¿Qué es PassKey y cómo funciona sin contraseña?
Autor: Redacción Domeny.ForSale Publicado
En resumen: Passkey, o clave de acceso, es una forma de iniciar sesión en una cuenta sin introducir una contraseña. Normalmente confirmas el inicio de sesión con tu huella dactilar, el reconocimiento facial o el PIN del dispositivo. La clave de acceso está vinculada a un servicio concreto, por lo que protege frente al robo de credenciales en páginas falsas mucho mejor que una contraseña tradicional.
¿Cómo funciona passkey y en qué se diferencia de una contraseña?
Al crear una clave de acceso se genera un par de claves criptográficas, es decir, datos relacionados matemáticamente: una clave pública y otra privada. El servicio guarda la clave pública, mientras que la privada permanece bajo el control de tu dispositivo o del proveedor que almacena y sincroniza las claves de acceso. La parte privada no se transmite al servicio durante el inicio de sesión.
Cuando quieres acceder a tu cuenta, el servicio envía un desafío de un solo uso. Tras tu confirmación, el dispositivo lo firma con la clave privada y el servicio comprueba la firma con la clave pública. No tienes que memorizar ni introducir ningún dato secreto.
La huella dactilar, el escaneo facial y el PIN no son la propia passkey. Sirven para confirmar localmente que puedes usar la clave. En un inicio de sesión habitual con passkey, el servicio no recibe tu huella ni una imagen de tu cara. El PIN del dispositivo tampoco se convierte en la contraseña de la página.
Passkey tampoco es una contraseña convencional guardada en el navegador. Un gestor de contraseñas puede rellenar el formulario de usuario y contraseña, mientras que una clave de acceso utiliza un mecanismo de autenticación distinto. No obstante, un mismo gestor puede admitir ambos métodos.
¿Frente a qué protege una clave de acceso?
La principal ventaja de passkey es su resistencia al phishing habitual, que consiste en suplantar un servicio para robar las credenciales de acceso. La clave está vinculada a un identificador del servicio basado en su dominio. Una página falsa alojada en otra dirección no puede simplemente pedir al navegador que use la clave del servicio auténtico.
Por ejemplo: recibes un mensaje que anuncia un supuesto bloqueo de tu cuenta en una tienda. El enlace lleva a una página casi idéntica a la original, pero alojada en un dominio ajeno. Podrías introducir allí tu contraseña habitual por error; la passkey correspondiente al servicio auténtico no funcionará en esa página falsa.
Una filtración de las claves públicas de un servicio no permite reconstruir directamente las claves privadas correspondientes ni iniciar sesión solo con la clave pública. También desaparece el problema de reutilizar una misma contraseña en varios servicios.
Esto no significa que proteja frente a todos los ataques. El software malicioso, el secuestro de una sesión activa o un procedimiento de recuperación de cuentas poco seguro pueden seguir siendo una amenaza. Si el servicio mantiene el inicio de sesión con contraseña o la recuperación por correo electrónico, la seguridad de esas vías sigue siendo importante.
¿Dónde se guarda una passkey?
La forma de almacenarla determina si también podrás iniciar sesión desde otro dispositivo. No todas las claves de acceso están disponibles automáticamente en todas partes.
- Las claves sincronizadas se comparten entre dispositivos compatibles a través de un proveedor, por ejemplo, un gestor de credenciales del sistema o de terceros. El acceso a ellas depende de la cuenta del proveedor y de sus políticas de recuperación.
- Las claves vinculadas a un dispositivo permanecen en un dispositivo concreto, como una llave de seguridad física. No se copian automáticamente a otros dispositivos.
El teléfono también puede confirmar un inicio de sesión en un ordenador que no almacena tu passkey. Cuando esta opción está disponible, el ordenador muestra un código QR que escaneas con el teléfono para confirmar el inicio de sesión. Normalmente hacen falta una conexión a internet y Bluetooth para comprobar que los dispositivos están cerca; esto no implica que la clave se copie de forma permanente al ordenador.
La compatibilidad depende del servicio, el sistema, el navegador y el gestor de credenciales. Antes de cambiar de teléfono o pasar a otro ecosistema, consulta en la documentación oficial del proveedor las opciones actuales para sincronizar y transferir las claves.
¿Cómo activar passkey en tu cuenta?
No puedes activar por tu cuenta una clave de acceso para cualquier página: el servicio debe admitir este método. La opción suele encontrarse en los ajustes de seguridad de la cuenta, con el nombre «Claves de acceso» o «Passkeys».
- Inicia sesión en el servicio con tu método habitual y abre los ajustes de seguridad.
- Selecciona la opción para añadir una clave de acceso. Comprueba dónde se guardará: en el gestor de credenciales o en una llave física.
- Confirma la creación de la clave con el método que indique el dispositivo.
- Prueba el nuevo inicio de sesión mientras mantienes una sesión activa u otro método de acceso.
- Si el servicio lo permite, añade una segunda clave en un dispositivo independiente o prepara códigos de recuperación.
Utiliza para ello un dispositivo propio y protegido. No guardes una clave de acceso personal en el perfil del navegador de un ordenador público o compartido.
¿Qué hacer si pierdes el teléfono?
Perder el teléfono no tiene por qué significar perder la cuenta. Una passkey sincronizada puede estar disponible en otro dispositivo compatible, y una llave física adicional puede ofrecer una vía independiente para iniciar sesión. Si la única clave estaba vinculada al dispositivo perdido, puede ser necesario recurrir al procedimiento de recuperación que ofrece el servicio.
Si pierdes el dispositivo, utiliza su función de bloqueo remoto y revisa las sesiones activas de tus cuentas. Cuando recuperes el acceso, elimina las credenciales del dispositivo perdido donde sea necesario, siguiendo las instrucciones del proveedor.
Antes de desactivar la contraseña, haz una prueba práctica: comprueba si puedes iniciar sesión sin tu teléfono principal. Así sabrás si tienes un método de respaldo real y no solo la suposición de que bastará con la sincronización.
Consulta también: ¿Qué es 2FA?
Lee también
