- Las passkeys son llaves de acceso basadas en criptografía de clave pública, diseñadas para reemplazar contraseñas.
- Funcionan sobre estándares como FIDO2 y WebAuthn, reduciendo exposición a suplantación y reutilización de credenciales.
- Para empresas, conviene adoptarlas primero en accesos de alto riesgo, recuperación de cuenta y operaciones sensibles.
- Su impacto aumenta cuando se conectan con autenticación adaptativa, biometría y prevención de fraude.
La contraseña tradicional ya no es una defensa viable para las empresas. Se filtra, se reutiliza, se comparte y se roba con facilidad. El segundo factor ayudó, pero trajo fatiga, costes de soporte y fricción a cada acceso.
Las passkeys (o llaves de acceso) llegan como una solución técnica mucho más robusta. Sustituyen la contraseña por una credencial criptográfica única, vinculada al dispositivo del usuario y resistente a la suplantación. Su adopción crece gracias al estándar FIDO2 —es decir, el protocolo abierto que reemplaza contraseñas por un par de claves criptográficas— y al soporte nativo en sistemas operativos y navegadores.
Para las empresas, su valor real va más allá de "entrar sin contraseña". Reducen el robo de cuentas, alivian al equipo de soporte, mejoran la experiencia del usuario y ofrecen una autenticación fuerte sin exigirle más esfuerzo a la persona en cada inicio de sesión. Protegen sin complicar.
Las passkeys reemplazan secretos compartidos por criptografía
La contraseña es como un secreto que compartís con la plataforma: vos la conocés, la plataforma la guarda y la verifica cada vez que querés ingresar. Pero el problema es que si alguien la intercepta, la usa en otro sitio o te engaña para que la reveles, el sistema no puede distinguir entre tu persona y un intruso. Es una llave que cualquiera puede duplicar, y eso la convierte en un mecanismo frágil desde el principio.
La passkey (o llave de acceso) cambia las reglas del juego. En lugar de compartir un secreto, usa un par de claves criptográficas: una privada que nunca sale de tu dispositivo, y otra pública que la plataforma guarda para verificar tu identidad. La plataforma nunca recibe ni almacena tu clave privada, ni tampoco una contraseña que pueda filtrarse o robarse. Así, el acceso es mucho más seguro sin depender de que vos tengas que recordar o proteger un secreto.
Eso cambia el modelo de riesgo:
- No hay contraseña para robar — el usuario no escribe un secreto que pueda ser capturado.
- No hay contraseña para reutilizar — cada passkey está asociada al servicio correspondiente.
- No hay secreto compartido — el servidor verifica una prueba criptográfica, no una clave memorizada.
- Hay validación local — el dispositivo puede pedir biometría, PIN u otro mecanismo local antes de usar la llave.
- Hay menor exposición a suplantación — la passkey está ligada al dominio o aplicación legítima.
El punto crucial para las empresas es que la passkey no es solo una mejora de experiencia, sino que es una reducción estructural de la superficie de ataque.
El estándar FIDO2 explica por qué son más resistentes
Las passkeys se apoyan en estándares abiertos como FIDO2 y WebAuthn. FIDO2 define un modelo de autenticación con criptografía de clave pública, y WebAuthn permite que navegadores y plataformas lo usen. En la práctica, esto habilita accesos sin contraseña con llaves sincronizadas, dispositivos físicos o credenciales protegidas por el equipo.
La ventaja técnica está en cómo se verifica el acceso. La plataforma envía un desafío, el dispositivo lo firma con la clave privada y el servidor valida esa firma con la clave pública registrada. Si la firma es válida y corresponde al dominio correcto, se concede el acceso. No viajan secretos, no hay contraseñas que almacenar ni nada que alguien pueda robar para suplantarte.
Esto reduce ataques frecuentes:
- Suplantación por engaño — la passkey no se entrega a un sitio falso como una contraseña.
- Relleno de credenciales — no hay contraseña reutilizable para probar a escala.
- Robo de bases de contraseñas — el servidor no almacena secretos reutilizables.
- Captura de códigos — se reduce dependencia de códigos de un solo uso enviados por canales vulnerables.
- Fatiga de MFA — se evita pedir aprobaciones repetitivas cuando el riesgo es bajo.
Ahora bien, FIDO2 no elimina todo el riesgo. Si la recuperación de cuenta es débil, el atacante va a ir por ahí. Si el dispositivo está comprometido, hay que mirar otras señales. Si una operación es sensible, puede corresponder pedir más evidencia. Una passkey mejora la entrada, pero no reemplaza toda la arquitectura de confianza.
Las empresas adoptan passkeys para reducir riesgo y soporte
A la hora de evaluar costos de la contraseña en una empresa, hay dos tipos: los que se ven y los que se esconden. Los visibles son obvios: restablecimientos, bloqueos, tickets, llamadas a soporte y usuarios que abandonan porque no pueden entrar. Los menos visibles son más caros: toma de cuentas, exposición a credenciales filtradas, fraude posterior al acceso y horas de ingeniería sosteniendo un modelo que ya no escala bien.
Las passkeys atacan ese problema desde la raíz. No obligan al usuario a recordar una clave. No dependen de que distinga una página legítima de una falsa, ni necesitan que soporte resuelva tantos bloqueos por contraseñas olvidadas. Es un cambio que reduce costos visibles e invisibles al mismo tiempo.
En empresas con alto volumen digital, esto impacta en cuatro frentes:
- Seguridad — menos exposición a credenciales robadas o reutilizadas.
- Experiencia — accesos más rápidos y menos interrupciones innecesarias.
- Operación — menos restablecimientos y menos presión sobre soporte.
- Conversión — menos abandono en inicio de sesión, recuperación y reautenticación.
En servicios financieros, esto importa en banca móvil, transferencias, recuperación de cuenta y operaciones sensibles. En gaming, impacta en retiros, cuentas de alto valor y abuso de promociones. En ventas, mejora acceso a cuentas, compras recurrentes y financiación.
La contraseña parece barata hasta que medís todo lo que obliga a sostener.
La adopción debe empezar por flujos de mayor impacto
Por más tentador que parezca implementar un nuevo sistema de autenticación con rapidez, no conviene migrar toda la infraestructura de un día para otro. Una adopción seria de passkeys o llaves de acceso empieza por los flujos donde el beneficio es más claro y el riesgo de seguridad es más alto. Después se extiende al resto de la base de usuarios con métricas claras, programas de educación y alternativas seguras que garanticen una transición sin fricción.
Los mejores puntos de entrada suelen ser:
- Usuarios de alto valor — cuentas con mayor exposición financiera, operativa o regulatoria.
- Operaciones sensibles — transferencias, cambios de datos, retiros o emisión de credenciales.
- Recuperación de cuenta — reemplazo de procesos débiles basados en correo, SMS o soporte manual.
- Nuevos registros — activación de passkey desde el onboarding para evitar crear contraseña.
- Usuarios con fricción recurrente — cuentas con muchos restablecimientos, bloqueos o intentos fallidos.
- Empleados y administradores — accesos internos con permisos críticos.
El error más común es sumar passkeys arriba de una recuperación de cuenta débil. Si el usuario entra con una llave fuerte, pero puede recuperar el acceso con un correo vulnerable o una revisión manual sin evidencia suficiente, el atacante no necesita romper la passkey. Solo necesita usar el camino más fácil. Eso convierte a la recuperación en el eslabón más frágil de toda la cadena de autenticación.
Por eso, antes de adoptar passkeys, conviene revisar el ciclo completo:
- cómo se registra la identidad;
- cómo se emite la llave;
- cómo se recupera acceso;
- cómo se registra un nuevo dispositivo;
- qué pasa ante una operación sensible;
- qué señales elevan riesgo;
- qué evidencia queda para auditoría.
La adopción no debe ser solo técnica, sino que además debe ser una decisión operativa.
Las passkeys funcionan mejor con autenticación adaptativa
Una passkey confirma que el usuario tiene acceso a una llave válida, pero no siempre alcanza para aprobar una operación. Para que el potencial de una passkey tenga mayor efectividad, el contexto debe continuar importando. Un inicio de sesión desde un dispositivo conocido y con comportamiento habitual puede avanzar sin fricción. En cambio, si se genera una recuperación desde un dispositivo nuevo, seguida de cambio de teléfono y transferencia a un beneficiario nuevo, necesitará más evidencia.
Ahí es donde aparece la autenticación adaptativa. No se trata de acumular factores de verificación sin criterio, sino de evaluar el riesgo de cada operación y pedir más pruebas solo cuando realmente hace falta —seguridad sin fricción, no seguridad a fuerza de repetir el mismo control. La idea es proteger sin volverse una molestia para el usuario en cada movimiento.
El sistema evalúa señales y decide cuándo pedir más:
- Dispositivo — historial, integridad, cambios recientes o señales de manipulación.
- Ubicación — país, ciudad, red, intermediarios o desplazamientos improbables.
- Comportamiento — ritmo de navegación, velocidad de escritura y secuencia de acciones.
- Operación — monto, destino, tipo de cambio o sensibilidad del dato.
- Identidad — nivel de confianza del onboarding, biometría y prueba de vida previa.
- Historial — intentos fallidos, reclamos, bloqueos o eventos de riesgo.
La passkey reduce la exposición inicial, pero la autenticación adaptativa es la que decide si esa confianza sigue siendo suficiente en cada operación. Y esa diferencia es clave, porque la seguridad de las cuentas no mejora pidiendo más verificación siempre, sino pidiendo más cuando el riesgo realmente cambia. Así se protege mejor sin castigar al usuario en cada acceso, algo que las contraseñas y los segundos factores tradicionales nunca lograron equilibrar del todo.
La estrategia correcta conecta acceso, identidad y prevención de fraude
En definitiva, las passkeys resuelven una parte importante del problema al eliminar la contraseña del acceso. Pero la identidad digital no termina en el acceso, porque una cuenta puede pasar onboarding correctamente y enfrentar toma de cuenta semanas después. O un dispositivo puede ser legítimo y quedar comprometido. Inclusive, una sesión puede empezar con bajo riesgo y cambiar cuando aparece una operación sensible.
Por eso, una estrategia empresarial de passkeys debería conectarse con identidad, autenticación y prevención de fraude. En VU organizamos esa capa desde tres capacidades:
- Verifica para verificación de identidad y onboarding biométrico.
- Autentica para autenticación, MFA y acceso sin contraseña.
- Protege para prevención de fraude en tiempo real.
Cuando esas capas trabajan juntas, la empresa puede tomar decisiones más precisas sobre cuándo confiar, cuándo pedir más evidencia y cuándo bloquear. De este modo, la contraseña deja de tener ese rol central determinante, pero la confianza no.
Ahí está el verdadero cambio: no en reemplazar una contraseña por una llave, sino en dejar de tratar el acceso como un evento único y empezar a sostenerlo durante todo el recorrido del usuario.
Agendá una demo
