Autenticación sin contraseña
Probar identidad sin un secreto compartido. Qué métodos cumplen esa definición, cuáles solo cambian el secreto de lugar y por qué la diferencia decide el resultado.
En síntesis
La autenticación sin contraseña es el conjunto de métodos que permiten probar una identidad sin que exista un secreto que la persona conozca y el sistema almacene. Lo que reemplaza a la contraseña es la posesión de un dispositivo, una clave criptográfica o un rasgo biométrico comprobado localmente.
El objetivo no es la comodidad, aunque la traiga. Es eliminar la clase de ataques que dependen de que exista algo que se pueda adivinar, filtrar o pedir por engaño.
La contraseña falla por lo que es, no por cómo se usa
Antes de reemplazarla conviene tener claro qué se está reemplazando, porque no todos los problemas de la contraseña se resuelven con el mismo sustituto.
- Se reutiliza — la misma clave se repite entre servicios, y una filtración en cualquiera de ellos habilita el credential stuffing contra todos los demás.
- Se entrega — un sitio de imitación la pide y la persona la escribe. Es el mecanismo del phishing, y no hay política de complejidad que lo evite.
- Se almacena — el sistema tiene que guardar algo que permita validarla, y ese algo es un objetivo permanente.
- Cuesta operar — el restablecimiento de contraseñas es una carga de soporte constante y, a la vez, uno de los caminos preferidos para tomar cuentas ajenas.
La contraseña no falla por descuido del usuario. Falla porque es un secreto compartido, y un secreto compartido siempre tiene dos lugares desde donde escaparse.
Eliminar el secreto no es lo mismo que esconderlo
Bajo la misma etiqueta conviven dos familias de métodos con propiedades de seguridad distintas. Es la sección que gana el término y la que evita comprar una promesa por otra.
- [Passkeys](/glosario/passkeys) y credenciales [FIDO2](/glosario/fido2) — no hay secreto compartido. El dispositivo firma un desafío con una clave privada que nunca se envía al sitio, y la credencial está atada al dominio, así que un sitio de imitación no puede pedirla.
- Biometría en el dispositivo — el rasgo se compara localmente y desbloquea una clave. No viaja al servidor. Cuando respalda una credencial FIDO, pertenece a la familia anterior.
- Magic link — el sistema envía un enlace de un solo uso a la casilla de correo. No hay contraseña en el login, y el secreto pasó a ser el acceso al correo.
- [OTP](/glosario/otp) como único factor — tampoco hay contraseña, y sí hay un código transcribible que se puede pedir por engaño o interceptar según el canal.
Las dos últimas eliminan la contraseña de la pantalla de acceso y conservan un secreto en tránsito. Son mejores que una contraseña reutilizada y no son equivalentes a una credencial criptográfica.
Un flujo sin contraseña con recuperación por contraseña sigue teniendo contraseña
Es la falla de implementación más frecuente de la categoría y no se ve en la pantalla de acceso, que es donde todos miran.
Un producto puede retirar la contraseña del login y conservarla en el restablecimiento, en el canal de atención o en el alta de un dispositivo nuevo. El atacante no discute la puerta principal: usa la de servicio. El nivel de seguridad efectivo del acceso es el del camino más débil que devuelve una cuenta.
Retirar la contraseña obliga entonces a resolver dos cosas que antes quedaban escondidas detrás de ella:
- Cómo se recupera el acceso cuando se pierde el dispositivo. Sin contraseña, recuperar acceso vuelve a ser una pregunta de identidad y no de credenciales: hay que establecer de nuevo que quien pide es el titular.
- Cómo se registra un dispositivo nuevo, que es el mismo problema con otro nombre.
Las dos son verificaciones de identidad, no factores de autenticación. Y la calidad con la que se resuelvan define lo que vale todo el esquema, porque la identidad digital que sostiene la cuenta es la que permite reconocer al titular cuando ya no tiene nada que mostrar.
Preguntas frecuentes
Es el conjunto de métodos que permiten probar una identidad sin un secreto que la persona conozca y el sistema almacene. En su lugar se usa la posesión de un dispositivo, una clave criptográfica guardada en él o un rasgo biométrico comprobado localmente. El propósito es eliminar los ataques que dependen de que exista una contraseña que se pueda adivinar, filtrar o pedir por engaño.
Cuentan en el sentido literal, porque no hay contraseña en la pantalla de acceso, y no ofrecen la misma protección que una credencial criptográfica. En los dos casos sigue existiendo un secreto que viaja, y quien accede a la casilla de correo accede a la cuenta. La diferencia práctica es que una passkey no se puede entregar a un sitio de imitación, mientras que un enlace o un código sí se pueden reenviar, interceptar o transcribir donde no corresponde.
Se vuelve la parte más importante del diseño. Sin contraseña, recuperar el acceso deja de ser una pregunta de credenciales y pasa a ser una verificación de identidad: hay que comprobar que quien pide es el titular, con su documento y con evidencia de que hay una persona real presente. Si en cambio la recuperación devuelve la cuenta con una pregunta secreta o un código por SMS, el esquema completo vale lo que vale ese camino.
