Una passkey, también llamada clave de acceso, es una credencial que permite entrar a una cuenta sin escribir una contraseña. El teléfono, la computadora o el gestor de credenciales crea un par criptográfico exclusivo para ese servicio: entrega una clave pública al servidor y protege la clave privada en el dispositivo. Cuando el sitio pide iniciar sesión, el equipo firma un desafío después de que la persona lo desbloquea con su PIN, rostro o huella. Importa porque el secreto necesario para entrar no se escribe ni se envía por internet.
La base técnica tiene fechas y nombres precisos. WebAuthn, el estándar del World Wide Web Consortium que permite usar credenciales de clave pública desde un navegador, se convirtió en recomendación oficial del W3C el 4 de marzo de 2019. Junto con CTAP, el protocolo de FIDO Alliance que comunica un equipo con un autenticador, forma el conjunto conocido como FIDO2. El 5 de mayo de 2022, Apple, Google y Microsoft anunciaron que ampliarían su soporte para que estas credenciales pudieran sincronizarse y funcionar entre dispositivos y plataformas.
Qué es una passkey y qué guarda cada parte
Al crear una passkey, el autenticador genera dos piezas relacionadas matemáticamente. La clave pública queda registrada en la web o aplicación. No necesita ser secreta: por sí sola no permite hacerse pasar por el usuario. La clave privada queda bajo control del autenticador, que puede ser el módulo seguro de un teléfono, Windows Hello, un gestor sincronizado o una llave física.
La huella o el reconocimiento facial no viajan al sitio. Sirven para autorizar localmente el uso de la clave privada. FIDO Alliance especifica que los datos biométricos, cuando se usan, permanecen en el dispositivo. El servicio recibe una prueba criptográfica, no una copia del dedo ni del rostro.
Esta arquitectura elimina un blanco habitual de los robos masivos. Una base de datos de contraseñas contiene secretos que un atacante puede intentar descifrar y reutilizar. Una base con claves públicas no entrega el material necesario para firmar un inicio de sesión. Eso no vuelve invulnerable a la cuenta: siguen existiendo el secuestro de sesiones, el malware y los procesos de recuperación débiles. Cambia, sí, el tipo de secreto que el servidor debe custodiar.
Cómo funciona una passkey al iniciar sesión
El proceso ocurre en pocos pasos, aunque la pantalla sólo muestre una invitación a apoyar el dedo o ingresar un PIN. Primero, el servidor genera un desafío aleatorio. La recomendación WebAuthn indica que ese valor debe producirse en un entorno confiable, verificarse al volver y contener al menos 16 bytes para que resulte impracticable adivinarlo.
Después, el navegador solicita una credencial vinculada al dominio. El dispositivo pide autorización local y usa la clave privada para firmar el desafío. El servidor comprueba la firma con la clave pública registrada y, si coincide, abre la sesión. El desafío cambia en cada intento, por lo que capturar una respuesta anterior no debería permitir repetirla.
La vinculación al dominio es la ventaja que corta el phishing clásico. Una passkey creada para `ejemplo.com` no se presenta ante una copia alojada en otro dominio, aunque ambas páginas se vean iguales. El navegador y el autenticador aplican esa asociación. Entender qué es el DNS y cómo traduce los dominios ayuda a ver la diferencia: el diseño no confía únicamente en que la persona detecte una letra cambiada en la dirección.
Qué pasa si cambiás o perdés el teléfono
Hay dos clases prácticas de passkeys. Las sincronizadas se guardan cifradas en un gestor de credenciales y aparecen en otros equipos vinculados a la misma cuenta del proveedor. Las ligadas a un dispositivo permanecen en ese hardware o en una llave de seguridad y requieren registrar otra credencial como respaldo.
También existe el acceso entre dispositivos. Una computadora puede mostrar un código QR para que un teléfono cercano use su passkey. El sistema de FIDO emplea CTAP con transporte híbrido y hace una comprobación de proximidad; en implementaciones actuales, ambos dispositivos suelen necesitar Bluetooth activo y conexión a internet. El QR no copia la clave privada a la computadora: habilita una autenticación desde el teléfono.
Perder un equipo sincronizado no implica necesariamente perder las cuentas, porque el gestor puede restaurar las credenciales al configurar otro dispositivo. El punto crítico pasa a ser la recuperación del propio gestor y de la cuenta de plataforma. Conviene revisar qué método alternativo ofrece cada servicio, registrar más de una passkey cuando sea posible y eliminar los dispositivos viejos después de confirmar el acceso desde los nuevos. Si la pérdida ocurre junto con actividad extraña, la guía para detectar señales de un celular comprometido cubre el control posterior.
Cuándo conviene activarla y qué límite mirar
Conviene crear una passkey cuando un servicio confiable la ofrece y permite identificar con claridad dónde quedará guardada. Para una persona que usa varios sistemas operativos, esa elección importa: almacenar todo en un único ecosistema puede volver incómodo el cambio de plataforma. Un gestor compatible, una segunda passkey o una llave física reducen esa dependencia.
Una passkey tampoco certifica que el sitio sea honesto ni protege una sesión ya abierta. Su trabajo es más acotado y comprobable: demostrar posesión de una clave privada asociada a un dominio, con consentimiento local, sin revelar esa clave. La ventaja decisiva no está en reemplazar una palabra difícil por un gesto cómodo. Está en retirar la contraseña del trayecto donde podía ser copiada, engañada o reutilizada.
Imagen: ilustración conceptual de un teléfono que conserva la clave privada mientras una clave pública queda asociada al servidor; producción original para esta nota.
Fuentes
FIDO Alliance — Especificaciones de autenticación
