Las passkeys cambian el acceso, no todos los riesgos

Una passkey utiliza criptografía de clave pública. El servicio conserva la clave pública y el autenticador utiliza la privada para responder a un desafío. La huella o el PIN que desbloquea el dispositivo no se envían como contraseña al sitio. FIDO distingue claves sincronizadas y claves vinculadas a un dispositivo.

La autenticación está vinculada al servicio correspondiente. Un dominio falso no puede recoger y reutilizar la passkey como una contraseña escrita. Sin embargo, NIST diferencia requisitos según el nivel de garantía. No todas las configuraciones ofrecen automáticamente el nivel más elevado.

Perder el teléfono o el acceso a la cuenta de sincronización exige un procedimiento de recuperación. Su calidad depende del proveedor y de los medios de respaldo. Un proceso débil puede anular las ventajas de una conexión robusta. Conviene comprobar las opciones reales del servicio, no solo su anuncio comercial.

Las passkeys no sustituyen las actualizaciones, la protección del equipo ni la gestión de sesiones. Quien controla un dispositivo desbloqueado o una sesión activa puede no necesitar autenticarse de nuevo. Las organizaciones deben prever pérdidas de equipos, bajas de personal y revocación de accesos.

Empezar por una cuenta cuyo proceso de recuperación se comprenda. Registrar un medio de respaldo protegido cuando sea posible y verificar cómo funciona en los dispositivos utilizados. Conservar una contraseña débil no es la única alternativa: el objetivo es un sistema de recuperación utilizable y protegido.