Clave de acceso (passkey): la alternativa a la contraseña
Una clave de acceso, o passkey en inglés, reemplaza la contraseña por una clave criptográfica vinculada a su dispositivo. Sin necesidad de recordar, escribir ni restablecer nada. A continuación explicamos cómo funciona, cómo crear una y qué conviene saber antes de adoptarla.
¿Qué es una clave de acceso (passkey) y cómo funciona?
Una clave de acceso es un par de claves criptográficas: una privada, almacenada en su dispositivo, y una pública, registrada por el servicio en línea. Para iniciar sesión, su dispositivo demuestra que posee la clave privada sin transmitirla en ningún momento.
En la práctica, cada vez que se conecta, el sitio plantea una pregunta diferente, generada aleatoriamente (una secuencia de números). Su dispositivo responde utilizando la clave privada, que nunca divulga, y el sitio verifica esa respuesta con la clave pública. Como la pregunta nunca es la misma, una respuesta interceptada no sirve para nada: solo era válida para esa pregunta concreta, ya caducada. Es exactamente lo contrario de una contraseña, siempre idéntica, que basta con robar una vez para reutilizarla indefinidamente.
La autenticación se activa con un gesto sencillo: Touch ID, Face ID, huella dactilar o PIN del dispositivo.
¿Es una clave de acceso más segura que una contraseña?
Sí, y con creces. La diferencia fundamental es que una contraseña es un secreto compartido que se envía al servidor y, por tanto, puede ser robado, mientras que una clave de acceso nunca transmite su secreto. Las claves de acceso se basan en criptografía de curva elíptica (P-256 / ECDSA), lo que equivale a aproximadamente 128 bits de seguridad efectiva. Para alcanzar un nivel equivalente con una contraseña, harían falta una veintena de caracteres completamente aleatorios, algo que ninguna persona genera ni memoriza de forma espontánea.
Más allá de la robustez pura, la clave de acceso elimina toda una categoría de riesgos:
- Sin contraseñas débiles ni reutilizadas de un sitio a otro
- Sin bases de datos de contraseñas que robar (el servidor solo almacena la clave pública, inútil sin la clave privada)
- Sin credential stuffing (probar millones de combinaciones procedentes de filtraciones)
- Sin renovaciones forzosas cada 90 días
- Sin formularios con reglas absurdas (mayúscula obligatoria, carácter especial, no más de 16 caracteres)
¿Por qué las claves de acceso resisten el phishing?
Una clave de acceso está vinculada criptográficamente al dominio exacto para el que fue creada. En un sitio falso, aunque sea visualmente idéntico al original, sencillamente no se activa. No hay nada que interceptar ni nada que reproducir.
Esta es una diferencia estructural respecto a la contraseña. Un sitio falso puede mostrar un formulario de inicio de sesión idéntico al real y capturar sus credenciales. Con una clave de acceso, aunque el usuario no detecte el engaño, la autenticación falla silenciosamente en el plano técnico y no se transmite ninguna información útil al sitio malicioso.
Esta protección funciona incluso contra los ataques AiTM (Adversary-in-the-Middle) en tiempo real, que ni siquiera el 2FA clásico logra bloquear.
¿Puede robarse mi huella dactilar como si fuera una contraseña?
No. La huella dactilar (o Face ID) nunca abandona su dispositivo. No circula por la red ni se almacena en el servidor del sitio. Su única función es desbloquear localmente la clave criptográfica, que es la que realiza la autenticación.
El sitio nunca ve su huella, nunca la recibe y, por tanto, no puede ser robada. Esto es fundamentalmente distinto de una contraseña, que se envía al servidor en cada inicio de sesión y queda comprometida si la base de datos es vulnerada.
Y si Touch ID o Face ID no está disponible (dedo lesionado, sensor defectuoso), el PIN del dispositivo toma el relevo. La biometría es una comodidad, no una dependencia.
¿Cómo se crea una clave de acceso?
Se crea una clave de acceso desde la configuración de seguridad de la cuenta correspondiente, seleccionando "crear una clave de acceso" y confirmando con el desbloqueo del dispositivo (Face ID, huella o PIN). La operación tarda unos pocos segundos y se repite en cada servicio compatible.
Según el entorno:
- En una cuenta de Google: sección Seguridad de la cuenta, luego "Claves de acceso" y "Crear una clave de acceso".
- En un dispositivo Apple: al iniciar sesión en un servicio compatible, iOS o macOS ofrece guardar una clave de acceso en el llavero de iCloud.
- En la mayoría de los sitios compatibles: aparece una opción "iniciar sesión sin contraseña" o "añadir una clave de acceso" en la configuración de seguridad de la cuenta.
Un aspecto importante en el momento de la creación: usted elige, a menudo sin percatarse, dónde se almacenará la clave (el llavero del sistema, el navegador o un gestor de contraseñas). Esta elección determina en qué dispositivos podrá encontrarla posteriormente. Nada impide crear varias claves de acceso para una misma cuenta, por ejemplo una por dispositivo. Algunos servicios, entre ellos Octopussian, permiten iniciar sesión directamente con una clave de acceso.
¿Qué ocurre si pierdo mi teléfono o mi ordenador?
La respuesta depende de dónde estén almacenadas sus claves de acceso. Si están sincronizadas a través de iCloud Keychain (Apple) o Google Password Manager, estarán disponibles automáticamente en sus otros dispositivos del mismo ecosistema. Cambiar de iPhone o de PC con la misma cuenta resulta transparente.
En cambio, si la clave de acceso se creó únicamente de forma local, en un solo dispositivo, perderlo significa perder el acceso. Por eso la mayoría de los servicios mantienen un método de inicio de sesión alternativo durante el período de transición. Un gestor de contraseñas que sincronice las claves de acceso entre dispositivos y navegadores reduce considerablemente este riesgo.
¿Dónde se almacenan mis claves de acceso?
Las claves de acceso se almacenan en el proveedor que usted elige (o que se impone por defecto) en el momento de la creación. Los principales son iCloud Keychain (Apple), Google Password Manager (Chrome), Windows Hello (Windows) y los gestores de contraseñas de terceros.
Cada proveedor tiene su propio ámbito de sincronización:
- iCloud Keychain sincroniza entre todos los dispositivos Apple, pero no más allá
- Google Password Manager sincroniza en todos los navegadores Chrome, independientemente del sistema operativo, pero no en Safari
- En Windows, Windows Hello gestiona las claves de acceso a nivel del sistema, con sincronización a través de la cuenta de Microsoft según la versión de Windows
- Un gestor de contraseñas de terceros puede funcionar en todos los dispositivos y navegadores
El error habitual: al crear una clave de acceso, varios proveedores pueden ofrecerse simultáneamente (la extensión del gestor de contraseñas, el navegador y el sistema operativo). Touch ID, por ejemplo, da la impresión de que "el Mac se encarga de esto", cuando en realidad detrás de ese gesto es Chrome o macOS quien almacena la clave. Si no presta atención a la elección inicial, es posible que no encuentre su clave de acceso en otro dispositivo.
Consecuencia práctica: una clave de acceso creada en Chrome no estará disponible si abre Safari en el mismo Mac, ya que cada proveedor gestiona su propia lista, no compartida con los demás. En el momento de la creación, nada indica claramente quién toma el control, y la interfaz tampoco facilita después saber qué proveedor la custodia.
¿Cómo ver, renombrar o eliminar una clave de acceso?
Todavía no existe un lugar único donde ver todas las claves de acceso: están repartidas entre distintas interfaces según el proveedor elegido en el momento de la creación. Por tanto, se gestionan en dos sitios: en el dispositivo y en el servicio.
Para localizar o eliminar una clave de acceso según el lugar donde está almacenada:
- En Chrome: configuración de contraseñas del navegador
- En macOS: Configuración del Sistema, sección Contraseñas
- En un gestor de terceros: en la bóveda, en la sección dedicada a las claves de acceso
Por parte del servicio, los sitios serios muestran la lista de claves de acceso registradas para su cuenta, con la posibilidad de renombrarlas (para identificar el dispositivo correspondiente) y revocarlas. Como es fácil crear involuntariamente varias claves para una misma cuenta en proveedores distintos, lo más sencillo es elegir un único proveedor y ceñirse a él.
¿Van a reemplazar las claves de acceso a las contraseñas?
No de inmediato. Los grandes actores (Google, Apple, Microsoft) impulsan un futuro sin contraseñas, pero mientras no todos los servicios sean compatibles con las claves de acceso, la contraseña sigue siendo necesaria, y no solo por comodidad.
Hay una razón concreta para ello: una clave de acceso por sí sola puede dejarlo fuera. Si un sitio solo admite la clave de acceso y esta no está sincronizada, cambiar de dispositivo puede impedirle el acceso. Por eso hoy en día sigue siendo indispensable un método alternativo: una contraseña, un enlace de inicio de sesión único enviado por correo electrónico o códigos de recuperación. Las claves de acceso sincronizadas (llavero de iCloud, Google, gestor de terceros) reducen considerablemente este riesgo al seguir al usuario de un dispositivo a otro, pero esta red de seguridad mantiene todo su sentido durante la transición.
La adopción avanza con rapidez, y a largo plazo la contraseña debería convertirse en la excepción más que en la norma. Mientras tanto, un gestor de contraseñas capaz de gestionar tanto contraseñas clásicas como claves de acceso ofrece la mejor experiencia de transición.
Lo esencial
- Una clave de acceso (passkey) es una clave criptográfica vinculada a su dispositivo, más robusta y más sencilla que una contraseña
- Es estructuralmente resistente al phishing: solo funciona en el dominio exacto para el que fue creada
- Su huella dactilar nunca abandona su dispositivo y no puede ser robada a través de un sitio web
- Elija un único proveedor para almacenar sus claves de acceso y evite confusiones entre dispositivos
- Conserve un método alternativo (contraseña, enlace por correo electrónico, códigos de recuperación): una clave de acceso no sincronizada puede dejarlo fuera
- Un gestor de contraseñas que sea compatible con las claves de acceso simplifica la gestión en múltiples dispositivos
Una autenticación robusta va de la mano de un alojamiento de confianza. Descubra nuestro enfoque de la seguridad y la soberanía.