Inicias sesión con un vistazo a tu teléfono — sin contraseña escrita, nada que olvidar, nada que phishear. Eso es un passkey, y en 2026 es la tecnología que reemplaza silenciosamente a la contraseña. Esta guía explica, con claridad, qué es un passkey, cómo funciona, por qué es más seguro que una contraseña, y cómo mantener tus passkeys disponibles en todos tus dispositivos.
Qué es un passkey
Un passkey reemplaza tu contraseña por un par de claves criptográficas. Cuando creas un passkey para un sitio, tu dispositivo genera dos claves:
- una clave privada que nunca sale de tu dispositivo, protegida por tu cara, huella o PIN;
- una clave pública que el sitio guarda.
Para entrar, el sitio envía un reto de un solo uso; tu dispositivo lo firma con la clave privada y devuelve la firma. El sitio la verifica con la clave pública. Nunca escribes ni transmites un secreto — solo apruebas con tu biometría. Es algo que tienes (el dispositivo con la clave) más algo que eres (tu biometría).
Passkey vs contraseña
Una contraseña es un secreto compartido: tú y el sitio la tenéis, la escribes, y quien la robe, phishee o adivine se convierte en ti. Un passkey es un par de claves: la mitad privada permanece en tu dispositivo y nunca se envía, y el sitio solo guarda la mitad pública, inútil para ladrones.
| Contraseña | Passkey | |
|---|---|---|
| Secreto guardado en el servidor | Sí (con hash) | No — solo clave pública |
| Phisheable | Sí | No (ligado al dominio real) |
| Reutilizable entre sitios | A menudo (malo) | Nunca — único por sitio |
| Hay que recordarlo | Sí | No |
Para el hábito más amplio en el que encaja, ve qué es un gestor de contraseñas y qué es una frase de contraseña.
Por qué los passkeys son más seguros
- Sin secreto compartido — una filtración del servidor solo expone claves públicas, que no permiten entrar a nadie. El desfile interminable de filtraciones de bases de contraseñas simplemente deja de importar.
- Resistencia al phishing — un passkey está ligado al dominio exacto del sitio, así que una página de phishing clónica no puede disparar tu passkey real. Esta es la grande, porque el phishing derrota incluso a contraseñas fuertes. (Ve qué es el phishing.)
- No se envía nada reutilizable — el credential stuffing y la reutilización, causa de la mayoría de los robos de cuentas, ya no aplican.
Cómo se guardan y sincronizan los passkeys
Tus claves privadas viven en tus dispositivos, pero normalmente se sincronizan para no atarte a un solo aparato:
- Sincronización de plataforma — Apple iCloud Keychain, Google Password Manager, Microsoft — cómodo si vives en un ecosistema.
- Un gestor de contraseñas multiplataforma — guarda tus passkeys y los sincroniza entre iPhone, Android, Windows, Mac y navegadores, así no quedas atado a un proveedor y tienes un hogar único y recuperable.
El bloqueo en un ecosistema y la recuperación son las principales fricciones prácticas de los passkeys — y un gestor multiplataforma es la respuesta más limpia.
Guarda tus passkeys en todos tus dispositivos → BitwardenCódigo abierto · Almacenamiento de passkeys multiplataforma (iPhone, Android, Windows, Mac, navegador) · Bóveda zero-knowledge con 2FA→Dónde usar passkeys
La adopción es amplia en 2026 — Google, Apple, Microsoft, Amazon, PayPal y muchos bancos admiten passkeys, con manejo nativo en los principales navegadores y sistemas. Muchos sitios pequeños siguen con contraseñas, así que el enfoque realista es híbrido: passkeys donde se ofrezcan, y un gestor de contraseñas con 2FA sólida para el resto. Para profundizar en la configuración y la comparación, ve passkeys vs contraseñas y configurar passkeys en Google, Apple y Microsoft.
En resumen
Un passkey te conecta con una clave privada en tu dispositivo, desbloqueada con tu cara o huella, en vez de un secreto que escribes. Como no hay secreto compartido y los passkeys están ligados al sitio real, derrotan al phishing, al credential stuffing, a la reutilización y a las filtraciones de bases de una sola vez. Usa passkeys donde se ofrezcan, guárdalos en un gestor multiplataforma para no quedar atrapado, y mantén un gestor de contraseñas con 2FA para los sitios que aún no se han puesto al día.
Guía editorial basada en el modelo documentado de passkeys FIDO2/WebAuthn (clave privada en el dispositivo, verificación por clave pública, vínculo al dominio). Los enlaces comerciales llevan el atributo rel="sponsored nofollow"; puede aplicarse una comisión de afiliación sin coste adicional para ti.
★ Audit Cure53 2024 · ✓ Plan gratuit · Cross-platform
Blinda tus cuentas → NordPassContraseñas fuertes y únicas · escáner de filtraciones · plan gratis→
