Passkeys: ¿por qué las contraseñas podrían comenzar a desaparecer?

Una passkey es una credencial digital que reemplaza a la contraseña tradicional, permitiendo iniciar sesión con tu huella, tu rostro o el PIN de tu dispositivo en lugar de escribir una combinación de caracteres. Detrás de esta simple experiencia hay un cambio profundo en cómo se protege la identidad digital, y por eso empresas como Google, Apple, Microsoft y cientos de plataformas más ya lo están adoptando de forma masiva.

Durante más de 30 años, la contraseña fue la puerta de entrada a nuestra vida digital. Pero también fue, durante todo ese tiempo, el punto más vulnerable de cualquier sistema. Hoy, ese modelo empieza a mostrar signos claros de agotamiento, y la industria tecnológica está avanzando hacia una alternativa que promete ser más simple y, al mismo tiempo, mucho más segura.

El problema de fondo: las contraseñas ya no alcanzan

Las contraseñas dependen de algo que las personas deben recordar, y eso las hace frágiles por diseño:

• Se reutilizan en múltiples sitios, así que si una se filtra, varias cuentas quedan expuestas.
• Son vulnerables al phishing: sitios falsos diseñados para robarlas con solo escribirlas.
• Generan fricción: recuperar una contraseña olvidada es una de las causas más comunes de abandono en procesos de registro o compra.
• Los ataques automatizados (fuerza bruta, credential stuffing) explotan precisamente su naturaleza estática.

Ningún gestor de contraseñas, por bueno que sea, elimina el problema de raíz: sigue existiendo un secreto compartido que puede ser interceptado, adivinado o robado.

¿Qué es exactamente una passkey?

Una passkey es un par de claves criptográficas (una pública y una privada) generado por tu dispositivo cuando creas una cuenta en un sitio compatible. La clave privada nunca sale de tu teléfono, computadora o llave de seguridad; la clave pública se guarda en el servidor del sitio.

Cuando inicias sesión, el servidor le pide a tu dispositivo que demuestre que tiene la clave privada correcta. Tu dispositivo lo confirma usando tu huella digital, reconocimiento facial o el PIN del equipo, sin que esa información biométrica viaje jamás por internet. Esto se basa en el estándar FIDO2/WebAuthn, desarrollado por la alianza FIDO (Fast Identity Online), en la que participan Google, Apple, Microsoft, Amazon y decenas de bancos y proveedores tecnológicos.

¿Por qué son más seguras que una contraseña?

1. No existe un secreto que robar. Al no haber contraseña que escribir, no hay nada que un sitio de phishing pueda capturar.
2. Son específicas de cada sitio. Una passkey creada para un servicio no funciona en ningún otro, lo que elimina el riesgo de reutilización.
3. No se pueden filtrar en una brecha de datos tradicional. Si un servidor es hackeado, lo único que se expone es la clave pública, que es inútil sin su contraparte privada.
4. Requieren posesión física del dispositivo. Un atacante necesitaría literalmente tu teléfono o llave de seguridad, además de tu huella o rostro.

¿Cómo se está adoptando en la práctica?

La transición ya está en marcha:

• Google permite passkeys como método de acceso principal en cuentas de Gmail y Google Workspace desde 2023.
• Apple las integra de forma nativa en iOS y macOS a través de iCloud Keychain.
• Microsoft las promueve activamente para cuentas personales y empresariales.
• Bancos, redes sociales y plataformas de comercio electrónico en distintos países comienzan a ofrecerlas como alternativa u opción por defecto.

Aun así, la convivencia entre contraseñas y passkeys seguirá durante varios años más, ya que no todos los sitios, dispositivos o generaciones de usuarios están listos para migrar al mismo tiempo.

Retos pendientes

La adopción de passkeys no está exenta de obstáculos:

• Sincronización entre ecosistemas: mover passkeys de un dispositivo Apple a uno Android, por ejemplo, todavía no es tan fluido como debería.
• Recuperación de acceso: si pierdes todos tus dispositivos, recuperar el acceso a una cuenta protegida solo con passkeys puede ser más complejo que restablecer una contraseña.
• Educación del usuario: mucha gente todavía no entiende el concepto y desconfía de un sistema de acceso que no involucra “escribir algo”.

Las passkeys no son una moda pasajera ni un experimento aislado: representan un consenso de toda la industria tecnológica sobre cómo debería verse la autenticación del futuro. La contraseña, tal como la conocemos, probablemente no desaparecerá de un día para otro, pero su rol como principal método de acceso está llegando a su fin. Adoptar passkeys hoy, cuando estén disponibles, es una de las formas más simples de reducir el riesgo de que tu identidad digital sea comprometida.

Preguntas frecuentes

¿Las passkeys reemplazan por completo a las contraseñas? No de inmediato. Conviven con las contraseñas durante una etapa de transición, pero cada vez más plataformas las ofrecen como opción principal o incluso única.

¿Qué pasa si pierdo mi teléfono? La mayoría de los sistemas permiten recuperar las passkeys desde una copia de seguridad en la nube (como iCloud Keychain o el gestor de contraseñas de Google) o registrar un nuevo dispositivo mediante otro método de verificación.

¿Las passkeys funcionan sin conexión a internet? La generación de la firma criptográfica ocurre localmente en el dispositivo, pero se necesita conexión para comunicarse con el servidor del sitio al que se intenta acceder.

¿Son gratuitas de usar? Sí, no tienen ningún costo adicional para el usuario; el estándar FIDO2 es abierto y ya viene integrado en los sistemas operativos y navegadores modernos.