Passkeys o llaves de acceso: qué son, cómo funcionan y por qué pueden acabar con las contraseñas

¿Alguna vez has intentado entrar en una cuenta y has terminado pulsando «¿Has olvidado tu contraseña?»? 😅 Entre el correo electrónico, las redes sociales, las tiendas online y las aplicaciones que utilizamos a diario, recordar todas nuestras contraseñas puede convertirse en una auténtica odisea.

Pero ¿y si pudieras iniciar sesión sin tener que escribir ninguna?

Aquí entran en juego las passkeys o llaves de acceso, una tecnología que permite identificarnos de una forma diferente, más cómoda y resistente a muchos de los ataques que afectan a las contraseñas tradicionales.

En este artículo de GADGETPEDIA vamos a descubrir qué son, cómo funcionan, qué ocurre si pierdes el móvil y por qué están ganando protagonismo en la seguridad digital.

1. ¿Qué es una passkey?

Una passkey es una credencial digital que permite iniciar sesión en una cuenta sin necesidad de escribir una contraseña.

En lugar de recordar una combinación de letras, números y símbolos, puedes autorizar el acceso utilizando un método de desbloqueo de tu dispositivo, como:

• 👆 Tu huella dactilar.

• 🙂 El reconocimiento facial.

• 🔢 El PIN de tu dispositivo.

La diferencia importante es que tu huella, tu cara o tu PIN no son la passkey en sí mismos. Se utilizan para autorizar el uso de la credencial que permite identificarte ante el servicio.

Imagina que quieres entrar en una tienda online. En lugar de escribir una contraseña, eliges iniciar sesión con una passkey, desbloqueas tu móvil y el dispositivo realiza la comprobación necesaria.

¡Y listo! Sin tener que recordar otra contraseña.

2. ¿Cómo funcionan las passkeys?

Aunque pueda parecer magia tecnológica, detrás hay un sistema de criptografía que trabaja en segundo plano.

Cuando creas una passkey, se genera un par de claves relacionadas entre sí:

La clave privada: permanece protegida por tu dispositivo o por el sistema seguro que gestiona tus credenciales. Es la parte que permite demostrar que tienes la credencial correcta.

La clave pública: se registra en el servicio en el que quieres iniciar sesión. Sirve para comprobar que la respuesta recibida es válida, sin necesidad de conocer ni almacenar tu clave privada.

Cuando intentas acceder a tu cuenta, el servicio plantea una comprobación criptográfica. Tu dispositivo la resuelve utilizando la clave privada y el servicio verifica el resultado con la clave pública.

La clave privada no se envía al sitio web durante el inicio de sesión.

Esto cambia una de las características fundamentales de las contraseñas tradicionales: no necesitas enviar al servicio un secreto que pueda ser robado y reutilizado de la misma manera.

3. ¿Cómo inicio sesión con una passkey?

El proceso suele ser muy sencillo:

Paso 1. Entras en la web o aplicación y eliges la opción de iniciar sesión con una passkey.

Paso 2. Tu dispositivo te pide que te identifiques mediante la huella, el reconocimiento facial o el PIN correspondiente.

Paso 3. El dispositivo utiliza la passkey para completar la comprobación criptográfica y, si todo es correcto, accedes a tu cuenta.

Hay algo importante que debes recordar: tu huella no es tu contraseña y tampoco se envía a la página web para identificarte. El método de desbloqueo autoriza el uso de la passkey en tu dispositivo.

La tecnología hace el trabajo complicado por detrás mientras tú disfrutas de un proceso mucho más cómodo.

4. ¿Por qué son más resistentes al phishing?

El phishing es una técnica de engaño en la que los ciberdelincuentes crean páginas falsas o envían mensajes fraudulentos para conseguir que introduzcas tus datos de acceso.

Por ejemplo, imagina que recibes un mensaje que dice:

«Tu cuenta será bloqueada. Entra aquí inmediatamente».

Pulsas el enlace y llegas a una página que parece idéntica a la original. Si introduces tu contraseña, el atacante podría conseguirla y utilizarla para intentar acceder a tu cuenta.

Con las passkeys, la situación cambia.

Estas credenciales están vinculadas al servicio para el que fueron creadas. El navegador comprueba el origen de la solicitud y la passkey no está diseñada para autenticarte ante una página falsa que simplemente imita a la legítima.

Por eso, las passkeys se consideran resistentes al phishing por diseño.

Pero cuidado: eso no significa que una cuenta sea invulnerable. Los atacantes pueden intentar engañarte por otras vías, aprovechar fallos de seguridad o buscar la forma de acceder mediante métodos alternativos.

Una passkey mejora considerablemente la protección del inicio de sesión, pero no sustituye al sentido común ni a las demás medidas de seguridad.

5. ¿Pueden robar mi cara, mi huella o mi PIN?

Esta es una de las dudas más habituales.

Cuando utilizas la huella o el reconocimiento facial para autorizar una passkey, esos datos biométricos normalmente se procesan en tu dispositivo. No se envían a la web como si fueran tu contraseña.

El PIN también sirve para autorizar el uso de la credencial en el dispositivo, cuando ese es el método de desbloqueo configurado.

Por tanto, conviene distinguir tres conceptos:

• Biometría o PIN: autorizan el uso de la passkey.

• Passkey: permite demostrar criptográficamente que tienes la credencial adecuada.

• Servicio online: comprueba la respuesta y decide si permite el acceso.

La implementación concreta puede variar según el dispositivo y la plataforma, pero esa es la idea fundamental.

6. ¿Qué ocurre si pierdo el móvil?

No todas las passkeys funcionan exactamente igual, y esta diferencia es importante.

Passkeys sincronizadas: pueden estar disponibles en varios dispositivos compatibles mediante un gestor de credenciales, como los que ofrecen determinadas plataformas. Si cambias de móvil, es posible recuperarlas al acceder de forma segura a la cuenta que gestiona esa sincronización.

Passkeys vinculadas a un dispositivo: están asociadas a un dispositivo concreto y no se sincronizan de la misma manera. Para recuperar el acceso podrías necesitar otro método de inicio de sesión, un dispositivo adicional registrado o el procedimiento de recuperación del servicio.

Por eso, si utilizas passkeys, conviene planificar qué harás si pierdes el móvil, se estropea o deja de estar disponible.

Algunas buenas prácticas son:

• Proteger bien tu cuenta de Apple, Google, Microsoft o el gestor que utilices.

• Mantener actualizadas las opciones de recuperación.

• Registrar otro dispositivo o método de acceso cuando el servicio lo permita.

• Guardar de forma segura los códigos de recuperación que te proporcione una plataforma.

La clave es no esperar a perder el dispositivo para descubrir cómo recuperar tus cuentas.

7. ¿Dónde puedo utilizar las passkeys?

Las passkeys ya son compatibles con numerosos servicios, aplicaciones, navegadores y sistemas operativos.

Plataformas como Google, Apple y Microsoft ofrecen soporte para esta tecnología, aunque la disponibilidad concreta depende de cada servicio y de la configuración de tu cuenta.

Puedes encontrarlas en determinados servicios de correo electrónico, plataformas digitales, aplicaciones y tiendas online.

Eso sí, que tu móvil o tu ordenador sea compatible no significa que todas las páginas web admitan passkeys. El servicio en el que quieras iniciar sesión también tiene que ofrecer esta opción.

Si quieres probarlas, puedes empezar comprobando los ajustes de seguridad de una cuenta que utilices habitualmente y buscar una opción llamada «Passkeys», «Llaves de acceso» o «Llaves de seguridad», según el servicio.

8. ¿Son perfectas? No, pero tienen ventajas importantes

Las passkeys son una alternativa muy potente, pero todavía hay algunos aspectos que debemos tener en cuenta.

No todos los servicios las admiten. Es posible que todavía necesites una contraseña para determinadas cuentas.

La recuperación sigue siendo importante. Debes saber cómo recuperar el acceso si pierdes tu dispositivo o tu gestor de credenciales.

La seguridad de la sincronización importa. Si tus passkeys se sincronizan a través de una cuenta, también debes proteger esa cuenta con medidas adecuadas.

Las contraseñas pueden seguir siendo una vía de entrada. Algunos servicios mantienen el inicio de sesión tradicional aunque hayas configurado una passkey. Si esa alternativa continúa disponible, puede seguir existiendo un riesgo de phishing por esa vía.

En otras palabras, configurar una passkey no elimina automáticamente todos los riesgos asociados a una cuenta. La seguridad también depende del servicio, de sus métodos alternativos de acceso y de cómo proteges tus dispositivos.

9. Un dato que demuestra que esta tecnología está ganando terreno

La adopción de las passkeys está creciendo en el mundo de la seguridad digital.

En mayo de 2026, la FIDO Alliance estimó que se habían habilitado alrededor de 5.000 millones de passkeys en todo el mundo. Es una cifra que ayuda a comprender la dimensión que está alcanzando esta tecnología.

Además, la FIDO Alliance publicó en 2026 datos sobre el uso de métodos de autenticación en las organizaciones. Según el informe, el 57 % de las organizaciones encuestadas seguía utilizando algún método de autenticación susceptible de phishing como método principal de acceso diario de sus empleados.

Este dato no significa que el 57 % de las cuentas personales esté comprometido, ni que todas esas organizaciones utilicen exclusivamente contraseñas. Indica que los métodos vulnerables al phishing siguen presentes y que la transición hacia sistemas de autenticación más resistentes todavía tiene trabajo por delante.

Las passkeys no son una promesa de seguridad absoluta, pero sí una herramienta importante para reducir determinados riesgos.

10. ¿Debería empezar a utilizar passkeys?

Si un servicio que utilizas ofrece passkeys, merece la pena valorar su configuración.

Para muchas personas pueden resultar más cómodas que recordar contraseñas complejas y ofrecen una protección muy útil frente al phishing. Aun así, conviene acompañarlas de buenos hábitos digitales:

• Mantén tus dispositivos y aplicaciones actualizados.

• Protege tu cuenta principal y tu gestor de credenciales.

• Revisa las opciones de recuperación antes de necesitarlas.

• Desconfía de mensajes urgentes que te pidan acceder a enlaces sospechosos.

• Comprueba qué métodos alternativos de inicio de sesión mantiene cada servicio.

No tienes que cambiar todas tus cuentas de golpe. Puedes empezar por una plataforma compatible, aprender cómo funciona y ampliar su uso poco a poco.

Conclusión: el futuro del inicio de sesión no siempre se escribe

Durante años, las contraseñas han sido la forma habitual de demostrar quiénes somos en internet. Sin embargo, recordar decenas de claves, evitar su reutilización y protegerlas de los engaños no siempre es fácil.

Las passkeys proponen una forma diferente de iniciar sesión: una credencial digital protegida que permite autenticarnos sin tener que escribir una contraseña cada vez.

No son un escudo mágico, no están disponibles en todas partes y requieren cuidar la recuperación y la seguridad de nuestros dispositivos. Pero su resistencia al phishing y su comodidad las convierten en una evolución muy interesante.

En GADGETS ONLINE nos gusta la tecnología que no solo incorpora novedades, sino que también puede hacer nuestra vida digital más sencilla y segura.

Y ahora te toca a ti:

¿Ya has utilizado una passkey o sigues confiando en las contraseñas de toda la vida? 🔐

¡Cuéntanoslo en los comentarios!

GADGETPEDIA — Tecnología explicada de forma sencilla.