¿Qué son las passkeys y cómo funcionan? La explicación más completa

Las passkeys están dejando atrás la costumbre de memorizar contraseñas y de copiar códigos de verificación cada vez más frágiles. Su lógica es distinta: en vez de compartir un secreto con un servidor, usan criptografía de clave pública para que la autenticación ocurra sin exponer datos sensibles.

El resultado es un inicio de sesión más limpio y resistente al fraude. No hay contraseñas que recordar, ni claves que reutilizar, ni mensajes SMS que interceptar. La verificación se apoya en el propio dispositivo del usuario, con huella, rostro o PIN, y eso cambia por completo el tablero de la seguridad digital.

Una credencial que no viaja por internet

La gran diferencia con una contraseña tradicional está en la arquitectura. Una passkey se compone de dos claves vinculadas matemáticamente: una privada, que permanece protegida en el dispositivo o en un gestor compatible, y una pública, que se registra en el servicio al que se accede. El sitio nunca recibe el secreto completo, de modo que no tiene nada útil que robar si sufre una brecha.

Ese detalle, que parece técnico, es lo que explica su avance. Durante décadas, el modelo clásico ha obligado a confiar en un secreto compartido entre usuario y servicio. Bastaba una filtración, una trampa de phishing o un error de reutilización para abrir la puerta. Las passkeys eliminan ese punto débil por diseño.

La identidad ya no se demuestra con algo que alguien pueda copiar en un formulario. Se demuestra con una prueba criptográfica que solo funciona en el dominio legítimo y que depende de un dispositivo previamente autorizado. Por eso resultan tan eficaces frente a las páginas falsas que imitan bancos, tiendas o redes sociales.

Cómo se crea y cómo se usa una passkey

El proceso empieza cuando un servicio compatible ofrece registrar una clave de acceso. En ese instante, el dispositivo genera un par criptográfico único para esa cuenta. La clave privada queda almacenada de forma segura en el teléfono, el ordenador o el gestor de contraseñas elegido; la pública se envía al servidor para que lo identifique en futuros accesos.

Para entrar después, el servicio lanza un desafío aleatorio. El dispositivo lo firma usando la clave privada, pero solo después de que el usuario se autentica localmente con biometría o con un código de desbloqueo. El servidor compara esa firma con la clave pública guardada y, si coincide, concede el acceso. La verificación ocurre sin revelar jamás el secreto original.

Ese flujo tiene otra ventaja poco visible: reduce el trabajo mental y el ruido operativo. No hace falta inventar claves largas, cambiarlas cada cierto tiempo por simple protocolo ni depender de frases fáciles de adivinar. El propio dispositivo actúa como autenticador, y el usuario solo confirma que es él con un gesto breve, casi automático.

Por qué el phishing pierde eficacia

El correo fraudulento y las páginas clonadas han prosperado durante años porque el sistema clásico les daba margen. Una contraseña introducida en una web falsa ya estaba perdida. Incluso los códigos de un solo uso podían ser capturados en tiempo real si el atacante conseguía engañar al usuario en el momento exacto.

Las passkeys rompen esa cadena porque están ligadas al dominio para el que fueron creadas. Un sitio impostor con la misma estética no puede activar la clave de acceso, ya que el dispositivo verifica que la solicitud procede del origen legítimo. No hay forma sencilla de reutilizar esa credencial en otra página.

Por eso la industria las describe como resistentes al phishing y no solo como más cómodas. La diferencia no es semántica, es estructural. Mientras una contraseña puede copiarse y una OTP puede ser robada bajo presión, una passkey no entrega un secreto usable fuera de su contexto.

Biometría, PIN y el papel real del dispositivo

Hay un malentendido frecuente: la passkey no es la huella ni el reconocimiento facial en sí mismos. La biometría solo desbloquea el uso de la clave privada, que permanece protegida en el equipo. Es un permiso local, no una transferencia de datos sensibles al servicio web.

También puede usarse un PIN o la contraseña de desbloqueo del sistema. Eso amplía la compatibilidad y evita que la tecnología dependa exclusivamente de sensores biométricos. En términos prácticos, el usuario está validando dos cosas a la vez: que tiene el dispositivo y que puede desbloquearlo.

Así se entiende por qué las passkeys se consideran una forma de autenticación multifactor, aunque en la experiencia cotidiana parezcan un solo paso. Hay un factor de posesión y otro de verificación local, pero ambos se resuelven en segundos y sin códigos externos.

Dónde ya se usan y por qué la adopción crece

La expansión no es teórica. Apple, Google y Microsoft ya han integrado soporte nativo en sus ecosistemas, y eso ha empujado a servicios de todo tipo a sumarse. Entre los grandes nombres que ya permiten este método figuran Google, Amazon, PayPal, WhatsApp, GitHub, eBay, Shopify, Adobe, Nintendo y PlayStation, además de muchas plataformas empresariales.

El impulso también llega desde los gestores de contraseñas. Herramientas como 1Password, Bitwarden, Dashlane o Microsoft Password Manager ya permiten guardar y sincronizar estas credenciales entre dispositivos. Eso ha reducido una de las barreras más comunes: la idea de que la clave de acceso quedaba atrapada en un único aparato.

La tendencia tiene apoyo en cifras. La FIDO Alliance informó en 2025 que el 69% de los usuarios ya tenía al menos una passkey, frente al 39% de dos años antes. Google ha hablado de cientos de millones de cuentas con este sistema y Amazon superó los 175 millones de usuarios con passkey en su primer año. No es una promesa lejana; es una migración en marcha.

Sincronización, portabilidad y dispositivos de respaldo

La primera duda práctica casi siempre gira en torno a la movilidad. La buena noticia es que las passkeys ya no dependen necesariamente de un solo aparato. Las versiones sincronizadas se replican entre dispositivos que comparten una misma cuenta en Apple, Google, Microsoft o un gestor de contraseñas compatible.

Eso significa que una clave creada en un iPhone puede aparecer en un Mac o en un iPad, y que una passkey registrada en Android puede estar disponible en otro dispositivo vinculado al mismo ecosistema. Cuando el servicio lo permite, también puede usarse un código QR para autenticarte desde el móvil en un ordenador ajeno, sin transferir la credencial temporalmente.

Existen, además, passkeys ligadas a un único dispositivo o a una llave física de seguridad. Son útiles en entornos de alta exigencia o como respaldo adicional. La diferencia entre una clave sincronizada y una ligada al equipo marca el equilibrio entre comodidad y control, y cada usuario o empresa debe valorar ese punto según su contexto.

Passkeys, contraseñas y verificación en dos pasos

Durante años se ha hablado de reforzar la seguridad con contraseñas largas y códigos de un solo uso. Ese enfoque mejora algo el escenario, pero conserva un defecto esencial: sigue dependiendo de un secreto que el usuario debe recordar o copiar, y de un código que puede ser capturado por manipulación social o por secuestro de la línea telefónica.

Las claves de acceso sustituyen a la contraseña y, en muchos casos, también a la segunda capa. No eliminan la necesidad de protección adicional en todos los entornos, pero sí simplifican el acceso sin sacrificar seguridad. El usuario no teclea nada, no recibe SMS y no repite un código a ciegas.

En la práctica, eso reduce el margen de error humano. También baja el coste de soporte para empresas, que pasan menos tiempo resolviendo restablecimientos, bloqueos y problemas de credenciales. La mejora no es solo técnica: es operativa y económica.

Qué riesgos siguen existiendo

Ninguna tecnología elimina por completo el riesgo. El principal punto sensible es la recuperación. Si una passkey está guardada solo en un dispositivo que se pierde o se rompe, el acceso depende de si existe un método alternativo o una copia sincronizada. Por eso conviene tener respaldo en otro aparato o en un gestor que replique la clave.

También importa la seguridad del ecosistema donde se sincroniza. Quien usa iCloud, Google Password Manager, Microsoft Password Manager o un gestor independiente delega parte de la disponibilidad en ese proveedor. La ventaja es que las claves privadas suelen ir cifradas de extremo a extremo, lo que reduce el riesgo de exposición, pero el encaje operativo sigue importando.

Otro matiz es la adopción parcial. No todos los servicios ni todos los flujos de inicio de sesión las aceptan todavía. Durante la transición, muchas cuentas seguirán combinando passkeys con métodos clásicos. Ese escenario híbrido durará un tiempo, y conviene asumirlo como una etapa natural, no como un fallo del sistema.

Qué cambia para empresas, administradores y soporte

En entornos corporativos, la adopción tiene un efecto visible en la mesa de ayuda. Menos contraseñas olvidadas significa menos restablecimientos, menos tickets y menos interrupciones. También reduce la superficie de ataque causada por credenciales reutilizadas, un problema que sigue alimentando filtraciones en todo tipo de organizaciones.

Las empresas ganan además en experiencia de usuario. Un acceso que antes obligaba a recordar una clave compleja, abrir una app de segundo factor y verificar un código termina reducido a un gesto local. En flotas grandes, ese cambio se traduce en menos fricción diaria y más rapidez en tareas repetitivas.

Los departamentos de seguridad, sin embargo, no pueden bajar la guardia. Deben revisar políticas de recuperación, compatibilidad con llaves físicas, capacidad de soporte cruzado entre sistemas operativos y condiciones para equipos gestionados. La passkey simplifica el acceso, pero exige una arquitectura bien pensada detrás.

Qué se espera a partir de 2026

El siguiente tramo de adopción apunta a una convivencia cada vez más breve con las contraseñas. La presión regulatoria, la madurez de los navegadores y la estandarización de FIDO2 están acelerando la transición. En mercados clave, instituciones financieras y grandes plataformas ya están retirando el SMS como método principal de verificación.

También está mejorando la portabilidad entre ecosistemas. El avance de protocolos para mover credenciales entre gestores distintos reduce el encierro en una sola plataforma. Ese punto es decisivo para que la tecnología deje de parecer un privilegio de unos pocos sistemas y se convierta en un estándar real.

Todo indica que el siguiente paso será menos visible pero más profundo: que crear una cuenta nueva con contraseña empiece a parecer una costumbre antigua, como guardar el número de teléfono en una libreta en vez de en el móvil. La transición no será instantánea, pero el rumbo ya está marcado. Las passkeys han pasado de idea prometedora a infraestructura emergente, y su expansión está reescribiendo la forma en que se prueba la identidad en internet.

El nuevo estándar de acceso ya no gira alrededor de recordar claves

Durante décadas, el acceso digital se apoyó en un mecanismo incómodo y frágil: memorizar secretos, repetirlos y confiar en que nadie los atrapara en el camino. Ese modelo se agotó. Las passkeys ofrecen una salida más simple y más robusta, basada en criptografía, contexto y verificación local.

Su valor no reside solo en que ahorran tiempo. Residen, sobre todo, en que reducen el espacio donde un atacante puede actuar. Menos dependencia del usuario, menos exposición del secreto, menos margen para el engaño. Por eso están llamadas a convertirse en el acceso habitual de la próxima etapa de internet.

La contraseña no desaparecerá de golpe, pero ya no ocupa el centro de la escena. La clave de acceso ha empezado a hacer el trabajo pesado con menos ruido, menos fricción y más seguridad. Y en un entorno donde cada filtración cuenta, esa combinación ya no suena futurista: suena necesaria.