Las llaves de acceso, conocidas en inglés como passkeys, son un método para iniciar sesión sin contraseña: en lugar de escribir una clave que el servicio guarda y compara, el dispositivo demuestra quién es el usuario con una firma criptográfica que se desbloquea con la huella, el rostro o el PIN del propio teléfono u ordenador. Es más cómodo y más difícil de robar, y por eso las grandes plataformas las están convirtiendo en la puerta de entrada por defecto.
El cambio ha dejado de ser experimental. Según el Passkey Index que la FIDO Alliance publicó el 15 de octubre de 2026, más de un tercio de los inicios de sesión correctos en los servicios analizados (el 36%) ya se hace con una llave de acceso. La contraseña empieza a quedar como plan B.
Qué son las llaves de acceso y de dónde salen
Las llaves de acceso se basan en FIDO2, el conjunto de estándares que combina la especificación WebAuthn del W3C, la que usan los navegadores, con el protocolo CTAP de la FIDO Alliance. Apple, Google y Microsoft las integran en sus sistemas y gestores de contraseñas, así que funcionan en la mayoría de móviles y ordenadores sin instalar nada.
La idea de fondo es sustituir un secreto compartido por un par de claves. Con una contraseña, usuario y servicio conocen el mismo secreto, y quien lo intercepte puede usarlo; con una llave de acceso, el servicio solo guarda una mitad que, por sí sola, no abre ninguna cuenta.
Cómo funciona una llave de acceso
Al crear una llave de acceso en una web o una aplicación, el dispositivo genera dos claves vinculadas matemáticamente. La clave pública se envía al servicio y se queda en su servidor. La clave privada permanece en el dispositivo o en el gestor de contraseñas del usuario, cifrada, y no viaja durante el inicio de sesión.
Al volver a entrar, el servicio envía un desafío, un dato aleatorio de un solo uso; el dispositivo lo firma con la clave privada tras el desbloqueo y el servidor comprueba la firma con la clave pública. Dos detalles importan:
- La huella o el reconocimiento facial no salen del dispositivo: solo sirven para desbloquear la clave privada en local.
- Cada llave queda asociada al dominio del servicio para el que se creó, de modo que el navegador no la ofrece en una web que se haga pasar por él.
Por qué resisten el phishing
Esa vinculación con el dominio es la diferencia decisiva. El phishing funciona porque una persona puede ser engañada para escribir su contraseña, o un código recibido por SMS, en una página que imita a su banco. Con una llave de acceso no hay nada que teclear y el navegador no entrega la firma a un dominio distinto del legítimo. El engaño pierde su materia prima.
El asunto gana urgencia a medida que el fraude se automatiza, un fenómeno que este blog analizó a propósito de el asalto con IA a los bancos de Corea del Sur. Un mensaje más verosímil no cambia lo que el atacante necesita robar, y ahí actúan las llaves de acceso.
En el índice de FIDO, los ocho participantes que miden el phishing informaron de menos ataques con éxito desde que adoptaron las llaves de acceso, una muestra pequeña y autodeclarada que coincide con lo que se esperaba del diseño.
Contraseña frente a llave de acceso
| Contraseña | Llave de acceso | |
|---|---|---|
| Qué guarda el servicio | La contraseña o un resumen cifrado de ella | Solo la clave pública |
| Qué hace el usuario | Recordarla y escribirla | Desbloquear con huella, rostro o PIN |
| Ante una web falsa | Se puede entregar sin darse cuenta | No se ofrece fuera del dominio legítimo |
| Si se filtra el servidor | Expone credenciales reutilizables | La clave pública no sirve para entrar |
| Reutilización | Frecuente entre servicios | Una llave distinta para cada servicio |
Microsoft aportó cifras propias cuando, el 1 de mayo de 2025, convirtió las cuentas nuevas en cuentas sin contraseña por defecto: según la compañía, quienes usan llaves de acceso consiguen entrar en su cuenta en torno al 98% de las veces, frente al 32% de quienes usan contraseña, y lo hacen ocho veces más rápido que con contraseña y doble factor.
Sincronizadas o ligadas a un dispositivo
Existen dos variantes. Las sincronizadas se copian cifradas entre los dispositivos de una misma cuenta, en el llavero de Apple, el gestor de Google o uno independiente, así que perder el móvil no implica perder el acceso. Las ligadas a un dispositivo, como las que guardan las llaves físicas USB o NFC, no salen nunca de él.
La guía de identidad digital del NIST estadounidense, en su versión SP 800-63-4 publicada en julio de 2025, admite las llaves sincronizables hasta el nivel AAL2, pero no en el AAL3, porque copiar la clave entre dispositivos choca con el requisito de que no pueda exportarse. De ahí que los accesos más críticos sigan reservados a llaves que no se pueden copiar, como las físicas.
Lo que dicen los datos de adopción
La FIDO Alliance estimó el 7 de mayo de 2026 que hay unos 5.000 millones de llaves de acceso en uso en el mundo, una estimación propia. Su encuesta, publicada ese mismo día y realizada por Sapio Research en abril a 11.000 consumidores de diez países, sitúa en el 90% a quienes conocen las llaves de acceso y en el 75% a quienes han activado al menos una, aunque solo el 49% las utiliza de forma habitual cuando están disponibles.
El índice de octubre, elaborado con datos de 15 servicios de consumo entre los que figuran Amazon, Google, Microsoft, PayPal, TikTok y WhatsApp, añade la perspectiva de las plataformas:
- El 42% de las cuentas que pueden usar llaves de acceso ya tiene una registrada.
- El 36% de los inicios de sesión correctos se hace con ellas, frente al 26% de la edición de 2025 (comparación orientativa, porque cambió la muestra).
- Los accesos con llave salen bien el 93% de las veces, frente al 78% de los que combinan contraseña y doble factor tradicional, y son 2,8 veces más rápidos.
Son promedios sin ponderar de un grupo reducido de empresas, no una medición de todo internet. Aun así, dibujan una tendencia clara: el freno ya no es la tecnología, sino la costumbre y el diseño de las pantallas de inicio de sesión. Uno de los participantes que aún muestra primero la contraseña calcula que ofrecer antes la llave de acceso duplicaría aproximadamente su uso.
Los puntos débiles: recuperación, ecosistemas y empresas
La transición tiene costes menos visibles. El primero es la recuperación: si las llaves viven en la cuenta de un fabricante, perder el acceso a esa cuenta puede dejar a una persona fuera de muchos servicios a la vez, y muchas webs mantienen la contraseña o el SMS como vía de rescate, el flanco que se quería cerrar. La propia guía del NIST recomienda vincular más de un autenticador a cada cuenta para no depender de uno solo.
El segundo es la dependencia de las plataformas. Las llaves sincronizadas viven dentro del gestor en el que se guardan, lo que refuerza el peso de unas pocas compañías sobre algo tan básico como la identidad digital. Es una tensión parecida a la que recorre el debate sobre las tiendas de apps alternativas.
El tercero está en el trabajo. La encuesta de FIDO indica que el 57% de las organizaciones aún depende de métodos vulnerables al phishing para el acceso diario de sus empleados. Y la expansión de los agentes de IA previsiblemente abrirá otra pregunta: cómo delegar un acceso sin volver a compartir secretos.
Nada indica que la contraseña vaya a desaparecer de golpe. Convivirá durante años como respaldo. Pero el centro de gravedad se ha desplazado: para una parte creciente de los usuarios, entrar en una cuenta empieza a parecerse más a desbloquear el móvil que a recordar una clave.