Un futuro sin contraseñas

Adiós a los textos, hola a las passkeys

Por Jean-Pierre Fellmer (dpa) [Actualización 2026]

La lista de reglas para generar buenas contraseñas era larga y agotadora: mayúsculas, minúsculas, números, símbolos, más de 12 caracteres y, sobre todo, no repetirla jamás. Para muchas personas, esto era (y es) claramente un esfuerzo excesivo. En 2025, “123456” seguía apareciendo en los primeros puestos de los rankings de contraseñas más vulneradas, según el informe anual de seguridad de SplashData, lo que demuestra que el problema de la higiene de contraseñas no ha hecho más que empeorar con la saturación de cuentas.

Pero la solución técnica que ya vislumbrábamos en 2022 no solo ha madurado, sino que se ha convertido en el estándar de facto. El método Fido2 (Fast Identity Online), y su materialización más visible para el usuario final—las passkeys (claves de acceso)—ha dejado de ser una promesa para convertirse en el mecanismo de autenticación preferente en los principales ecosistemas digitales.

¿Qué ha cambiado realmente desde 2022?

El gran hito fue el anuncio conjunto de Apple, Google y Microsoft a finales de 2022, que se materializó a lo largo de 2023 y 2024. Hoy, en 2026, las passkeys no son una opción experimental, sino una funcionalidad plenamente integrada:

En Apple: iCloud Keychain sincroniza passkeys entre iPhone, iPad y Mac a través del llavero cifrado de extremo a extremo.

En Google: Los usuarios de Android y Chrome pueden sincronizar sus passkeys a través del Gestor de Contraseñas de Google o de servicios de terceros como 1Password o Dashlane, que han adoptado masivamente el estándar.

En Microsoft: Windows 11 y el autenticador Microsoft han simplificado el proceso, permitiendo el acceso sin contraseña a cuentas de Microsoft, Outlook y Xbox, extendiéndolo también a cuentas de trabajo y educativas mediante Azure Active Directory.

¿Cómo funciona hoy este inicio de sesión?

El principio criptográfico sigue siendo el mismo que describimos en 2022: el dispositivo genera un par de claves (pública y privada). La clave pública se queda en el servidor del servicio (como Google o Amazon), y la privada nunca abandona el dispositivo del usuario (o su copia cifrada en la nube).

Sin embargo, la experiencia de usuario ha mejorado drásticamente. En lugar de introducir un nombre de usuario y una contraseña, el usuario introduce su correo electrónico y el sistema le pide que toque un botón en su móvil, que desbloquee con su rostro (Face ID), su huella dactilar o un PIN. El móvil genera la firma digital y la envía al servidor, que la valida con la clave pública.

“La gran revolución no es la criptografía, que ya existía, sino la interoperabilidad y la usabilidad”, explica el profesor Markus Dürmuth, del Instituto de Seguridad Informática de la Universidad Leibniz de Hannover. “Ahora un usuario puede generar una passkey en su iPhone y usarla para iniciar sesión en un navegador Chrome de un PC con Windows, simplemente escaneando un código QR con el móvil. Eso era impensable en 2022”.

La nube y la seguridad: el debate zanjado

En 2022, Markus Dürmuth señalaba que guardar la clave privada en la nube implicaba “perder un poco de seguridad” a cambio de comodidad. Hoy, los fabricantes han blindado este proceso. Las passkeys sincronizadas en la nube están cifradas de tal manera que ni siquiera el proveedor de la nube (Google, Apple o Microsoft) puede acceder a ellas.

Jan Mahn, experto de la revista especializada alemana “c’t”, matiza: “El riesgo de perder el acceso por la pérdida de un único dispositivo era un lastre para la adopción. La sincronización en la nube, con cifrado de conocimiento cero, ha sido el acelerador definitivo. Hoy es más seguro perder el móvil que tener una contraseña reutilizada en 20 sitios web”.

El auge de los “tokens” como segundo factor y el nuevo enemigo: el phishing

Aunque las passkeys están diseñadas para sustituir totalmente a la contraseña, su uso como segundo factor (2FA) ha crecido exponencialmente. Bancos y administraciones públicas, que suelen ser más conservadores, han adoptado Fido2 mediante tokens USB o la propia biometría del móvil para autorizar operaciones críticas, eliminando los códigos SMS (considerados vulnerables).

Además, en 2026 ha surgido un nuevo foco de atención: el phishing resistente. Dado que las passkeys están ligadas al dominio (URL) del sitio web, son inmunes a los ataques de “phishing” donde el usuario introduce su contraseña en una página falsa. La firma digital no se genera si la URL no coincide con la registrada, algo que la BSI (Oficina Federal de Seguridad de la Información de Alemania) valora especialmente.

“La BSI sigue siendo miembro de la Alianza Fido y, aunque celebramos la adopción masiva, recordamos a los usuarios que la seguridad total no existe. El eslabón débil sigue siendo el factor humano: si el usuario desbloquea su teléfono sin mirar y autoriza un acceso que no ha solicitado, el sistema se cae”, advierte un portavoz de la agencia. Por ello, la BSI insiste en que, aunque Fido2 es el estándar, su implementación debe ir acompañada de educación digital.

¿Y si pierdo el móvil o todos mis dispositivos?

La solución recomendada en 2022 (registrar dos dispositivos) sigue siendo válida, pero se ha complementado con una opción más sencilla: los códigos de recuperación (códigos de seguridad) que los servicios generan al activar las passkeys. Estos códigos, que deben imprimirse o guardarse en un lugar físico seguro, son la llave maestra para restablecer el acceso. Empresas como Google y Apple han mejorado sus procesos de recuperación, permitiendo autenticar al usuario mediante preguntas de seguridad o verificación con otros dispositivos de confianza que ya estén autenticados en la misma red.

El panorama actual: ¿estamos ante el fin definitivo de la contraseña?

Prácticamente todos los grandes actores (Amazon, PayPal, eBay, Sony, Nintendo, y la mayoría de bancos europeos) ofrecen passkeys como método de inicio de sesión primario. La Comisión Europea ha incluido el soporte para Fido2 en sus directrices de autenticación fuerte para servicios digitales (eIDAS 2.0), lo que ha acelerado su adopción en el sector público.

Sin embargo, la contraseña no ha muerto del todo. Sigue existiendo como método de respaldo (fallback) para dispositivos muy antiguos o para usuarios que aún no han actualizado sus sistemas. Pero la tendencia es clara: en 2026, el usuario medio ya no recuerda las contraseñas de sus cuentas principales; simplemente usa su huella o su cara para identificarse.

“La seguridad informática debe ser un obstáculo para el atacante, no para el usuario”, reitera Jahn Mahn. “Con las passkeys hemos logrado que la autenticación sea más segura y más cómoda. Esa es la verdadera victoria de Fido2.”

Recomendación para el usuario en 2026:

Mahn aconseja: “Revisen la configuración de seguridad de sus cuentas. Si ven la opción ‘Passkeys’, ‘Claves de acceso’ o ‘Autenticación sin contraseña’, actívenla. Es más seguro que cualquier contraseña, incluso aquellas generadas por gestores. Y si su servicio aún no lo soporta, pregúntenle cuándo piensa implementarlo. Es el estándar del presente, no del futuro”.