Una passkey (o clave de acceso) es una credencial que sustituye a la contraseña por un par de claves criptográficas: una pública, que queda guardada en el servicio donde te registras, y una privada, que nunca sale de tu dispositivo ni se envía por la red. Al iniciar sesión no escribes nada secreto; el sitio te lanza un reto matemático, tu teléfono u ordenador lo firma con la clave privada después de que confirmes con la huella, la cara o el PIN, y listo. No hay nada que memorizar, nada que reutilizar y, sobre todo, nada que un atacante pueda robar de una base de datos filtrada.
Cómo funciona por dentro, sin matemáticas
Cuando creas una passkey, tu dispositivo genera dos claves emparejadas. La pública viaja al servidor del servicio y se queda ahí: por sí sola no sirve para suplantarte, así que si mañana ese servicio sufre una filtración, lo que se publique no le permite a nadie entrar en tu cuenta. La privada se queda protegida por el hardware seguro del aparato (el enclave del móvil, el chip TPM del portátil o una llave física USB).
Cada intento de inicio de sesión es una firma nueva e irrepetible, por lo que nadie puede grabarla y reutilizarla más tarde. Y como la clave privada solo se desbloquea con tu biometría o tu PIN de dispositivo, hacen falta dos cosas para entrar: algo que tienes y algo que eres o que sabes. Es autenticación de dos factores integrada, sin códigos que copiar.
Cómo es usarla en el día a día
La experiencia es sorprendentemente sosa, que es justo lo que se busca. Entras en la web, pulsas "iniciar sesión", aparece un aviso del sistema operativo pidiendo Face ID, el lector de huella o el PIN, lo confirmas y ya estás dentro. Entre dos y cuatro segundos, sin teclear, sin buscar el gestor de contraseñas y sin esperar un SMS.
Si la passkey vive en tu teléfono y estás en un ordenador ajeno, el flujo habitual es escanear un código QR: el portátil muestra el código, lo lees con la cámara del móvil, confirmas con la huella y la sesión se abre en el ordenador. La comunicación usa Bluetooth de proximidad, así que el teléfono debe estar cerca de verdad; ese detalle, que a veces molesta, es lo que impide que te engañen desde el otro lado del mundo.
Por qué resiste el phishing
Aquí está la ventaja que ninguna contraseña, por larga que sea, puede igualar. Cada passkey queda ligada al origen del sitio, es decir, a su dominio exacto. Si te llega un correo con un enlace a "bancoo-seguro.com" y la página es un clon perfecto, tu dispositivo simplemente no encontrará ninguna passkey para ese dominio y no ofrecerá nada que firmar. No hay decisión humana que tomar, no hay error posible por prisa o cansancio: la comprobación la hace el navegador antes de que tú puedas equivocarte.
Eso cierra de golpe los ataques más rentables del momento: las páginas falsas de inicio de sesión, los proxies que capturan la sesión en tiempo real y el robo de códigos temporales. Un código TOTP sigue siendo mucho mejor que nada, pero es un número que una víctima puede llegar a teclear en el sitio equivocado; una passkey, no.
Dónde funcionan hoy y qué inconvenientes tienen
El soporte ya es amplio: Apple, Google y Microsoft las admiten en sus sistemas, y servicios como Amazon, PayPal, WhatsApp, GitHub, LinkedIn, eBay o buena parte de la banca las ofrecen. Los gestores modernos también las sincronizan entre plataformas. Aun así, hay que ser honesto con las limitaciones:
- Pérdida del dispositivo: si tus passkeys no se sincronizan y el móvil desaparece, pierdes el acceso. Registra siempre una segunda passkey en otro aparato o guarda códigos de recuperación.
- Dependencia del llavero: sincronizarlas mediante iCloud o Google Password Manager es cómodo, pero ata tus credenciales a la seguridad de esa cuenta, que conviene proteger a conciencia.
- Recuperación desigual: algunos servicios siguen permitiendo recuperar la cuenta con un simple correo o SMS, lo que deja abierta la puerta trasera que la passkey pretendía cerrar.
- Cobertura incompleta: la mayoría de los sitios que usas a diario todavía te pedirá una contraseña, y muchos mantienen la contraseña activa aunque añadas una passkey.
El veredicto honesto
Actívalas donde te las ofrezcan, empezando por las cuentas que sostienen todo lo demás: tu correo principal, el banco y las plataformas donde guardas documentos o dinero. Si el servicio te deja eliminar la contraseña después, hazlo; si no, cámbiala por una única y larga.
Para todo lo que aún no las admite, la receta sigue siendo la de siempre: una credencial distinta por sitio, generada al azar y guardada en un gestor. Un generador de frases de contraseña te da combinaciones largas y memorizables cuando necesites escribir la clave a mano, por ejemplo la que desbloquea tu propio gestor o cifra tu disco; si quieres afinar el método, aquí tienes una guía sobre cómo crear una frase de contraseña segura. Y añade siempre un segundo factor: con un generador de códigos TOTP puedes comprobar o recuperar tus códigos de verificación sin depender de los SMS, que siguen siendo el método más fácil de interceptar.
Las passkeys no son una moda ni una solución mágica: son un cambio real en el modelo de seguridad, con una transición que durará años. Mientras dura, lo sensato es vivir en los dos mundos. Puedes preparar el segundo con las herramientas de contraseñas y el resto de utilidades gratuitas de 1mail, sin instalar nada ni registrarte.
Preguntas frecuentes
¿Mi huella dactilar se envía al sitio web?
No. La biometría solo desbloquea la clave privada dentro de tu dispositivo y nunca sale de él; el servicio únicamente recibe una firma criptográfica.
¿Qué pasa si pierdo el teléfono con mis passkeys?
Si están sincronizadas en el llavero de tu cuenta, las recuperas al iniciar sesión en un dispositivo nuevo. Si no, necesitarás la passkey de reserva de otro aparato o los códigos de recuperación del servicio.
¿Puedo tener passkey y contraseña a la vez?
Sí, y de hecho es lo más habitual hoy. Ten en cuenta que la cuenta será tan segura como el método más débil que siga activo, así que refuerza también esa contraseña.
