Passkeys: qué son y por qué ya no usamos contraseñas

Las contraseñas tienen un problema de fondo: hay que inventarlas, recordarlas y no repetirlas, y aun así se pueden adivinar, filtrar en una brecha o entregar sin querer en una página falsa. Las passkeysresuelven las tres cosas a la vez. Te contamos qué son y por qué en nuestras herramientas internas ya no usamos contraseñas.

Qué es una passkey

Una passkey es un par de claves criptográficas que tu dispositivo crea para cada servicio:

• La clave privada se queda en tu móvil, tu ordenador o tu llave de seguridad, y nunca sale de ahí.

• La clave pública es lo único que guarda el servicio.

Para entrar no escribes nada: desbloqueas el dispositivo con tu huella, tu cara o tu PIN, y el dispositivo demuestra que tiene la clave privada sin enviarla. Por debajo funciona con un estándar abierto llamado WebAuthn (FIDO2), el mismo para todos los navegadores y sistemas.

Por qué es más segura que una contraseña

• No se puede robar con phishing. Cada passkey va ligada al dominio real del servicio. En una página falsa que imita a tu banco, sencillamente no funciona.

• No hay nada que filtrar. Si roban la base de datos del servicio, solo se llevan claves públicas, que no sirven para entrar.

• No se reutiliza. Cada servicio tiene su propia passkey, así que una brecha en un sitio no abre la puerta a los demás.

• No hay que recordarla. Ni contraseñas de 16 caracteres ni el típico «la de siempre con un 2 al final».

¿Y si pierdo el móvil?

Es la pregunta de siempre, y tiene buena respuesta:

• Passkeys sincronizadas. El llavero de iCloud, el gestor de contraseñas de Google o gestores como 1Password y Bitwarden copian tus passkeys de forma cifrada entre tus dispositivos.

• Registra al menos dos dispositivos, por ejemplo el móvil y el ordenador, o una llave física guardada en un cajón.

• Ten un método de respaldo. Lo más sensato es un código de una app de autenticación (los de seis dígitos que cambian cada 30 segundos). Es bastante más seguro que los códigos por SMS, que se pueden interceptar con un duplicado de tu tarjeta SIM.

Cómo empezar hoy

1. Entra en los ajustes de seguridad de tu cuenta de Google, Apple, Microsoft o GitHub y busca «Passkeys» o «Llaves de acceso».

2. Crea una passkey en el dispositivo que más usas y otra en un segundo dispositivo.

3. Comprueba que tienes un método de respaldo configurado antes de desactivar la contraseña.

4. Repite en tus servicios importantes a medida que lo ofrezcan: cada vez son más.

Lo que hacemos nosotros

En las herramientas internas que usamos para gestionar nuestras webs ya no hay contraseñas: se entra con passkey y, como respaldo, con un código de una app de autenticación que no sirve dos veces. No hay ninguna contraseña que adivinar, reutilizar o robar.

¿Algún servicio todavía no admite passkeys? Usa una contraseña larga, distinta para cada sitio y guardada en un gestor. Puedes crearla con nuestro generador de contraseñas, que funciona en tu navegador.

¿Quieres llevar este tipo de acceso a las herramientas de tu empresa? Hablemos.