Google, Apple y Microsoft llevan tiempo animándote a crear una passkey (en español, clave de acceso) para iniciar sesión. La promesa es ambiciosa: entrar en tus cuentas solo con tu huella, tu cara o el PIN de tu móvil, sin escribir contraseñas y con una protección muy superior frente al phishing. En esta guía te explicamos de forma sencilla qué son las passkeys, cómo funcionan por dentro, qué ventajas e inconvenientes tienen y cómo empezar a usarlas.
¿Qué es una passkey?
Una passkey es un método de inicio de sesión que sustituye a la contraseña por un par de claves criptográficas creado específicamente para cada web o aplicación. Se basa en los estándares abiertos FIDO2 y WebAuthn, desarrollados por la FIDO Alliance y el W3C con el apoyo de las grandes tecnológicas.
Para ti, el uso es muy simple: cuando inicias sesión, el servicio pide confirmación a tu dispositivo y tú la das igual que cuando desbloqueas el móvil (huella, reconocimiento facial o PIN). No hay nada que escribir ni que recordar.
¿Cómo funcionan por dentro?
Las passkeys usan criptografía de clave pública, la misma tecnología que protege las conexiones HTTPS:
- Registro: al crear una passkey, tu dispositivo genera dos claves vinculadas. La clave privada se queda guardada en tu dispositivo o gestor y nunca sale de él. La clave pública se envía al servicio.
- Inicio de sesión: el servicio envía un desafío (un dato aleatorio). Tu dispositivo, tras verificar tu huella o PIN, lo firma con la clave privada.
- Verificación: el servicio comprueba la firma con la clave pública. Si coincide, sabe que eres tú, sin haber recibido nunca ningún secreto.
La consecuencia es importante: el servidor no guarda nada que sirva para entrar en tu cuenta. Si la web sufre una filtración, los atacantes solo obtienen claves públicas, que no permiten iniciar sesión. Compáralo con las contraseñas, donde cada filtración alimenta listas como la de las contraseñas más hackeadas.
¿Y mi huella se envía al servicio?
No. La huella o el reconocimiento facial solo sirven para desbloquear la clave privada en tu propio dispositivo. Ningún dato biométrico sale de tu móvil u ordenador.
Ventajas de las passkeys frente a las contraseñas
- Resistentes al phishing: cada passkey está ligada al dominio exacto donde se creó. Si un correo falso te lleva a
g00gle-login.com, tu dispositivo no ofrecerá la passkey degoogle.com. No puedes entregarla por error. - Imposibles de adivinar o reutilizar: se generan automáticamente con criptografía fuerte y son únicas para cada servicio.
- Inútiles si se filtran del servidor: el servicio solo guarda la clave pública.
- Más rápidas: iniciar sesión es tan rápido como desbloquear el móvil.
- Incluyen dos factores en uno: combinan algo que tienes (el dispositivo) con algo que eres o sabes (huella o PIN), por eso muchos servicios las aceptan en lugar de la verificación en dos pasos tradicional.
Inconvenientes y dudas habituales
¿Qué pasa si pierdo el móvil?
Las passkeys modernas suelen estar sincronizadas: se guardan cifradas de extremo a extremo en el Llavero de iCloud, en el Gestor de contraseñas de Google o en gestores como Bitwarden, 1Password o Proton Pass. Si pierdes el móvil, las recuperas al iniciar sesión en un dispositivo nuevo. Aun así, conviene mantener un método de recuperación alternativo en tus cuentas importantes.
¿Funcionan en todos los dispositivos?
Los sistemas operativos y navegadores actuales (Android, iOS, macOS, Windows, Chrome, Safari, Edge y Firefox) las admiten. Si estás en un ordenador sin tu passkey, puedes escanear un código QR con el móvil para iniciar sesión usando la passkey guardada en él.
¿Cambiar de ecosistema es un problema?
Era el gran punto débil al principio: una passkey guardada en el llavero de Apple no se pasaba fácilmente a Android. Usar un gestor de contraseñas multiplataforma para guardarlas evita quedar atado a un solo fabricante, y la FIDO Alliance trabaja en un formato estándar para exportarlas e importarlas entre gestores.
¿Todas las webs las admiten?
Todavía no. Google, Apple, Microsoft, Amazon, PayPal, GitHub y cada vez más servicios las ofrecen, pero muchas webs siguen dependiendo solo de contraseñas. Durante años convivirán ambos sistemas.
Cómo crear tu primera passkey
El proceso es parecido en todos los servicios:
- Inicia sesión como siempre y entra en la configuración de Seguridad de tu cuenta.
- Busca la opción Llaves de acceso, Claves de acceso o Passkeys.
- Pulsa Crear passkey y confirma con tu huella, cara o PIN.
- Elige dónde guardarla (el llavero del sistema o tu gestor de contraseñas).
- La próxima vez que inicies sesión, selecciona la opción de passkey en lugar de escribir la contraseña.
Un buen punto de partida es tu cuenta de Google (desde myaccount.google.com → Seguridad → Llaves de acceso), ya que suele ser la cuenta de recuperación del resto.
¿Significa esto el fin de las contraseñas?
A largo plazo, probablemente sí para la mayoría de los servicios de consumo. Pero la transición será lenta: muchas webs no las admiten, los sistemas antiguos tardarán años en actualizarse y siempre habrá contraseñas que seguirán existiendo, como la del WiFi de casa (aprende a crear una contraseña WiFi segura) o la contraseña maestra de tu gestor.
Mientras tanto, la estrategia más sensata es doble: activa passkeys donde estén disponibles y, en el resto de servicios, usa contraseñas aleatorias y únicas guardadas en un gestor, con verificación en dos pasos activada.
Conclusión
Las passkeys resuelven los grandes problemas de las contraseñas: no se pueden adivinar, no se reutilizan, no sirven de nada si se filtran del servidor y no se pueden entregar a una web falsa. Crear una lleva menos de un minuto y hace que iniciar sesión sea más rápido. Empieza por tus cuentas más importantes y, en las que aún no las admitan, sigue protegiéndote con contraseñas fuertes y 2FA.