Una passkey autentica mediante una firma de clave privada; el servicio conserva la clave pública. Las passkeys sincronizadas pueden transferir credenciales cifradas entre dispositivos; las vinculadas a un dispositivo no se sincronizan. La MFA depende de la verificación del usuario exigida, y siguen importando el dispositivo, la cuenta de sincronización y la recuperación.
La clave privada no se envía al servicio de acceso
FIDO2/WebAuthn utiliza un par de claves. El servicio recibe la pública y verifica firmas, no recibe la privada. Las passkeys sincronizadas pueden sincronizar credenciales cifradas mediante un proveedor; las vinculadas al dispositivo permanecen en su autenticador. Protege también la cuenta de sincronización y la recuperación.
Contraseña
tú y el servidor compartís un secreto. se roba si el servidor sufre una fuga o si la escribes en un sitio falso
Passkey
Una clave pública filtrada no basta para generar la firma privada necesaria para acceder.
«El servidor solo tiene la clave pública» es lo que importa. Una clave pública, por definición, se puede publicar sin problema, así que aunque la base de datos se filtre, no sirve por sí sola para iniciar sesión (la premisa opuesta al almacenamiento de contraseñas → qué es el hashing).
En qué se diferencia de contraseña + SMS
Contraseña + código SMS
- El secreto compartido (contraseña) puede filtrarse / encadenarse por reutilización
- La escribes en un sitio falso y el código también se retransmite
- Tiende a depender de «yo sé detectar el sitio falso»
Passkey
- Una clave pública filtrada no basta para generar la firma privada necesaria para acceder.
- La firma está ligada al dominio = no se completa en un sitio falso
- Bloquea el sitio falso por diseño, aunque el usuario no lo note
El phishing con atacante en el medio (AiTM) retransmite el código correcto junto con todo lo demás, aunque lo introduzcas con cuidado (→ qué es el phishing). Como la firma de una passkey está ligada al dominio, esa vía queda cerrada por principio.
Passkey, 2FA y llave de seguridad física
Una passkey se describe a la vez como «un tipo de 2FA» y como «un sustituto de la contraseña», así que los términos se confunden con facilidad. Comparados por su función:
| Passkey | Contraseña + contraseña de un solo uso | Llave de seguridad física | |
|---|---|---|---|
| Con qué inicias sesión | firma vinculada al dominio; PIN o biometría si se exige verificar al usuario | Una cadena memorizada + un código (a menudo de 6 dígitos) | Una clave privada dentro de una llave USB/NFC + PIN o toque |
| Qué guarda el servidor | Una clave pública | Un hash de la contraseña (más el secreto que genera los códigos en las apps de autenticación) | Una clave pública |
| Si la usas en un sitio falso | La firma no se completa | Se pueden retransmitir la contraseña y el código | La firma no se completa |
| Si pierdes el dispositivo | Las passkeys sincronizadas funcionan en otro dispositivo | Hace falta migrar el autenticador o usar códigos de recuperación | Puede hacer falta una llave de respaldo u otra recuperación admitida |
| Ideal para | Casi todo el uso personal | Servicios que no admiten passkeys | Cuentas de administrador, personas de alto riesgo |
Una llave física compatible con FIDO2 puede almacenar una passkey vinculada al dispositivo sin sincronización en la nube. Una llave de respaldo u otra recuperación admitida ayuda a evitar el bloqueo. qué es la autenticación de dos factores / qué es una contraseña de un solo uso (OTP).
Passkeys sincronizadas y passkeys vinculadas al dispositivo
Las passkeys son de dos tipos según dónde se guardan.
- Passkeys sincronizadas: se guardan en el Llavero de iCloud, el Gestor de contraseñas de Google o una app de gestión de contraseñas, y se pueden usar en tus otros dispositivos con la misma cuenta iniciada. Es menos probable que perder un dispositivo te deje fuera
- Passkeys vinculadas al dispositivo: se guardan solo dentro del dispositivo que las creó, como una llave de seguridad física. Como no se sincronizan, controlas exactamente dónde están
NIST SP 800-63B-4 (julio de 2025) permite autenticadores sincronizables en AAL2 si cumplen los requisitos pertinentes, incluida la verificación del usuario y la protección de la infraestructura de sincronización. AAL3 exige claves no exportables y controles adicionales: una llave sin sincronización no garantiza por sí sola el cumplimiento. Elige según el nivel requerido, la seguridad del dispositivo y de la cuenta de sincronización y las condiciones de recuperación.
Puntos débiles que quedan tras añadir una passkey
Aunque la passkey en sí resista los sitios falsos, una cuenta es tan fuerte como su vía de entrada más débil.
- El inicio de sesión con contraseña sigue activado: en muchos servicios, añadir una passkey deja activo el inicio de sesión con contraseña y con código SMS. Un sitio falso pedirá ese método restante en lugar de la passkey
- Recuperación débil: si para recuperar la cuenta basta con un SMS o el correo registrado, esa se convierte en la vía de entrada. Protege también con una passkey la propia cuenta de correo de recuperación
- Bloqueo del dispositivo débil: una passkey se puede usar en cuanto desbloqueas el dispositivo, así que evita un PIN de bloqueo de pantalla fácil de adivinar
Un caso real: robos de cuentas de valores y passkeys obligatorias
En 2025, en Japón hubo muchos casos en los que se usaron identificadores y contraseñas robados a través de sitios falsos que suplantaban a sociedades de valores para hacer operaciones no autorizadas en cuentas de bolsa ajenas. La Agencia de Servicios Financieros de Japón (FSA) indica en su página de alerta que la MFA resistente al phishing, como las passkeys, se está haciendo obligatoria, e insta a los usuarios a configurarla cuanto antes.
La Asociación de Intermediarios de Valores de Japón (JSDA) revisó su guía sobre la prevención del acceso no autorizado en la negociación en línea, con efecto desde el 15 de octubre de 2025. Exige a las entidades implantar MFA resistente al phishing (por ejemplo, autenticación basada en passkeys o en PKI) para acciones importantes como el inicio de sesión, las retiradas de fondos y el cambio de la cuenta bancaria de retirada, y hacerla obligatoria por defecto. A los clientes que no tengan el dispositivo necesario se les debe ofrecer una MFA alternativa.
Dos lecciones de este caso:
- El sector pasó de la «atención del usuario» al «diseño»: pedir a la gente que detectara los sitios falsos no frenó las pérdidas, así que lo predeterminado pasó a ser una autenticación que no se completa en un sitio falso
- Los ejemplos citados son passkeys y PKI, no métodos en los que una persona lee y teclea un código: el NIST también indica que las contraseñas de un solo uso introducidas a mano no pueden ser resistentes al phishing
Para pasos concretos como cliente de una sociedad de valores —inicio de sesión con passkey y notificaciones de actividad—, consulta nuestro artículo sobre el acceso no autorizado en el contratista de Daiwa Securities.
Cómo comprobar tus propias cuentas y servicios
Comprueba si tus cuentas importantes admiten passkeys
Busca una opción de «passkey» (o «clave de acceso») en los ajustes de seguridad de tu correo, tu gestor de contraseñas, tu nube, tu cuenta de valores y tu banco, y GitHub. La lista de tu gestor de contraseñas también muestra en qué servicios ya tienes una passkey guardada.
Registra un segundo dispositivo o una llave de reserva
Con passkeys sincronizadas, confirma que funcionan en otro dispositivo con la misma cuenta iniciada. Si usas llaves físicas que no se sincronizan, registra una de reserva y guárdala en otro lugar.
Cierra las puertas laterales de la contraseña y el SMS
Tras añadir una passkey, comprueba si todavía puedes iniciar sesión o recuperar la cuenta solo con una contraseña o solo con un código SMS. Si hay un ajuste para omitir la contraseña o quitar el SMS, úsalo. Guarda los códigos de recuperación en otro lugar, como tu gestor de contraseñas.
Si desarrollas el servicio, comprueba la verificación del dominio y la recuperación
Al implementar passkeys (WebAuthn), verifica en el servidor que la firma está limitada a tu dominio (el RP ID) y a tu origen. No escribas tú mismo la verificación de firmas; usa una biblioteca consolidada. Y si queda una vía de recuperación que solo necesita SMS, esa será el punto débil incluso con las passkeys en marcha.
La visión de este sitio: no tienes que reemplazarlo todo de golpe
Las passkeys son potentes, pero hoy no necesitas pasar por completo a un esquema sin contraseña en todas tus cuentas. Nuestra postura: migra primero las cuentas importantes. Añade passkeys a las cuentas con las que recuperas o gestionas tus demás cuentas —correo, nube, tu gestor de contraseñas— y configura la recuperación (regístralas en varios dispositivos, conserva un respaldo). Para los servicios donde siga habiendo contraseña, protégelos con un gestor de contraseñas y MFA resistente al phishing, y pásate a passkeys a medida que cada servicio lo admita.
Fuentes (primarias)
- FIDO Alliance, "Passkeys" — fidoalliance.org (definición, passkeys sincronizadas frente a vinculadas al dispositivo, resistencia al phishing)
- W3C, "Web Authentication: An API for accessing Public Key Credentials Level 3" — w3.org (credenciales limitadas al RP ID y al origen)
- NIST SP 800-63B-4, "Digital Identity Guidelines: Authentication and Authenticator Management" (julio de 2025) — pages.nist.gov (passkeys sincronizadas permitidas en AAL2 pero no en AAL3, qué cuenta como resistente al phishing, comparación biométrica en el dispositivo)
- Asociación de Intermediarios de Valores de Japón, revisión de la guía sobre la prevención del acceso no autorizado en la negociación en línea (15 de octubre de 2025, en japonés) — jsda.or.jp (PDF)
- Agencia de Servicios Financieros de Japón, alerta sobre el acceso y las operaciones no autorizados en servicios de valores en línea (en japonés) — fsa.go.jp
- passkeys.dev (guía para desarrolladores que implementan passkeys) — passkeys.dev
Sigue leyendo
- Aprende: cómo elegir un gestor de contraseñas (también gestiona el almacenamiento y la sincronización de passkeys)
- Doble factor: elegir MFA correctamente (qué significa resistencia al phishing) / configurar la 2FA de GitHub (añadir una passkey como respaldo)
- Cómo funciona: cómo almacenar contraseñas con seguridad / Glosario: qué es el phishing
- Glosario: qué es la autenticación de dos factores · qué es una contraseña de un solo uso (OTP) (los métodos con los que se comparan las passkeys)