Imagina abrir tu correo, entrar en tu banco o desbloquear tu móvil sin teclear ni una sola letra. Sin recordar combinaciones imposibles, sin recibir alertas de "contraseña débil" y, sobre todo, sin miedo a que un hacker robe tus credenciales en el próximo ataque masivo. Eso prometen los passkeys, el sistema que Google, Apple y Microsoft llevan años cocinando a fuego lento y que ya está disponible en la mayoría de servicios digitales. Pero, ¿realmente estamos ante el adiós definitivo a las contraseñas?
Qué son y por qué (casi) nadie las usa todavía
Los passkeys no son una app ni un gadget. Son un método de autenticación basado en criptografía que sustituye las contraseñas por algo que ya llevas contigo: tu huella dactilar, el reconocimiento facial o el PIN de tu dispositivo. Funciona así: cuando te registras en un servicio, tu teléfono o ordenador genera un par de claves criptográficas. Una clave privada (que nunca sale de tu dispositivo) y una clave pública (que se guarda en el servidor del servicio). Para iniciar sesión, el sistema verifica que ambas claves coinciden, pero sin transmitir la privada. Ni siquiera tú la ves.
La ventaja es obvia: no hay nada que robar. Si un hacker accede a la base de datos de un servicio, solo encontrará claves públicas inútiles sin la privada. Y como el sistema está ligado al dominio exacto del servicio (por ejemplo, google.com), los ataques de phishing —esos emails que te redirigen a páginas falsas— dejan de funcionar. "Es como si tu llave solo abriera la puerta de tu casa, no la de cualquier casa que se parezca a la tuya", explica un ingeniero de seguridad de Google.
Por qué las contraseñas son un desastre (y los passkeys no)
Las contraseñas tienen tres problemas básicos:
- Son frágiles: "123456" sigue siendo la contraseña más usada del mundo. Incluso las complejas se reutilizan en múltiples servicios.
- Son robables: En 2023, se filtraron más de 24.000 millones de credenciales en ataques a bases de datos. Si usas la misma contraseña en varios sitios, estás vendido.
- Son incómodas: El usuario medio gestiona entre 70 y 100 contraseñas. Nadie puede recordarlas todas sin caer en la tentación de apuntarlas en un post-it.
Los passkeys resuelven esto de un plumazo. No se reutilizan, no se adivinan por fuerza bruta y no se roban en filtraciones. Pero hay un pero: requieren que tanto el usuario como el servicio estén preparados. Y ahí está el cuello de botella.
El estándar que lo hizo posible (y por qué Apple, Google y Microsoft lo impulsan)
Detrás de los passkeys está FIDO2, un estándar desarrollado por la Alianza FIDO (un consorcio que incluye a gigantes como Google, Microsoft, Apple, Amazon y PayPal) y el W3C. Su base técnica es WebAuthn, un protocolo que permite autenticarse en servicios web usando claves criptográficas en lugar de contraseñas.
El punto de inflexión llegó en mayo de 2022, cuando Apple, Google y Microsoft anunciaron soporte conjunto para passkeys. Desde entonces, la adopción ha crecido, pero a trompicones. Servicios como Instagram, PayPal, Shopify y la mayoría de bancos online ya los ofrecen como alternativa, pero pocos los han convertido en el método principal. "No es un interruptor que se enciende de golpe", admite un portavoz de Microsoft. "Es un cambio cultural, no solo técnico".
La transición lenta: por qué seguiremos usando contraseñas (al menos unos años más)
Que los passkeys sean técnicamente superiores no significa que vayan a imponerse mañana. Hay tres obstáculos claros:
- Los dispositivos antiguos: No todos los móviles, tablets u ordenadores soportan passkeys. Los usuarios con hardware obsoleto quedarán fuera del sistema.
- La inercia de los servicios: Actualizar sistemas de autenticación no es barato ni rápido. Muchos servicios prefieren mantener las contraseñas "por si acaso".
- El factor humano: La gente desconfía de lo nuevo. "Si no lo entiendo, no lo uso", resume un estudio de la Universidad de Stanford sobre adopción de tecnologías de seguridad.
Esto no significa que los passkeys sean un fracaso. Al contrario: su adopción es inevitable, pero será gradual. Durante años, convivirán con las contraseñas, los códigos SMS y los gestores de contraseñas. "Es como el paso de los DVD a Netflix", compara un analista de Gartner. "Al principio había resistencia, pero al final todos acabaron migrando".
La pregunta no es si los passkeys reemplazarán a las contraseñas, sino cuándo. Y la respuesta, por ahora, es clara: no mañana, pero sí antes de lo que crees.
