En los últimos años, las amenazas digitales han avanzado considerablemente, volviéndose más elaboradas y difíciles de contrarrestar, lo que hace que muchas de las medidas de protección tradicionales resulten insuficientes o desfasadas en diversas situaciones.
Un claro ejemplo son las contraseñas, que aunque siguen siendo el método de autenticación más común al registrarse o iniciar sesión, resultan muy susceptibles frente a las amenazas actuales.
En este contexto aparecieron las passkeys, también denominadas llaves de acceso, que se posicionan como una de las opciones más viables para proteger tanto a los usuarios como sus cuentas en las múltiples aplicaciones y plataformas donde están registrados.
Qué son las passkeys y cómo funcionan
Las llaves de acceso representan una alternativa a las contraseñas que consiste en asociar una clave privada directamente con la cuenta del usuario, además de permitir su sincronización entre dispositivos para ser utilizadas en sitios web.
Gracias a las passkeys, los usuarios logran ingresar a aplicaciones y sitios mediante un sensor biométrico (como huella dactilar o reconocimiento facial), un PIN o un patrón, lo que elimina la necesidad de memorizar y gestionar contraseñas.
Estas llaves ofrecen una defensa robusta frente a ataques de phishing y pueden suprimir la dependencia de códigos temporales enviados por SMS o apps al autenticar. Por su estandarización, con una única configuración se puede tener una experiencia sin contraseñas en todos los dispositivos, navegadores y sistemas operativos del usuario.
Por qué son mejores que las contraseñas
La diferencia fundamental entre una passkey y una contraseña radica en que la primera no puede compartirse, recordarse ni anotarse. Esto es posible porque las llaves de acceso emplean criptografía de clave pública, lo que implica que al crear una en una web o app, se genera un par de claves —una pública y otra privada— alojadas en el dispositivo del usuario.
El servidor solo guarda la clave pública, que por sí sola no tiene valor para un atacante. Esto impide que un atacante obtenga la clave privada requerida para completar la autenticación, derivándola de los datos almacenados en el servidor. Además, el navegador y el sistema operativo aseguran que cada llave opere exclusivamente con el sitio o la aplicación que la originó.