Passkeys explicadas: cómo reemplazan las contraseñas y resisten el phishing

Una contraseña debe ser conocida tanto por ti como por el sitio web, y eso es precisamente lo que hace que puedan robártela. Una clave de acceso está diseñada para evitarlo: no hay nada que escribir ni que recordar, y ningún sitio falso puede recopilarla y reutilizarla.

Te explicamos qué es una clave de acceso, cómo funciona el inicio de sesión con ella, por qué resiste el phishing y en qué aspectos aún depende de ti.

Qué es una clave de acceso

Según FIDO Alliance, el grupo del sector que está detrás del estándar, una clave de acceso es una credencial que te permite iniciar sesión en una aplicación o sitio web con el mismo proceso que usas para desbloquear tu dispositivo, como una huella digital, un reconocimiento facial, un PIN o un patrón. Está vinculada a tu cuenta en un sitio específico y reemplaza tanto la contraseña como, en la mayoría de los casos, el código adicional.

En esencia, una clave de acceso es un par de claves criptográficas. El sitio web guarda la clave pública, que por sí sola no sirve para nada, y la clave privada permanece en tu dispositivo. Se crea un nuevo par para cada sitio, por lo que una clave de acceso no se puede reutilizar en distintos servicios como sí puede hacerse con una contraseña.

Cómo funciona el inicio de sesión con una clave de acceso

Cuando inicias sesión, el sitio web envía a tu dispositivo un desafío de un solo uso. Tu dispositivo te pide que lo desbloquees con tus datos biométricos o tu PIN; luego, usa la clave privada para firmar el desafío y envía la respuesta firmada. El sitio web verifica la firma con la clave pública guardada y te permite acceder. El NCSC, la agencia nacional de ciberseguridad del Reino Unido, describe la misma secuencia, en la que la clave privada nunca se comparte con el sitio web ni con el navegador.

FIDO afirma que durante el inicio de sesión no se transmiten datos personales ni biométricos. La huella digital o el reconocimiento facial solo se usan localmente para desbloquear la clave en tu dispositivo.

Por qué las claves de acceso resisten el phishing

La diferencia clave es que una clave de acceso está vinculada al dominio del sitio legítimo. El NCSC explica que un autenticador FIDO solo ofrece credenciales que coinciden con el sitio que estás visitando, y que la verificación la realiza tu navegador o aplicación de confianza, por lo que una página falsa no puede influir en ella. No hay ninguna contraseña ni código que un sitio parecido pueda robar.

El NCSC compara este método con los factores de autenticación tradicionales y concluye que todos ellos, incluidos los códigos de las aplicaciones de autenticación, son vulnerables a los atacantes que retransmiten un inicio de sesión en tiempo real a través de una página falsa, mientras que las credenciales FIDO2 no lo son. También informó que, al momento de redactar su publicación, no se habían observado ataques contra la autenticación FIDO2 en sí misma, aunque los atacantes sí intentan que las cuentas usen métodos alternativos más débiles. Por eso importa cuál es la opción de inicio de sesión más débil que sigue habilitada en una cuenta.

Claves de acceso sincronizadas y vinculadas al dispositivo

Hay dos tipos de claves de acceso. Una clave de acceso sincronizada tiene una copia de respaldo en un servicio de sincronización y aparece en tus otros dispositivos, por lo que perder uno no implica perder el acceso. Una clave de acceso vinculada al dispositivo, como la que se guarda en una llave de seguridad física, permanece en ese dispositivo y no se puede copiar.

Cada tipo tiene sus ventajas y desventajas. El NCSC recomienda proteger contra el phishing la cuenta asociada al servicio de sincronización y mantener una forma segura de recuperarla. También señala que, en su revisión de 2025 de los principales servicios de sincronización propios, estos exigían autenticación de dos factores para guardar claves de acceso, mientras que los servicios de terceros variaban. En cuanto a las claves de acceso vinculadas al dispositivo, recomienda registrar una copia de respaldo, ya que una llave perdida no se puede recuperar.

Qué no hacen las claves de acceso

Una clave de acceso protege el paso de inicio de sesión, no todo lo que lo rodea. No puede ayudar si alguien tiene tu dispositivo y conoce un PIN débil. Además, el NCSC señala que la recuperación de una cuenta suele ser menos segura que el propio inicio de sesión y que los atacantes intentan aprovecharla. Una clave de acceso tampoco es la clave de una billetera de criptomonedas. Te permite iniciar sesión en una cuenta, mientras que la frase semilla o la clave privada de una billetera controla los fondos en una billetera de autocustodia; una clave de acceso no puede proteger ni reemplazar ninguna de las dos.

Recordatorio de WEEX: una clave de acceso no es una frase semilla

WEEX recuerda a los usuarios que una clave de acceso permite iniciar sesión en una cuenta, mientras que una frase semilla o una clave privada controla una billetera de autocustodia. Nunca escribas una frase semilla en una página que te pida «verificar» o «restaurar» una clave de acceso, y nunca se la compartas a nadie, ni siquiera a personas que digan ser del equipo de soporte. Usa un PIN seguro en tus dispositivos, mantén actualizadas las opciones de recuperación de tu cuenta y comprueba la dirección de un sitio antes de iniciar sesión. Nada de lo aquí expuesto constituye asesoramiento financiero.

Conclusión

Una clave de acceso reemplaza un secreto compartido por un par de claves, así que el sitio web nunca guarda nada que puedan robar y reutilizar, y un sitio falso no tiene nada que recopilar. Esto la convierte en uno de los métodos de inicio de sesión más seguros disponibles para las cuentas personales. Aun así, depende de que el dispositivo sea seguro, de que la cuenta de sincronización esté protegida y de que haya una buena opción de recuperación; además, no hace nada para proteger la frase semilla de una billetera.

Preguntas frecuentes

1. ¿Qué es una clave de acceso?
Una clave de acceso es una credencial FIDO que te permite iniciar sesión en una aplicación o sitio web con los mismos datos biométricos, PIN o patrón que usas para desbloquear tu dispositivo, en lugar de una contraseña.

2. ¿En qué se diferencia una clave de acceso de una contraseña?
Una contraseña es un secreto compartido que escribes y que el sitio guarda. Una clave de acceso es un par de claves: el sitio solo tiene la clave pública; se crea una clave distinta para cada cuenta y se desbloquea en tu dispositivo.

3. ¿Una clave de acceso es una autenticación de dos factores?
Cuando para iniciar sesión se requieren tus datos biométricos o tu PIN, se combina algo que tienes —la clave de tu dispositivo— con algo que eres o sabes. FIDO afirma que esto puede reemplazar un código independiente, y el NCSC lo considera equivalente a la autenticación de dos factores.

4. ¿Se puede robar una clave de acceso mediante phishing?
Está diseñada para resistir el phishing porque está vinculada al dominio del sitio legítimo. Aun así, los atacantes pueden intentar que una cuenta use un método alternativo más débil, por lo que también importan las demás opciones de inicio de sesión de la cuenta.

5. ¿Qué pasa si pierdo el dispositivo que tiene mi clave de acceso?
Una clave de acceso sincronizada está disponible en otros dispositivos de la misma cuenta de sincronización, o se puede restaurar al recuperar esa cuenta en un dispositivo nuevo. Una clave de acceso vinculada al dispositivo no se puede copiar, por lo que necesitas una llave de respaldo u otro método de recuperación.