Passkeys: Qué son y cómo activarlas para proteger tus cuentas

Durante más de tres décadas, la seguridad de nuestra vida digital ha dependido de un invento profundamente defectuoso: la contraseña escrita. Nos han exigido recordar cadenas interminables de letras mayúsculas, números y símbolos, y cuando inevitablemente las reutilizamos en varios servicios por pura supervivencia mental, los ciberdelincuentes aprovechan las filtraciones de bases de datos para vaciar nuestras cuentas mediante ataques automatizados. Incluso la autenticación de dos pasos tradicional mediante mensajes SMS ha demostrado ser vulnerable frente a técnicas avanzadas de ingeniería social y sitios web falsos de phishing.

La respuesta definitiva de la industria tecnológica a este problema estructural tiene nombre propio: Passkeys (llaves de acceso). Desarrolladas bajo los estándares abiertos de la Alianza FIDO y adoptadas nativamente por Apple, Google y Microsoft, las passkeys prometen jubilar las contraseñas tradicionales combinando una seguridad criptográfica de grado bancario con la comodidad de desbloquear tu teléfono con el rostro o la huella dactilar. A continuación, desgranamos cómo funciona exactamente esta tecnología sin tecnicismos innecesarios y cómo puedes empezar a usarla en tus dispositivos.

Cómo funcionan las Passkeys y por qué detienen el phishing

Para entender por qué una passkey es infinitamente más segura que una contraseña escrita, debemos observar cómo se comunican tu teléfono y el servidor de una página web (como tu banco o tu correo). Cuando creas una passkey, tu dispositivo genera matemáticamente un par de claves criptográficas únicas:

Clave pública: Se envía y se guarda en los servidores del servicio o aplicación. Esta clave no sirve para entrar por sí sola y no supone ningún riesgo si los servidores de la empresa sufren un robo de datos.

Clave privada: Se almacena exclusivamente dentro del chip de seguridad físico de tu teléfono (como el Secure Enclave en iPhone o el chip Titan M en Google Pixel). Nunca sale de tu dispositivo ni se envía por internet.

Cuando intentas iniciar sesión, el servidor envía un desafío matemático a tu teléfono. Al validar tu identidad mediante Face ID, Touch ID o tu huella digital, el chip de tu móvil firma ese desafío con tu clave privada y devuelve la confirmación.

El impacto directo contra las estafas digitales es total. En un ataque de phishing tradicional, un delincuente te envía un enlace falso idéntico a la web de tu banco para que teclees tu contraseña. Con las passkeys, esto es mecánicamente imposible: la llave de acceso está vinculada criptográficamente al dominio web legítimo. Si entras en una página falsa, tu teléfono simplemente no reconocerá el dominio y se negará a ofrecer la passkey. No hay nada que puedas teclear por error ni código que un estafador pueda engañarte para que le dictes por teléfono.

Sincronización entre dispositivos y ecosistemas

Una de las primeras dudas de los usuarios es qué ocurre si pierden su teléfono o cambian de marca. Las plataformas modernas han resuelto este obstáculo sincronizando las passkeys de forma cifrada de extremo a extremo en la nube personal del usuario:

En el ecosistema Apple (iOS 16, iPadOS 16, macOS Ventura y versiones posteriores), las llaves se sincronizan automáticamente mediante el Llavero de iCloud, protegidas por autenticación de dos factores y el código del dispositivo.

En el ecosistema Android (Android 9 y posteriores), las passkeys se almacenan y sincronizan a través del Gestor de contraseñas de Google.

Además, gracias a la interoperabilidad del estándar, si tienes tus llaves en un iPhone pero necesitas iniciar sesión en un ordenador con Windows, puedes escanear un código QR en la pantalla del PC con tu móvil; ambos equipos verifican su proximidad mediante Bluetooth y autorizan el acceso de forma segura.

Cómo activar una Passkey en tus cuentas principales

Cientos de plataformas populares —incluyendo Google, Apple, Microsoft, Amazon, WhatsApp, PayPal y X— ya permiten sustituir o complementar la contraseña tradicional con una passkey. El procedimiento estándar para activarla en tu cuenta de Google desde cualquier smartphone es el siguiente:

1. Abre la aplicación Ajustes en tu teléfono Android, entra en Google y toca Gestionar tu cuenta de Google (en iPhone, accede a myaccount.google.com desde el navegador o la app de Google).

2. Desliza las pestañas superiores hacia la derecha y selecciona Seguridad.

3. Busca el apartado Cómo inicias sesión en Google y pulsa sobre Llaves de acceso y claves de seguridad (Passkeys).

4. El sistema te pedirá verificar tu identidad actual por última vez.

5. Una vez dentro, pulsa el botón Crear una llave de acceso y confirma el uso de tu huella dactilar, reconocimiento facial o patrón de bloqueo de pantalla.

En WhatsApp, el proceso es igualmente sencillo y protege tu cuenta frente al secuestro por duplicado de tarjeta SIM (SIM Swapping): abre WhatsApp > Ajustes (o Configuración) > Cuenta > Claves de acceso (Passkeys) y pulsa en Crear clave de acceso.

Precauciones necesarias antes de eliminar tus contraseñas

Aunque las passkeys representan el estándar más seguro disponible para el consumidor general, su implementación requiere mantener ciertas precauciones básicas. En primer lugar, la seguridad de todas tus llaves sincronizadas depende directamente del método de desbloqueo de tu teléfono principal. Si utilizas un PIN de cuatro dígitos fácil de adivinar (como tu año de nacimiento) para desbloquear el móvil, cualquiera que observe ese código y robe tu teléfono podrá autorizar tus passkeys. Utiliza siempre un código alfanumérico robusto como respaldo de tu biometría.

En segundo lugar, asegúrate de tener configurado un contacto de recuperación de cuenta y un segundo dispositivo de confianza registrado en tu cuenta de Apple o Google. Si pierdes tu único teléfono y olvidas el código de acceso de tu copia de seguridad en la nube, recuperar el acceso a las cuentas vinculadas exclusivamente a passkeys puede requerir procesos de verificación de identidad prolongados con cada proveedor.

Criterio editorial: La comodidad como motor de la seguridad

Durante años, la ciberseguridad fracasó porque obligaba al usuario a elegir entre estar protegido o tener una experiencia fluida. Las passkeys invierten esta ecuación: iniciar sesión con una mirada o un toque es mucho más rápido que buscar una clave en un cuaderno o esperar un mensaje de texto, y al mismo tiempo elimina las principales vías de ataque utilizadas por los cibercriminales. Migrar progresivamente tus cuentas críticas hacia este estándar no es una moda técnica; es la actualización más inteligente que puedes aplicar a tu higiene digital este año.