El teléfono ha desaparecido, el ordenador se ha quedado en la oficina y la cuenta principal exige una verificación en el dispositivo perdido. Esa es la verdadera prueba de las passkeys, esas claves de acceso llamadas a sustituir nuestras contraseñas. Cuando todo funciona, basta con un rostro o una huella. Cuando la vida se sale del guion previsto, la sencillez se vuelve más frágil. De cara a septiembre de 2026, la cuestión decisiva no es, por tanto, solo su adopción: es la capacidad de recuperar, compartir y trasladar los accesos sin reproducir las vulnerabilidades del pasado.
Este análisis se basa en los despliegues y los mecanismos documentados hasta junio de 2024. Los avances contemplados para septiembre de 2026 son perspectivas, no un balance de funcionalidades o anuncios posteriores.
Un verdadero avance contra el phishing
Una passkey se basa en un par de claves criptográficas. El servicio conserva la clave pública; la clave privada permanece bajo el control de su dispositivo o de su gestor de credenciales. Al iniciar sesión, este demuestra que posee la clave privada sin transmitirla al sitio web. El desbloqueo local, mediante biometría o un código, autoriza esta operación. Por tanto, su huella dactilar no se envía al comercio ni a la red social.
La principal ventaja reside en la vinculación entre la credencial y el servicio legítimo. Un sitio falso que imite al de su banco no puede limitarse a hacer que introduzca una passkey para después reutilizarla en otro lugar. En el marco de WebAuthn y de los estándares FIDO, la autenticación verifica el contexto del sitio solicitante. Es una diferencia fundamental respecto a una contraseña, e incluso respecto a un código temporal que la víctima puede copiar en una página fraudulenta.
Apple, Google y Microsoft habían iniciado esta transición antes de junio de 2024, mientras que servicios como Google, PayPal o GitHub ya ofrecían claves de acceso. Pero resistir al phishing no significa hacer que una cuenta sea invulnerable. Un programa malicioso puede atacar una sesión ya abierta; un estafador puede convencer a una persona que ha iniciado sesión de que haga una transferencia. La passkey protege una etapa esencial, no toda la actividad digital.
Recuperar la cuenta: el problema se desplaza
Cuando se olvida una contraseña, la reacción es conocida: hacer clic en un enlace recibido por correo electrónico. Cuando se pierde una passkey, todo depende de cómo se almacene. Algunas claves están vinculadas a un dispositivo o a una llave de seguridad física. Otras se sincronizan, de forma cifrada, entre los dispositivos de un mismo gestor. Este segundo enfoque facilita la sustitución de un teléfono, siempre que se recupere el acceso a la cuenta que permite la sincronización.
El centro de gravedad se desplaza entonces. La cuenta de Apple, de Google o de un gestor de contraseñas se convierte en un punto de dependencia para muchas otras cuentas. Esto no es automáticamente menos seguro: estos servicios disponen de mecanismos de protección sofisticados. Pero el usuario debe comprender una cadena de recuperación que no necesariamente era consciente de estar construyendo.
La puerta de emergencia puede convertirse en la entrada principal
Si un servicio permite eludir una passkey mediante un simple SMS, el atacante podría intentar apropiarse del número de teléfono. Si el servicio de asistencia puede restablecer el acceso tras unas pocas preguntas personales, la ingeniería social vuelve a encontrar un terreno conocido. Por tanto, la seguridad real también depende de la vía de recuperación más débil, no solo del botón de inicio de sesión más moderno.
Por el contrario, un proceso de recuperación excesivamente rígido puede dejar fuera al propietario legítimo. El robo de un bolso, un teléfono roto, un cambio de número: estos incidentes cotidianos no deberían convertirse en condenas digitales. Un equilibrio sólido combina varios medios independientes: otro dispositivo, una segunda clave registrada cuando el servicio lo permita y códigos de recuperación guardados sin conexión. Pero es necesario presentar estas opciones antes del incidente.
Compartir sin entregar toda la vida digital
En las demostraciones, una persona tiene un dispositivo y accede a su cuenta. En la vida real, una pareja consulta las facturas, varios empleados administran una tienda y un familiar ayuda a una persona mayor. La contraseña compartida es una mala práctica, pero a menudo cumple una función que el servicio nunca ha previsto adecuadamente.
Las passkeys hacen visible esta carencia. Algunos gestores ya permiten compartir credenciales, incluidas las claves de acceso en configuraciones compatibles. Sin embargo, esto no sustituye a una verdadera gestión de permisos. Dar acceso a una misma cuenta también puede otorgar la capacidad de modificar su dirección de recuperación, consultar todos sus datos o excluir a los demás usuarios.
La respuesta adecuada suele ser la delegación, en lugar de compartir un secreto. Cada persona debería disponer de su propio acceso, con permisos adaptados y revocables. En una empresa, esto también permite identificar al autor de una acción. En una familia, evita compartir la cuenta central que también contiene las fotos, las copias de seguridad y los medios de pago. Las passkeys no crean esta necesidad; obligan a tomársela en serio.
Cambiar de ecosistema, la prueba de libertad
Pasar de un teléfono a otro parece sencillo siempre que las credenciales nos acompañen. Abandonar un entorno plantea otra pregunta: ¿cómo llevarse las passkeys? La compatibilidad del protocolo de inicio de sesión no garantiza la de la bóveda que las guarda. Un servicio puede aceptar WebAuthn en varias plataformas sin que sus usuarios dispongan de una transferencia directa entre todos los gestores.
Iniciar sesión entre dispositivos, por ejemplo escaneando un código QR y confirmando después en el teléfono, puede sacarnos de un apuro en un ordenador diferente. Pero utilizar una clave a distancia no equivale a transferirla. Para abandonar definitivamente un proveedor, es necesario poder exportar las claves de forma segura o registrar otras nuevas en los servicios correspondientes mientras el acceso anterior siga funcionando.
De cara a septiembre de 2026, la portabilidad constituye, por tanto, un criterio que conviene vigilar, no un logro que deba darse por hecho. Las transferencias seguras e interoperables reducirían la dependencia de las plataformas. Su dificultad es real: facilitar la salida de las claves privadas sin crear una herramienta de exfiltración. La calidad de una solución también se juzgará por sus controles, sus advertencias y su capacidad para facilitar una salida completa.
Qué comprobar antes de dar el paso
Para el usuario, lo adecuado no es rechazar las passkeys, sino examinar cómo se utilizan cuando algo falla. Tres preguntas valen más que una promesa de inicio de sesión «sin esfuerzo»:
- ¿Dónde se guarda mi clave y estará disponible si desaparece mi dispositivo principal?
- ¿Qué medios independientes permiten recuperar mi cuenta y están también protegidos?
- ¿Puedo añadir otro acceso, delegar permisos y cambiar de gestor sin empezar de cero?
¿Y ahora qué? La próxima etapa podría depender menos del reconocimiento facial que de los procedimientos invisibles: una recuperación comprensible, una delegación precisa y una migración verificable. Las passkeys aportan una protección tangible frente a una amplia familia de ataques. Su éxito a largo plazo dependerá de una exigencia más práctica: permitir que las personas pierdan un teléfono, cambien de proveedor o ayuden a un familiar sin perder el control de su identidad digital.
