Una mirada al teléfono, una huella sobre el sensor y la puerta se abre. Sin contraseñas que inventar, memorizar o copiar: las passkeys prometen un inicio de sesión más sencillo y seguro. Pero si pierde ese teléfono, comparte su ordenador o cambia de ecosistema, el mecanismo resulta menos evidente. Para comprender los retos de septiembre de 2026, hay que distinguir los avances técnicos consolidados de las evoluciones aún inciertas. Este análisis se basa en implementaciones y estándares documentados, sin presuponer que todos los obstáculos habrán desaparecido para esa fecha.
Un cambio radical frente al phishing
Una passkey, o clave de acceso, se basa en un par de claves criptográficas. El servicio conserva la parte pública; la parte privada permanece bajo el control de un autenticador, por ejemplo, un teléfono, un ordenador o una llave de seguridad. Para iniciar sesión, el usuario desbloquea ese autenticador con su código local o un mecanismo biométrico. Su huella o su rostro no se transmiten al sitio web.
La diferencia con una contraseña es fundamental: no se introduce ningún secreto reutilizable en un formulario. Los mecanismos FIDO y WebAuthn vinculan la autenticación al servicio legítimo. Por tanto, una página falsa que imite a un banco no puede simplemente capturar la passkey y reutilizarla en otro lugar. Es un avance importante frente a las campañas que capturan contraseñas y códigos temporales.
Apple, Google y Microsoft han emprendido esta transición, mientras que servicios como Amazon y WhatsApp anunciaron su compatibilidad ya en 2023. Pero estas primeras oleadas no significan que todos los procesos hayan pasado a prescindir por completo de las contraseñas. La creación de la cuenta, la recuperación y el acceso desde un dispositivo poco habitual siguen siendo a menudo experiencias distintas.
El teléfono perdido, la prueba decisiva del sistema
La situación parece trivial: un smartphone se avería la víspera de un viaje. Con una contraseña, el usuario cree que puede volver a acceder recurriendo a su memoria, aunque podría faltarle un segundo factor. Con una passkey, su primera pregunta pasa a ser: ¿dónde está mi clave? La respuesta depende de cómo se almacene.
Algunas passkeys se sincronizan mediante un gestor, como el llavero de Apple o el gestor de contraseñas de Google, en los dispositivos compatibles del mismo usuario. Otras permanecen vinculadas a un autenticador concreto. Una passkey sincronizada puede sobrevivir a la pérdida de un dispositivo; una clave vinculada únicamente a ese dispositivo exige una solución de respaldo. Sin embargo, esta distinción rara vez queda clara en el momento del registro.
La sincronización también desplaza parte del problema. Es necesario recuperar el acceso a la cuenta que protege la bóveda donde se guardan las passkeys. Dispositivo de confianza, código de desbloqueo, procedimiento de recuperación: los requisitos varían según el proveedor y la configuración. El sistema puede ser muy seguro y, al mismo tiempo, resultar difícil de entender en una situación de estrés.
La vía de respaldo no debe convertirse en la entrada principal de los estafadores
Un sitio web puede mantener la recuperación mediante correo electrónico, SMS o asistencia humana. Es indispensable para evitar que los usuarios pierdan el acceso de forma definitiva, pero una vía de respaldo demasiado permisiva puede eludir la protección de la passkey. El atacante ya no necesita vencer a la criptografía: busca hacerse con el control del correo o convencer al equipo de soporte.
Por el contrario, una recuperación extremadamente estricta corre el riesgo de bloquear al propietario legítimo. El equilibrio requiere varias soluciones adaptadas al riesgo: registrar un segundo autenticador, prever códigos de recuperación conservados sin conexión u organizar una verificación reforzada. Para un banco, una tienda y un foro, la respuesta no será necesariamente la misma.
El dispositivo compartido rompe los automatismos
En un teléfono personal, el gesto es natural. En el ordenador del salón, utilizado por tres personas, se vuelve ambiguo. ¿Qué perfil está abierto? ¿A quién pertenece la bóveda de claves? ¿Quién conoce el código de desbloqueo? Una passkey no corrige por sí sola una separación deficiente entre sesiones y cuentas.
Conviene dejar este punto claro: en un dispositivo determinado, la verificación local autoriza el uso de la clave según las reglas de ese dispositivo. No demuestra por arte de magia al servicio remoto qué miembro de la familia está frente a la pantalla. Por tanto, compartir una sesión desbloqueada o su código puede debilitar la privacidad de las cuentas accesibles.
El inicio de sesión desde un ordenador de terceros también puede apoyarse en el teléfono personal, en particular mediante un código QR y un mecanismo de proximidad Bluetooth. Esta autenticación entre dispositivos evita guardar la passkey en ese ordenador. Pero requiere un teléfono disponible, funciones compatibles y explicaciones comprensibles. En una biblioteca o un taller, estas condiciones no siempre se cumplen.
Un estándar común, no una experiencia uniforme
Las passkeys cuentan con estándares comunes. Sin embargo, compatibilidad no significa intercambiabilidad perfecta. Un navegador puede reconocer el protocolo sin ofrecer el mismo gestor, las mismas pantallas o las mismas opciones de recuperación que otro. El comportamiento también depende del sistema, de su versión y de las políticas de la organización.
Pasar de un iPhone a un teléfono Android ilustra esta diferencia. Poder utilizar una clave guardada en el teléfono antiguo para un inicio de sesión puntual no equivale a transferirla de forma permanente a una nueva bóveda. La autenticación entre dispositivos y la portabilidad de las credenciales responden a dos necesidades distintas, a menudo confundidas en los discursos sobre la sencillez.
En octubre de 2024, la FIDO Alliance publicó borradores de especificaciones destinadas a proteger el intercambio de credenciales entre proveedores, incluidas las passkeys. Es una respuesta concreta al riesgo de quedar atrapado en un gestor. De cara a septiembre de 2026, la cuestión es su implementación efectiva: ¿qué bóvedas permiten la transferencia, con qué garantías y con qué continuidad de uso? El anuncio de un estándar no garantiza una migración universal.
La transición se juega en los detalles
Para los servicios, añadir un botón no basta. Hay que explicar dónde se guardará la clave, permitir añadir varias y mostrar una lista comprensible de los accesos. Etiquetas como «teléfono personal» o «llave de respaldo» ayudan más que una fecha de creación aislada. También es necesario permitir revocar fácilmente un dispositivo perdido.
Sobre todo, hay que poner a prueba los momentos difíciles, no solo el inicio de sesión ideal: sustitución del teléfono, cambio de gestor, salida de un empleado, equipo compartido. Mantener una contraseña puede facilitar la transición, pero su presencia y la de las demás vías de acceso deben incluirse en la evaluación global del riesgo.
¿Y ahora qué? La generalización de las passkeys dependerá menos de una nueva demostración biométrica que de una recuperación comprensible, de dispositivos compartidos mejor gestionados y de transferencias fiables entre bóvedas. Si estos frentes avanzan, septiembre de 2026 podría marcar un paso hacia una autenticación resistente al phishing convertida en algo cotidiano. De lo contrario, la contraseña sobrevivirá sobre todo como red de seguridad: precisamente allí donde los estafadores seguirán buscando una brecha.
