Passkey
Una credencial criptográfica que vive en el dispositivo y reemplaza a la contraseña. Cómo funciona, qué cambia cuando se sincroniza entre equipos y qué pasa el día que el teléfono se pierde.
En síntesis
Una passkey es una credencial criptográfica atada a un sitio y custodiada por un autenticador, que reemplaza a la contraseña. Es una credencial FIDO2: el dispositivo guarda una clave privada, el sitio guarda la clave pública correspondiente, y acceder consiste en firmar un desafío con la primera.
Para el usuario, todo eso se ve como desbloquear el teléfono. Para el sitio, significa que ya no custodia ningún secreto que pueda filtrarse.
Qué ocurre cuando alguien accede con una passkey
La secuencia es breve y cada paso explica una propiedad del mecanismo.
- El sitio envía un desafío. Un dato aleatorio distinto en cada intento, que impide reutilizar una respuesta anterior.
- El dispositivo pide el desbloqueo. Rostro, huella o PIN del dispositivo. Esa comprobación es local: autoriza el uso de la clave privada.
- El autenticador firma. La clave privada nunca se envía al sitio, ni siquiera en este paso.
- El sitio valida la firma con la clave pública que guardó al registrarse.
De acá se sigue lo que más se malinterpreta: el rasgo biométrico no viaja a ningún lado. No se envía al sitio, no se guarda en su base y no forma parte del protocolo. Lo único que hace es desbloquear una clave que ya estaba en el dispositivo.
La sincronización resolvió la adopción y movió la confianza
Las primeras credenciales FIDO quedaban encerradas en el equipo donde se creaban. Perder el equipo era perder el acceso, y eso frenó su adopción masiva durante años.
Las passkeys sincronizables lo resolvieron: la plataforma respalda la credencial y la replica entre los dispositivos de la misma persona. La contrapartida es que la seguridad del acceso pasa a depender también de la cuenta de plataforma que sincroniza. Quien recupera esa cuenta recupera las passkeys que contiene.
Por eso conviene tener presente la distinción:
- Passkey sincronizable — se replica entre dispositivos de la persona a través de la plataforma. Es cómoda, sobrevive a la pérdida del equipo y hereda la seguridad de la cuenta de plataforma.
- Passkey atada al dispositivo — no se sincroniza y no sale del equipo donde se creó. Es más restrictiva y no cede confianza a ningún tercero. Es el formato que suele exigirse en escenarios de alto riesgo.
Un equipo que evalúa passkeys para un producto regulado tiene que saber cuál de las dos está aceptando, porque no responden lo mismo ante un auditor.
La recuperación es el punto donde se define todo
El phishing deja de funcionar contra una passkey, porque la credencial está atada al dominio que la registró y el navegador no la ofrece a un sitio de imitación. El credential stuffing tampoco tiene sentido: no hay contraseña que probar en masa.
El atacante hace entonces lo razonable, que es dejar de atacar el acceso y atacar la recuperación. Y la recuperación es donde muchas implementaciones dejan una contraseña de respaldo, un OTP por SMS o una pregunta secreta. El nivel de seguridad real del acceso pasa a ser el del camino más débil, no el de la passkey.
Bien resuelta, la recuperación de acceso deja de ser una pregunta de credenciales y vuelve a ser una pregunta de identidad: hay que establecer de nuevo que quien pide recuperar es el titular. Esa comprobación es una verificación de identidad, con documento y presencia, no un segundo factor. Es el mismo problema que resuelve el alta, y por eso una identidad digital consolidada hace la diferencia: la evidencia recogida al registrarse es la que permite reconocer al titular cuando ya no tiene su dispositivo.
Preguntas frecuentes
Es una credencial criptográfica que reemplaza a la contraseña, atada a un sitio y custodiada por un autenticador. El autenticador guarda una clave privada que nunca se envía al sitio, el sitio guarda la clave pública, y el acceso consiste en firmar con la privada un desafío aleatorio que el sitio envía. Técnicamente es una credencial FIDO2, y lo que la industria agregó sobre el estándar es la posibilidad de sincronizarla: una passkey sincronizable se replica cifrada entre los dispositivos de la misma persona a través de la plataforma, mientras que una passkey atada al dispositivo no sale del equipo donde se creó. La distinción cambia el modelo de recuperación y conviene saber cuál de las dos se está registrando.
No. El rasgo biométrico se compara localmente en el dispositivo y su única función es desbloquear la clave privada que ya estaba guardada ahí. Al sitio nunca le llega la biometría: le llega una firma criptográfica. Es una diferencia importante frente a la idea intuitiva de que la cara se envía a un servidor para compararla.
Depende de qué tipo de passkey se registró. Si es sincronizable, la credencial está respaldada por la plataforma y se recupera al iniciar sesión en la cuenta de plataforma desde otro dispositivo. Si está atada al dispositivo, se pierde y hay que pasar por el proceso de recuperación del sitio. Ese proceso es la parte que conviene mirar con más cuidado: si la recuperación devuelve el acceso con un código por SMS o una pregunta secreta, la seguridad efectiva de la cuenta es la de ese camino y no la de la passkey.
