Las contraseñas son un desastre. Lo sabemos todos. Hay que hacerlas largas, con mayúsculas, números y símbolos, cambiarlas cada cierto tiempo, no repetirlas entre sitios. Y aun así, millones de cuentas se hackean cada año porque las personas reutilizan contraseñas, caen en phishing o porque alguna base de datos mal protegida expone todo.
La solución no es pedir contraseñas más complicadas. La solución es eliminar las contraseñas. Eso es exactamente lo que hacen las passkeys.
¿Qué es una passkey?
Una passkey es un par de claves criptográficas que reemplaza completamente a las contraseñas. Cuando creas una cuenta en un sitio que las soporta, tu dispositivo genera automáticamente dos claves relacionadas matemáticamente:
- Clave pública: se guarda en los servidores del sitio web.
- Clave privada: nunca sale de tu dispositivo. Nunca.
Para iniciar sesión, el sitio web te manda un desafío matemático que solo puede resolver quien tenga la clave privada. Tu dispositivo la resuelve, pero antes te pide que confirmes que eres tú: con tu huella dactilar, Face ID o PIN del dispositivo. Esa confirmación desbloquea la clave privada localmente y responde el desafío. El sitio verifica la respuesta con la clave pública y te deja entrar.
En ningún momento viajó una contraseña por internet. De hecho, no hay ninguna contraseña que hackear.
Por qué son más seguras que cualquier contraseña
No pueden filtrarse. Si un hacker entra a los servidores del sitio donde tienes cuenta, solo encuentra tu clave pública. Eso es completamente inútil sin la clave privada, que nunca salió de tu teléfono.
Son inmunes al phishing. Si recibes un correo falso que te lleva a "faceb00k.com" e intentas iniciar sesión con passkey, el proceso falla automáticamente. La passkey está vinculada al dominio exacto del sitio original. No puede activarse en un sitio falso.
No hay contraseñas que adivinar. Los ataques de fuerza bruta, los diccionarios de contraseñas comunes, las filtraciones de "123456" masivas, todo eso deja de aplicar cuando no hay contraseña que adivinar.
Son únicas por sitio automáticamente. Uno de los mayores problemas de seguridad es reutilizar contraseñas. Las passkeys son criptográficamente únicas por dominio sin que el usuario tenga que hacer nada.
¿Y si pierdo mi teléfono?
Esta es la pregunta obvia y la respuesta es elegante. Las passkeys se sincronizan en la nube: iCloud Keychain en dispositivos Apple, Google Password Manager en Android y Windows Hello en dispositivos Microsoft. Si cambias de teléfono o pierdes el tuyo, tus passkeys están disponibles en cuanto inicias sesión en tu cuenta de Apple o Google en el dispositivo nuevo.
Para seguridad adicional, puedes registrar passkeys en múltiples dispositivos o tener una llave de seguridad física como respaldo.
El estado actual: quién ya las acepta
La adopción creció considerablemente en 2024 y 2025. Entre los servicios que ya soportan passkeys completamente: Google, Apple ID, Microsoft, GitHub, PayPal, Amazon, Shopify, Uber, WhatsApp y docenas más. La mayoría de bancos grandes en Estados Unidos y Europa las están implementando.
El estándar detrás de las passkeys se llama WebAuthn y fue desarrollado por el W3C junto con la FIDO Alliance, un consorcio que incluye a las grandes tecnológicas. No es una solución propietaria de Apple o Google: es un estándar abierto que cualquier sitio puede implementar.
¿Qué significa esto para las empresas?
Para cualquier empresa que construye productos digitales con autenticación de usuarios, las passkeys representan una oportunidad concreta de mejorar seguridad y experiencia al mismo tiempo. La fricción del inicio de sesión es uno de los puntos de abandono más comunes en flujos de registro. Iniciar sesión con huella dactilar es más rápido y más seguro que escribir una contraseña.
La pregunta no es si las passkeys van a reemplazar a las contraseñas, sino cuándo. La infraestructura ya existe. Los dispositivos ya la soportan. Las empresas que se muevan primero van a ofrecer una experiencia notablemente mejor a sus usuarios.
En Espacio Rojo ya implementamos WebAuthn (passkeys) en Tevlr para los equipos que quieren autenticación sin contraseñas. Si quieres saber más sobre cómo funciona, con gusto te explicamos.