Passkeys y Autenticación sin Contraseñas: El Futuro de la Seguridad Digital

Las contraseñas son el eslabón más débil de la seguridad digital. A pesar de décadas de campañas de concienciación, los usuarios siguen utilizando contraseñas débiles, reutilizándolas entre servicios y cayendo en ataques de phishing. En 2026, las passkeys representan la alternativa más prometedora y práctica para eliminar las contraseñas por completo. Con el soporte de Apple, Google, Microsoft y las principales plataformas web, y la reciente incorporación de criptografía poscuántica al estándar FIDO2, las passkeys están preparadas para transformar la autenticación digital.

El Problema de las Contraseñas

Las estadísticas son contundentes. El 81% de las brechas de datos involucran contraseñas débiles o robadas. El usuario promedio tiene más de 100 cuentas en línea. El 65% de los usuarios reutiliza contraseñas entre múltiples servicios. Los ataques de phishing han aumentado un 150% en los últimos dos años gracias a la IA. Y el coste medio de resetear una contraseña corporativa es de 70 dólares cuando se incluye el tiempo de soporte técnico.

Las contraseñas son fundamentalmente defectuosas como mecanismo de autenticación porque transfieren un secreto del usuario al servidor. Este secreto puede ser robado durante la transmisión mediante phishing, extraído de bases de datos comprometidas, capturado por keyloggers o adivinado mediante fuerza bruta o diccionario.

¿Qué son las Passkeys?

Las passkeys son credenciales de autenticación basadas en el estándar FIDO2/WebAuthn que utilizan criptografía de clave pública para autenticar usuarios sin transmitir ningún secreto. En lugar de una contraseña, se genera un par de claves criptográficas donde la clave privada permanece segura en el dispositivo del usuario y nunca se comparte, mientras que la clave pública se registra en el servidor del servicio.

Cuando el usuario se autentica, el servidor envía un desafío criptográfico. El dispositivo del usuario firma el desafío con la clave privada, desbloqueada mediante biometría como huella dactilar o reconocimiento facial, o mediante un PIN local. El servidor verifica la firma con la clave pública almacenada.

Las ventajas fundamentales de este enfoque son la inmunidad al phishing ya que no hay secreto que pueda capturarse, la inmunidad a brechas de base de datos porque la clave pública almacenada en el servidor es inútil para un atacante, la facilidad de uso ya que el usuario solo necesita su biometría, y la unicidad por servicio porque cada passkey es única para cada sitio web.

Cómo Funcionan Técnicamente

Registro

Cuando creas una passkey para un servicio, tu dispositivo genera un par de claves único para ese servicio específico. La clave privada se almacena en un módulo de seguridad del dispositivo, como el Secure Enclave de Apple o el TPM de Windows. La clave pública se envía al servidor junto con un identificador de credencial.

Autenticación

Para iniciar sesión, el servidor envía un desafío aleatorio. El dispositivo localiza la clave privada correspondiente al servicio, solicita verificación biométrica al usuario, firma el desafío con la clave privada y envía la firma al servidor. Todo el proceso toma menos de un segundo y es significativamente más rápido que escribir una contraseña.

Sincronización entre Dispositivos

Una de las críticas iniciales a FIDO2 era que las credenciales estaban vinculadas a un dispositivo específico. Las passkeys resuelven esto mediante la sincronización a través de los ecosistemas de los grandes proveedores. Las passkeys de Apple se sincronizan via iCloud Keychain. Las de Google a través de Google Password Manager. Las de Microsoft mediante el ecosistema Windows Hello. También se pueden compartir entre ecosistemas mediante códigos QR y Bluetooth LE, permitiendo autenticarse en un dispositivo Windows con una passkey almacenada en un iPhone.

Passkeys Quantum-Safe

En abril de 2025, IANA añadió oficialmente soporte para algoritmos criptográficos poscuánticos en FIDO2/WebAuthn. Esto significa que las passkeys no solo protegen contra las amenazas actuales sino también contra futuras computadoras cuánticas. Los primeros dispositivos con passkeys poscuánticas se espera que lleguen al mercado en la segunda mitad de 2026, utilizando los algoritmos ML-DSA estandarizados por el NIST.

Estado de Adopción en 2026

La adopción de passkeys se está acelerando significativamente:

• Navegadores: Chrome, Safari, Firefox y Edge soportan completamente passkeys con WebAuthn.
• Sistemas operativos: iOS 16+, Android 14+, Windows 11 y macOS Ventura+ soportan passkeys de forma nativa.
• Servicios principales: Google, Apple, Microsoft, Amazon, PayPal, GitHub, WhatsApp, X (Twitter), TikTok, Nintendo y cientos de servicios más ya soportan passkeys.
• Sector financiero: Bancos como BBVA, ING y múltiples entidades están implementando passkeys para la autenticación de banca en línea.
• Sector empresarial: Soluciones de identidad como Okta, Azure AD y Duo soportan passkeys como factor de autenticación empresarial.

Guía Práctica: Cómo Empezar a Usar Passkeys

1. Verifica la compatibilidad: Asegúrate de que tu dispositivo y sistema operativo soporten passkeys. La mayoría de los smartphones y ordenadores actuales lo hacen.
2. Configura la biometría: Activa Touch ID, Face ID, Windows Hello o la biometría de tu dispositivo Android.
3. Crea passkeys en servicios compatibles: Cuando un servicio ofrezca la opción de crear una passkey, hazlo. Generalmente se encuentra en la sección de seguridad de la cuenta.
4. Mantén la contraseña como respaldo: Durante la transición, mantén las contraseñas como método alternativo, pero prioriza el uso de passkeys.
5. Considera una llave de seguridad física: Dispositivos como YubiKey ofrecen el máximo nivel de seguridad para passkeys, ya que la clave privada está protegida por hardware dedicado resistente a extracción.

Desafíos y Limitaciones

A pesar de sus ventajas, las passkeys enfrentan algunos desafíos. La recuperación de cuenta cuando se pierden todos los dispositivos requiere mecanismos alternativos que pueden ser menos seguros. La dependencia de ecosistemas de grandes tecnológicas genera preocupaciones sobre el vendor lock-in. La compatibilidad entre plataformas ha mejorado enormemente pero aún no es perfecta. Y la educación del usuario sigue siendo necesaria para impulsar la adopción masiva.

Llaves de Seguridad de Hardware

Para quienes buscan el máximo nivel de seguridad, las llaves de hardware como YubiKey 5 Series ofrecen una capa adicional de protección. La clave privada se genera y almacena en un chip seguro dentro del dispositivo, siendo imposible de extraer incluso con acceso físico. Soportan múltiples protocolos incluyendo FIDO2, U2F, PIV y OpenPGP, y son resistentes a phishing, malware y ataques de ingeniería social.

Conclusión

Las passkeys representan el avance más significativo en autenticación en décadas. Combinan seguridad superior con una experiencia de usuario más cómoda que las contraseñas, algo poco común en ciberseguridad donde la seguridad y la usabilidad suelen estar en conflicto. Con el soporte de los principales proveedores de tecnología y la incorporación de criptografía poscuántica, las passkeys están preparadas para convertirse en el estándar de autenticación dominante. El futuro sin contraseñas ya está aquí.