¿Qué son las passkeys? El sustituto de la contraseña y quién se niega aún a ofrecerlo

Un nuevo sitio web ha empezado a señalar a las empresas que todavía no permiten a sus usuarios iniciar sesión con passkeys, según TechCrunch, lo que añade presión al lento abandono de las contraseñas. La campaña es un buen motivo para dar un paso atrás y preguntarse qué son en realidad las passkeys y por qué los expertos en seguridad están tan deseosos de verlas adoptadas de forma generalizada.

Una passkey es una credencial que sustituye la contraseña tradicional por un par de claves criptográficas. Cuando un usuario crea una, su dispositivo genera una clave privada que nunca abandona el dispositivo y una clave pública que guarda el servicio. Iniciar sesión demuestra la posesión de la clave privada sin transmitir nunca un secreto que pudiera robarse.

Ese diseño aborda la debilidad central de las contraseñas, que son secretos compartidos. Una contraseña debe enviarse a un servidor para comprobarse, puede reutilizarse entre sitios y puede adivinarse, filtrarse o caer en un phishing. Una passkey no puede sufrir phishing del mismo modo, porque no hay un secreto que la víctima pueda entregar a un sitio falso.

En la práctica, usar una passkey resulta familiar. El usuario suele autenticarse con la misma huella, escaneo facial o PIN del dispositivo que ya emplea para desbloquear su teléfono o portátil. La criptografía ocurre de forma invisible en segundo plano, lo que forma parte del atractivo: más seguridad con menos fricción que teclear una contraseña compleja.

Las passkeys se basan en estándares abiertos desarrollados por una alianza del sector, lo que significa que no están atadas a una sola empresa. Pueden sincronizarse entre los dispositivos de un usuario a través de ecosistemas como el de un fabricante de teléfonos o un navegador, de modo que una passkey creada en un dispositivo puede estar disponible en otro sin exponer la clave privada subyacente.

Los beneficios de seguridad son notables. Como no hay una contraseña reutilizable que robar, los ataques más comunes, el relleno de credenciales, el phishing y las filtraciones de bases de datos que exponen contraseñas, pierden buena parte de su fuerza. Para el usuario corriente, una passkey puede convertir el secuestro de cuentas de una amenaza realista en una mucho más difícil.

A pesar de estas ventajas, la adopción ha sido desigual, que es lo que destaca el nuevo sitio. Muchos grandes servicios han añadido compatibilidad con passkeys, pero otros siguen dependiendo solo de contraseñas o tratan las passkeys como una opción oscura. La campaña busca hacer visible esa brecha y presionar a los rezagados para que se pongan al día.

Hay motivos reales para el retraso. Incorporar passkeys a sistemas de cuentas existentes exige esfuerzo de ingeniería, los equipos de soporte deben gestionar nuevos escenarios de recuperación, y las empresas temen confundir a los usuarios en plena transición. Nada de esto es trivial, pero los defensores sostienen que es resoluble y está pendiente desde hace tiempo.

Para los usuarios, el consejo práctico es claro: donde un servicio ofrezca passkeys, activar una suele mejorar la seguridad con pocos inconvenientes, sobre todo en cuentas importantes como el correo y la banca. Las contraseñas no desaparecerán de la noche a la mañana, pero cada passkey reduce la exposición a los ataques más comunes.

La relevancia más amplia, sugiere el informe de TechCrunch, es el impulso. Al rastrear públicamente qué empresas han dado el paso y cuáles no, el nuevo sitio convierte una lenta migración técnica en un marcador visible, empujando al sector hacia un futuro en el que la contraseña, por fin, juegue un papel menor.