El 80% de las brechas de seguridad involucran contraseñas robadas, débiles o reutilizadas, y la industria lleva casi una década intentando resolver ese problema de raíz. En 2026, con más de 500 servicios ya compatibles con passkeys, la pregunta ya no es si esta tecnología funciona, sino por qué tantos usuarios todavía no la han activado.
Qué es exactamente un passkey y por qué no hay nada que robar
Un passkey es un par de claves criptográficas asimétricas: una pública, que vive en el servidor del servicio, y una privada, que nunca sale del dispositivo del usuario y queda protegida tras la biometría local (Face ID, huella dactilar, PIN del dispositivo). Para autenticarse, el dispositivo demuestra matemáticamente que posee la clave privada sin transmitirla nunca. Esto elimina de raíz el vector de ataque más común de los últimos veinte años: no existe una contraseña almacenada en un servidor remoto que un atacante pueda filtrar, adivinar por fuerza bruta o comprar en un foro de la dark web.
Resistencia al phishing por diseño, no por parche
La propiedad más importante de los passkeys es que están criptográficamente vinculados al dominio exacto del servicio que los emitió. Si un usuario cae en un sitio de phishing que imita a PayPal o a Microsoft, el navegador simplemente no encuentra ningún passkey válido para ese dominio falso, por muy convincente que sea visualmente la página. Esto contrasta con el 2FA por SMS o incluso con algunas apps autenticadoras, donde un usuario engañado puede llegar a introducir manualmente un código en un sitio fraudulento.
Google, Apple, Microsoft y GitHub: el frente común poco habitual
Los tres grandes del sistema operativo llevan desde 2022 coordinando la especificación a través de la FIDO Alliance, un nivel de cooperación técnica inusual entre competidores directos que refleja hasta qué punto el problema de las contraseñas se había vuelto insostenible para toda la industria por igual. Google Password Manager, iCloud Keychain de Apple y Windows Hello sincronizan los passkeys de forma nativa entre dispositivos del mismo fabricante; para quien usa dispositivos de marcas distintas, gestores como 1Password o Bitwarden actúan como capa de sincronización multiplataforma.
Los más de 500 servicios compatibles, y los que todavía faltan
Google, Apple, Microsoft, GitHub, PayPal, Amazon, Uber, WhatsApp, Discord, Shopify y LinkedIn ya soportan passkeys como método de acceso principal, y el directorio independiente passkeys.directory permite comprobar el estado de compatibilidad de cualquier servicio antes de intentarlo. La banca tradicional, sin embargo, avanza con más cautela: buena parte de las entidades financieras europeas todavía exige combinaciones de contraseña y aplicación de banca móvil, en parte por requisitos regulatorios de autenticación reforzada (SCA) que no siempre contemplan passkeys de forma explícita en su redacción actual.
Cómo migrar sin quedarte bloqueado fuera de tu cuenta
El error más habitual al adoptar passkeys es no comprobar la recuperación de cuenta: si el único dispositivo con el passkey se pierde o se rompe, el mecanismo de recuperación debe estar configurado de antemano, normalmente mediante un segundo dispositivo de confianza o un código de respaldo generado al activar la función. La secuencia recomendada es activar primero passkeys en cuentas críticas —correo principal, gestor de contraseñas, GitHub si se es desarrollador— y confirmar que el passkey se sincroniza correctamente en un segundo dispositivo antes de eliminar la contraseña como alternativa de acceso.
El límite real: dispositivos compartidos y entornos corporativos heredados
Los passkeys funcionan peor en escenarios de dispositivo compartido —un ordenador de uso común en una biblioteca u oficina— porque están pensados para vincularse a un dispositivo o ecosistema personal, no para introducirse y olvidarse como una contraseña. Muchas empresas con sistemas de identidad heredados (Active Directory clásico sin federación moderna) tampoco han completado la migración, lo que obliga a convivir todavía varios años con contraseñas tradicionales en el entorno laboral mientras el ecosistema de consumo ya ha dado el salto casi por completo.
Qué ocurre si pierdes todos tus dispositivos a la vez
El escenario que más preocupa a los escépticos de los passkeys es perder simultáneamente el teléfono y no tener configurado ningún dispositivo de respaldo. Apple, Google y Microsoft han previsto mecanismos de recuperación específicos —contactos de recuperación, códigos de emergencia impresos, verificación mediante otro dispositivo ya vinculado a la cuenta— pero ninguno es instantáneo, y el proceso puede tardar entre varias horas y un par de días según el servicio y el nivel de verificación de identidad exigido. La recomendación práctica de los especialistas en seguridad es mantener siempre un segundo factor de recuperación configurado y, si es posible, un gestor de contraseñas independiente del fabricante del dispositivo como red de seguridad adicional.
