Passkeys para empresas: cómo eliminar contraseñas y reducir el riesgo de phishing

Las contraseñas continúan siendo uno de los puntos más débiles de la seguridad digital.

Los usuarios las olvidan, las reutilizan y, en muchos casos, eligen combinaciones fáciles de recordar. Los ciberdelincuentes aprovechan estas prácticas mediante campañas de phishing, filtraciones de credenciales y ataques automatizados contra cuentas corporativas.

La autenticación multifactor ha mejorado la protección, pero no todos sus métodos ofrecen el mismo nivel de seguridad. Un código recibido por SMS o correo puede ser robado, interceptado o solicitado mediante una página fraudulenta.

Las passkeys plantean un enfoque diferente.

En lugar de introducir una contraseña, el usuario accede utilizando el método de desbloqueo de su dispositivo, como una huella, reconocimiento facial, PIN o patrón.

La credencial no se comparte con la web ni puede copiarse y reutilizarse desde un dominio falso. Se basa en criptografía de clave pública y queda vinculada al servicio para el que fue creada.

Esto convierte a las passkeys en una alternativa más resistente al phishing y, al mismo tiempo, más sencilla para muchas personas.

En 2026, su adopción ha avanzado de forma significativa. FIDO Alliance estima que existen alrededor de cinco mil millones de passkeys activas y que el 68 % de las organizaciones ya las está implantando, probando o desplegando entre sus empleados. (FIDO Alliance)

Para las empresas, esta tecnología puede reducir accesos fraudulentos, solicitudes de recuperación y problemas derivados de contraseñas compartidas o reutilizadas.

Sin embargo, implantarla correctamente requiere planificar el registro, la recuperación de cuentas, la compatibilidad entre dispositivos y el periodo de transición.

Qué es una passkey

Una passkey es una credencial digital utilizada para acceder a una web o aplicación sin introducir una contraseña tradicional.

El usuario confirma el acceso mediante el sistema de desbloqueo de su dispositivo:

• Huella digital.
• Reconocimiento facial.
• PIN.
• Patrón.
• Llave física de seguridad.

La información biométrica no se envía a la empresa ni al servidor.

El dispositivo utiliza esa comprobación local para autorizar el uso de la credencial almacenada.

Google define las passkeys como una alternativa más sencilla y segura a las contraseñas, capaz de permitir el acceso mediante biometría, PIN o patrón sin obligar al usuario a recordar una clave. (Google for Developers)

La tecnología utiliza los estándares FIDO2 y WebAuthn.

WebAuthn permite que una página solicite la creación y el uso de credenciales criptográficas vinculadas a su dominio. La especificación del W3C establece que estas credenciales se crean para una parte concreta y solo pueden utilizarse desde orígenes asociados a ella. (W3C)

Cómo funciona una passkey

Cuando una persona crea una passkey, se genera un par de claves.

Una es pública y se almacena en el servidor de la empresa.

La otra es privada y permanece protegida dentro del dispositivo o del proveedor de credenciales del usuario.

Durante el acceso, el servidor envía un desafío único. El dispositivo lo firma con la clave privada y devuelve el resultado.

El servidor valida la firma mediante la clave pública.

La clave privada no se transmite y el servidor no almacena ningún secreto que pueda utilizarse directamente para entrar en la cuenta.

El proceso habitual es:

1. El usuario solicita acceder.
2. La web envía un desafío generado por el servidor.
3. El dispositivo pide confirmar la identidad.
4. El usuario utiliza huella, rostro o PIN.
5. El dispositivo firma el desafío.
6. El servidor comprueba la firma.
7. La sesión se inicia.

Google destaca que el desafío generado por el servidor ayuda a prevenir ataques de repetición, ya que cada intento utiliza información diferente. (Google for Developers)

Por qué son resistentes al phishing

Una contraseña puede escribirse en cualquier formulario.

Si el usuario entra en una página falsa que imita a Microsoft, Google, su banco o la aplicación interna de la empresa, puede entregar sus credenciales sin darse cuenta.

Una passkey funciona de manera distinta.

Está vinculada criptográficamente al dominio o aplicación para la que fue creada. Una página fraudulenta alojada en otro dominio no puede solicitar ni utilizar la misma credencial.

Microsoft explica que las passkeys sustituyen métodos vulnerables, como contraseñas, códigos SMS o códigos enviados por correo, mediante credenciales basadas en criptografía de clave pública y vinculadas al origen legítimo. (Microsoft Learn)

Esto reduce riesgos como:

• Phishing.
• Robo de contraseñas.
• Reutilización de credenciales.
• Credential stuffing.
• Ataques de repetición.
• Intercepción de códigos.
• Suplantación mediante formularios falsos.

FIDO Alliance señala que no existe una contraseña que pueda ser robada ni datos de acceso reutilizables por un atacante remoto. (FIDO Alliance)

Las passkeys no eliminan todos los riesgos de seguridad, pero reducen considerablemente una de las vías de entrada más utilizadas.

Diferencias frente a contraseñas y códigos temporales

Las contraseñas dependen de que el usuario cree, recuerde y proteja una combinación secreta.

Los códigos temporales añaden una capa adicional, pero continúan siendo datos que una persona puede copiar e introducir en una página falsa.

Un atacante puede enviar una notificación urgente y pedir:

• Contraseña.
• Código SMS.
• Código de correo.
• Confirmación en una aplicación.
• Respuesta a una llamada.

Las passkeys no obligan a comunicar ningún código.

La persona desbloquea localmente su dispositivo y la comprobación criptográfica se realiza en segundo plano.

Además, cada servicio utiliza una credencial distinta.

Aunque una web sufra una filtración, la clave pública almacenada no permite acceder a otros servicios ni reconstruir la clave privada.

Passkeys sincronizadas y vinculadas a un dispositivo

No todas las passkeys se gestionan de la misma forma.

Passkeys sincronizadas

Pueden guardarse en un proveedor de credenciales y estar disponibles en varios dispositivos asociados a la misma cuenta.

Por ejemplo, una passkey creada en un teléfono puede aparecer posteriormente en un ordenador cuando ambos utilizan el mismo ecosistema y proveedor.

Google Password Manager puede almacenar y sincronizar passkeys en Android y Chrome, incluidos equipos con Windows, macOS, Linux y ChromeOS. (Google for Developers)

Este modelo facilita la recuperación y el cambio de dispositivo.

Passkeys vinculadas a un dispositivo

Permanecen almacenadas en un dispositivo concreto o en una llave física.

Pueden resultar apropiadas para:

• Administradores.
• Personal con privilegios elevados.
• Acceso a sistemas críticos.
• Entornos regulados.
• Equipos corporativos controlados.

Microsoft Entra ID diferencia entre credenciales sincronizadas y vinculadas al dispositivo dentro de sus opciones de autenticación resistente al phishing. (Microsoft Learn)

La elección depende del nivel de seguridad, la movilidad del usuario y el procedimiento de recuperación que necesite la empresa.

Ventajas para una empresa

Las passkeys pueden aportar beneficios tanto al equipo técnico como a los usuarios.

Menos riesgo de robo de credenciales

El principal beneficio es la reducción de ataques basados en contraseñas.

El usuario no puede reutilizar la credencial en otro servicio ni entregarla mediante un formulario fraudulento.

Menos recuperaciones de contraseña

Los departamentos de soporte reciben numerosas solicitudes relacionadas con:

• Contraseñas olvidadas.
• Cuentas bloqueadas.
• Códigos que no llegan.
• Cambios de dispositivo.
• Credenciales caducadas.

Una experiencia sin contraseña puede reducir parte de esta carga.

FIDO Alliance señala que la reducción del phishing y de los costes asociados al restablecimiento de accesos se encuentra entre los principales motivos por los que las organizaciones adoptan autenticación sin contraseña. (FIDO Alliance)

Acceso más rápido

El usuario no necesita abrir un gestor, copiar una contraseña ni esperar un código.

Puede confirmar el acceso mediante la misma acción que utiliza para desbloquear su teléfono u ordenador.

Mejor experiencia móvil

Escribir contraseñas largas desde un teléfono resulta incómodo.

Las passkeys reducen campos y errores, especialmente en aplicaciones, tiendas online y áreas privadas utilizadas con frecuencia.

Menor dependencia de secretos compartidos

El servidor almacena una clave pública, no una contraseña equivalente que permita acceder directamente a la cuenta.

Esto reduce el valor de una posible filtración de la base de datos de autenticación.

Dónde puede utilizarlas una empresa

Las passkeys pueden incorporarse en diferentes entornos.

Áreas privadas de clientes

Un cliente puede acceder a:

• Pedidos.
• Facturas.
• Documentos.
• Proyectos.
• Reservas.
• Suscripciones.

La reducción de fricción resulta especialmente útil cuando entra con frecuencia.

Aplicaciones internas

Pueden utilizarse para proteger:

• CRM.
• ERP.
• Intranet.
• Herramientas de soporte.
• Gestores documentales.
• Aplicaciones personalizadas.

Los perfiles con privilegios elevados deberían ser prioritarios en cualquier despliegue.

Tiendas online

Una passkey puede simplificar el acceso de clientes recurrentes y reducir abandonos asociados a contraseñas olvidadas.

También puede utilizarse para volver a confirmar la identidad antes de una acción sensible.

Plataformas SaaS

Los servicios por suscripción pueden ofrecer una experiencia sin contraseña y reducir incidencias relacionadas con el acceso.

Paneles de administración

Las cuentas capaces de modificar contenidos, usuarios, pagos o configuraciones necesitan métodos especialmente resistentes al phishing.

Acceso inicial y reautenticación

Las passkeys no tienen que limitarse al inicio de sesión.

También pueden utilizarse para confirmar la identidad antes de una acción sensible.

Por ejemplo:

• Cambiar un correo.
• Modificar datos bancarios.
• Ver información confidencial.
• Eliminar una cuenta.
• Aprobar una operación.
• Cambiar permisos.
• Acceder después de una sesión prolongada.

Google recomienda utilizar passkeys para reautenticar al usuario solicitándole que desbloquee su dispositivo antes de operaciones importantes o cuando una sesión ha caducado. (Google for Developers)

Esta práctica permite mantener una sesión cómoda sin reducir la protección de las acciones críticas.

Cómo introducirlas sin eliminar las contraseñas inmediatamente

Una migración brusca puede generar problemas.

Algunos usuarios todavía no conocen las passkeys, utilizan equipos antiguos o trabajan desde dispositivos compartidos.

Por eso, muchas empresas comienzan ofreciéndolas como una opción adicional.

El proceso puede desarrollarse así:

1. El usuario entra mediante su método habitual.
2. La web le propone crear una passkey.
3. Confirma el registro en su dispositivo.
4. En futuros accesos puede elegir la passkey.
5. La contraseña permanece temporalmente como alternativa.
6. La empresa evalúa la adopción antes de endurecer la política.

Google recomienda integrar las passkeys dentro de los formularios existentes mediante sugerencias de autocompletado durante el periodo de transición. De este modo, los usuarios con una passkey pueden seleccionarla sin eliminar todavía el acceso tradicional para los demás. (Google for Developers)

Diseñar correctamente la experiencia de usuario

La tecnología puede ser segura y fracasar si el proceso resulta confuso.

La interfaz debe explicar:

• Qué es una passkey.
• Qué dispositivo la almacenará.
• Cómo se utilizará.
• Qué ocurre al cambiar de teléfono.
• Cómo eliminarla.
• Cómo recuperar el acceso.
• Qué alternativas existen.

No conviene utilizar únicamente términos técnicos como WebAuthn, autenticador o credencial FIDO.

Un mensaje más claro podría ser:

“Accede con la huella, el rostro o el PIN de tu dispositivo sin escribir una contraseña”.

Google recomienda utilizar recorridos reconocibles y explicar los beneficios en el momento en que el usuario crea o utiliza la credencial. (Google for Developers)

También debe existir una sección donde la persona pueda consultar y gestionar sus passkeys registradas.

Preparar la recuperación de cuentas

La recuperación es una de las partes más importantes del proyecto.

Un usuario puede:

• Perder su teléfono.
• Cambiar de ordenador.
• Borrar su proveedor de credenciales.
• Dejar la empresa.
• Perder una llave física.
• No disponer temporalmente de su dispositivo.

La empresa debe definir métodos seguros para recuperar el acceso.

Puede utilizar:

• Otra passkey registrada.
• Un dispositivo corporativo.
• Verificación mediante soporte.
• Códigos de recuperación.
• Llave física de reserva.
• Procedimiento de identidad reforzado.

La recuperación no debería depender de un método considerablemente más débil que la autenticación principal.

De poco sirve implantar passkeys si cualquier atacante puede recuperar la cuenta mediante un correo fácilmente comprometido.

También conviene recomendar que cada usuario registre más de una opción cuando el contexto lo permita.

Dar de baja dispositivos y empleados

Las credenciales deben poder revocarse.

Cuando un dispositivo se pierde o una persona abandona la empresa, el administrador necesita eliminar su acceso.

El sistema debería registrar:

• Nombre identificativo de la passkey.
• Fecha de creación.
• Último uso.
• Dispositivo aproximado cuando sea posible.
• Estado.
• Usuario asociado.

No conviene depender exclusivamente de que el empleado elimine la credencial por su cuenta.

Los sistemas corporativos deben integrar la baja con los procesos de identidad y permisos.

Requisitos técnicos básicos

Una implementación web utiliza WebAuthn en el navegador y lógica de autenticación en el servidor.

Entre los elementos principales se encuentran:

• HTTPS.
• Dominio correctamente configurado.
• Generación segura de desafíos.
• Almacenamiento de claves públicas.
• Protección frente a repetición.
• Validación del origen.
• Gestión de usuarios.
• Registro de credenciales.
• Recuperación.
• Revocación.
• Auditoría.

El identificador de la parte responsable suele estar relacionado con el dominio desde el que se autentica el usuario.

La implementación debe realizarse con librerías mantenidas y siguiendo las especificaciones vigentes. No conviene programar manualmente la criptografía ni omitir verificaciones por simplificar el desarrollo.

WebAuthn Level 3 continuaba en 2026 como especificación en evolución dentro del W3C, incorporando mejoras sobre la autenticación mediante credenciales públicas. (W3C)

Errores habituales durante la implantación

Los problemas más frecuentes incluyen:

• No definir un proceso de recuperación.
• Ofrecer una explicación demasiado técnica.
• Obligar a migrar a todos los usuarios al mismo tiempo.
• Mantener un método alternativo inseguro.
• No permitir registrar más de una credencial.
• No mostrar cómo eliminar dispositivos.
• No probar diferentes navegadores.
• Ignorar equipos compartidos.
• No registrar intentos y cambios.
• Implantarlas solo para usuarios normales y no para administradores.

También conviene evitar que la empresa considere el proyecto terminado después de añadir el botón de acceso.

La autenticación necesita monitorización, soporte y revisión continua.

Empezar por las cuentas con mayor riesgo

Una implantación gradual puede comenzar con:

• Administradores.
• Dirección.
• Personal financiero.
• Equipos técnicos.
• Usuarios con acceso remoto.
• Empleados que manejan datos sensibles.

Microsoft recomienda priorizar métodos resistentes al phishing para roles altamente privilegiados y utilizar políticas de acceso que exijan credenciales más fuertes en esos perfiles. (Microsoft Learn)

Después, la empresa puede extender el sistema al resto del personal y a clientes externos.

Cómo medir el resultado

La adopción debería evaluarse mediante indicadores como:

• Usuarios con passkey registrada.
• Porcentaje de accesos mediante passkey.
• Tiempo medio de inicio de sesión.
• Recuperaciones de contraseña.
• Bloqueos de cuenta.
• Incidentes de phishing.
• Errores de registro.
• Dispositivos incompatibles.
• Solicitudes de soporte.
• Abandonos durante el acceso.

También conviene revisar qué usuarios crean una passkey, pero continúan utilizando la contraseña.

Esto puede indicar que la opción no aparece de forma clara o que el recorrido necesita mejoras.

Una autenticación más sencilla y resistente

Las passkeys permiten sustituir contraseñas y códigos vulnerables por credenciales criptográficas vinculadas al servicio legítimo.

El usuario accede utilizando el método de desbloqueo de su dispositivo, mientras que la clave privada permanece protegida y nunca se envía al servidor.

Para una empresa, esto puede reducir el phishing, la reutilización de contraseñas y el volumen de solicitudes de recuperación.

La implantación debe ser gradual y contemplar compatibilidad, recuperación, revocación y formación.

También necesita proteger especialmente las cuentas administrativas y evitar que los métodos alternativos debiliten todo el sistema.

En Calltek desarrollamos webs, aplicaciones y áreas privadas con sistemas de autenticación adaptados a cada proyecto. Podemos integrar passkeys, autenticación multifactor, gestión de sesiones y controles de acceso para mejorar la seguridad sin convertir el inicio de sesión en una barrera para clientes y empleados.