Passkeys: Qué Son, Por Qué Importan y Cómo Adoptarlas en tu Empresa

La contraseña cumple más de sesenta años y sigue siendo el punto débil de casi todo lo que hacemos en internet: se reutiliza, se adivina, se filtra y —sobre todo— se puede entregar a quien no debe sin darse cuenta. Las passkeys son el primer sustituto que ataca el problema de raíz, y en 2026 han dejado de ser una promesa: la FIDO Alliance cifra en 5.000 millones las passkeys en uso en todo el mundo. Esta guía explica qué son exactamente, por qué resisten al phishing por diseño, en qué punto está su adopción y cómo llevarlas a una pyme sin acabar bloqueado fuera de tus propias cuentas.

«Una contraseña es un secreto que compartes con un servicio y que, por tanto, puedes compartir con un impostor. Una passkey nunca sale de tu dispositivo: no hay nada que entregar.»

Qué es exactamente una passkey

Una passkey no es una contraseña guardada de otra forma: es un par de claves criptográficas. Cuando la creas, tu dispositivo genera dos claves ligadas matemáticamente. La clave privada se queda en el dispositivo —o en el llavero cifrado que lo sincroniza— y no se envía a ningún sitio. La clave pública se guarda en el servidor del servicio y por sí sola no sirve para entrar: es el equivalente a un candado del que solo tú tienes la llave.

Al iniciar sesión, el servicio envía un reto aleatorio, tu dispositivo lo firma con la clave privada y devuelve la firma. El servidor la verifica con la clave pública que ya tenía guardada. En ningún momento viaja un secreto reutilizable, así que no hay nada que interceptar, apuntar ni reenviar.

Conviene aclarar una confusión muy extendida, porque frena la adopción en los equipos: el desbloqueo con huella o cara no se envía al servicio. La biometría —o el PIN del dispositivo— solo autoriza localmente el uso de la clave privada. Nadie está «entregando su huella a Google»: esa huella no sale del móvil.

Nada de esto es tecnología propietaria. Las passkeys son la cara visible de FIDO2/WebAuthn, estándares abiertos del W3C y la FIDO Alliance que Apple, Google y Microsoft implementan de forma interoperable, igual que todos los navegadores hablan HTTPS.

Por qué son un cambio real y no una moda

Resisten al phishing por diseño

Este es el argumento decisivo. Cada passkey queda vinculada al dominio para el que se creó. Si un empleado recibe un correo perfecto y acaba en micro-soft-login.com, el navegador sencillamente no le ofrecerá la passkey. No hay ningún secreto que teclear ni ninguna decisión humana que el atacante pueda manipular: la protección no depende de que la persona se dé cuenta del engaño.

Compáralo con el doble factor clásico. Un código de SMS o de aplicación sí se puede robar: los kits de adversary-in-the-middle muestran una copia exacta de la página real, capturan la contraseña y el código, y los reproducen contra el servicio legítimo antes de que caduquen. Contra ese ataque —hoy habitual en los kits de ingeniería social comerciales— seis dígitos no protegen; una passkey sí.

No hay nada que robar en el servidor

Si el proveedor sufre una brecha, lo que el atacante se lleva son claves públicas, inútiles por sí solas. Eso desactiva de golpe las tres plagas derivadas de las filtraciones: el credential stuffing (probar en tu web las contraseñas filtradas de otro servicio), la reutilización entre cuentas y la venta de listas de credenciales. Con passkeys, una filtración ajena deja de ser tu problema.

No se adivinan ni se fuerzan

Tampoco hay nada que adivinar: una clave privada de curva elíptica no se rompe a base de intentos. Para cualquier sitio WordPress que reciba a diario oleadas contra wp-login.php, esto convierte el ataque más común —los ataques de fuerza bruta— en ruido irrelevante desde el punto de vista del acceso.

Y, además, son más rápidas

El argumento que cierra la discusión con el equipo no suele ser de seguridad, sino de fricción: no hay nada que recordar ni que teclear. Amazon, que ya las ofrece a 175 millones de clientes, mide inicios de sesión unas seis veces más rápidos que con contraseña. Menos tiempo perdido, menos llamadas de «he olvidado mi clave» y menos resistencia interna al cambio.

Dónde estamos en 2026

Durante un par de años fue razonable esperar a ver si la cosa cuajaba. Ya no. Los datos que la FIDO Alliance publicó en el World Passkey Day de 2026 describen una tecnología mayoritaria, no experimental:

• 5.000 millones de passkeys en uso en todo el mundo.
• El 90 % de los usuarios sabe ya lo que son y el 75 % ha activado al menos una; el 49 % las usa de forma habitual cuando el servicio se las ofrece.
• El 68 % de las organizaciones las ha desplegado o está desplegándolas para el acceso de sus empleados.
• Cerca del 48 % de los 100 sitios más visitados del mundo las soporta: más del doble que en 2022.

Las plataformas han dejado de tratarlas como una opción para usuarios avanzados. Desde mayo de 2025, las cuentas nuevas de Microsoft son passwordless por defecto: se crean directamente sin contraseña. Google supera los 800 millones de cuentas con passkey y las propone de forma predeterminada. Cuando los tres grandes sistemas operativos, todos los navegadores y los gestores de contraseñas hablan el mismo estándar, la pregunta deja de ser «¿esto funcionará?» y pasa a ser «¿cuándo lo hacemos?».

Qué cambia para una pyme

Hay tres razones por las que a una empresa pequeña le compensa antes incluso que a una grande.

El riesgo acumulado que nadie ve. En la mayoría de pymes no hay gestor de contraseñas corporativo, y la misma clave —o una variación evidente— protege el correo, el panel del hosting y la banca electrónica. Una sola filtración externa, de un foro o de una tienda cualquiera, pone en riesgo todo lo demás. Las passkeys eliminan esa cadena de forma estructural: no existe un secreto que se pueda reutilizar. Mientras completas la migración, un gestor de contraseñas cubre el mismo hueco para todo lo que aún no las soporta.

El cumplimiento normativo. Ni NIS2 ni PSD2 mencionan las passkeys por su nombre, pero ambas exigen autenticación fuerte o multifactor. Una passkey resuelve dos factores en un solo gesto: posesión (la clave privada vive en tu dispositivo) e inherencia (el desbloqueo biométrico que la libera). Es, hoy, la manera más barata de cumplir la normativa sin añadir fricción al equipo.

Lo que llega con la identidad digital europea. El reglamento eIDAS 2 obliga a los Estados miembros a ofrecer su cartera digital (EUDI Wallet) antes de diciembre de 2026 —en España la lidera la FNMT—, y a partir de 2027 determinados proveedores privados de sectores estratégicos (banca, seguros, telecomunicaciones, energía, salud, transporte y educación) tendrán que aceptarla cuando exista obligación de autenticación reforzada. Las microempresas y pequeñas empresas quedan fuera de esa obligación concreta, pero la dirección del viaje es inequívoca: la autenticación criptográfica ligada al dispositivo va camino de ser la norma y no la excepción.

Cómo adoptarlas sin quedarte fuera de tus cuentas

1. Empieza por las cuentas que más duelen

No hagas un despliegue general de golpe. Ordena tus cuentas por daño potencial y empieza por arriba: primero el correo corporativo (Google Workspace o Microsoft 365), porque es la cuenta desde la que se recuperan todas las demás; después el hosting y el DNS, la banca, el administrador de WordPress y los perfiles sociales de la empresa. Proteger bien el correo vale más que proteger diez servicios secundarios.

2. Registra siempre dos, nunca una

El miedo al bloqueo por dispositivo perdido es legítimo, y tiene una solución de treinta segundos: registrar al menos dos passkeys en cada cuenta crítica. Por ejemplo, la del móvil y la del portátil, o la del móvil y una llave física (tipo YubiKey) guardada bajo llave en la oficina. Las passkeys sincronizadas de Apple, Google o tu gestor ya sobreviven a la pérdida del aparato, pero una segunda credencial independiente es lo que te salva si el problema es el propio llavero.

3. Cierra las puertas de atrás

Aquí está el error más caro, y casi todo el mundo lo comete. La mayoría de organizaciones añade la passkey y deja intactos la contraseña, el SMS y los códigos de recuperación por correo. El resultado es que el atacante no ataca la passkey —no puede—, sino que provoca el camino débil: una pantalla falsa de «tu passkey ha fallado, introduce tu contraseña» es suficiente. Se llama ataque de degradación y anula la ventaja entera.

El despliegue correcto tiene dos tiempos: primero conviven ambos métodos mientras el equipo se acostumbra; después, cuando todos tienen passkeys registradas y probadas, se retiran los métodos débiles —contraseña, SMS y preguntas de seguridad—. Microsoft ha adoptado exactamente esa postura y hoy trata las contraseñas y los caminos de recuperación débiles como superficie de ataque a eliminar, no como red de seguridad.

4. Arregla la recuperación antes de necesitarla

Cuando el inicio de sesión deja de ser atacable, el ataque se muda a la recuperación. Ahí es donde reaparece la ingeniería social: convencer al soporte de que restablezca un acceso, secuestrar el número de teléfono mediante SIM swapping o entrar por un buzón peor protegido. Deja por escrito cómo se recupera una cuenta —quién puede solicitarlo, cómo se verifica la identidad de quien lo pide y por qué canal— y protege ese procedimiento al menos tan bien como el propio acceso.

5. En WordPress, hoy, con plugin

WordPress no soporta passkeys de forma nativa: hace falta un plugin que implemente WebAuthn/FIDO2, como WP-WebAuthn, Secure Passkeys o el proveedor WebAuthn del plugin Two Factor. Merece la pena aunque solo lo actives para las cuentas de administrador, que son las que un atacante busca. Y ten presente que registrar passkeys no impide que sigan llegando intentos contra wp-login.php: mantén el límite de intentos y la monitorización de actividad, porque esos intentos dejarán de ser peligrosos pero seguirán consumiendo recursos.

Lo que las passkeys no resuelven

Ninguna medida lo arregla todo, y venderlas como solución total es la mejor forma de bajar la guardia donde no toca.

• No protegen una sesión ya iniciada. Si un equipo está infectado con un infostealer, el atacante puede robar la cookie de sesión y entrar sin autenticarse. La protección del dispositivo sigue siendo imprescindible.
• No detienen el fraude que no necesita credenciales. El fraude del CEO pide una transferencia, no pide entrar en ningún sitio. Contra eso, procedimiento y verificación por un segundo canal.
• No cubren lo que no habla WebAuthn. Aplicaciones antiguas, servicios internos y algún ERP seguirán con contraseña una temporada.
• Encajan mal con las cuentas compartidas. Que te obliguen a repensar el «usuario admin que usamos todos» es, en realidad, una buena noticia: cada persona con su cuenta y sus permisos.

Hacia dónde va esto

Tres movimientos marcan los próximos años.

La portabilidad deja de ser una excusa. La objeción histórica —«si empiezo con Apple, me quedo atrapado»— está a punto de desaparecer. La FIDO Alliance ha desarrollado el Credential Exchange Protocol (CXP) y su formato asociado (CXF), que permiten transferir passkeys entre gestores y plataformas cifradas de extremo a extremo, sin pasar jamás por un CSV en texto plano como ocurría con las contraseñas. Apple, Google, Microsoft, 1Password, Bitwarden y Dashlane participan en el estándar y las primeras implementaciones ya están en producción.

La contraseña pasa de principal a residual. No va a desaparecer en 2027; lo que desaparece es su papel central. El movimiento visible del sector no es solo añadir passkeys, sino retirar los métodos de reserva débiles que las rodean, que es donde queda el riesgo real.

El atacante se adapta. El phishing no muere: se muda. Cabe esperar más ataques contra los flujos de recuperación, más consent phishing (páginas que piden autorizar una aplicación en vez de credenciales), más robo de sesión y más pantallas falsas diseñadas para empujar al usuario fuera de la passkey. La defensa, otra vez, no es solo tecnológica: consiste en cerrar los caminos alternativos y en entrenar al equipo para desconfiar de cualquier flujo que le proponga «volver al método de siempre».

Errores frecuentes

• Añadir la passkey y dejar la contraseña como estaba. Tu seguridad sigue siendo la del método más débil que aceptas.
• Registrar una sola passkey en un solo dispositivo. Es la receta del bloqueo y el motivo por el que mucha gente da marcha atrás.
• Olvidarse de la recuperación. Es exactamente el flanco al que se ha mudado el ataque.
• Empezar por la cuenta menos importante. El correo primero: es la llave maestra de todo lo demás.
• Confundir la passkey con «el código que me llega al móvil». Son cosas distintas, y ese código sí es robable mediante phishing.

Reflexión final

Las passkeys son la primera mejora de autenticación en décadas que no consiste en exigirle más disciplina al usuario. Al contrario: son más seguras y más cómodas a la vez, una combinación tan poco habitual que explica por qué la adopción se ha disparado en cuanto los sistemas operativos las han integrado de serie. Para una pyme el argumento no es futurista: el correo corporativo, el hosting y el WordPress se pueden proteger hoy contra el phishing de forma que un despiste deje de ser un punto único de fallo.

El trabajo real no está en activarlas —eso son minutos—, sino en hacerlo con orden: las cuentas críticas primero, dos credenciales por cuenta, los métodos débiles retirados después y la recuperación tan protegida como el propio acceso. Ese último paso es el que separa una migración que de verdad reduce el riesgo de una que solo lo aparenta.

En HiveGuard acompañamos a pymes en esa transición con consultoría de ciberseguridad y formación práctica para que el equipo entienda qué está cambiando y por qué. Porque la contraseña más segura sigue siendo la que no existe.