Passkeys y adiós a las contraseñas: cómo proteger tus cuentas en 2026

Las passkeys son la respuesta más seria que ha tenido internet al problema más viejo de la vida digital: las contraseñas se olvidan, se reutilizan, se filtran y se entregan sin querer en páginas falsas. Una passkey no es una contraseña más larga ni un código de seis dígitos. Es una credencial criptográfica que vive en tu teléfono, tu computadora o tu llave de seguridad, y que te deja entrar con tu huella, tu cara o el PIN de tu dispositivo. En 2026 ya no es una promesa: según la FIDO Alliance, el 69 % de los usuarios ya tiene al menos una passkey configurada, frente al 39 % de apenas dos años antes, Google supera las 800 millones de cuentas que las usan y Microsoft crea las cuentas nuevas sin contraseña por defecto desde mayo de 2025. En esta guía explicamos qué son exactamente, cómo funcionan por dentro sin tecnicismos innecesarios, en qué se diferencian de la contraseña y del código en dos pasos, dónde puedes usarlas hoy y cómo activarlas paso a paso sin quedarte fuera de tus propias cuentas.

Qué es una passkey, explicado sin humo

Una passkey es un par de claves criptográficas único para cada sitio o aplicación. Cuando la creas, tu dispositivo genera dos claves matemáticamente vinculadas: una clave privada, que nunca sale de tu dispositivo y queda protegida en su zona segura, y una clave pública, que es la única que se guarda en el servidor del servicio. No hay un secreto compartido que recordar ni que escribir.

Cuando quieres iniciar sesión, el servicio envía un desafío aleatorio y único. Tu dispositivo lo firma con la clave privada, pero solo después de que confirmes que eres tú con tu huella dactilar, tu rostro o tu PIN. El servicio verifica esa firma con la clave pública que ya tenía. Si coincide, entras. La clave privada nunca viaja por internet, nunca se teclea y nunca se muestra en pantalla.

Esa diferencia parece pequeña y lo cambia todo. Con una contraseña, tú entregas el secreto cada vez que inicias sesión, y cualquiera que intercepte ese momento, copie la página o robe la base de datos del servidor puede intentar reutilizarlo. Con una passkey, lo que viaja es una prueba matemática de que posees la clave, válida solo para ese desafío y para ese dominio concreto. No hay nada reutilizable que robar en el camino.

Las passkeys se apoyan en el estándar FIDO2, impulsado por la FIDO Alliance junto con el W3C. Dentro de FIDO2 conviven dos piezas: WebAuthn, la interfaz que permite a los navegadores hablar con los autenticadores, y CTAP, el protocolo que comunica tu equipo con una llave física por USB, NFC o Bluetooth. En la práctica no necesitas memorizar esos nombres: necesitas saber que Apple, Google y Microsoft construyeron sus sistemas sobre el mismo estándar, y por eso una passkey puede funcionar entre plataformas mucho mejor que los sistemas propietarios de antes.

Por qué las contraseñas ya no dan más

Para entender el salto conviene mirar el problema con cifras. Microsoft ha contado unos 7.000 ataques contra contraseñas por segundo dirigidos a sus usuarios. No son ataques sofisticados uno a uno: son sistemas automáticos que prueban credenciales filtradas en otros servicios, porque saben que mucha gente repite la misma contraseña en el correo, en la tienda y en la red social. Si una filtración expone tu clave de un foro pequeño, el atacante la prueba en tu banco y en tu correo en segundos.

A eso se suma el phishing, el engaño que sigue funcionando aunque tengas cuidado. Un mensaje que imita a tu banco, un enlace que parece de tu empresa de envíos o una página que copia el diseño de Google pueden llevarte a escribir tu contraseña en el sitio equivocado. Y ni siquiera el segundo factor tradicional lo resuelve por completo: un código por SMS o de una aplicación de autenticación también se puede escribir en la página falsa, y los kits de phishing con intermediario lo reenvían en tiempo real al sitio legítimo antes de que caduque.

El resultado, medido por la propia industria, es una tasa de éxito de inicio de sesión mediocre. Según el Passkey Index de la FIDO Alliance de octubre de 2025, las passkeys alcanzan un 93 % de inicios de sesión satisfactorios, frente a en torno al 63 % de los métodos tradicionales con contraseña y segundo factor. No es solo seguridad: es menos gente bloqueada, menos restablecimientos y menos soporte.

Cómo te protege una passkey frente al phishing

La protección más importante de las passkeys no depende de tu atención, sino de su diseño. Cada passkey queda vinculada criptográficamente al dominio legítimo donde se creó. Si se creó para tu banco real, el navegador solo la ofrecerá y solo firmará cuando el dominio coincida exactamente. En una página clonada, aunque se vea idéntica, esa passkey simplemente no aparece como opción válida para ese origen y no hay nada que entregar al atacante.

Esto marca una diferencia profunda con todo lo anterior. La contraseña depende de que tú distingas la página buena de la mala. El código en dos pasos también depende de que lo escribas en el lugar correcto. La passkey, en cambio, verifica el destino por ti, en segundo plano, antes de firmar. Por eso la FIDO Alliance y las guías de seguridad actuales la describen como autenticación resistente al phishing, y por eso organismos y empresas la están adoptando como requisito para cuentas sensibles: en su informe The State of Passkeys 2026, la FIDO Alliance señala que el 68 % de las organizaciones encuestadas está desplegando, probando o implementando passkeys para autenticar a sus empleados.

Hay otros dos efectos que se notan menos pero importan igual. Primero, si un servidor sufre una filtración, lo que se expone son claves públicas, que por sí solas no sirven para suplantar a nadie. Segundo, cada sitio recibe un par de claves distinto, así que no existe reutilización entre servicios: comprometer una cuenta no abre la puerta a las demás, como sí ocurre cuando repites contraseña.

Passkeys, contraseñas y verificación en dos pasos: la comparativa clara

Las tres formas de entrar van a convivir durante años, así que conviene saber qué aporta cada una y dónde se queda corta.

• Secreto: la contraseña es un secreto compartido que tú recuerdas y el servidor verifica; el código en dos pasos es un secreto temporal que también se teclea; la passkey no tiene secreto compartido, usa un par de claves pública y privada.
• Resistencia al phishing: baja con contraseña sola; parcial con código por SMS o aplicación, porque el código se puede teclear en un sitio falso; alta y por diseño con passkey, porque está ligada al dominio real.
• Si se filtra el servidor: con contraseñas, los atacantes obtienen hashes que intentan descifrar y reutilizar; con passkeys, solo obtienen claves públicas inútiles para entrar.
• Reutilización entre sitios: muy frecuente con contraseñas, porque recordar decenas es imposible sin ayuda; inexistente con passkeys, porque cada sitio tiene su propio par de claves.
• Experiencia de uso: la contraseña exige recordar, escribir y restablecer cuando se olvida; la passkey pide el mismo gesto con el que desbloqueas tu teléfono, huella, cara o PIN.
• Velocidad y éxito: plataformas como Amazon han comunicado inicios de sesión varias veces más rápidos que con el método tradicional, y Google ha reportado una mejora del 30 % en la tasa de éxito de inicio de sesión entre sus más de 800 millones de usuarios con passkeys.

La conclusión práctica no es tirar todo lo anterior hoy. Es priorizar: activa passkeys primero en las cuentas que, si caen, abren todas las demás. Eso significa tu correo principal, tu cuenta de Google, Apple o Microsoft, tu banco y tus servicios de pago, y cualquier gestor donde guardes el resto de tus accesos.

Dónde puedes usar passkeys hoy en 2026

La adopción dejó de ser experimental. Google estableció las passkeys como opción predeterminada para las cuentas personales en octubre de 2023 y lidera la conversión: en el informe Passkey Power 20 de 2026 de Dashlane, Google encabeza la clasificación con un 28 % de autenticaciones ya hechas con passkey entre los usuarios medidos. Ese mismo informe muestra constancia en la adopción: el porcentaje de usuarios de Dashlane con al menos una passkey pasó del 20 % en 2024 al 40 % en 2025 y al 57 % en 2026, con 2,5 millones de autenticaciones mensuales con passkey en el último período medido.

Microsoft dio un paso más visible en mayo de 2025 al hacer que las cuentas nuevas se creen sin contraseña por defecto, con passkey como método principal. Apple las admite desde iOS 16 y macOS Ventura sincronizadas por iCloud, y con iOS 26, lanzado en septiembre de 2025, sumó la portabilidad segura de credenciales para mover passkeys entre la aplicación Contraseñas de Apple y gestores externos compatibles. Google añadió en 2026 compatibilidad equivalente para su gestor en Android, una respuesta al temor más repetido al principio: quedar atrapado en un solo ecosistema.

En servicios concretos, hoy admiten passkeys, entre otros, Google, Apple, Microsoft, Amazon —que superó los 175 millones de usuarios con passkey en su primer año y ha seguido creciendo con fuerza—, PayPal, WhatsApp, TikTok, eBay, GitHub, Shopify, Adobe, Nintendo y PlayStation. La FIDO Alliance estimaba en octubre de 2025 que había miles de millones de cuentas elegibles en todo el mundo, con más de 15.000 millones de cuentas en línea que ya permiten iniciar sesión con passkey según las mediciones difundidas en 2026. Tu banco local o un servicio pequeño puede tardar más, y por eso la transición es gradual: donde no haya passkey, sigue mandando una contraseña única guardada en un gestor y un segundo factor con aplicación, no por SMS si puedes evitarlo.

Sincronizadas o en un solo dispositivo: los dos tipos de passkey

No todas las passkeys se guardan igual, y entender la diferencia evita sorpresas cuando cambias de teléfono.

Passkeys sincronizadas

Son las más comunes para uso personal. La clave privada se guarda cifrada en tu cuenta de plataforma o en tu gestor —el llavero de iCloud de Apple, el gestor de contraseñas de Google o un gestor independiente compatible— y se sincroniza entre tus dispositivos. Si pierdes el teléfono, recuperas el acceso desde otro dispositivo de tu cuenta tras verificar tu identidad. La guía NIST SP 800-63-4, publicada en julio de 2025, reconoció las passkeys sincronizadas como conformes con el nivel AAL2, un respaldo importante que ayudó a que más organizaciones las aceptaran.

Su ventaja es la comodidad y la recuperación. Su punto a vigilar es evidente: la seguridad de tus passkeys sincronizadas depende también de la seguridad de la cuenta que las sincroniza. Protege esa cuenta madre con especial cuidado, con su propia passkey o llave física cuando sea posible, un PIN robusto en el dispositivo y la recuperación bien configurada.

Passkeys ligadas a un dispositivo o a una llave física

Aquí la clave privada no se sincroniza: vive solo en un equipo concreto o en una llave de seguridad física tipo FIDO2. Es la opción preferida en empresas y para cuentas de máximo riesgo, porque copiarla es mucho más difícil. A cambio, si pierdes ese único dispositivo o esa única llave y no registraste una segunda de respaldo, la recuperación depende por completo de los métodos alternativos del servicio. La regla en este modelo es clara: registra siempre al menos dos autenticadores para las cuentas críticas.

Cómo activar passkeys paso a paso en los servicios que más importan

El procedimiento cambia en los detalles, pero el patrón es el mismo en casi todos los sitios: entras en los ajustes de seguridad de tu cuenta, buscas la opción de llaves de acceso o passkeys, confirmas con tu método actual y autorizas la creación con huella, cara o PIN. Hazlo desde tu dispositivo habitual, con la pantalla desbloqueada y buena conexión, y no borres todavía tu contraseña ni tu segundo factor hasta comprobar que la passkey funciona en un segundo inicio de sesión.

En Google

Inicia sesión en tu cuenta, ve a Seguridad y busca la sección de llaves de acceso. Elige crear una llave de acceso y sigue la confirmación de tu sistema: en Android se guardará en el gestor de contraseñas de Google; en iPhone, en el llavero si así lo eliges; en la computadora, en el gestor del navegador o del sistema. Prueba después cerrando sesión en una ventana privada y entrando solo con la passkey.

En Microsoft

En las opciones de seguridad de tu cuenta de Microsoft, añade un nuevo método de inicio de sesión y elige la opción de llave de acceso, rostro, huella o PIN según tu equipo. En Windows, Windows Hello guiará el registro. Desde mayo de 2025 las cuentas nuevas ya nacen con este esquema por defecto, pero las cuentas antiguas deben activarlo manualmente, y vale la pena hacerlo en la cuenta que usas para el correo y para la computadora.

En Apple

En un iPhone, iPad o Mac reciente, las passkeys de los sitios se guardan en la aplicación Contraseñas y se sincronizan por iCloud cuando está activado el llavero. Al registrarte en un sitio compatible desde Safari, el propio sistema te ofrecerá crear la passkey y guardarla sin pasos extra. Revisa en Ajustes que la sincronización esté activa antes de confiar en que aparecerá en tus demás equipos.

En Amazon, PayPal, WhatsApp y otros servicios

Busca siempre el mismo lugar: tu perfil, ajustes de cuenta y, dentro, inicio de sesión y seguridad. Si el servicio admite passkeys, la opción aparecerá junto a la contraseña y la verificación en dos pasos. Actívala primero en los servicios de pago y mensajería, porque un acceso robado ahí se convierte rápidamente en compras no autorizadas o en suplantación frente a tus contactos.

Qué pasa si pierdes el teléfono: recuperación sin pánico

Es la pregunta que más frena a la gente, y tiene respuesta, pero hay que prepararla antes de perder nada. Si usas passkeys sincronizadas, tu nuevo teléfono, al iniciar sesión en tu cuenta de Apple, Google o en tu gestor, recuperará las passkeys disponibles para esa cuenta. Si usas una llave física, entra con la segunda llave de respaldo que registraste. Si el servicio mantiene contraseña y segundo factor como respaldo, esos métodos siguen siendo tu vía de recuperación, con los controles habituales del servicio.

Lo que no debes hacer es improvisar en el momento de la pérdida. Dedica diez minutos hoy a tres comprobaciones: que tu cuenta de correo tiene los datos de recuperación actualizados, que sabes cómo bloquear o borrar tu teléfono a distancia y que tienes guardado, fuera del teléfono, el acceso a tu gestor principal. Esa preparación, que también recomendamos en nuestra guía de privacidad digital: cómo proteger tus datos en internet, es la diferencia entre un susto y quedarte fuera de tu vida digital.

Errores frecuentes al pasarse a passkeys

• Borrar la contraseña y el segundo factor el primer día. Déjalos activos hasta comprobar la passkey en varios dispositivos y en una sesión nueva. Después, cada servicio te dirá qué respaldo conviene mantener.
• Activar passkeys solo en sitios sin importancia. El orden correcto es el inverso: correo principal, cuentas de plataforma, banco y pagos primero.
• Depender de un único dispositivo sin sincronización ni segunda llave. Registra un segundo autenticador para las cuentas críticas.
• Confundir la passkey con tu huella en el servidor. Tu biometría no viaja ni se guarda en el sitio: solo desbloquea la clave privada en tu propio dispositivo.
• Seguir usando SMS como segundo factor donde hay mejores opciones. Si un servicio aún no admite passkeys, prefiere una aplicación de autenticación o una llave física frente al SMS, y refuerza también la red de casa siguiendo los pasos de ciberseguridad en el hogar: cómo proteger tu wifi y tus dispositivos.
• Ignorar la cuenta que sincroniza todo. Si tus passkeys viven en tu cuenta de Google o Apple, esa cuenta es ahora tu llave maestra: protégela como tal.

Plan de migración en una tarde: de contraseñas a passkeys sin romper nada

No necesitas cambiar decenas de cuentas en un día. Este orden funciona para la mayoría de hogares y se completa en una o dos sesiones cortas.

Primero, asegura la base: actualiza tu teléfono y tu computadora, activa el bloqueo biométrico y revisa que tu gestor —el del sistema o uno independiente— esté sincronizando bien. Segundo, crea passkeys en tus tres cuentas madre: correo principal y cuentas de Google, Apple o Microsoft según tus equipos. Tercero, sigue con dinero y mensajería: banco, PayPal, Amazon y WhatsApp. Cuarto, deja para el final las cuentas de compras, redes y entretenimiento que vayan ofreciendo la opción, y revisa una vez al mes si algún servicio importante sumó compatibilidad. Quinto, para todo lo que aún no admita passkeys, genera contraseñas únicas y largas con tu gestor y activa el segundo factor más fuerte disponible. Al terminar, habrás reducido de golpe los dos riesgos que más daño hacen hoy: la reutilización de contraseñas y el phishing.

Conclusión

Las passkeys no son una moda ni un truco de las grandes plataformas para atarte a su ecosistema: son un estándar abierto, FIDO2 y WebAuthn, que corrige por diseño los fallos que hicieron frágiles a las contraseñas durante décadas. No se pueden teclear en una página falsa, no se reutilizan entre sitios, no dejan un secreto útil cuando un servidor se filtra y, según los datos de la FIDO Alliance, elevan el éxito de inicio de sesión del entorno del 63 % al 93 %. Con el 69 % de los usuarios ya con al menos una passkey, más de 800 millones de cuentas de Google usándolas y Microsoft creando cuentas sin contraseña por defecto desde 2025, la dirección está clara. Las contraseñas no desaparecerán mañana, pero tu plan para 2026 sí puede cambiar hoy: activa passkeys primero en tu correo, tus cuentas de plataforma y tu dinero, mantén respaldos probados y deja las contraseñas únicas con gestor solo para los servicios que aún no dan el paso. Es la mejora de seguridad más importante y, por una vez, también la más cómoda.

Preguntas frecuentes sobre passkeys

¿Una passkey es lo mismo que mi huella o mi cara?

No. Tu huella o tu cara nunca salen de tu dispositivo y no se envían al sitio web. Solo sirven para autorizar, localmente, que tu dispositivo use la clave privada de esa passkey para firmar el desafío de inicio de sesión. Sin tu dispositivo, tu biometría por sí sola no abre la cuenta en ningún servidor.

¿Puedo usar la misma passkey en el teléfono y en la computadora?

Sí, si es una passkey sincronizada. Guardada en tu cuenta de Apple, en el gestor de contraseñas de Google o en un gestor compatible, la misma passkey estará disponible en tus otros dispositivos tras iniciar sesión en esa cuenta. Si es una passkey ligada a un solo dispositivo o a una llave física, deberás crear una adicional para el otro equipo o registrar una segunda llave.

¿Qué pasa si un sitio filtra su base de datos y yo uso passkeys?

El atacante solo obtendría claves públicas, que no permiten iniciar sesión ni reconstruir tu clave privada. Es la diferencia central frente a una filtración de contraseñas, donde los hashes robados se intentan descifrar y las claves obtenidas se prueban en otros servicios. Con passkeys, cada sitio tiene además su propio par de claves, así que no hay reutilización posible.

¿Debo eliminar mi contraseña cuando creo una passkey?

No de inmediato. Crea la passkey, comprueba que funciona en una sesión nueva y en otro dispositivo si lo tienes, y mantén los métodos de respaldo que el servicio recomiende. Algunos servicios permiten, con el tiempo, prescindir de la contraseña; otros la conservan como recuperación. Lo importante es que tu método principal y más fuerte sea la passkey.

¿Todos los sitios aceptan passkeys en 2026?

Todavía no. Las grandes plataformas —Google, Apple, Microsoft, Amazon, PayPal, WhatsApp, TikTok, GitHub y muchas más— ya las admiten, y la FIDO Alliance cuenta miles de millones de cuentas elegibles, pero bancos locales y servicios pequeños avanzan a ritmos distintos. Para los que aún no las ofrecen, la mejor protección sigue siendo una contraseña única generada por un gestor y un segundo factor con aplicación o llave física.