La contraseña tiene más de sesenta años. Fue diseñada en los años sesenta para sistemas universitarios con decenas de usuarios, no para un entorno donde una persona promedio administra más de cien cuentas digitales. El problema no es que los usuarios elijan contraseñas débiles. El problema es que la contraseña como mecanismo de autenticación es estructuralmente deficiente.
Los passkeys son la respuesta más seria que la industria ha propuesto hasta ahora.
Por qué la contraseña falló
El modelo de contraseña transfiere toda la responsabilidad de seguridad al usuario. Se espera que cada persona genere una cadena única, compleja y distinta para cada servicio, que la memorice y que la cambie periódicamente. En la práctica, nadie lo hace.
El resultado es predecible. La reutilización de contraseñas es uno de los vectores de ataque más explotados. Cuando una base de datos es comprometida, los atacantes prueban esas mismas credenciales en otros servicios, un ataque conocido como credential stuffing. Según el informe de Verizon de 2024, más del 80% de las brechas relacionadas con hacking involucran credenciales comprometidas.
La autenticación de dos factores mitigó el problema, pero no lo resolvió. El phishing evolucionó para interceptar códigos de un solo uso en tiempo real. La superficie de ataque se redujo, pero no desapareció.
Qué es un passkey
Un passkey es una credencial criptográfica que reemplaza a la contraseña por completo. Funciona con un par de claves: una pública, almacenada en el servidor del servicio, y una privada, que nunca sale del dispositivo del usuario.
Cuando el usuario inicia sesión, el servidor envía un desafío criptográfico. El dispositivo lo firma con la clave privada y devuelve la respuesta. El servidor verifica la firma con la clave pública. No se transmite ningún secreto. No hay nada que interceptar.
La autenticación del lado del usuario ocurre mediante biometría, como huella dactilar o reconocimiento facial, o mediante el PIN del dispositivo. El passkey está vinculado al dominio del servicio, lo que hace imposible el phishing: un sitio falso no puede obtener una firma válida porque el dominio no coincide.
Quiénes ya lo adoptaron
Apple, Google y Microsoft anunciaron soporte conjunto para passkeys en 2022, bajo el estándar FIDO2 desarrollado por la FIDO Alliance y el W3C. Desde entonces la adopción avanzó de forma sostenida.
Google reportó en 2024 que más de 800 millones de cuentas utilizan passkeys. Apple los integró en iOS 16 y macOS Ventura con sincronización a través de iCloud Keychain. Microsoft los habilitó para cuentas de consumidor en 2023 y los extendió a entornos empresariales durante 2024.
Servicios como GitHub, PayPal, Shopify y la mayoría de las plataformas de productividad de Microsoft 365 ya los soportan como método de autenticación principal.
Por qué las empresas tardan en moverse
A pesar del avance, la adopción empresarial es más lenta que la del consumidor. Las organizaciones con sistemas de autenticación heredados enfrentan integraciones complejas. Muchos sistemas internos fueron construidos sobre infraestructura de Active Directory y LDAP que no contempla autenticación sin contraseña de forma nativa.
A esto se suma la inercia operativa. Los equipos de TI deben capacitar a los usuarios, actualizar políticas de seguridad y gestionar escenarios de recuperación de acceso cuando un dispositivo se pierde o es reemplazado. La contraseña, con todos sus defectos, es un mecanismo que todos conocen y que los equipos de soporte saben cómo restablecer.
El escenario hacia adelante
La contraseña no va a desaparecer de un día para otro. Va a coexistir con los passkeys durante años, especialmente en sistemas legados y en regiones con menor penetración de dispositivos compatibles. Sin embargo, la dirección es clara.
El NIST actualizó en 2024 sus guías de identidad digital para desincentivar el uso de contraseñas periódicas obligatorias y favorecer métodos resistentes al phishing, categoría en la que los passkeys califican de forma directa. La Unión Europea referencia autenticación fuerte en sus marcos regulatorios de servicios financieros y salud digital.
La pregunta para las organizaciones no es si los passkeys van a reemplazar a las contraseñas. La evidencia técnica y la presión regulatoria indican que lo harán. La pregunta es si la transición va a ocurrir de forma planificada o reactiva.
