Passkeys: Qué Son, Cómo Funcionan y Por Qué Reemplazan a las Contraseñas
Una guía clara sobre las passkeys, la tecnología que está terminando con la era de las contraseñas. Aprende cómo funcionan, por qué son mucho más seguras y cómo activarlas en los servicios que usas cada día.
El Fin de una Era: Adiós a las Contraseñas
Las contraseñas han sido la base de la autenticación en internet durante más de 50 años, pero hace mucho que empezaron a fallarnos. Las filtraciones masivas, el phishing industrializado y la reutilización inevitable han hecho que más del 80% de las brechas de datos tengan un componente de credenciales robadas o débiles.
Las passkeys son la respuesta de la industria. Basadas en los estándares abiertos FIDO2 y WebAuthn, eliminan el concepto mismo de "secreto compartido" y lo sustituyen por criptografía de clave pública protegida por biometría del dispositivo. Google, Apple y Microsoft las han adoptado de forma masiva, y en 2026 ya son la forma recomendada de iniciar sesión en miles de servicios.
Cómo Funcionan Por Dentro (Sin Matemáticas)
Cuando creas una passkey en un servicio, tu dispositivo genera un par de claves criptográficas:
- Clave privada: se queda dentro del dispositivo, protegida por el chip de seguridad (Secure Enclave en Apple, TPM en Windows, Titan en Android) y solo se desbloquea con tu huella, rostro o PIN.
- Clave pública: se envía al servicio y se guarda en su base de datos. No sirve por sí sola para iniciar sesión.
Al iniciar sesión, el servicio envía un "reto" aleatorio. Tu dispositivo lo firma con la clave privada y devuelve la firma. El servicio verifica la firma con la clave pública que ya tenía. Si es válida, te da acceso. En ningún momento viaja un secreto que pueda ser interceptado o reutilizado.
Además, el navegador verifica que el dominio del servicio coincida con el que se usó al crear la passkey. Esto hace que los ataques de phishing clásicos —un sitio falso que te pide contraseña— simplemente dejen de funcionar.
6 Ventajas Clave frente a las Contraseñas
Inmunes al phishing
Las passkeys solo funcionan en el dominio real donde se crearon. Un sitio falso simplemente no puede engañarlas.
Nada que filtrar
El servicio solo guarda la clave pública. Una brecha de base de datos no expone credenciales útiles para atacantes.
Experiencia más rápida
Olvida contraseñas largas: una huella, un vistazo o un PIN y ya estás dentro.
Nada que recordar
No hay contraseña que memorizar, cambiar periódicamente ni reutilizar accidentalmente.
Sincronización automática
Tus passkeys se sincronizan entre dispositivos del mismo ecosistema de forma segura.
Estándar abierto
Basadas en FIDO2 y WebAuthn, no dependen de un proveedor concreto.
Passkeys vs. Contraseñas + 2FA
Una pregunta frecuente: "Yo ya uso contraseña fuerte más autenticación en dos pasos, ¿necesito passkeys?". La respuesta honesta es: las passkeys son superiores en casi todos los sentidos. Con contraseña + 2FA todavía puedes caer en un phishing sofisticado que intercepte el código. Con passkey, el ataque directamente no es posible porque el navegador verifica el dominio antes de firmar.
Además, la experiencia de uso es mejor: una huella, una mirada, y estás dentro. Sin teclear códigos, sin esperar SMS, sin buscar apps de autenticación.
Dónde Puedes Usar Passkeys Ya Hoy
Algunos de los servicios más populares que ya las soportan:
- Google (Gmail, YouTube, Drive, etc.)
- Apple ID e iCloud
- Microsoft (Outlook, OneDrive, Xbox)
- Amazon y AWS
- GitHub y GitLab
- PayPal, eBay, Shopify
- WhatsApp, TikTok, X
- Bancos digitales como Revolut o N26
- 1Password, Bitwarden y otros gestores
Cómo Activar Passkeys en los Servicios Más Comunes
- 1Ve a myaccount.google.com y entra en "Seguridad".
- 2Busca el apartado "Cómo iniciar sesión en Google".
- 3Selecciona "Passkeys" y pulsa "Crear una passkey".
- 4Sigue las instrucciones del dispositivo (huella, Face ID o PIN).
Apple (iCloud)
- 1En iPhone o Mac, inicia sesión en un servicio compatible.
- 2Cuando el sitio ofrezca crear una passkey, acepta.
- 3Autoriza con Face ID o Touch ID.
- 4La passkey se guardará automáticamente en tu Llavero de iCloud y se sincronizará con tus demás dispositivos Apple.
Microsoft
- 1Abre account.microsoft.com y entra en "Seguridad".
- 2Selecciona "Opciones de seguridad avanzadas".
- 3En "Formas de iniciar sesión" añade una passkey o llave de seguridad.
- 4Confirma con Windows Hello o tu llave física.
GitHub
- 1Accede a "Settings" → "Password and authentication".
- 2Baja hasta "Passkeys" y pulsa "Add a passkey".
- 3Autoriza con biometría o una llave de seguridad física.
- 4Puedes añadir varias passkeys para distintos dispositivos.
Consejos Prácticos Antes de Dar el Salto
- No elimines tu método antiguo inmediatamente: activa la passkey y convive con la contraseña unos días para asegurarte de que todo funciona.
- Crea passkeys en varios dispositivos como respaldo: ordenador, móvil y tablet.
- Considera una llave física tipo YubiKey para cuentas críticas (banca, email principal).
- Usa un gestor que sincronice passkeys si cambias de dispositivo con frecuencia.
- Mantén la recuperación al día: email alternativo, teléfono, código de respaldo.
El Futuro Cercano
Todas las señales apuntan a que para 2028 las contraseñas serán una excepción, no la regla. Los organismos reguladores ya animan explícitamente a su adopción, los grandes proveedores las activan por defecto en nuevas cuentas y los navegadores han pulido la experiencia hasta ser casi invisible. Si todavía no has probado una passkey, elige tu cuenta más importante y actívalas hoy mismo: es probablemente la mejora de seguridad más grande que puedas hacer en 5 minutos.
Preguntas Frecuentes
¿Qué son exactamente las passkeys?
¿En qué se diferencian de las contraseñas?
¿Son realmente más seguras?
¿Qué pasa si pierdo el dispositivo donde tengo la passkey?
¿Son compatibles con todos los servicios?
¿Puedo usar passkeys sin teléfono ni biometría?
¿Qué es FIDO2 y WebAuthn?
Más sobre Seguridad y Tecnología
Otros artículos que te pueden interesar: