Las passkeys explicadas: qué reemplaza a tu contraseña

Una passkey (clave de acceso) te permite iniciar sesión con la huella dactilar, el escaneo facial o el PIN que ya usas para desbloquear tu teléfono u ordenador portátil. No hay ninguna contraseña que escribir, recordar o entregar a una página falsa de inicio de sesión. La credencial reside en tus dispositivos, y el sitio web conserva solo una clave pública que por sí sola no sirve de nada.

En el fondo, es un modelo distinto al de las contraseñas: en lugar de un secreto compartido que conocéis tanto tú como el sitio web, una passkey es un par de claves criptográficas del que solo una mitad sale alguna vez de tu dispositivo.

Cómo funciona realmente una passkey

Cuando creas una passkey para un sitio o una aplicación, tu dispositivo genera un par de claves único para esa única cuenta, según la FIDO Alliance, el grupo del sector que está detrás del estándar. La clave pública se envía al servicio y se almacena allí. La clave privada permanece en tu dispositivo, o en una llave de seguridad de hardware, y el servicio nunca la conoce.

Iniciar sesión es un breve intercambio de desafío y respuesta. El servicio envía un desafío, tu dispositivo lo firma con la clave privada después de que lo apruebes con tu dato biométrico o tu PIN, y el servicio comprueba esa firma frente a la clave pública que conserva. Ningún secreto compartido cruza la red, y una base de datos vulnerada revela solo claves públicas, que no pueden iniciar la sesión de nadie.

Las passkeys se basan en FIDO2, que combina WebAuthn, la API del navegador que gestiona la credencial, y CTAP, el protocolo para comunicarse con un autenticador como un teléfono o una llave de seguridad. Dos detalles de diseño importan en el uso ordinario:

Una passkey, un sitio. Una passkey está vinculada al sitio o la aplicación para los que se creó. Google lo dice con claridad en su ayuda de Chrome: las passkeys están conectadas a la aplicación o el sitio web para los que se crearon, así que no pueden engañarte para que uses una en un sitio fraudulento. Una contraseña escrita en una página que imita a otra sí le sirve a un atacante; una passkey presentada ante una, no.
Tu rostro y tu huella se quedan en casa. La comprobación biométrica ocurre en el dispositivo. La FIDO Alliance señala que la información biométrica permanece en el dispositivo y nunca se envía a un servidor remoto; el servidor recibe solo la confirmación de que la comprobación tuvo éxito. Google dice lo mismo: los datos biométricos permanecen en tu dispositivo y nunca se comparten con Google.

Una passkey también combina dos cosas que las contraseñas mantenían separadas: algo que tienes, el dispositivo que guarda la clave privada, ejercido mediante algo que eres o sabes, el dato biométrico o el PIN. Por eso Google considera que una passkey basta para saltarse el segundo paso en las cuentas con verificación en dos pasos. Añadir una no elimina tu contraseña existente ni tus factores de recuperación, que se mantienen como alternativas de reserva.

Las passkeys sincronizadas y las vinculadas a un dispositivo no son lo mismo

La mayor parte de la confusión sobre las passkeys procede de una distinción que el aviso de registro rara vez explica.

Una passkey sincronizada se copia a través de un proveedor de passkeys a tus demás dispositivos. El proveedor puede estar integrado en tu plataforma, como iCloud Keychain o Google Password Manager, o ser un gestor de contraseñas de terceros. Crea una passkey en un dispositivo y estará disponible en los demás que hayan iniciado sesión en la misma cuenta del proveedor. La FIDO Alliance describe la sincronización como cifrada de extremo a extremo, y Apple describe iCloud Keychain del mismo modo, con claves seguras que ni la propia Apple conoce.

Una passkey vinculada a un dispositivo nunca sale de un único dispositivo, o reside en una llave de seguridad FIDO. No hay copia en la nube. Eso es más estricto, y algunos lugares de trabajo lo prefieren para cuentas sensibles, pero la credencial solo está tan disponible como ese único objeto.

Para la mayoría de las cuentas personales, la passkey que creas en un teléfono es una sincronizada. Saber qué tipo tienes es toda la respuesta a la pregunta de qué ocurre si pierdes el teléfono.

Qué pasa cuando pierdes el teléfono

Si tus passkeys estaban sincronizadas, perder el teléfono es sobre todo una molestia. Configura el dispositivo de sustitución con el mismo proveedor, una cuenta de Apple para iCloud Keychain o la misma cuenta de Google para Google Password Manager, y las passkeys sincronizadas llegarán al nuevo dispositivo. La FIDO Alliance lo expresa directamente: en un dispositivo nuevo configurado con el mismo proveedor, las passkeys están disponibles desde el primer inicio de sesión, no después de un nuevo registro en cada sitio.

Apple va más lejos para el peor caso. Apple afirma que las passkeys sincronizadas mediante iCloud Keychain pueden recuperarse incluso si se pierden todos los dispositivos, a través del depósito en garantía (escrow) de iCloud Keychain. La recuperación es deliberadamente estricta: te autenticas con tus credenciales de iCloud, respondes a un mensaje de texto enviado a tu número de teléfono registrado e introduces el código de acceso de tu dispositivo. Apple permite solo 10 intentos para recuperar el registro en depósito; tras el décimo intento fallido, el registro se destruye. También puedes configurar de antemano un contacto de recuperación de la cuenta.

Si una passkey estaba vinculada a un dispositivo, la copia del dispositivo perdido ha desaparecido. La recuperación depende entonces de qué más tenga la cuenta: una segunda passkey en otro dispositivo o en una llave de seguridad, una contraseña que siga activada, o el proceso de recuperación de cuentas del servicio. La FIDO Alliance señala que una llave de seguridad que contenga una passkey vinculada a un dispositivo puede actuar por sí misma como credencial de recuperación cuando se pierden los dispositivos sincronizados.

Dos pasos limitan el daño en cualquier caso, y ambos proceden de las propias orientaciones de los proveedores:

Elimina de la cuenta la passkey del dispositivo perdido. La instrucción de Google es directa: elimina esa passkey de tu cuenta de Google y revisa los dispositivos con acceso a la cuenta. Si la passkey también reside en un gestor de terceros, elimínala también allí; borrarla en un lugar no la borra del otro.
No te preocupes de que quien lo encuentre pueda usar simplemente tus passkeys. Una passkey no puede usarse sin desbloquear el dispositivo, así que quien recoja el teléfono seguirá enfrentándose a la huella dactilar, el escaneo facial o el PIN que protegen todo lo demás que contiene. Por eso Google también advierte en la dirección contraria: crea passkeys solo en dispositivos que sean personalmente tuyos, porque cualquiera que pueda desbloquear ese dispositivo puede usar sus passkeys.

Hay un puente mientras esperas un sustituto: una passkey del teléfono puede iniciar tu sesión en un ordenador que no la tenga. El inicio de sesión entre dispositivos muestra un código QR en el ordenador, lo escaneas con el teléfono y Bluetooth Low Energy verifica que el teléfono está físicamente cerca del ordenador, algo que el flujo de Google exige que esté activado.

En qué punto están las passkeys en octubre de 2026

Las passkeys están ampliamente disponibles, pero aún no han desplazado a las contraseñas. El informe 2026 Passkey Power 20 de Dashlane, publicado este mes y basado en millones de autenticaciones agregadas y anonimizadas desde julio de 2025 hasta junio de 2026, midió las passkeys en el 28 por ciento de los inicios de sesión en Google, la proporción más alta que encontró en cualquier dominio importante. Incluso en el servicio que convirtió las passkeys en la opción predeterminada para las cuentas personales en octubre de 2023, aproximadamente siete de cada diez inicios de sesión en esa medición seguían sin usar una. El mismo informe contó 2.5 millones de autenticaciones con passkey al mes entre los usuarios de Dashlane, y el 57 por ciento de esos usuarios tenía al menos una passkey.

Los requisitos ya son ordinarios. Google indica compatibilidad en ordenadores con al menos Windows 10, macOS Ventura o ChromeOS 109, y en teléfonos con Android 9 o iOS 16 o posterior, en Chrome 109, Safari 16, Edge 109 o Firefox 122 o posterior, con el bloqueo de pantalla activado. Si un sitio no ofrece ninguna opción de passkey, Apple señala que eso significa que actualmente no admite passkeys.

Ayudan algunos hábitos:

Empieza por las cuentas que protegen otras cuentas: el correo electrónico principal, tu cuenta de Apple o de Google y tu gestor de contraseñas.
Mantén activada la sincronización y comprueba que un segundo dispositivo puede ver la passkey antes de depender de ella.
Registra una segunda passkey, en otro dispositivo o en una llave de seguridad, para las cuentas que no puedas permitirte recuperar lentamente.

Conclusión

Una passkey sustituye un secreto compartido que escribes por una clave privada que permanece en tu dispositivo e inicia sesión solo para el sitio para el que se creó, desbloqueada mediante la misma comprobación que desbloquea tu teléfono. Si se sincroniza mediante iCloud Keychain, Google Password Manager u otro gestor, perder el teléfono significa iniciar sesión con el mismo proveedor en un dispositivo nuevo y eliminar el acceso del dispositivo perdido, no reconstruir cada cuenta. Si está vinculada a un dispositivo, la recuperación pasa por una segunda passkey registrada o por el proceso normal de recuperación del servicio. Comprueba ahora qué tipo tienes para tus cuentas principales. Las passkeys protegen el propio inicio de sesión; no ocultan tu tráfico a tu red ni a tu proveedor de internet, que es la cuestión separada de qué hace y qué no hace una VPN.