Qué son las passkeys y cómo sustituyen a las contraseñas

Si estás harto de inventar, recordar y teclear contraseñas, las passkeys vienen a jubilarlas. Una passkey es una credencial basada en los estándares FIDO que cambia la contraseña por un par de claves criptográficas: se guarda en el móvil, en el ordenador o en una llave de seguridad física, y para iniciar sesión basta con desbloquear el dispositivo como siempre, con la huella, la cara, un PIN o un patrón. Según la FIDO Alliance, son una tecnología pensada para sustituir la contraseña, y resistir el phishing es uno de los objetivos centrales de su diseño.

La propia FIDO Alliance sostiene que una passkey, por sí sola, es más segura que la contraseña acompañada de un código de un solo uso o de una aprobación en el móvil, la fórmula clásica de la autenticación en dos factores. Apple y Google las llaman «llaves de acceso», y Microsoft, en sus páginas en español, «claves de acceso» o «claves de paso». Aquí diremos passkey, en minúscula, como pide la FIDO Alliance, que la trata como un nombre común.

---

Qué es una passkey: un par de claves

Al crear una passkey para una web o una app, se genera un par de claves criptográficas: una pública y una privada. Apple detalla en su documentación de seguridad que se basan en el estándar WebAuthn y que el par es único para cada cuenta. La clave pública se guarda en el servidor del servicio y no es ningún secreto; la privada es la que hace falta para iniciar sesión, y el servidor nunca la conoce.

La gracia es que una filtración en el servidor pierde casi todo su interés. La documentación para desarrolladores de Google explica que un atacante no puede deducir la clave privada a partir de lo que guarda el servidor, y Apple añade en su web para desarrolladores que, como los servidores solo guardan claves públicas, son un objetivo menos valioso para los atacantes.

¿Y cómo entras? Microsoft lo explica en su página de ayuda: en vez de enviar una contraseña por Internet, cuando desbloqueas la clave privada tu dispositivo firma digitalmente un desafío que le manda la web o la app, y esta comprueba la firma con la clave pública. El borrador del editor de WebAuthn Level 3 del W3C añade que la clave privada está ligada a su autenticador y que se espera que nunca quede expuesta a nadie, «ni siquiera al dueño del autenticador».

---

Por qué el phishing pincha en hueso

Cuando se crea, una passkey queda asociada al dominio concreto de esa web o app, y el navegador y el sistema operativo garantizan que solo se pueda usar allí, como explica Google. Microsoft lo baja a tierra: puede que acabes en una web que se parece mucho a la original, pero tu dispositivo no le va a ofrecer tu passkey al sitio malicioso.

La diferencia con la contraseña es que aquí no decides tú. La documentación de Microsoft Learn indica que son los navegadores o los sistemas operativos los que se encargan de que la passkey se use solo con el servicio adecuado, «en lugar de depender de la verificación humana». Y la ayuda de la cuenta de Google recuerda que, a diferencia de las contraseñas, no se pueden compartir, copiar, apuntar ni dar por error a otra persona.

---

Cómo se desbloquea y qué pasa con tu huella

Una passkey no se teclea: se aprueba con lo mismo que usas para desbloquear el dispositivo. En el ordenador, Microsoft habla de Windows Hello con PIN, huella o cara; en el móvil, de Face ID, huella o el PIN de siempre.

¿Tu cara o tu huella acaban en algún servidor? No. La FIDO Alliance explica que la información biométrica y su procesamiento se quedan en el dispositivo: el servidor solo recibe la confirmación de que la comprobación ha salido bien. Google asegura que esos datos nunca se comparten con Google, y Microsoft, que nunca se comparten con Microsoft.

Eso sí, sin bloqueo de pantalla no hay passkey que valga: Microsoft avisa en su guía de solución de problemas de que no se pueden usar en un dispositivo sin cara, huella o PIN, y Google, de que con el bloqueo de pantalla desactivado no podrás usarlas hasta que lo actives. Y la otra cara de la moneda, que también advierte Google: una vez creada la passkey, cualquiera que pueda desbloquear tu dispositivo podrá acceder a tu cuenta de Google, aunque hayas cerrado sesión.

---

Sincronizadas o ligadas a un dispositivo

Hay dos tipos. Las sincronizadas se copian entre tus dispositivos a través de un servicio en la nube; las ligadas a un dispositivo, explica Microsoft, se quedan solo en el aparato donde se crearon y no se sincronizan ni con otros dispositivos ni con la nube. La FIDO Alliance incluye entre estas las de las llaves de seguridad FIDO y considera que las de las llaves modernas ofrecen «la máxima garantía de seguridad».

La contrapartida está en las copias: la ayuda de Chrome advierte de que las passkeys guardadas en una llave de seguridad no tienen copia de seguridad, y si la pierdes o la restableces, no las recuperas.

Las sincronizadas juegan en otra liga: si estrenas dispositivo y lo configuras con tu proveedor de passkeys, se sincronizan y quedan listas para usar, explica la FIDO Alliance. Ese proveedor puede ser el gestor integrado del sistema o del navegador, o uno de terceros en forma de app o extensión, así que si algún día te cambias, conviene saber cómo migrar entre gestores de contraseñas sin perder registros.

---

Usarla en otro dispositivo: QR y Bluetooth

Que la passkey viva en el móvil no te ata al móvil. La FIDO Alliance lo llama autenticación entre dispositivos: el teléfono se vincula con el portátil y usas la passkey del primero para iniciar sesión en el segundo. Google precisa que funciona aunque la passkey no esté sincronizada con el portátil, siempre que el teléfono esté cerca y apruebes el acceso en él.

En la práctica, explica la ayuda de Google, aparece un código QR en la pantalla del ordenador y lo escaneas con la cámara del teléfono, con el Bluetooth activado. Con un iPhone, el manual de Apple indica que en el otro dispositivo hay que elegir «Otras opciones», «Usar la llave de acceso de un dispositivo cercano» o similar para que muestre el código, y escanearlo con la cámara.

¿Para qué el Bluetooth? Para comprobar que los dos aparatos están cerca de verdad. La FIDO Alliance explica que se usa para verificar la proximidad física, pero que la seguridad del inicio de sesión no depende del Bluetooth: el transporte, llamado «hybrid», añade encima otra capa de técnicas criptográficas estándar. Microsoft Learn remata que así se autoriza al otro dispositivo sin transferir ni copiar la passkey.

---

Dónde se guardan en Apple, Google y Microsoft

Cada plataforma tiene su sitio. Apple las guarda en la app Contraseñas y en el llavero de iCloud, donde nadie puede verlas, ni siquiera Apple, y para usarlas exige activar el llavero y la autenticación de doble factor. Google las guarda en tu cuenta con su Gestor de contraseñas, aunque en Android 14 o posterior puedes optar por un gestor de terceros compatible.

Microsoft enumera en su guía para crear y guardar una passkey su Microsoft Password Manager u otro gestor sincronizado, el móvil o la tableta, una llave de seguridad física o el propio equipo con Windows Hello. Su gestor aún se está desplegando y solo funciona en Edge 142 o posterior con un perfil personal. Si dudas dónde guardarlas, tienes nuestra comparativa de gestores de contraseñas.

«Sin dato» significa que ese punto no figura en la documentación oficial que hemos consultado.

---

Qué pasa si pierdes el móvil

Con las ligadas a un dispositivo, Microsoft es tajante: si pierdes el dispositivo, pierdes la passkey, salvo que tengas otro método de recuperación. Si la guardas en el dispositivo, aconseja crear passkeys también en tus otros aparatos, para que hagan de «llave de repuesto digital». Con las sincronizadas el susto es menor: como se puede hacer copia de ellas, explica la FIDO Alliance, están mejor protegidas frente a pérdidas.

Apple detalla que las suyas se pueden recuperar incluso si pierdes todos tus dispositivos, a través del depósito del llavero de iCloud: hace falta la contraseña de iCloud, responder a un SMS y el código de acceso del dispositivo, con solo 10 intentos antes de que el registro del depósito se destruya.

En Google, el PIN del Gestor de contraseñas te ayuda a recuperarlas en un dispositivo nuevo, y si pierdes uno o te lo roban, la ayuda indica que inicies sesión en tu cuenta desde otro dispositivo y quites la passkey del perdido. Ojo con Windows Hello en Chrome: si pierdes el ordenador o reinstalas el sistema, esas passkeys no se recuperan. Microsoft, en su página sobre passkeys guardadas, explica que con un gestor sincronizado basta con iniciar sesión en él desde el equipo nuevo.

Y si pierdes el acceso a todos los dispositivos donde se sincronizaban, la FIDO Alliance contempla que una llave de seguridad FIDO haga de credencial de recuperación.

---

¿Sustituye del todo a la contraseña?

Sobre el papel, sí: la FIDO Alliance, Apple, Google y Microsoft las presentan como un reemplazo de la contraseña. Su uso principal, explica la FIDO Alliance, es sustituirla como factor principal, y también pueden jubilar fórmulas heredadas como la contraseña con un código por SMS.

En la práctica, conviven. Google explica que, al crear una passkey, la cuenta le da prioridad y deja de pedir contraseña, aunque puedes seguir usando la contraseña, y que no se cambia ni se elimina ningún factor de autenticación o de recuperación; con la verificación en dos pasos activada, además, la passkey se salta el segundo paso. En el iPhone puedes tener passkey y contraseña para la misma web, bajo la misma cuenta de la app Contraseñas.

Las cuentas de trabajo van aparte: Google avisa de que con una cuenta de Google Workspace de una empresa o un centro educativo puede que no puedas iniciar sesión solo con una passkey, y Microsoft, de que solo podrás crearla para esas cuentas si tu organización lo admite. Moraleja: la contraseña no desaparece de golpe, pero cada cuenta en la que actives una passkey queda mejor protegida contra el phishing.

---

Te puede interesar

Tech Planet participa en el programa de afiliados de Amazon. Si compras a través de estos enlaces, recibimos una pequeña comisión sin coste extra para ti, lo que nos ayuda a seguir creando contenido como este.