¿Qué Es una Passkey? Entendiendo la Autenticación sin Contraseña

Las contraseñas han sido la puerta de entrada de casi todas las cuentas durante décadas, y también son la forma más común de que esa puerta se rompa. La gente las reutiliza, las olvida, las anota en papelitos y las escribe en páginas de inicio de sesión falsas. Las passkeys son la respuesta de la industria: una forma de iniciar sesión en la que no hay una contraseña que robar, adivinar o reutilizar.

Esta guía explica qué es una passkey, cómo funciona la autenticación sin contraseña por dentro, en qué son más fuertes que las contraseñas y cómo empezar a usarlas hoy.

¿Qué Es una Passkey?

Una passkey (a veces llamada “llave de acceso”) es una credencial digital que te permite iniciar sesión en un sitio web o app sin escribir una contraseña. En su lugar, demuestras quién eres desbloqueando tu dispositivo como lo haces normalmente: con tu huella, tu rostro o el PIN del dispositivo.

Detrás de escena, una passkey es un par de claves criptográficas creado solo para una cuenta en un sitio:

• Una clave privada que permanece en tu dispositivo (o en tu administrador de contraseñas) y nunca se comparte.
• Una clave pública que se guarda en el servidor del sitio web.

La clave pública no es un secreto. Si el sitio sufre una filtración, los atacantes obtienen algo que no sirve para iniciar sesión. Ese único cambio de diseño elimina el mayor riesgo de las contraseñas.

Las passkeys se basan en estándares abiertos: WebAuthn (un estándar web del W3C) y FIDO2 (de la FIDO Alliance). Apple, Google y Microsoft las soportan, por eso funcionan en teléfonos, laptops y navegadores.

Por Qué las Contraseñas Son un Problema

Antes de ver cómo funcionan las passkeys, conviene ver qué arreglan:

Los administradores de contraseñas y la autenticación de dos factores (2FA) reducen estos riesgos, pero siguen dependiendo de un secreto que puedes escribir, y lo que se escribe se puede capturar con phishing. Las passkeys eliminan por completo el secreto tecleado.

Cómo Funcionan las Passkeys

Las passkeys usan criptografía de clave pública. El proceso tiene dos partes: crear la passkey una vez y usarla cada vez que inicias sesión.

Crear una passkey (registro)

1. Eliges “Crear una passkey” en un sitio donde ya tienes cuenta.
2. Tu dispositivo genera un nuevo par de claves para ese sitio.
3. La clave pública se envía al sitio y se guarda con tu cuenta.
4. La clave privada se almacena de forma segura en tu dispositivo, protegida por tu biometría o PIN.

Iniciar sesión (autenticación)

1. Vas al sitio y eliges iniciar sesión con una passkey.
2. El sitio envía a tu dispositivo un desafío aleatorio, un dato de un solo uso.
3. Tu dispositivo te pide desbloquearlo (huella, rostro o PIN).
4. El dispositivo firma el desafío con la clave privada y devuelve la firma.
5. El sitio comprueba la firma con tu clave pública guardada. Si coincide, entras.

Tú   ──► Sitio:        "Quiero iniciar sesión"
Sitio ──► Dispositivo: "Firma este desafío aleatorio"
Tú   ──► Dispositivo:  huella / rostro / PIN
Dispositivo ──► Sitio: desafío firmado
Sitio:                 verifica con tu clave pública → acceso concedido

Dos detalles importantes:

• Tu biometría nunca sale de tu dispositivo. El sitio nunca ve tu huella ni tu rostro. La biometría solo desbloquea la clave privada de forma local.
• La clave privada nunca se envía a ningún lado. Solo viaja la firma por la red, y no sirve para ningún otro inicio de sesión porque cada desafío es distinto.

Por Qué las Passkeys Son Más Seguras que las Contraseñas

Resisten el phishing

Una passkey está vinculada al dominio real del sitio. Si llegas a paypa1-login.com haciéndose pasar por PayPal, tu dispositivo no ofrecerá la passkey de PayPal, porque el dominio no coincide. No hay nada que puedas escribir por engaño. Esta es la mayor ventaja práctica, porque el phishing está detrás de buena parte de los robos de cuentas.

No se pueden reutilizar ni adivinar

Cada sitio recibe su propio par de claves. No existe el error de “la misma passkey en todos lados” ni un secreto corto o predecible que adivinar.

Una filtración en el servidor causa mucho menos daño

Los sitios solo guardan claves públicas. Los atacantes que roben esa base de datos no pueden iniciar sesión con ella, lo cual es muy distinto a robar hashes de contraseñas que pueden descifrar sin conexión. Si quieres entender cómo deben proteger hoy los sitios las credenciales almacenadas, revisa seguridad y privacidad de bases de datos.

Son más rápidas de usar

Iniciar sesión toma una mirada o un toque en lugar de escribir y recordar. Menos intentos fallidos también significa menos restablecimientos de contraseña.

Passkeys Sincronizadas vs. Ligadas al Dispositivo

No todas las passkeys viven en el mismo lugar. Hay dos tipos principales:

Para la mayoría de las personas, las passkeys sincronizadas son la mejor opción porque perder el teléfono no significa perder el acceso a todas las cuentas. Los equipos de seguridad suelen preferir las llaves ligadas al dispositivo porque la clave privada nunca puede salir del hardware.

Por Qué Usar Bitwarden para Guardar tus Passkeys

Dónde guardas tus passkeys importa. Las opciones integradas como iCloud Keychain y Google Password Manager funcionan bien, pero cada una vive dentro del ecosistema de una sola empresa. Un administrador de contraseñas dedicado como Bitwarden puede guardar tus passkeys junto a tus contraseñas, y tiene varias ventajas:

• Funciona en todas las plataformas. Bitwarden tiene extensiones para navegadores, apps de escritorio, apps móviles y una bóveda web. Tus passkeys no están atadas a Apple, Google o Microsoft, así que puedes iniciar sesión desde un iPhone, un teléfono Android, una PC con Windows, una Mac o una laptop con Linux. Es el mayor beneficio práctico si usas dispositivos de distintas marcas.
• Passkeys y contraseñas en una sola bóveda. Mientras los sitios migran a las passkeys, tendrás ambas. Tenerlas en el mismo lugar significa una app, un buscador y un respaldo en el que pensar.
• Cifrado de extremo a extremo. Tu bóveda se cifra en tu dispositivo antes de sincronizarse, así que Bitwarden no puede leer tus passkeys. Protégela con una contraseña maestra larga y única, y activa el inicio de sesión en dos pasos.
• Código abierto y auditado. El código de Bitwarden es público y ha sido revisado por firmas de seguridad independientes, lo que permite a la comunidad y a los investigadores comprobar cómo funciona en lugar de confiar solo en la palabra del proveedor.
• Gratis para empezar. Guardar y usar passkeys está disponible en el plan gratuito. Los planes de pago añaden extras como códigos de autenticación integrados, soporte de llaves de seguridad de hardware para tu inicio de sesión y acceso de emergencia.
• Opción de autoalojamiento. Las organizaciones y los usuarios avanzados pueden ejecutar su propio servidor de Bitwarden si quieren control total sobre dónde viven los datos cifrados de la bóveda.
• Bueno para familias y equipos. Las colecciones compartidas permiten que un hogar o un equipo compartan accesos y passkeys de cuentas comunes sin enviar secretos por chat o correo, y los administradores tienen controles de acceso e informes en los planes empresariales.
• Menos dependencia de un proveedor. Si cambias de teléfono o de ecosistema, tus passkeys se quedan en tu bóveda en lugar de estar atadas a la marca de un dispositivo.

Cómo Guardar una Passkey en Bitwarden

1. Instala la extensión de Bitwarden en tu navegador y la app móvil, e inicia sesión en tu bóveda.
2. Asegúrate de que Bitwarden tenga permitido manejar passkeys en la configuración de la extensión. En el móvil, configura Bitwarden como proveedor de credenciales o de autocompletado en los ajustes del teléfono.
3. Ve a un sitio que soporte passkeys y elige Crear una passkey. Cuando el navegador pregunte dónde guardarla, elige Bitwarden.
4. La próxima vez, elige Iniciar sesión con una passkey y aprueba el aviso en Bitwarden. Es posible que te pida desbloquear la bóveda con tu contraseña maestra, PIN o biometría.

Los nombres de los menús y las funciones disponibles cambian según la versión y la plataforma, así que consulta las páginas de ayuda de Bitwarden si tu pantalla se ve distinta.

Cosas a Tener en Cuenta

• Tu bóveda se convierte en la llave de todo. Usa una contraseña maestra fuerte y única, activa el inicio de sesión en dos pasos y guarda tus códigos de recuperación en un lugar seguro y separado.
• No todos los sitios aceptan todos los métodos de almacenamiento. Algunos servicios o configuraciones de alta seguridad solo permiten una llave de seguridad de hardware o una passkey de la plataforma. Mantén esas opciones como alternativa.
• Mantén la app actualizada y bloquea la bóveda en dispositivos compartidos o no confiables.
• Mover passkeys entre administradores aún está madurando. Hay esfuerzos de la industria para mejorar cómo se transfieren las credenciales entre apps, pero hoy conviene tener un método de recuperación en las cuentas importantes en lugar de asumir que exportar será fácil.

Una configuración equilibrada es común: mantén una bóveda de Bitwarden para las cuentas del día a día en todos tus dispositivos y añade una llave de seguridad de hardware para las pocas cuentas que menos puedes permitirte perder, como tu correo y la propia cuenta de Bitwarden.

Iniciar Sesión en Otro Dispositivo

¿Y si estás en la computadora de un amigo, o en una laptop que no tiene tu passkey? Las passkeys permiten iniciar sesión entre dispositivos:

1. El sitio muestra un código QR.
2. Lo escaneas con tu teléfono, que tiene la passkey.
3. El teléfono y la computadora confirman que están físicamente cerca mediante Bluetooth, lo que ayuda a frenar a atacantes remotos.
4. Apruebas con tu huella o rostro en el teléfono y la computadora inicia sesión.

La passkey permanece en tu teléfono todo el tiempo.

Dónde Puedes Usar Passkeys Hoy

El soporte ha crecido rápido. Muchos servicios grandes permiten crear passkeys, como Google, Apple, Microsoft, Amazon, PayPal, GitHub y muchos bancos y tiendas. La lista exacta cambia con frecuencia, así que revisa la configuración de seguridad o de inicio de sesión de tus cuentas importantes y busca una opción llamada Passkeys o Iniciar sesión con una passkey.

Cómo Empezar a Usar Passkeys

No tienes que cambiar todo de golpe. Un orden sensato:

1. Protege primero tu dispositivo. Una passkey es tan segura como el bloqueo del dispositivo que la guarda. Usa un PIN o código fuerte y activa el cifrado del dispositivo.
2. Empieza por tus cuentas más importantes, normalmente el correo, las cuentas de Apple/Google/Microsoft, el banco y las cuentas de trabajo. El correo es lo más importante, porque puede restablecer todo lo demás.
3. Crea una passkey en la configuración de seguridad de cada cuenta y sigue las indicaciones.
4. Elige dónde se guardan. Usa el administrador integrado de tu teléfono y navegador, o un administrador de contraseñas que soporte passkeys entre plataformas.
5. Mantén una vía de recuperación. Asegúrate de poder recuperar tu cuenta si pierdes tus dispositivos: códigos de recuperación, un segundo dispositivo o una llave de seguridad guardada en un lugar seguro.
6. Mantén el 2FA en las cuentas que aún no soportan passkeys. Usa una app de autenticación en lugar de SMS cuando puedas. Consulta la guía de fundamentos de ciberseguridad para ver cómo encajan las defensas en capas.

Si hoy usas un generador de contraseñas fuertes, como el del Día 4 del reto 100 Días de Python, ese hábito sigue siendo útil en los sitios que no ofrecen passkeys. Las passkeys simplemente te permiten dejar de necesitar contraseñas en los sitios que sí las ofrecen.

Limitaciones y Cosas a Tener en Cuenta

Las passkeys son una gran mejora, pero no son magia:

• No todos los sitios las soportan todavía. Por un tiempo usarás contraseñas y 2FA junto con las passkeys.
• Fricción entre ecosistemas. Mover passkeys entre plataformas muy distintas ha mejorado, pero aún puede ser incómodo; por eso son populares los administradores de contraseñas multiplataforma.
• La recuperación de cuenta es el punto débil. Si un sitio permite que cualquiera restablezca una cuenta con un simple enlace por correo o una llamada a soporte, los atacantes irán por ese camino. Una recuperación sólida importa tanto como un inicio de sesión sólido.
• Dispositivos compartidos o públicos. No crees una passkey en una computadora que no controlas.
• Un dispositivo comprometido sigue siendo un riesgo. El malware en un dispositivo desbloqueado puede abusar de una sesión iniciada. Mantén tus dispositivos actualizados; la guía de seguridad de dispositivos de empleados explica por qué una sola laptop infectada puede convertirse en un problema para toda la organización.

Para Dueños de Sitios Web y Desarrolladores

Si administras un sitio web o creas apps, puedes ofrecer passkeys a tus usuarios:

• Usa una biblioteca WebAuthn bien mantenida para tu lenguaje o framework en lugar de implementar el protocolo tú mismo. Los detalles criptográficos son fáciles de hacer mal.
• Ofrece passkeys junto a tus métodos actuales primero, y luego guía a los usuarios hacia ellas.
• Guarda solo claves públicas e identificadores de credencial. Nunca pidas a un usuario que suba una clave privada.
• Vincula a tu dominio real (el “relying party ID”) y verifica siempre el desafío en el servidor.
• Diseña con cuidado la recuperación de cuentas, ya que los atacantes apuntarán al camino más fácil.
• Mantén HTTPS en todo el sitio. WebAuthn solo funciona en orígenes seguros. Si administras tu propio sitio, Cloudflare es una forma sencilla de añadir SSL y protección básica.

Para equipos y organizaciones, las passkeys también pueden reducir los restablecimientos de contraseña en soporte técnico y volver realista un inicio de sesión resistente al phishing para personal no técnico. Combínalas con los hábitos de la capacitación del Mes de la Concientización sobre Ciberseguridad y cubrirás tanto la tecnología como a las personas.

Passkeys vs. Llaves SSH

Si has usado llaves SSH para entrar a un servidor, las passkeys te resultarán familiares. Ambas usan una clave privada que se queda contigo y una clave pública guardada del otro lado. La diferencia es que las passkeys están diseñadas para la web y para usuarios comunes: añaden el navegador, la verificación del dominio contra el phishing, el desbloqueo biométrico y la sincronización entre tus dispositivos.

Conclusión

Una passkey reemplaza un secreto tecleado por una prueba criptográfica: tu dispositivo guarda una clave privada, el sitio guarda la clave pública correspondiente, y tu huella, rostro o PIN solo desbloquea la clave de forma local. Como las passkeys son únicas por sitio, están ligadas al dominio real y no sirven si se roban de un servidor, eliminan las principales formas en que fallan las contraseñas.

No tienes que abandonar las contraseñas de un día para otro. Empieza protegiendo tus dispositivos, crea passkeys para tu correo y otras cuentas críticas, ten un plan de recuperación y añade más cuentas a medida que los sitios las soporten. Cada cuenta que pases a una passkey es una contraseña menos que recordar, reutilizar o perder por una página de phishing.