Passkeys: cómo activarlas y no perder tus cuentas

Una passkey es una clave criptográfica que sustituye a tu contraseña y se desbloquea con tu cara o tu huella. Si ya entras en Google, Apple o Microsoft desde el móvil, lo más probable es que estés usando una sin darte cuenta. En esta guía te cuento cómo activarlas sin perder el acceso a tus cuentas, qué errores evitar y por qué son, hoy por hoy, la alternativa más segura para proteger tu identidad digital.

La transición a las passkeys no tiene por qué ser traumática: con unos pocos pasos puedes ir dejando atrás las contraseñas y ganar en seguridad y comodidad.

Qué es una passkey

En pocas palabras, una passkey (o clave de acceso) es un mecanismo de autenticación diseñado para sustituir a la contraseña. En lugar de teclear una cadena de caracteres que alguien podría robar o adivinar, confirmas tu identidad con el desbloqueo de tu propio dispositivo: huella dactilar, reconocimiento facial o PIN de la pantalla de bloqueo.

En la práctica, crear una passkey es tan sencillo como pulsar un botón y validar con tu cara o tu dedo. A partir de ese momento, el servicio te reconoce sin que tengas que recordar nada. No hay contraseña que memorizar, ni fechas de caducidad, ni esos molestos cambios forzados cada tres meses.

Detrás de esta sencillez hay una base técnica sólida: la tecnología se apoya en el estándar FIDO2, impulsado por la FIDO Alliance y el W3C, que a su vez combina dos piezas: WebAuthn, la API del navegador que permite a los sitios web pedir autenticación criptográfica, y CTAP, el protocolo que conecta el navegador con el autenticador de tu dispositivo. Lo importante no es el acrónimo, sino lo que hace posible: un inicio de sesión sin secreto compartido.

Cómo funciona por dentro

La clave está en la criptografía de clave pública. Cuando creas una passkey para un servicio, tu dispositivo genera un par de claves criptográficas: una clave privada, que permanece guardada de forma segura en tu dispositivo y nunca viaja por la red, y una clave pública, que se envía al servicio y es la única información que se almacena en sus servidores.

Cuando quieres iniciar sesión, el servicio te envía un desafío criptográfico. Tu dispositivo lo firma con la clave privada, previa comprobación de que eres tú mediante biometría o PIN. El servicio verifica la firma con la clave pública y te deja entrar. Este proceso garantiza dos propiedades fundamentales:

• La clave privada nunca viaja por la red, por lo que no puede ser interceptada.
• Cada passkey es única para un sitio concreto. La de tu banco no sirve para tu correo, lo que hace inútiles los ataques de relleno de credenciales que explotan contraseñas reutilizadas.

Además, la autenticación está ligada al dominio del sitio. Un atacante que monte una página falsa idéntica a la tuya recibiría un rechazo: la passkey está anclada al dominio legítimo, no a la apariencia. Por eso las passkeys se describen como resistentes al phishing: el método más efectivo que existe hoy para robar credenciales pierde su utilidad.

En mi caso, la primera vez que configuré una passkey en mi cuenta de Google, pensé que había algo roto: el navegador no me pedía contraseña en absoluto y saltaba directo a la biometría del móvil. Ese salto, de teclear a desbloquear, es exactamente lo que nota cualquiera que prueba este sistema: desaparece la fricción y, con ella, la tentación de reutilizar contraseñas.

Dónde vive realmente tu clave privada

La clave privada no flota en tu móvil de cualquier forma: se guarda en un componente de hardware aislado del procesador principal. En los dispositivos de Apple se llama Secure Enclave, en Windows es el Trusted Platform Module (TPM), en los Android se apoya en el TEE (Trusted Execution Environment, basado en ARM TrustZone) o, en los modelos que incorporan StrongBox, en este chip de seguridad, y en los Galaxy de Samsung, Samsung Knox. Estos componentes funcionan como una cámara acorazada: aunque un malware comprometa el sistema, esa parte del chip no se toca.

Aquí conviene distinguir dos tipos de passkeys según dónde se guarden. Las passkeys sincronizadas o multidispositivo viajan cifradas en tu cuenta de iCloud, de Google o de Microsoft y se replican a todos tus aparatos; son las ideales para uso personal porque no te quedas sin acceso si pierdes uno. Las passkeys vinculadas a un dispositivo no se copian y quedan atadas a un único equipo; es la opción que prefieren las empresas con políticas estrictas de seguridad.

Por qué ahora: el punto de inflexión

La FIDO Alliance lleva más de una década trabajando para reducir la dependencia mundial de las contraseñas. Lo que ha cambiado en los últimos años es la adopción: Google, Apple y Microsoft han activado las passkeys por defecto en sus ecosistemas, y la mayoría de los usuarios ya se ha encontrado con la opción de crear una sin saber muy bien qué era.

Las cifras respaldan el momento. Según el informe State of Passkeys 2026 de la FIDO Alliance, ya hay 5.000 millones de passkeys en uso activo en todo el mundo, y el 75% de los consumidores ha activado una en al menos una cuenta. Los casos de éxito empresariales son contundentes: KAYAK redujo su tiempo de inicio de sesión un 50%. Zoho logró inicios de sesión seis veces más rápidos y Tokyu multiplicó por doce la velocidad de acceso para miles de usuarios diarios. X, por su parte, duplicó su tasa de éxito de acceso tras adoptar las passkeys.

El contexto de amenazas también ha cambiado. Se estima que hay más de seis mil millones de contraseñas robadas por malware, según el análisis de Specops de 2026, y la mayoría de las personas sigue reutilizando la misma contraseña en varias plataformas. Frente a ese escenario, la agencia británica NCSC recomienda abiertamente usar passkeys siempre que estén disponibles.

Cómo empezar a usar passkeys hoy

Empezar es más fácil de lo que parece. El recorrido típico es el siguiente:

1. Comprueba dónde tienes cuentas importantes. Los servicios grandes (Google, Apple, Microsoft, Amazon, PayPal y muchos bancos) ya ofrecen passkeys en sus ajustes de seguridad.
2. Actívalas en tu gestor de credenciales. En iPhone, las passkeys se guardan en el llavero de iCloud y se sincronizan entre tus dispositivos con la misma cuenta. En Android y en Chrome se gestionan con el administrador de contraseñas de Google. En Windows se integran con gestores como Microsoft Password Manager.
3. Crea una passkey en los servicios que más uses. Busca la opción en configuración de seguridad o cuenta; normalmente aparece como «Clave de acceso» o «Passkey». El proceso dura segundos y te pedirá validar con biometría.
4. Mantén las contraseñas como respaldo al principio. La mayoría de los servicios permite tener a la vez passkey y contraseña. No elimines la contraseña hasta que hayas verificado que la passkey funciona en todos tus dispositivos.
5. Aprovecha el inicio de sesión entre dispositivos. Si intentas iniciar sesión en un ordenador y escaneas un código QR con el móvil, estás usando una passkey de tu teléfono sin necesidad de instalar nada.

Pasar a la práctica en cada ecosistema

La experiencia varía según el ecosistema, pero el patrón es el mismo: la passkey vive en tu gestor de credenciales y el sistema operativo la presenta cada vez que hace falta.

Apple. Las passkeys se guardan en el llavero de iCloud y se sincronizan entre tu iPhone, iPad y Mac con tu ID de Apple. Al iniciar sesión en un sitio compatible, el sistema te propone crear una clave de acceso y la valida con Face ID o Touch ID. La app Contraseñas agrupa la gestión de contraseñas, códigos de verificación y passkeys en un solo lugar.

Google. El administrador de contraseñas de Google gestiona las passkeys y las sincroniza entre Android y Chrome en cualquier sistema. En los ajustes de tu cuenta puedes crear claves de acceso para tu propia cuenta y ver en qué servicios las has activado. Google Identity ofrece además herramientas de adopción para desarrolladores con resultados medibles.

Microsoft. Windows 11 y Edge soportan passkeys a través de Windows Hello, con PIN, huella o reconocimiento facial. Microsoft Password Manager sincroniza las credenciales con tu cuenta de Microsoft, y también se puede usar el código QR para iniciar sesión desde otro dispositivo.

Si además de la autenticación quieres tomar las riendas de tus datos, combinar las passkeys con un control autónomo sobre tus servicios cierra el círculo. En cuanto al gestor:

Gestores de terceros. Los gestores de contraseñas clásicos no se han quedado atrás: 1Password, Bitwarden, Dashlane y NordPass soportan passkeys y las integran con sus bóvedas cifradas. Para quien ya usa uno, la migración es natural: la passkey aparece junto al resto de credenciales, con el añadido de que la bóveda se puede exportar con copia de seguridad propia, algo que los ecosistemas cerrados no siempre permiten.

Recuperación y seguridad: lo que pocos cuentan

El miedo más extendido a las passkeys es el de quedarse fuera de la propia cuenta. Es razonable: si la credencial vive en el dispositivo y este se pierde, ¿cómo se entra? La respuesta tiene tres capas.

Primero, la sincronización. En los ecosistemas grandes, tu passkey no vive en un único aparato sino en tu cuenta de iCloud, de Google o de Microsoft, por lo que aparece también en el resto de tus dispositivos. Perder el móvil no te deja sin credencial si tienes otro dispositivo con la misma cuenta o si inicias sesión con el gestor sincronizado.

Segundo, el código QR. Si estás frente a un ordenador que no tiene tu passkey, el sitio te muestra un código QR que escaneas con el móvil. La passkey viaja de forma segura entre dispositivos mediante protocolos de proximidad, sin exponer la clave privada.

Tercero, los métodos de recuperación. Los servicios serios mantienen vías alternativas: correo de recuperación, número de teléfono o claves de recuperación de un solo uso. Configúralos antes de migrar, no cuando ya no puedas entrar.

Conviene ser honesto sobre la evaluación de riesgos. Las passkeys eliminan el robo masivo de credenciales, el phishing y el relleno de contraseñas, las amenazas que más daño hacen hoy. Pero el eslabón más débil se desplaza a la seguridad de tu propio dispositivo y de tu cuenta de sincronización: quien controle tu gestor o tu cuenta de iCloud o Google podría, en teoría, usar esas passkeys. Por eso tiene sentido activar la verificación en dos pasos de la propia cuenta de Apple o Google.

Un ataque conocido como «pass the passkey» intenta capturar la respuesta de autenticación explotando fallos de implementación de WebAuthn. La mitigación está en el diseño: el desafío incluye el origen del sitio, por lo que una passkey correctamente implementada nunca responde a una solicitud de un dominio distinto.

Para ubicar esta tecnología, conviene saber que no es la única vía de controlar tu seguridad en el ordenador: si trabajas con la terminal moderna de zsh y tmux o gestionas tus propios servicios, ya aplicas una filosofía similar. Las passkeys son la pieza que faltaba para que tu identidad deje de depender de una cadena de texto.

Passkey frente a contraseña frente a doble factor

Criterio	Contraseña	Contraseña + 2FA	Passkey
Resistencia al phishing	Baja	Media (el SMS y los códigos TOTP también se pueden suplantar)	Alta (ligada al dominio)
Riesgo de reutilización	Muy alto	Alto	Nulo (única por sitio)
Experiencia de uso	Recordar y teclear	Recordar más un código	Desbloqueo del dispositivo
Fuga en el servidor	Expone la credencial	Expone parte	Solo la clave pública, inútil sin la privada
Soporte actual	Universal	Muy extendido	En crecimiento rápido

Un matiz importante: una passkey no es exactamente un segundo factor, porque no añade una capa a una contraseña, sino que la sustituye. Pero al exigir el desbloqueo del dispositivo (biometría o PIN), incorpora de forma natural un factor «algo que eres» o «algo que sabes» sin teclear nada.

Errores comunes y cómo evitarlos

Cambiar de contraseñas a passkeys tiene trampas, pero todas tienen solución. Estos son los errores más frecuentes:

• Crear la passkey en un solo dispositivo y perder el acceso. Si solo la tienes en un móvil y lo pierdes, puedes quedarte fuera. Solución: crea passkeys en varios dispositivos o usa un gestor sincronizado (iCloud, Google, Microsoft).
• Eliminar la contraseña demasiado pronto. Antes de quitar el respaldo, prueba la passkey desde cada dispositivo que uses habitualmente.
• Confundir passkey con la clave de seguridad física. Las llaves USB (tipo YubiKey) son otra implementación del mismo estándar FIDO2, orientada a perfiles de alto riesgo. Una passkey por software es suficiente para casi todo el mundo.
• Ignorar la recuperación de cuenta. Revisa los métodos de recuperación de tus servicios (correo alternativo, teléfono) antes de migrar, no cuando ya no puedas entrar.
• No comprobar la compatibilidad. No todos los sitios aceptan passkeys aún. En webs antiguas o de banca de algunos países seguirás necesitando la contraseña o el lector de tarjetas. La convivencia es normal durante la transición.
• Pensar que una passkey es una app o un archivo que se puede copiar. Las passkeys se gestionan desde el sistema operativo o el gestor de credenciales; no se exportan ni se comparten como un fichero. Si alguien te pide «tu passkey» por teléfono o correo, es una estafa.

Preguntas frecuentes

¿Qué es una passkey y cómo funciona?

Una passkey sustituye al par usuario-contraseña: solo tienes que desbloquear el dispositivo (huella, rostro o PIN). El sistema usa criptografía de clave pública; la llave privada nunca viaja por la red y el servicio solo recibe la pública al registrarte.

¿Por qué las passkeys son más seguras que las contraseñas?

Porque la clave privada nunca viaja por la red, no puede ser interceptada, y cada passkey es única para un sitio concreto, lo que hace inútiles los ataques de relleno de credenciales. Además, están ligadas al dominio del sitio, por lo que son resistentes al phishing.

¿Cómo puedo empezar a usar passkeys?

Conviene empezar por las cuentas más importantes, activar las passkeys en un gestor de credenciales sincronizado (iCloud, Google o Microsoft), crearlas en los servicios que más uses y mantener la contraseña como respaldo mientras verificas que todo funciona. El código QR permite iniciar sesión desde otro dispositivo.

¿Qué pasa si pierdo mi dispositivo? ¿Pierdo el acceso a mis cuentas?

No necesariamente, porque las passkeys se sincronizan en los ecosistemas grandes (iCloud, Google, Microsoft) y se replican a todos tus dispositivos. Además, hay métodos de recuperación como correo de respaldo, teléfono o claves de recuperación de un solo uso. También se puede usar el código QR para iniciar sesión desde otro dispositivo.

¿Las passkeys son compatibles con todos los sitios web?

No, no todos los sitios aceptan passkeys aún. En webs antiguas o en la banca de algunos países seguirás necesitando la contraseña o el lector de tarjetas. La convivencia es normal durante esta transición.

Resumen práctico

• Una passkey es una credencial criptográfica que sustituye a la contraseña, desbloqueada con biometría o PIN del dispositivo.
• Es resistente al phishing, única por sitio y a prueba de reutilización, porque la clave privada nunca viaja por la red.
• Se apoya en el estándar abierto FIDO2 (WebAuthn + CTAP), impulsado por FIDO Alliance y W3C y soportado por Apple, Google y Microsoft.
• Ya hay 5.000 millones de passkeys en uso activo en todo el mundo, y los casos empresariales muestran tiempos de acceso mucho más rápidos.
• Empieza por tus cuentas más importantes, conserva la contraseña como respaldo y no la elimines hasta comprobar la passkey en todos tus dispositivos.
• Mantén siempre un método de recuperación configurado y desconfía de cualquiera que te pida tu passkey: no se comparte ni se exporta.

Referencias externas:

• FIDO Alliance: State of Passkeys 2026
• NCSC: Passkeys: what you need to know
• Microsoft Support: What are passkeys and why they matter
• Passkeys.com: qué es una passkey y cómo funciona
• Secra: qué es FIDO2, WebAuthn y las passkeys
• Specops Software: passkeys, ventajas y limitaciones
• ZDNET: How passkeys work, the complete guide
• WIRED: cómo funcionan las passkeys y cómo utilizarlas
• Google Developers: casos de éxito con passkeys