Las claves de acceso en los gestores de contraseñas, explicadas: qué cambia cuando ya no hay contraseña que robar

Una passkey sustituye el secreto compartido que se escribe por un par de claves que guarda el gestor de contraseñas, de modo que una página falsa o un servidor vulnerado no tienen nada útil que llevarse.

Cuando un sitio ofrece una clave de acceso —una passkey—, el cambio es fundamental: ya no existe una contraseña para esa cuenta; no hay nada que saber, escribir, reutilizar ni entregar por error. En su lugar, el gestor de contraseñas crea un par de claves criptográficas, guarda la mitad privada dentro de la caja fuerte y registra la mitad pública en el sitio. Iniciar sesión pasa a ser aprobar una solicitud con el rostro, la huella dactilar o el PIN del dispositivo. El secreto que antes viajaba por internet en cada inicio de sesión ya no sale del gestor.

Qué es realmente una passkey

Según la FIDO Alliance, una passkey es una credencial de autenticación FIDO basada en los estándares FIDO2 (WebAuthn y CTAP). Al crear una, el dispositivo o el gestor de contraseñas genera un par de claves único para esa única cuenta en ese único sitio. La clave pública va al sitio, que la almacena. La clave privada permanece en el gestor y nunca se envía al sitio: ni al registrarla, ni al iniciar sesión, nunca.

Al iniciar sesión, el sitio envía un desafío de un solo uso. El gestor, una vez que se aprueba localmente, firma ese desafío con la clave privada, y el sitio comprueba la firma contra la clave pública que conserva. Una firma correcta demuestra que se posee la clave privada, sin revelarla. Cada cuenta recibe su propio par de claves, de modo que la passkey de un banco no guarda relación alguna con la de un correo electrónico.

Esto explica también por qué el desbloqueo resulta tan sencillo. La huella o el rostro no viajan a ninguna parte. Como explica la FIDO Alliance, el procesamiento biométrico permanece en el dispositivo y nunca se envía a un servidor remoto; el servidor solo recibe la confirmación de que la comprobación local fue correcta. El PIN funciona del mismo modo: desbloquea la credencial localmente.

Por qué una página falsa de inicio de sesión no obtiene nada

La mayoría de los robos de cuentas comienza con un secreto que cambia de manos: una contraseña escrita en una copia convincente de un sitio real, o una base de datos de contraseñas robada de un servidor y descifrada después. Las passkeys eliminan ambas vías, de forma estructural y no pidiendo más cuidado al usuario.

Primero, la credencial está vinculada al origen del sitio real. El gestor solo ofrecerá una passkey al dominio para el que se creó, de modo que un dominio imitador —por perfecta que parezca su página copiada a las once de la noche, con cansancio— ni siquiera puede hacer aparecer la credencial. Segundo, no hay nada que escribir, así que no hay nada que sonsacar. Tercero, el sitio almacena solo una clave pública; si esa base de datos se filtra, las claves que contiene no permiten iniciar sesión como nadie, porque las mitades privadas nunca estuvieron allí.

CISA hace la misma observación en su guía sobre MFA resistente al phishing, donde describe la autenticación FIDO como el enfoque de referencia porque impide que las credenciales se presenten siquiera ante un sitio controlado por un atacante, a diferencia de las contraseñas con códigos por mensaje de texto, que una página falsa puede retransmitir en tiempo real. Nuestra clasificación de gestores de contraseñas refleja lo completa que es ya la transición: los diez gestores clasificados pueden almacenar passkeys, de modo que la pregunta para quien compra ya no es si un gestor las admite, sino cómo gestiona el resto de la caja fuerte.

Passkeys sincronizadas en un gestor y passkeys vinculadas al dispositivo

Las passkeys existen en dos formas, y la diferencia decide lo que ocurre en la vida real. Una passkey sincronizada se copia, cifrada, entre los dispositivos a través del gestor de contraseñas o de la cuenta de la plataforma: se crea en el teléfono y está esperando en la computadora portátil. Una passkey vinculada al dispositivo nunca sale del dispositivo o de la llave física que la creó: el control más estricto, a costa de comodidad.

El NIST ha evaluado esa compensación. Sus Directrices de Identidad Digital (SP 800-63B, con el suplemento sobre autenticadores sincronizables) reconocen que una passkey sincronizada bien configurada cumple el Nivel de Garantía de Autenticación 2 (AAL2) y es resistente al phishing, mientras que las passkeys vinculadas al dispositivo pueden alcanzar el nivel superior AAL3. En términos sencillos, la forma sincronizada que se usará a diario es suficientemente sólida para un inicio de sesión de alta confianza; el nivel más estricto es para situaciones que exigen un hardware que no puede copiarse en absoluto.

Para la mayoría de los hogares, la forma sincronizada es la opción correcta por defecto. Los riesgos realistas son perder un teléfono y olvidar una contraseña, no un ataque dirigido contra la caja fuerte de una persona, y las passkeys sincronizadas están pensadas para los dos primeros. Las claves vinculadas al dispositivo tienen sentido como capa adicional para una cuenta especialmente sensible, o cuando un empleador exige una.

Cuando el teléfono se pierde, se reemplaza o se comparte

Aquí es donde las passkeys guardadas en un gestor demuestran su valor. Si se pierde un teléfono que solo contenía credenciales vinculadas al dispositivo, habrá que pasar por un proceso de recuperación para cada cuenta. Si se pierde un teléfono cuyas passkeys se sincronizan a través del gestor, la rutina es familiar: se inicia sesión en el gestor desde el teléfono nuevo, se desbloquea la caja fuerte y las passkeys están allí. La documentación de Apple señala lo mismo de su llavero sincronizado: las passkeys pueden recuperarse incluso si se pierden todos los dispositivos, mediante la recuperación protegida de la cuenta.

Compartir funciona de forma distinta que con las contraseñas, y en general mejor. En lugar de dictar una contraseña en voz alta o enviarla por mensaje —donde permanece en el historial—, muchos gestores permiten compartir una passkey o un elemento de la caja fuerte directamente con la caja fuerte de un familiar, de modo que la credencial se traslada sin mostrarse nunca como texto copiable. Cada persona sigue aprobando los inicios de sesión con su propio rostro o huella, en su propio dispositivo.

Una precaución importa: una passkey sincronizada está tan protegida como la cuenta y la contraseña maestra que protegen la caja fuerte a través de la cual se sincroniza. La sincronización no debilita la criptografía, pero sí la concentra, lo que lleva directamente a lo que no cambia.

Lo que no cambia: contraseñas, vías de reserva y la contraseña maestra

Las passkeys no hacen desaparecer las contraseñas, al menos no este año. Muchos sitios siguen ofreciendo una contraseña junto a la passkey, algunos aún no han añadido passkeys, y la recuperación de cuentas en casi todas partes sigue apoyándose en métodos anteriores. Esa vía de reserva es el punto débil real: una cuenta cuyo flujo de recuperación es un código por mensaje de texto es, en el momento de la recuperación, tan sólida como ese código. Conviene configurar las opciones de recuperación de forma deliberada y tratar la cuenta de correo de recuperación como una que merece una passkey propia.

La contraseña maestra del gestor conserva exactamente la importancia que tenía. Es la llave de una caja fuerte que ahora guarda passkeys además de contraseñas, así que debe ser larga y única, acompañada de la protección de inicio de sesión más sólida que el gestor ofrezca para la propia caja fuerte. Las passkeys elevan el valor de la caja fuerte; su cerradura debería elevarse en la misma medida.

Una passkey, además, cumple una sola función: demostrar la identidad ante un sitio. No oculta el tráfico ni filtra descargas maliciosas; esas son preguntas distintas, tratadas en nuestra clasificación de VPN. La forma en que evaluamos afirmaciones como estas se expone en nuestra metodología.

La manera sensata de empezar es pequeña: activar una passkey primero para la cuenta de correo, porque el correo restablece todo lo demás, y después para las cuentas bancarias y de compras a medida que la ofrezcan, conservando las contraseñas en el gestor junto a ellas. En pocas semanas, las cuentas de uso más frecuente serán las que ya no tengan nada que robar.

Fuentes

• FIDO Alliance — Passkeys: https://fidoalliance.org/passkeys-2/
• FIDO Alliance — Passkey Index 2026: https://fidoalliance.org/passkey-index-2026/
• NIST — Incorporating Syncable Authenticators Into NIST SP 800-63B (SP 800-63Bsup1, sustituido por SP 800-63B-4): https://www.nist.gov/publications/incorporating-syncable-authenticators-nist-sp-800-63b
• CISA — Implementing Phishing-Resistant MFA: https://www.cisa.gov/news-events/alerts/2022/10/31/cisa-releases-guidance-phishing-resistant-and-numbers-matching-multifactor-authentication
• Google — Gestionar passkeys en Chrome: https://support.google.com/chrome/answer/13168025
• Apple — Usar passkeys para iniciar sesión en sitios web y apps en el iPhone: https://support.apple.com/guide/iphone/use-passkeys-to-sign-in-to-websites-and-apps-iphf538ea8d0/ios