Claves de acceso explicadas: cómo sustituyen a las contraseñas y resisten el phishing

Una contraseña tiene que ser conocida tanto por ti como por el sitio web, y eso es precisamente lo que hace que puedan robártela. Una clave de acceso está diseñada para evitarlo: no hay nada que escribir ni que recordar, y ningún sitio falso puede recopilarla y reutilizarla.

Esto es lo que es una clave de acceso, cómo funciona el inicio de sesión con ella, por qué resiste el phishing y en qué aspectos sigue dependiendo de ti.

Qué es una clave de acceso

Según FIDO Alliance, el grupo del sector que está detrás del estándar, una clave de acceso es una credencial que te permite iniciar sesión en una aplicación o un sitio web con el mismo proceso que utilizas para desbloquear tu dispositivo, como una huella dactilar, un escaneo facial, un PIN o un patrón. Está vinculada a tu cuenta en un sitio concreto y sustituye tanto a la contraseña como, en la mayoría de los casos, al código adicional.

En realidad, una clave de acceso es un par de claves criptográficas. El sitio web almacena la clave pública, que por sí sola no sirve de nada, y la clave privada permanece en tu dispositivo. Se crea un par nuevo para cada sitio, por lo que una clave de acceso no se puede reutilizar en distintos servicios como sí ocurre con una contraseña.

Cómo funciona el inicio de sesión con una clave de acceso

Cuando inicias sesión, el sitio web envía a tu dispositivo un desafío de un solo uso. El dispositivo te pide que lo desbloquees con tus datos biométricos o tu PIN; después, utiliza la clave privada para firmar el desafío y envía de vuelta la respuesta firmada. El sitio web comprueba la firma con la clave pública almacenada y te permite acceder. El NCSC, la agencia nacional de ciberseguridad del Reino Unido, describe la misma secuencia, en la que la clave privada nunca se comparte con el sitio web ni con el navegador.

FIDO afirma que durante el inicio de sesión no se transmiten datos personales ni biométricos. La huella dactilar o el escaneo facial solo se utilizan localmente para desbloquear la clave en tu dispositivo.

Por qué las claves de acceso resisten el phishing

La diferencia clave es que una clave de acceso está vinculada al dominio del sitio web legítimo. El NCSC explica que un autenticador FIDO solo ofrece credenciales que coinciden con el sitio que estás visitando y que la comprobación la realiza tu navegador o aplicación de confianza, por lo que una página falsa no puede influir en ella. No hay ninguna contraseña ni código que un sitio impostor pueda robar.

El NCSC compara este método con los factores secundarios tradicionales y concluye que todos ellos, incluidos los códigos de las aplicaciones de autenticación, son vulnerables a los atacantes que retransmiten un inicio de sesión a través de una página falsa en tiempo real, mientras que las credenciales FIDO2 no lo son. También informó de que, en el momento de redactar el informe, no se habían observado ataques contra la propia autenticación FIDO2, aunque los atacantes sí intentan que las cuentas utilicen métodos alternativos más débiles. Por eso importa cuál sea la opción de inicio de sesión más débil que siga habilitada en una cuenta.

Claves de acceso sincronizadas y vinculadas al dispositivo

Hay dos tipos de claves de acceso. Una clave de acceso sincronizada se guarda mediante un servicio de sincronización y está disponible en tus otros dispositivos, así que perder uno no implica perder el acceso. Una clave de acceso vinculada al dispositivo, como una almacenada en una llave de seguridad física, permanece en ese dispositivo y no se puede copiar.

Cada tipo tiene sus ventajas e inconvenientes. El NCSC recomienda proteger contra el phishing la cuenta asociada al servicio de sincronización y conservar una forma segura de recuperarla. También señala que, en su revisión de los principales servicios de sincronización propios de 2025, estos exigían la autenticación de dos factores para guardar claves de acceso, mientras que los servicios de terceros variaban. En cuanto a las claves de acceso vinculadas al dispositivo, aconseja registrar una copia de seguridad, ya que una llave perdida no se puede recuperar.

Qué no hacen las claves de acceso

Una clave de acceso protege el paso del inicio de sesión, no todo lo que lo rodea. No puede ayudarte si alguien tiene tu dispositivo y conoce un PIN débil. Además, el NCSC señala que la recuperación de cuentas suele ser más débil que el propio inicio de sesión y que los atacantes la tienen como objetivo. Una clave de acceso tampoco es una clave de monedero cripto. Te permite iniciar sesión en una cuenta, mientras que la frase semilla o la clave privada de un monedero controla los fondos de un monedero de autocustodia; una clave de acceso no puede proteger ni sustituir ninguna de las dos.

Recordatorio de WEEX: una clave de acceso no es una frase semilla

WEEX recuerda a los usuarios que una clave de acceso permite iniciar sesión en una cuenta, mientras que una frase semilla o una clave privada controla un monedero de autocustodia. Nunca escribas una frase semilla en una página que te pida que la introduzcas para «verificar» o «restaurar» una clave de acceso, y nunca la compartas con nadie, ni siquiera con personas que afirmen trabajar en soporte. Utiliza un PIN seguro en tus dispositivos, mantén actualizadas las opciones de recuperación de tu cuenta y comprueba la dirección de un sitio antes de iniciar sesión. Nada de lo aquí expuesto constituye asesoramiento financiero.

Conclusión

Una clave de acceso sustituye un secreto compartido por un par de claves, de modo que el sitio web nunca almacena nada que puedan robar y reutilizar, y un sitio falso no tiene nada que recopilar. Por eso es uno de los métodos de inicio de sesión más seguros disponibles para las cuentas personales. Aun así, depende de un dispositivo seguro, de una cuenta de sincronización protegida y de un método de recuperación adecuado, y no hace nada por proteger la frase semilla de un monedero.

Preguntas frecuentes

1. ¿Qué es una clave de acceso?
Una clave de acceso es una credencial FIDO que te permite iniciar sesión en una aplicación o un sitio web con los mismos datos biométricos, PIN o patrón que utilizas para desbloquear tu dispositivo, en lugar de una contraseña.

2. ¿En qué se diferencia una clave de acceso de una contraseña?
Una contraseña es un secreto compartido que escribes y que el sitio almacena. Una clave de acceso es un par de claves: el sitio solo conserva la clave pública, se crea una por separado para cada cuenta y se desbloquea en tu dispositivo.

3. ¿Una clave de acceso es autenticación de dos factores?
Cuando para iniciar sesión se requieren tus datos biométricos o tu PIN, se combina algo que tienes —la clave de tu dispositivo— con algo que eres o sabes. FIDO afirma que esto puede sustituir a un código independiente, y el NCSC lo considera equivalente a la autenticación de dos factores.

4. ¿Se puede sufrir phishing con una clave de acceso?
Está diseñada para resistir el phishing porque está vinculada al dominio del sitio web legítimo. Los atacantes aún pueden intentar que una cuenta utilice un método alternativo más débil, por lo que importan las demás opciones de inicio de sesión de la cuenta.

5. ¿Qué pasa si pierdo el dispositivo que tiene mi clave de acceso?
Una clave de acceso sincronizada está disponible en otros dispositivos de la misma cuenta de sincronización o se puede restaurar recuperando esa cuenta en un dispositivo nuevo. Una clave de acceso vinculada al dispositivo no se puede copiar, así que necesitas una llave de repuesto u otro método de recuperación.