El fin de las contraseñas: Qué son las Passkeys y por qué cambiarán la ciberseguridad para siempre

 Durante más de cuatro décadas, las contraseñas han sido la primera y principal línea de defensa para proteger nuestras cuentas en internet. Sin embargo, el sistema está roto: exigimos a la mente humana que recuerde docenas de cadenas complejas de letras, números y símbolos, lo que acaba provocando que el 80% de los usuarios reutilice la misma clave en múltiples sitios o use variaciones muy débiles.

Los gestores de contraseñas y la verificación en dos pasos (2FA) mediante SMS mejoraron la situación, pero siguen siendo vulnerables al phishing sofisticado. Para resolver esto de raíz, los gigantes tecnológicos (Google, Apple y Microsoft) junto con la alianza FIDO2 han desarrollado la alternativa definitiva: las Passkeys o claves de acceso.

¿Qué es exactamente una Passkey?

Una Passkey es una credencial digital vinculada directamente a tu dispositivo (tu teléfono móvil, ordenador o llave de seguridad física). En lugar de escribir una contraseña en una casilla de texto, te autenticas en cualquier web utilizando los mismos sistemas de biometría que ya usas para desbloquear tu teléfono: huella dactilar, reconocimiento facial o el PIN del dispositivo.

A nivel de usuario, iniciar sesión se vuelve tan rápido como poner el pulgar en el lector de huellas de tu smartphone.

La magia técnica: Criptografía de llave pública

Para entender por qué las Passkeys son inmunes al cibercrimen, hay que comprender cómo funcionan por dentro mediante la criptografía asimétrica:

1. La clave privada (Secreta): Se genera y se almacena en el chip de seguridad físico de tu dispositivo (como el Secure Enclave del iPhone o el chip TPM de un ordenador). Esta clave nunca sale de tu teléfono y nadie, ni siquiera la propia empresa, puede verla.

2. La clave pública: Se envía al servidor de la página web donde te registras. 

Cuando intentas iniciar sesión, el servidor le envía un "reto" matemático a tu teléfono. Tu dispositivo resuelve el problema usando su clave privada (tras verificar tu huella dactilar) y le demuestra al servidor que es el dueño legítimo sin haber enviado nunca la contraseña por internet.

Por qué las Passkeys hacen imposible el Phishing

En un ataque de Phishing tradicional, un hacker crea una copia falsa de la web de tu banco o de tu correo para que introduzcas tu contraseña y robarla. 

Con las Passkeys, el phishing es técnicamente imposible. La credencial está "vinculada criptográficamente" al dominio web real (por ejemplo, google.com). Si caes en la trampa y entras en una web falsa (como g00gle.com), tu dispositivo detectará que el dominio no coincide con la Passkey almacenada y se negará a enviar cualquier respuesta de autenticación.

El estado actual del estándar

Plataformas como Google, WhatsApp, Amazon, TikTok y Apple ya permiten activar Passkeys en sus configuraciones de seguridad. Además, si cambias de teléfono, las claves de acceso se sincronizan de forma encriptada de extremo a extremo a través de tu cuenta de iCloud o del Gestor de Contraseñas de Google.

Conclusión

Las contraseñas de texto pasarán a la historia como una reliquia de los inicios de internet. Adoptar las Passkeys en tus cuentas principales no solo elimina la frustración de tener que recordar o cambiar claves olvidadas, sino que eleva tu nivel de ciberseguridad a un estándar profesional sin esfuerzo.