Clave FIDO2 no reconocida: solución de problemas y soluciones para entornos de Microsoft

By Mirko Peters · 2026-04-23

No hay nada más frustrante que conectar tu clave de seguridad FIDO2 y que, sencillamente, no pase nada. Es una situación habitual en Microsoft 365, Azure Active Directory y todas esas configuraciones híbridas tan sofisticadas que usan hoy en día las empresas. Las claves FIDO2 prometen una autenticación fuerte y sin contraseña, pero la integración puede dar problemas incluso a equipos de TI con exp

Automatically translated with AI from the original post. Read the English original

Cover: Fix Microsoft Entra ID Conditional Access and Identity Debt

Tanto si gestionas la identidad y el acceso en Microsoft Entra ID como si administras dispositivos que pasan de la nube a las instalaciones locales, los problemas de reconocimiento de las claves FIDO2 son un asunto serio. Los fallos van desde incidencias a nivel de dispositivo hasta conflictos con las directivas de la nube. Esta guía aclara la confusión y analiza por qué falla la detección con frecuencia, destacando tanto los detalles técnicos que dan problemas como las mejores prácticas para volver a la normalidad. Encontrarás pasos prácticos de solución de problemas y lecciones aprendidas con esfuerzo que funcionan en entornos empresariales reales.

Problemas comunes en el reconocimiento de claves FIDO2 en Windows y Entra ID

Seamos sinceros: las claves FIDO2 están pensadas para simplificar tu forma de iniciar sesión, pero un solo mensaje de «no reconocida» basta para echar por tierra toda la idea. Antes de tirar tu clave de seguridad por la ventana, conviene entender qué está pasando realmente, sobre todo en entornos muy basados en Microsoft, como los puntos de conexión de Windows y Microsoft Entra ID (antes Azure AD).

Intervienen muchos elementos, desde los controladores de dispositivo locales hasta la configuración de la plataforma en la nube y todo lo que hay entre ambos. A veces es simplemente el hardware el que falla, otras veces es una peculiaridad del navegador y otras, una directiva o un servicio en las capas más profundas que te bloquea sin avisar. La integración no consiste solo en conectar una clave y esperar que funcione; depende de la compatibilidad del software, de la disponibilidad de los servicios y de una configuración coherente en todos los dispositivos y plataformas de identidad.

El panorama se complica aún más en los despliegues híbridos y empresariales, donde FIDO2 tiene que convivir tanto con la identidad moderna en la nube como con la infraestructura local heredada. En las siguientes secciones verás un desglose de las causas que más quebraderos de cabeza suelen dar, desde el hardware hasta las directivas de grupo, con especial atención a cómo Windows puede complicar las cosas. El objetivo es ayudarte a identificar a qué tipo de problema te enfrentas antes de ponerte manos a la obra con una solución de problemas en profundidad.

Causas habituales por las que no se reconoce una clave FIDO2

Controladores de dispositivo desactualizados o ausentes:Si los controladores USB o los chipsets no están completamente actualizados, es posible que el equipo ni siquiera detecte la clave FIDO2 al conectarla. Es habitual tras las actualizaciones de Windows o con hardware antiguo.
Navegadores no compatibles o software obsoleto:No todos los navegadores funcionan bien con FIDO2/WebAuthn, sobre todo si utilizas versiones antiguas. Chrome, Edge y Firefox incorporan el soporte en momentos distintos, así que lo que funciona hoy podría dejar de hacerlo mañana si omites las actualizaciones.
Bloqueos por directivas de grupo o de acceso condicional:En entornos corporativos, las directivas de Microsoft Entra ID o las directivas de grupo locales pueden impedir el uso de las claves FIDO2 o restringirlo. A veces el bloqueo es intencionado; otras, es un efecto secundario no detectado de una directiva más amplia.
Problemas con el puerto USB y los concentradores:Aunque parezca sencillo, conectar la clave a un concentrador sin alimentación, a un adaptador USB-C defectuoso o a un puerto con problemas de controladores puede hacer que deje de reconocerse al instante. Prueba a conectarla directamente a un puerto de la placa base para descartar este caso.
Incompatibilidad de firmware o del elemento seguro:Las claves FIDO2 (como YubiKey o Google Titan) necesitan firmware actualizado. Un firmware obsoleto o datos dañados en el elemento seguro pueden provocar fallos de detección o errores poco claros.
Errores de integración con servicios o aplicaciones:A veces Windows detecta la clave, pero el navegador o la aplicación empresarial no. Las diferencias de compatibilidad con WebAuthn o CTAP2, o las aplicaciones cliente mal configuradas, pueden bloquear incluso una clave en perfecto estado.
Cuenta no inscrita para FIDO2:Aunque tus dispositivos sean totalmente compatibles, tu cuenta de Microsoft o tu usuario de Entra ID debe estar aprovisionado e inscrito para usar FIDO2. Olvidar este paso es una fuente clásica de confusión.

Problemas de cliente de Windows y notas importantes para las claves FIDO2

Compatibilidad de versiones del sistema operativo: Algunas funciones de FIDO2 requieren compilaciones específicas de Windows 10 o 11. Si tu sistema operativo no tiene las actualizaciones al día, es posible que falte compatibilidad, sobre todo con las funciones nuevas de las claves.
Activación del servicio WebAuthn: Si el servicio WebAuthn (Web Authentication) de Windows no se está ejecutando o una directiva lo ha deshabilitado, las claves FIDO2 no se detectarán en absoluto. Es un problema que suele pasarse por alto en las listas de comprobación de implementación.
Conflictos de aplicación de directivas: La Directiva de grupo local o los perfiles de MDM pueden bloquear sin querer los autenticadores externos. Hay que revisarlos y probarlos con cuidado, sobre todo en entornos empresariales y educativos.
Parches de seguridad de Windows incompletos: Algunos errores o carencias de FIDO2 solo se corrigen en actualizaciones de seguridad recientes. Si las claves fallan en un dispositivo totalmente configurado, comprueba siempre si faltan actualizaciones acumulativas.
Particularidades de las aplicaciones: Las aplicaciones de escritorio pueden necesitar sus propios complementos o configuraciones de FIDO2, independientes del soporte del navegador. Comprueba que el flujo de trabajo que quieres usar esté oficialmente soportado en la documentación de los clientes de Windows.

Pasos de solución de problemas para los fallos de autenticación FIDO2

Así que tu clave no funciona y te quedas mirando una pantalla de inicio de sesión, preguntándote a quién culpar. Antes de pagarla con el primer administrador de TI que encuentres, lo mejor es desglosar el problema paso a paso. La mayoría de los fallos de autenticación FIDO2 encajan en unas pocas categorías generales, tanto si eres un usuario habitual como si administras el entorno de toda una organización.

Esta sección te guía para acotar el problema: ¿es una clave defectuosa, un problema de compatibilidad del dispositivo, un fallo de soporte del navegador o algún bloqueo misterioso de una directiva de Microsoft? Un enfoque estructurado ahorra tiempo y evita dar vueltas en círculo. Tanto los usuarios finales como los administradores se benefician de estas comprobaciones, ya que descartar pronto los problemas más sencillos puede evitar horas de escalados innecesarios y tickets de soporte.

Los subapartados siguientes te guiarán por el diagnóstico de problemas, desde conectar la clave a otro puerto hasta comprobar el registro de la cuenta y la configuración del navegador. También encontrarás consejos para confirmar que los dispositivos y los navegadores realmente admiten FIDO2/WebAuthn, porque a veces el "problema" es algo tan simple como una actualización que falta o una marca oculta del navegador.

Guía paso a paso para la solución de problemas para usuarios finales

Prueba la funcionalidad USB básica:Conecta tu clave FIDO2 directamente a un puerto USB principal. Si no se enciende ni responde, prueba con otro puerto y evita los concentradores o adaptadores USB. Una comprobación rápida del hardware descarta fallos de la clave o del puerto.
Comprueba que el sistema operativo reconoce el dispositivo:En Windows, abre el Administrador de dispositivos y busca dispositivos desconocidos o entradas de llaves de seguridad después de conectar la clave. Si no aparece, vuelve a instalar los controladores USB o comprueba si hay fallos de hardware.
Asegúrate de que el navegador es compatible y está actualizado:Prueba el inicio de sesión con la última versión de un navegador compatible, como Microsoft Edge o Google Chrome. Visita un sitio de demostración de WebAuthn: si no se solicita la clave, actualiza el navegador, borra la caché y desactiva las extensiones que puedan bloquear las funciones de autenticación.
Revisa el estado del registro de FIDO2 de tu cuenta:Inicia sesión en la página de seguridad de tu cuenta de Microsoft o visita el portal Mis inicios de sesión de la organización. Asegúrate de que tu clave FIDO2 esté registrada correctamente en tu cuenta de Entra ID o Microsoft 365. Los pasos de configuración olvidados son sorprendentemente habituales.
Comprueba los bloqueos de directivas y servicios:Si usas un dispositivo administrado, confirma que la directiva de grupo o la configuración de MDM no restringen las claves externas. En Windows, busca "Editor de directivas de grupo local" y las directivas "Clave de seguridad" o "Dispositivos de autenticación externos". En las cuentas en la nube, verifica que las directivas de acceso condicional no bloqueen en silencio los inicios de sesión FIDO2. Si quieres saber más sobre el enfoque de Microsoft, vale la pena revisar sus estrategias de directivas de identidad aquí.
Prueba la clave en otro dispositivo:Una forma rápida de aislar el problema es probar tu clave FIDO2 en otro dispositivo compatible. Si falla en todas partes, lo más probable es que haya un problema con la clave o el firmware; si funciona, céntrate de nuevo en la configuración o los servicios del dispositivo original.

Verifica las claves FIDO2 de seguridad en dispositivos y navegadores para detectar problemas de compatibilidad

Compatibilidad del sistema operativo: Confirma que tu dispositivo ejecuta un sistema operativo compatible con FIDO2/WebAuthn, como Windows 10 (1903 o posterior) o macOS con las actualizaciones vigentes.
Requisitos del navegador: Asegúrate de usar la versión más reciente de Chrome, Edge o Firefox, ya que las versiones antiguas suelen carecer del soporte adecuado del protocolo WebAuthn.
Compatibilidad móvil: Algunos dispositivos Android e iOS solo admiten ciertas llaves FIDO2 o pueden requerir modelos basados en NFC o Bluetooth.
Activación de directivas y servicios: Los clientes de Windows necesitan que el servicio WebAuthn esté en ejecución; de lo contrario, las solicitudes del navegador para llaves de seguridad no aparecerán.
Elegibilidad de la cuenta: Tu cuenta debe estar inscrita y no bloqueada por una directiva para que la autenticación con llaves FIDO2 esté disponible en Microsoft Entra ID o en otros proveedores de identidad similares.

Diagnóstico de conflictos de USB, firmware y hardware con llaves de seguridad FIDO2

En la capa física se esconde todo un mundo de problemas, y este tipo de fallos puede dejar desconcertado incluso al mejor equipo de soporte técnico. Los concentradores USB, los adaptadores baratos y los controladores de hardware desactualizados son, a menudo, los villanos silenciosos cuando tu llave FIDO2 no se reconoce. Estos problemas van mucho más allá del software: a veces se trata de algo tan básico como usar el tipo de USB incorrecto o tener controladores con varios años de antigüedad.

Más allá de los puertos y los cables, también hay que tener en cuenta el firmware. Las llaves FIDO2, como cualquier dispositivo, ejecutan su propio sistema operativo diminuto y sus elementos seguros. Un error de firmware, una incompatibilidad o un gestor de arranque desactualizado puede inutilizar el reconocimiento antes de que siquiera empieces a solucionar problemas en Windows. Modelos populares como YubiKey y Titan suelen verse afectados por fallos de firmware en casos límite que las guías de soporte genéricas tienden a pasar por alto.

En las siguientes secciones te espera un análisis más profundo de los aspectos prácticos y concretos. Si el software, las directivas y el sistema operativo están en orden pero sigues topándote con muros infranqueables, estas comprobaciones de hardware y firmware pueden llevarte a la verdadera causa del problema. Este es el nivel de resolución de problemas que separa a los profesionales del resto.

Compatibilidad de puertos USB y problemas de controladores

Concentradores sin alimentación frente a concentradores con alimentación: Muchas llaves FIDO2 consumen suficiente energía como para fallar en concentradores USB sin alimentación o en estaciones de acoplamiento de baja calidad. Intenta siempre conectarla directamente al puerto USB principal del equipo.
Adaptadores de tipo USB: Los adaptadores de USB-C a USB-A a veces interrumpen la detección correcta del dispositivo, sobre todo en portátiles con estándares de puertos mixtos. Usa puertos nativos siempre que sea posible.
Controladores USB desactualizados: Si los controladores de la placa base van por detrás, el sistema operativo puede no reconocer las llaves FIDO2 nuevas o fallar después de los ciclos de suspensión o hibernación. Mantén siempre actualizados los controladores del chipset y de los controladores USB.
Fallos específicos de puerto: Un daño físico o una mala conexión dentro de un puerto pueden hacer que las llaves fallen de forma aleatoria. Cambiar a otro puerto o dispositivo revela al instante si existe un fallo de hardware.

Conflictos de actualización de firmware y del elemento seguro

Firmware desactualizado: Las llaves de seguridad FIDO2, como YubiKey o Titan, publican con frecuencia actualizaciones de firmware que corrigen errores de compatibilidad o de seguridad. La falta de estas actualizaciones puede impedir el reconocimiento en nuevos entornos o aplicaciones.
Errores del elemento seguro: Si el elemento seguro de la llave está dañado o no coincide tras una actualización fallida, es posible que el dispositivo no se detecte en absoluto hasta que se vuelva a grabar correctamente o se sustituya.
Bloqueos del fabricante: Ciertos fallos de actualización pueden dejar las llaves en «modo de gestor de arranque», donde solo herramientas especiales pueden recuperarlas. Sigue siempre las instrucciones de firmware del fabricante al pie de la letra para evitar bloqueos.
Incompatibilidad de firmware entre aplicación y sistema operativo: Algunas funciones avanzadas de FIDO2 requieren sincronización entre los controladores a nivel de sistema operativo y el firmware de la llave. Revisa los registros de actualización tanto de la llave como del sistema operativo si una función nueva deja de funcionar de repente o desaparece.

Mejores prácticas y opiniones de los usuarios sobre la implementación de llaves FIDO2

Desplegar llaves FIDO2 en tu entorno de Microsoft no es solo un movimiento técnico, sino también un ejercicio de gestión del cambio y de experiencia de usuario. Tanto los administradores de TI como los usuarios habituales tienen mucho que decir sobre lo que realmente funciona al desplegar estas pequeñas piezas de hardware. Los comentarios de la práctica revelan patrones: las llaves pueden hacer que la autenticación sea fluida o convertirse en una frustración diaria si se acumulan los detalles omitidos. No basta con sobrevivir a FIDO2; el objetivo es sacarle partido sin volver locos a los usuarios finales con la seguridad reforzada.

Esta sección va más allá del bombo y ofrece experiencias probadas en el terreno, desde grandes despliegues empresariales hasta entornos en la nube muy gestionados. Gran parte del éxito a largo plazo depende de la preparación de los usuarios, de la claridad de las directivas y de la monitorización continua: estar atento a las actualizaciones, los errores y los ciclos de retroalimentación. Eso significa aprender de los administradores que han lidiado con las peculiaridades de la plataforma, y también escuchar a los usuarios finales que usan FIDO2 a diario. Si buscas un enfoque práctico para equilibrar seguridad y facilidad de uso en Microsoft 365, puedes echar un vistazo a los consejos sobre cómo proteger M365 sin frustrar a los usuarios aquí.

A continuación encontrarás cifras concretas, patrones y consejos profesionales, además de notas sobre los requisitos previos imprescindibles y los errores más comunes. Esta experiencia colectiva puede marcar la diferencia entre un despliegue que funciona y uno que se queda corto, y te ayudará a evitar los desastres habituales y a conseguir una autenticación más segura y fluida día a día.

Comentarios y resultados de administradores y usuarios

Si preguntas a los equipos de TI, oirás algunos temas recurrentes. Según un estudio de Microsoft y FIDO Alliance, las organizaciones que pasaron a la autenticación sin contraseña (con llaves FIDO2) vieron cómo los ataques de phishing dirigidos a credenciales caían más de un 90 % en los primeros seis meses. Es el tipo de dato que llama la atención en cualquier reunión del consejo con el CISO.

Aun así, ninguna solución es perfecta desde el primer momento. Muchos administradores comunicaron "puntos de dolor" en el despliegue inicial, como el ajuste de directivas de Windows, la confusión de los usuarios con las solicitudes de autenticación multifactor o las diferencias en las funciones de los navegadores. Alrededor del 25 % de los administradores de empresas medianas citaron momentos de desconcierto relacionados con una detección inconsistente de las llaves entre los flujos de trabajo de Windows y los del navegador.

Los usuarios finales, por su parte, prefieren de forma abrumadora las llaves FIDO2 frente a la MFA basada en SMS una vez que están configuradas. Los sondeos de opinión indican una tasa mucho menor de llamadas para restablecer contraseñas y menos fricción en los inicios de sesión diarios. Sin embargo, cuando surgían problemas de compatibilidad de dispositivos o errores de firmware, la frustración aumentaba rápidamente, a menudo porque los materiales de soporte no abordaban las causas reales, como la alimentación por USB o los conflictos de directivas de grupo.

Los mejores resultados a largo plazo llegaron con despliegues bien preparados: sesiones informativas periódicas, implantaciones por fases y monitorización automatizada de la deriva de las directivas. Los equipos que invirtieron en formación previa de los usuarios vieron cómo las tasas de adopción subían más de un 80 %, mientras que quienes omitieron ese paso acabaron desbordados de tickets de soporte. En definitiva, el éxito en el mundo real depende tanto de la claridad y del soporte como de la propia tecnología. Si quieres más consejos de expertos para orquestar un acceso seguro sin molestar a los usuarios finales, te recomendamos leer sobre las mejores prácticas de confianza cero en Microsoft 365 aquí.

Notas importantes para el uso seguro de llaves FIDO2

Registra siempre llaves de respaldo: No dependas de una sola llave FIDO2; registra una segunda por si pierdes o se estropea la primera.
Verifica el registro completo antes de depender de las llaves: Comprueba de nuevo la inscripción de las llaves en todas las cuentas y dispositivos, no solo en tu dispositivo principal.
Mantén al día el firmware y los sistemas operativos: Un firmware desactualizado o parches que faltan pueden impedir que se reconozca la llave o introducir riesgos de seguridad.
Supervisa la deriva de las directivas: Los cambios en las directivas de grupo o en el acceso condicional en la nube pueden romper el soporte de FIDO2 sin que te des cuenta; revisa la configuración con regularidad.
Informa a los usuarios sobre las opciones alternativas: Asegúrate de que los usuarios entiendan qué métodos de autenticación alternativos pueden usar si una llave FIDO2 no está disponible o no se reconoce.