Passkeys, llaves de seguridad y doble factor: qué elegir
No todas las formas de iniciar sesión protegen igual. Aprende a usar las passkeys, entender cuándo conviene una llave física y conservar una vía de recuperación.
Revisado: · Fuentes oficiales
Te llega un mensaje que te manda a una página idéntica a la de tu correo. Introduces la contraseña y, segundos después, otra persona intenta usarla. Las llaves de acceso o passkeys están diseñadas para reducir precisamente este riesgo: en una web compatible, puedes entrar mediante tu dispositivo sin escribir una contraseña que alguien pueda copiar. Pero conviene entender dónde se guardan y cómo recuperar la cuenta si pierdes el teléfono.
Qué es una passkey y por qué protege frente al phishing
Una passkey, también llamada llave de acceso, utiliza criptografía de clave pública. Al crearla, tu dispositivo o gestor compatible genera un par de claves: la clave pública se registra en el servicio y la privada se conserva en el autenticador, como el móvil, el ordenador, el gestor de contraseñas o una llave física.
Cuando intentas entrar, el sistema comprueba que estás usando esa credencial en el dominio legítimo. Tú confirmas la operación con el método de desbloqueo correspondiente: Face ID, huella, PIN o Windows Hello, según el dispositivo. No escribes un secreto reutilizable en una web falsa.
Las passkeys pueden proteger frente a muchos ataques de suplantación de páginas y reutilización de contraseñas. No impiden todas las estafas, el robo de una sesión ya iniciada, un teléfono comprometido o el acceso de alguien que conoce tu código de desbloqueo. El nivel de seguridad también depende de las opciones de recuperación y de los métodos alternativos que mantenga cada servicio. Apple explica su funcionamiento y la FIDO Alliance describe el estándar.
Passkey, llave física y doble factor: no son exactamente lo mismo
Una cuenta puede ofrecer varios métodos para iniciar sesión. No todos protegen igual frente a una página fraudulenta.
| Método | Qué necesitas | Límite principal |
|---|---|---|
| Contraseña | Escribir un secreto | Puede robarse, reutilizarse o introducirse en una web falsa |
| Contraseña + SMS | Contraseña y código por móvil | El código puede solicitarse en una web falsa; la línea puede sufrir fraude |
| Contraseña + app de códigos | Contraseña y código temporal de una app | Más independiente del SMS, pero el código también se puede suplantar |
| Passkey sincronizada | Dispositivo con bloqueo o gestor compatible | Depende del acceso seguro a dispositivos y cuenta de sincronización |
| Passkey o llave FIDO2 ligada a hardware | Llave física compatible, PIN o toque según modelo | Hay que conservar y prever una llave de repuesto o recuperación |
Las passkeys correctamente implementadas son resistentes al phishing porque están ligadas al servicio legítimo. Los códigos SMS y TOTP, aunque aportan protección frente a una contraseña robada, pueden ser entregados a un estafador en tiempo real. FIDO Alliance y CISA explican esta diferencia. Análisis técnico de FIDO Alliance.
Dos formas habituales de guardar una passkey
En un gestor o ecosistema sincronizado
Por ejemplo, la app Contraseñas y el Llavero de iCloud, Google Password Manager u otros gestores compatibles. La credencial puede estar disponible en varios dispositivos autorizados. Es cómoda, pero debes proteger especialmente la cuenta que permite la sincronización y los métodos de recuperación.
En una llave física o dispositivo concreto
Una llave FIDO2 compatible puede almacenar la credencial y requerir contacto NFC/USB, PIN o biometría según el modelo. Es una opción adecuada cuando se necesita más aislamiento, pero debes pensar qué harás si se rompe o desaparece.
No todas las llaves físicas son iguales: algunas admiten passkeys FIDO2; otras se emplean como segundo factor o para funciones distintas. Verifica la compatibilidad con tus dispositivos y con cada cuenta antes de comprar una. Y no confundas una passkey de una web con la opción de llaves de seguridad para la Cuenta de Apple, que tiene requisitos y procedimiento propios.
Cómo empezar en Google, Apple y Microsoft
- Google: accede por tu cuenta a la gestión de llaves de acceso de Google. Comprueba la dirección, inicia sesión normalmente y selecciona Crear llave de acceso si está disponible. Autoriza el desbloqueo en un dispositivo personal, no compartido. Google explica que añadir una passkey no elimina automáticamente la contraseña ni los factores de recuperación anteriores.
- iPhone y sitios compatibles: activa el Llavero de iCloud y la autenticación de doble factor de la Cuenta de Apple. En una web o aplicación que ofrezca passkeys, entra en la configuración de seguridad de esa cuenta, selecciona crear una llave de acceso y confirma con Face ID, Touch ID o el código. Puedes consultar las credenciales en la app Contraseñas de iOS 18 o posterior; en iOS 17 y anteriores, desde Ajustes → Contraseñas. Instrucciones oficiales de Apple.
- Microsoft: para una cuenta personal, abre por tu cuenta sus opciones avanzadas de seguridad y busca Agregar una nueva forma de iniciar sesión o verificar. Microsoft permite guardar passkeys con Windows Hello, un gestor compatible, teléfono o llave física, según el equipo y la cuenta. En empresas o centros educativos pueden intervenir políticas del administrador. Guía de Microsoft.
¿Es obligatorio comprar una llave física?
No. Para muchas personas, una passkey guardada y protegida correctamente en su móvil o gestor compatible ofrece una mejora notable frente a usar solo contraseñas. Una llave física es una opción adicional para quienes quieren separar credenciales, proteger cuentas especialmente valiosas o reducir la dependencia de dispositivos sincronizados.
Si decides proteger tu Cuenta de Apple mediante llaves físicas, Apple exige al menos dos llaves certificadas FIDO compatibles y versiones mínimas del sistema. Esta función avanzada sustituye los códigos de verificación habituales por una llave o un dispositivo Apple de confianza en determinadas operaciones. Perder todas las llaves y dispositivos de confianza puede causar un bloqueo permanente. Requisitos y advertencias de Apple.
Antes de gastar dinero, comprueba las conexiones USB-C, Lightning o NFC que admite cada equipo, el estándar FIDO2 y los requisitos de tus servicios. Una marca o precio elevado no convierte una llave en adecuada para todas las cuentas.
Prepara la recuperación antes de cambiar el acceso
- Revisa las alternativas disponibles. En cada cuenta, comprueba si puedes registrar una segunda passkey, otro dispositivo personal o una llave física adicional.
- Protege la cuenta de sincronización. Si guardas passkeys en iCloud, Google u otro gestor sincronizado, asegura su acceso y sus métodos de recuperación.
- Guarda los códigos de recuperación de los servicios que los proporcionen, en un lugar seguro fuera del dispositivo principal. No todos ofrecen los mismos códigos o procesos.
- Comprueba los métodos antiguos. Una cuenta puede seguir permitiendo acceder mediante contraseña o SMS: crear una passkey no significa que esas vías desaparezcan.
- Si pierdes el móvil, actúa desde un dispositivo confiable. Utiliza las herramientas de bloqueo y recuperación oficiales, revoca sesiones o credenciales del dispositivo perdido según las opciones del servicio y evita enlaces de supuestos recuperadores.
La recuperación es una parte de la seguridad, no un trámite secundario. Antes de eliminar un método anterior, comprueba que el nuevo funciona y que conservas una vía independiente de acceso.
Dudas habituales sobre passkeys y doble factor
¿La web recibe mi huella dactilar o mi cara?
Al usar una passkey, la verificación biométrica se realiza en el dispositivo o autenticador. La web recibe una prueba criptográfica, no tu huella o rostro. Los detalles dependen del autenticador concreto.
¿Una passkey es lo mismo que la doble autenticación?
No son palabras equivalentes. Una passkey combina la posesión del autenticador con su desbloqueo cuando exige verificación local; por ello puede proporcionar autenticación multifactor resistente al phishing en un único proceso. Otros servicios llaman doble factor a contraseña más código, que tiene límites diferentes.
¿Puedo usarla desde un ordenador distinto?
En servicios y equipos compatibles, puedes usar una passkey guardada en tu móvil para iniciar sesión en otro equipo, normalmente mediante un QR y comprobación de proximidad por Bluetooth. Asegúrate siempre de estar en la web auténtica.
¿Qué sucede si pierdo la llave de seguridad?
Depende del servicio. Una llave de reserva, otro dispositivo autorizado o un método de recuperación pueden ayudarte. En algunos programas de alta seguridad perder todas las llaves puede dejarte sin acceso; comprueba las condiciones antes de activarlos.
¿Debo borrar inmediatamente todas mis contraseñas?
No. Haz la transición cuenta por cuenta, verifica los métodos disponibles y prepara la recuperación. Hay servicios que mantienen la contraseña como alternativa aunque crees una passkey.
Fuentes y criterio editorial
Revisado el . Este artículo explica los estándares y procedimientos publicados; no afirma haber auditado los sistemas de inicio de sesión de Google, Apple, Microsoft ni otras empresas. Los menús y requisitos pueden cambiar; las empresas o centros educativos pueden imponer sus propias reglas. No existen enlaces de afiliación ni una recomendación comercial de llaves físicas.
- Apple: seguridad de las llaves de acceso
- Apple: crear passkeys en iPhone
- Apple: requisitos de llaves físicas para la Cuenta de Apple
- Google: crear, usar y recuperar llaves de acceso
- Google: verificación en dos pasos y métodos adicionales
- Microsoft: passkeys y Windows Hello
- FIDO Alliance: comparación técnica de métodos (2025)
- CISA: autenticación resistente al phishing
Para continuar, consulta los ocho ajustes básicos del iPhone, la guía para proteger WhatsApp o el Centro de Seguridad.