recuperación. Elimina la contraseña solo cuando el servicio lo permita y el acceso de respaldo sea suficientemente seguro.

Conclusión: menos secretos compartidos, más diseño de identidad

Las passkeys corrigen una debilidad estructural de las contraseñas: el usuario ya no tiene un secreto que pueda escribir en la web equivocada. Su vínculo con el dominio, la criptografía de clave pública y la autorización local ofrecen una defensa especialmente valiosa frente al phishing. La adopción creciente y las directrices del NIST muestran que la autenticación resistente al phishing se está convirtiendo en una referencia, no en una función exótica.

Pero el éxito depende del diseño completo: recuperación, dispositivos de respaldo, sesiones, permisos, accesibilidad y comunicación clara. Para una empresa o una web profesional, la mejor estrategia no es prometer un mundo “sin contraseñas” de un día para otro, sino migrar de forma medible y segura. En proyectos web, integrar autenticación moderna desde la arquitectura y la experiencia de usuario evita añadirla después como un parche. Una revisión técnica del acceso, los roles y los flujos de recuperación puede ser el primer paso más útil.