Por qué las passkeys están ganando relevancia
Las contraseñas siguen siendo uno de los puntos más frágiles de la identidad digital. Se reutilizan, se comparten, se olvidan, se almacenan de forma insegura y pueden quedar expuestas en filtraciones de terceros. Además, una contraseña puede ser capturada mediante páginas de phishing, llamadas fraudulentas o mensajes que imitan a un proveedor legítimo.
Las passkeys, también conocidas como credenciales de acceso basadas en FIDO, plantean una alternativa. En lugar de depender de un secreto que el usuario debe recordar y escribir, utilizan criptografía de clave pública. El dispositivo genera un par de claves: una privada, que debe permanecer protegida, y una pública, que se registra en el servicio. Durante el acceso, el servicio verifica una firma sin recibir ni almacenar la clave privada.
En la práctica, la persona puede autenticarse utilizando un método local del dispositivo, como una huella dactilar, reconocimiento facial, un PIN o un desbloqueo seguro. Estos factores no se envían al servicio como credenciales reutilizables. Su función es autorizar el uso de la clave privada almacenada en el dispositivo o en el gestor correspondiente.
Una passkey no elimina todos los riesgos de identidad, pero puede reducir de forma importante la exposición a contraseñas robadas y a determinados ataques de phishing.
Qué problema resuelven y cuál no
El principal beneficio de las passkeys es que no existe una contraseña que el usuario pueda reutilizar en varios servicios o entregar accidentalmente a una página falsa. La autenticación se vincula al dominio legítimo y el protocolo está diseñado para evitar que una web impostora pueda utilizar la credencial registrada para otro sitio.
También pueden reducir la carga operativa asociada a restablecimientos de contraseñas, bloqueos por intentos fallidos y políticas difíciles de cumplir. Sin embargo, no son una solución universal ni sustituyen a la gestión de identidades, la protección de los dispositivos o la revisión de permisos.
Una cuenta puede seguir estando en riesgo si un atacante consigue controlar el dispositivo, obtiene acceso a una sesión ya iniciada, convence al usuario para aprobar una operación sensible o abusa de los procesos de recuperación. También puede existir riesgo si la organización mantiene métodos alternativos débiles, como un restablecimiento basado únicamente en preguntas fáciles o códigos enviados a canales poco protegidos.
Por eso conviene analizar las passkeys como una pieza de una estrategia de identidad, no como un producto aislado.
Qué debe valorar la empresa antes de implantarlas
### Compatibilidad con el entorno actual
El primer análisis debe cubrir las aplicaciones, los proveedores de identidad y los dispositivos utilizados por la organización. No todos los sistemas internos o servicios contratados ofrecen el mismo nivel de soporte para passkeys. También pueden existir diferencias entre navegadores, sistemas operativos, aplicaciones móviles, escritorios virtuales y entornos de acceso remoto.
El inventario debería responder, al menos, a estas preguntas:
- ¿Qué aplicaciones críticas soportan passkeys de forma nativa?
- ¿El proveedor de identidad permite aplicar políticas diferenciadas por grupos y niveles de riesgo?
- ¿Qué ocurre con las aplicaciones antiguas que todavía requieren contraseña?
- ¿Cómo se comporta la autenticación en dispositivos compartidos o puestos de trabajo industriales?
- ¿Existen necesidades de acceso desde equipos gestionados y no gestionados?
La coexistencia temporal con otros métodos será habitual. La empresa debe documentar qué sistemas mantienen contraseña, qué controles compensatorios se aplican y qué calendario existe para reducir esa dependencia.
### Tipo de passkey y modelo de confianza
No todas las passkeys se gestionan exactamente igual. Algunas pueden sincronizarse entre dispositivos mediante un ecosistema o gestor compatible. Otras permanecen vinculadas a un dispositivo concreto, como una llave de seguridad física o un autenticador local.
Las credenciales sincronizadas suelen ofrecer una experiencia más cómoda y facilitan el cambio de dispositivo. A cambio, la organización debe comprender cómo se protegen, recuperan y administran dentro del ecosistema elegido. Las credenciales vinculadas a un dispositivo pueden proporcionar un control más directo, pero requieren procesos sólidos para altas, bajas, sustituciones, pérdidas y duplicados.
La decisión debe considerar el nivel de riesgo de cada colectivo. Un empleado general, una persona administradora de sistemas y un usuario con acceso a información especialmente sensible no tienen necesariamente las mismas necesidades. En determinados casos puede ser recomendable exigir una llave física o un método adicional, especialmente para cuentas privilegiadas o accesos administrativos.
### Recuperación y pérdida de dispositivos
La recuperación es uno de los aspectos más importantes y, con frecuencia, uno de los menos definidos. Si una persona pierde su teléfono, cambia de ordenador o deja la empresa, la organización necesita saber qué ocurre con sus credenciales y cómo se restablece el acceso sin abrir una vía de suplantación.
Un proceso adecuado debería contemplar:
- Verificación de identidad con más de una evidencia fiable.
- Revocación rápida de dispositivos y credenciales perdidos.
- Registro de todas las acciones realizadas durante una recuperación.
- Separación de funciones cuando el riesgo de la cuenta sea elevado.
- Canales de soporte preparados para detectar intentos de ingeniería social.
- Procedimientos específicos para administradores y cuentas de emergencia.
El equipo de soporte no debería convertir la recuperación en un atajo más débil que el método de autenticación original. Una passkey robusta pierde parte de su valor si cualquiera puede obtener acceso mediante una llamada convincente o un correo manipulado.
### Gestión del ciclo de vida
La implantación debe integrarse con los procesos de recursos humanos, gestión de dispositivos y administración de identidades. Las altas, cambios de puesto, bajas, ausencias prolongadas y colaboraciones externas tienen que reflejarse en permisos y credenciales.
Cuando una persona abandona la organización, no basta con desactivar la cuenta principal. También hay que revisar sesiones activas, dispositivos registrados, métodos de recuperación, credenciales adicionales y accesos delegados. En el caso de proveedores y colaboradores, debe existir una fecha de expiración y un responsable que confirme la necesidad de mantener el acceso.
La organización debería mantener inventarios actualizados y registros suficientes para responder a preguntas como quién registró una credencial, desde qué dispositivo, cuándo se utilizó y qué cambios se produjeron en la cuenta.
Cómo plantear una implantación gradual
Intentar sustituir todos los métodos de autenticación a la vez puede generar rechazo, interrupciones y excepciones difíciles de controlar. Es preferible comenzar con un piloto bien delimitado. Por ejemplo, puede incluir a un grupo de empleados con dispositivos gestionados y acceso a aplicaciones compatibles, evitando inicialmente los casos más complejos.
El piloto debería medir tanto la seguridad como la experiencia de uso. Algunas métricas útiles son:
- Porcentaje de usuarios que registran correctamente una passkey.
- Tiempo medio necesario para completar el alta.
- Número de incidencias y solicitudes de recuperación.
- Aplicaciones que todavía requieren contraseña.
- Uso de métodos alternativos y motivos de su utilización.
- Cuentas privilegiadas protegidas con métodos de mayor garantía.
La comunicación también es decisiva. Las personas deben entender qué cambia, qué deben hacer si pierden un dispositivo y cómo identificar un mensaje fraudulento relacionado con el registro o la recuperación. La formación debe ser breve, práctica y adaptada al contexto de cada colectivo.
Gobierno, cumplimiento y responsabilidad
Las passkeys deben incorporarse a las políticas de control de acceso, autenticación y gestión de dispositivos. La documentación debe establecer qué métodos están autorizados, cuándo se exige un nivel reforzado, quién puede aprobar excepciones y cómo se revisan periódicamente.
Desde la perspectiva de gobierno, conviene asignar responsabilidades concretas entre seguridad, sistemas, recursos humanos, soporte y propietarios de las aplicaciones. También es importante definir quién acepta el riesgo cuando una aplicación no puede abandonar todavía la contraseña y qué medidas adicionales deben aplicarse.
La empresa debe revisar las condiciones del proveedor, la portabilidad de las credenciales, la disponibilidad del servicio, la protección de los datos asociados y la capacidad para recuperar la operación si se produce una interrupción. No se trata solo de elegir una tecnología, sino de evitar una dependencia que la organización no comprenda o no pueda gestionar.
Errores frecuentes que conviene evitar
Uno de los errores más comunes es presentar las passkeys como una sustitución automática de todas las contraseñas. La realidad suele ser híbrida durante un periodo prolongado. Otro fallo consiste en mantener métodos alternativos sin revisar su seguridad, lo que permite que un atacante elija la vía más débil.
También es arriesgado implantar el sistema sin probar la recuperación, sin preparar al soporte o sin contemplar dispositivos perdidos. La ausencia de registros, métricas y responsables dificulta saber si la iniciativa está reduciendo riesgo o simplemente añadiendo otra capa de complejidad.
Finalmente, no conviene medir el éxito únicamente por el número de passkeys registradas. La pregunta relevante es si han disminuido los accesos basados en contraseñas, los incidentes de suplantación, los restablecimientos y las excepciones no justificadas, sin deteriorar la capacidad de operar.
Acciones concretas para empezar
Una empresa que esté valorando esta transición puede comenzar con una evaluación sencilla:
- Elaborar un mapa de aplicaciones, usuarios, dispositivos y métodos de autenticación actuales.
- Clasificar las cuentas por impacto y priorizar las privilegiadas y más expuestas.
- Confirmar la compatibilidad técnica y contractual de los principales servicios.
- Diseñar y probar los procesos de alta, recuperación, revocación y baja.
- Ejecutar un piloto con métricas de seguridad, soporte y experiencia de usuario.
- Revisar los métodos alternativos antes de ampliar el despliegue.
Las passkeys ofrecen una oportunidad para reducir la dependencia de secretos frágiles, pero su valor depende de cómo se integren en la arquitectura y en los procesos de la empresa. Una implantación responsable combina tecnología, gobierno, soporte y disciplina operativa. El objetivo no es perseguir una autenticación perfecta, sino construir un acceso más resistente, recuperable y coherente con el riesgo real de cada identidad.
