La mayoría de las brechas de seguridad empiezan igual: una contraseña robada, reutilizada o caída en un phishing. Llevamos décadas parcheando ese problema con reglas cada vez más absurdas —mayúsculas, símbolos, cambios cada 90 días— sin resolver la causa de raíz. Las passkeys sí la resuelven, porque eliminan el secreto compartido en lugar de intentar protegerlo. ¿Son realmente más seguras que una contraseña? Sí, y por diseño. Veamos por qué.
Por qué fallan las contraseñas
Una contraseña es un secreto que tú conoces y que, a la vez, el servidor guarda. Ese doble almacenamiento es su pecado original y el origen de casi todos sus fallos:
- Se filtran: si atacan el servidor, las contraseñas (aunque estén cifradas) quedan expuestas.
- Se reutilizan: la gente repite la misma clave en varios sitios, así que una filtración abre muchas puertas.
- Se phishean: una web falsa convincente basta para que el usuario entregue su contraseña sin darse cuenta.
- Se adivinan: las claves débiles o predecibles caen ante ataques de fuerza bruta.
Ninguna política de complejidad arregla esto, porque el problema no es la contraseña concreta: es el hecho de que exista un secreto compartido que robar.
Qué es una passkey
Una passkey es el sustituto moderno de la contraseña: una credencial criptográfica ligada a tu dispositivo que te permite iniciar sesión con tu huella, tu cara o el PIN del dispositivo. No hay nada que teclear ni memorizar. Detrás del gesto biométrico, tu dispositivo realiza una operación criptográfica que demuestra tu identidad ante el servicio.
Las passkeys son una forma de autenticación sin contraseña, la familia de métodos que elimina el secreto compartido como factor de acceso.
La diferencia criptográfica
Aquí está el núcleo del asunto. Una passkey usa criptografía de clave pública: cuando creas una passkey para un servicio, tu dispositivo genera un par de claves. La clave privada nunca sale de tu dispositivo; el servicio solo guarda la clave pública, que por sí sola no sirve para suplantarte.
Al iniciar sesión, el servidor envía un reto que tu dispositivo firma con la clave privada. El servidor comprueba la firma con la clave pública y te deja entrar. El resultado es doble:
- No hay nada que robar en el servidor: una brecha solo expone claves públicas, inútiles para un atacante.
- No hay nada que phishear: la clave privada nunca se envía, así que no puedes entregarla por error en una web falsa.
FIDO2 y WebAuthn: los estándares detrás
Las passkeys no son tecnología propietaria de una empresa: se apoyan en estándares abiertos. FIDO2 es el marco impulsado por la FIDO Alliance, y WebAuthn es la API web —estandarizada por el W3C— que permite a navegadores y sitios usar este tipo de credenciales. Gracias a esa base común, una passkey funciona de forma consistente en distintos dispositivos y plataformas. Encontrarás ambos términos definidos en el glosario de identidad digital.
Comparativa: passkeys vs contraseñas
| Criterio | Contraseña | Passkey |
|---|---|---|
| Phishing | Vulnerable: se entrega en webs falsas | Resistente por diseño: nada que entregar |
| Filtraciones | Una brecha expone las contraseñas | El servidor solo guarda claves públicas inútiles |
| Reutilización | La gente repite claves entre sitios | Cada passkey es única por servicio |
| Experiencia | Teclear y recordar | Un gesto biométrico |
| Fuerza bruta | Las claves débiles caen | No aplica: no hay secreto que adivinar |
¿Y si pierdo el dispositivo?
Es la duda más habitual. Si la clave privada vive en el dispositivo, ¿perder el móvil significa perder el acceso? En la práctica, no. Las passkeys modernas se sincronizan de forma cifrada entre los dispositivos del usuario a través de su ecosistema —el llavero de Apple, el gestor de Google o el de Microsoft—, de modo que al estrenar teléfono recuperas tus passkeys sin rehacerlas. Para los casos en que no hay sincronización, los servicios mantienen métodos de recuperación alternativos. Encontrar el equilibrio entre comodidad y seguridad en esa recuperación es uno de los puntos que una buena plataforma de autenticación debe resolver con cuidado, porque una recuperación débil puede convertirse en la nueva puerta de atrás.
Más allá de las passkeys: el acceso sin contraseña
Las passkeys son la forma más conocida de autenticación sin contraseña, pero no la única. El objetivo común de todo el enfoque passwordless es el mismo: eliminar el secreto compartido que se roba, se filtra o se phishea. Otras vías incluyen la firma criptográfica con una clave que el usuario controla y el refuerzo con un segundo factor basado en la posesión del dispositivo. Lo determinante no es el gesto concreto —huella, cara o firma—, sino que detrás no viaje una contraseña por la red ni quede almacenada en un servidor a la espera de la próxima brecha.
Cómo adoptar las passkeys
El ecosistema ya está maduro. Google, Apple y Microsoft soportan passkeys en sus sistemas operativos y navegadores, y cada vez más servicios las ofrecen. Para un usuario, activarlas suele ser cuestión de un par de toques. Para una empresa, el reto es integrarlas en el flujo de registro e inicio de sesión sin construir toda la infraestructura criptográfica desde cero.
Ahí es donde una plataforma de autenticación aporta valor: implementar autenticación sin contraseña con las garantías de seguridad adecuadas, gestionar el ciclo de vida de las credenciales y combinarla con factores adicionales cuando el riesgo lo exige. Plataformas como Block-Auth Infinity permiten ofrecer acceso sin contraseña a tus usuarios sin reinventar la rueda.
En resumen
Las passkeys ganan a las contraseñas en todo lo que importa —phishing, filtraciones, reutilización y experiencia— porque eliminan el secreto compartido en vez de intentar custodiarlo. Apoyadas en FIDO2 y WebAuthn, y respaldadas por los grandes del sector, son el camino hacia un acceso más seguro y menos frustrante. Si quieres ver el panorama completo del acceso sin contraseña, lee nuestra guía de autenticación passwordless.
