Método de autenticación con claves de acceso (FIDO2) en Microsoft Entra ID

By Mirko Peters · 2026-08-24

Aprende a implementar la autenticación con claves de acceso FIDO2 en Entra ID. Prepárate para que las claves de acceso se conviertan en la experiencia de inicio de sesión predeterminada con este potente método de autenticación.

Automatically translated with AI from the original post. Read the English original

Claves de acceso (FIDO2): definición

Las claves de acceso son credenciales de autenticación modernas y resistentes al phishing, basadas en el estándar FIDO2, que sustituyen las contraseñas por pares de claves criptográficas. Una clave de acceso consta de una clave privada que se guarda en el dispositivo del usuario y de una clave pública que almacena el servicio. Al iniciar sesión, el servicio desafía al dispositivo para demostrar que posee la clave privada, lo que permite una autenticación segura y sin contraseña.

Explicación breve

Las claves de acceso FIDO2 simplifican y refuerzan la autenticación al eliminar los secretos compartidos (contraseñas) y utilizar criptografía de clave pública. Están vinculadas al dispositivo del usuario y protegidas por métodos de desbloqueo del dispositivo, como la biometría (huella dactilar, reconocimiento facial) o un PIN local. Como la autenticación se basa en aserciones criptográficas en lugar de contraseñas introducidas por el usuario, las claves de acceso son resistentes al phishing, a los ataques de repetición y al relleno de credenciales. Soluciones como Microsoft Entra admiten claves de acceso para permitir inicios de sesión fluidos y seguros en aplicaciones web y móviles, y permiten sincronizar las claves entre dispositivos mediante funciones de plataforma en la nube de confianza, cuando así se desee.

En el panorama cambiante de la seguridad digital, los métodos de autenticación robustos son fundamentales para proteger los activos de la organización y las identidades de los usuarios. Este artículo analiza en detalle la implementación y los beneficios de las claves de acceso, concretamente la autenticación FIDO2, en Microsoft Entra ID. Veremos qué son las claves de acceso, cómo funciona FIDO2 y las ventajas tangibles que ofrecen para reforzar la postura de seguridad y agilizar la experiencia de inicio de sesión de los usuarios.

Claves de acceso de Microsoft Entra: 9 datos sorprendentes sobre las claves de acceso (FIDO2)

• Las claves de acceso no son solo «contraseñas seguras»: utilizan criptografía de clave pública, de modo que el servidor solo almacena una clave pública; la clave privada nunca sale de tu dispositivo.
• Son intrínsecamente resistentes al phishing: WebAuthn/FIDO2 vincula las credenciales al origen de un sitio, por lo que un sitio falso no puede obtener datos de autenticación utilizables.
• Las claves de acceso pueden sincronizarse entre tus dispositivos mediante la copia de seguridad en la nube de la plataforma (Llavero de iCloud de Apple, Administrador de contraseñas de Google, cuenta de Microsoft), lo que permite la recuperación, pero introduce una nueva superficie de confianza con el proveedor de la nube.
• Puedes tener varias claves de acceso por cuenta y por dispositivo; se recomienda crear varias claves de acceso para la copia de seguridad y el acceso entre dispositivos, en lugar de depender de una única credencial.
• Las claves de acceso funcionan con verificación biométrica o PIN del dispositivo, pero no transmiten datos biométricos: el dispositivo te verifica localmente y firma los desafíos con la clave privada.
• Admiten tanto autenticadores de plataforma (integrados en teléfonos y portátiles) como autenticadores itinerantes (llaves de seguridad USB/NFC), lo que hace posibles las estrategias multiplataforma para las implementaciones de claves de acceso de Microsoft Entra.
• La atestación de la clave de acceso puede revelar información sobre el modelo del dispositivo a las partes que confían en ella, a menos que se utilice una atestación anónima; las decisiones de privacidad importan durante la implementación.
• Migrar a los usuarios para que dejen de usar contraseñas puede reducir drásticamente la toma de control de cuentas, pero las organizaciones siguen necesitando flujos de respaldo (recuperación de cuentas, autenticadores alternativos) para evitar bloqueos cuando se pierden los dispositivos.
• Adoptar las claves de acceso ayuda a cumplir marcos normativos y de seguridad: la autenticación FIDO2 se reconoce como autenticación fuerte resistente al phishing y puede simplificar el cumplimiento cuando se integra en Microsoft Entra ID.

Comprender las claves de acceso y FIDO2

¿Qué son las claves de acceso?

Las passkeys representan un cambio revolucionario en la tecnología de autenticación, diseñado para ofrecer una alternativa más segura y fácil de usar que las contraseñas tradicionales. En esencia, las passkeys son credenciales criptográficas que permiten a los usuarios iniciar sesión en sitios web y aplicaciones sin necesidad de recordar una cadena de caracteres. En su lugar, el proceso de autenticación utiliza criptografía de clave pública: se genera un par único de claves criptográficas para cada cuenta en línea. Una de las claves, la pública, se almacena en el proveedor del servicio (por ejemplo, Microsoft Entra ID), mientras que la otra, la privada, permanece de forma segura en el dispositivo del usuario o dentro de un autenticador seguro. Cuando un usuario intenta iniciar sesión, el servicio desafía al dispositivo para que demuestre que posee la clave privada, un proceso que se verifica criptográficamente sin transmitir nunca la propia clave privada. Este diseño inherente hace que las passkeys sean significativamente más resistentes al phishing y a otros ataques basados en credenciales, elevando el estándar de protección de la identidad digital. Los usuarios pueden registrar una passkey en distintos dispositivos, desde smartphones hasta llaves de seguridad FIDO2 dedicadas, lo que crea un método de autenticación flexible y resistente.

Descripción general de la autenticación FIDO2

La autenticación FIDO2 es el estándar abierto fundamental en el que se basa el concepto de passkeys. Desarrollado por la FIDO Alliance en colaboración con el World Wide Web Consortium (W3C), FIDO2 define un conjunto de protocolos que permiten una autenticación sólida y resistente al phishing en la web. Este estándar utiliza WebAuthn, una API web, y CTAP2, un protocolo de cliente a autenticador, para facilitar la comunicación segura entre el dispositivo del usuario (el autenticador) y el servicio en línea. Cuando una organización decide habilitar las passkeys en Microsoft Entra ID, en realidad está habilitando la autenticación FIDO2. Esto permite a los usuarios registrar una passkey desde una llave de seguridad FIDO2 o desde un dispositivo que actúe como autenticador. El proceso consiste en que el usuario crea una passkey, que pasa a ser un método de autenticación principal o un componente sólido de la autenticación multifactor. La arquitectura garantiza que las claves privadas nunca salen del autenticador, lo que supone una barrera formidable frente a las amenazas cibernéticas habituales y establece un nuevo referente en la seguridad de la autenticación. Microsoft Entra ID admite plenamente FIDO2, lo que permite a los administradores habilitar las passkeys como una opción de inicio de sesión robusta.

Ventajas de usar passkeys

La adopción de passkeys en Microsoft Entra ID aporta multitud de beneficios convincentes, centrados principalmente en una mayor seguridad y en una mejor experiencia de usuario. Esta transición supone un paso proactivo hacia un futuro sin contraseñas, y ofrece una solución práctica y eficaz para la gestión de identidades moderna. Las organizaciones también pueden implementar las passkeys como un factor robusto de autenticación multifactor, reforzando su postura de seguridad general. La posibilidad de registrar passkeys directamente en Microsoft Entra ID, a menudo a través de la aplicación Microsoft Authenticator o de una llave de seguridad FIDO2 dedicada, simplifica el despliegue y la administración para los administradores de Entra.

Passkeys de Microsoft Entra: ventajas e inconvenientes

Ventajas

• Autenticación resistente al phishing: las passkeys utilizan criptografía de clave pública vinculada al dispositivo, lo que evita el robo de credenciales mediante phishing.
• Experiencia de usuario sencilla: el inicio de sesión suele utilizar biometría del dispositivo o PIN, lo que simplifica los flujos de acceso frente a las contraseñas.
• Sincronización entre dispositivos: muchas implementaciones (incluidas las integradas con servicios como Passkeys de Microsoft Entra) pueden sincronizar las credenciales entre los dispositivos del usuario para mayor comodidad.
• Menor carga de gestión de contraseñas: Elimina la necesidad de crear, recordar o restablecer contraseñas, lo que reduce los costes de soporte y la fricción para el usuario.
• Privacidad sólida: Solo se revela al autenticador el origen de la parte que confía (relying party); las credenciales no se pueden reutilizar entre sitios.
• Transición compatible con versiones anteriores: Puede adoptarse junto con los métodos de autenticación existentes, lo que permite una implantación por fases.

Desventajas

• Dependencia del dispositivo y complejidad de recuperación: Si un usuario pierde todos sus dispositivos o el acceso a la sincronización, recuperar la cuenta puede ser más complejo que restablecer una contraseña.
• Soporte multiplataforma variable: Aunque está mejorando, no todos los navegadores, plataformas o servicios admiten los flujos de passkeys por igual.
• Complejidad de implementación: Integrar correctamente el ciclo de vida de la cuenta, la recuperación y el aprovisionamiento en varios dispositivos requiere un diseño y un desarrollo cuidadosos.
• Directivas empresariales y de cumplimiento: Es posible que las organizaciones necesiten actualizar sus directivas de gobierno de identidades, de administración de dispositivos y de cumplimiento para adoptar passkeys de forma generalizada.
• Formación del usuario necesaria: Algunos usuarios pueden desconocer el concepto y necesitar orientación sobre el uso de los dispositivos y las opciones de recuperación.

FIDO2: Ventajas y desventajas

Ventajas

• Autenticación criptográfica sólida: FIDO2 proporciona autenticación basada en credenciales de clave pública que es intrínsecamente resistente al phishing y a los ataques de repetición.
• Basado en estándares e interoperable: Ampliamente compatible con las principales plataformas, navegadores y llaves de seguridad, lo que permite una amplia compatibilidad con el ecosistema.
• Flexibilidad de los autenticadores: Admite autenticadores de plataforma (integrados en los dispositivos) y autenticadores itinerantes (llaves de seguridad), lo que ofrece opciones de despliegue.
• Mejor postura de seguridad: Reduce la dependencia de las contraseñas y mitiga las brechas en las bases de datos de credenciales, ya que los servidores solo almacenan claves públicas.
• Preparación para entornos empresariales: FIDO2 puede integrarse con proveedores de identidad empresariales y combinarse con soluciones como Microsoft Entra para aplicar directivas de autenticación más robustas.

Desventajas

• Esfuerzo de implementación e integración: Integrar FIDO2 en los sistemas existentes, en el inicio de sesión único y en las aplicaciones heredadas puede requerir un desarrollo y unas pruebas considerables.
• Requisitos de dispositivo y hardware del usuario: Algunos usuarios pueden necesitar comprar llaves itinerantes o disponer de dispositivos compatibles para usar autenticadores de plataforma.
• Desafíos en la recuperación de cuentas: Establecer procesos de recuperación seguros y fáciles de usar sin reintroducir métodos de autenticación débiles es difícil.
• Carga operativa: Gestionar los tokens de hardware, su aprovisionamiento, la gestión de tokens perdidos y las directivas del ciclo de vida añade tareas operativas para TI.
• Experiencia de usuario fragmentada: Las diferencias en la forma en que los navegadores y las plataformas implementan la interfaz de los flujos de FIDO2 pueden provocar experiencias de usuario incoherentes entre dispositivos.

Configuración de passkeys en Microsoft Entra ID

Cómo registrar una passkey

Para registrar una passkey en Microsoft Entra ID, los usuarios pueden utilizar varios métodos, siendo la aplicación Microsoft Authenticator la opción principal para las passkeys sincronizadas. El proceso suele empezar en la página de información de seguridad del usuario o mediante avisos específicos durante un intento de inicio de sesión. Una vez iniciado, el usuario recibirá indicaciones para crear una passkey, lo que normalmente implica una verificación biométrica o un PIN en su dispositivo. Esta acción genera de forma segura el par de claves criptográficas: la clave pública se registra en Microsoft Entra ID, mientras que la clave privada permanece en el dispositivo del usuario o en un proveedor de passkeys seguro. En el caso de las llaves de seguridad FIDO2, el registro consiste en conectar la llave física y seguir las instrucciones en pantalla para establecer el perfil de passkey. Los administradores de Entra pueden supervisar las directivas de registro de passkeys, asegurándose de que los usuarios puedan registrar passkeys con facilidad y reforzar sus capacidades de autenticación resistente al phishing.

Habilitar passkeys en Authenticator

Habilitar las passkeys en Microsoft Authenticator es un paso clave para que las organizaciones ofrezcan una experiencia de inicio de sesión fluida y segura. Los administradores de Entra pueden configurar directivas en el Centro de administración de Microsoft Entra para que los usuarios registren una passkey sincronizada directamente desde la aplicación Authenticator. Para ello, hay que ir al panel de métodos de autenticación, donde se pueden gestionar los ajustes específicos de FIDO2 y passkeys. Una vez habilitado, los usuarios verán la opción de crear una passkey en la configuración de su aplicación Authenticator, normalmente en la sección "Información de seguridad". Así pueden registrar una passkey sincronizada que luego funciona en varios dispositivos para iniciar sesión en las aplicaciones de Microsoft Entra, lo que refuerza de forma notable las estrategias de autenticación multifactor y acerca a la organización a un futuro sin contraseñas, tal como se explica en la documentación de Microsoft Learn.

Hacer de las passkeys el método de autenticación predeterminado

Para las organizaciones que quieren reforzar su postura de seguridad y apostar por un entorno realmente sin contraseñas, el objetivo final es hacer de las passkeys el método de autenticación predeterminado en Microsoft Entra ID. Los administradores de Entra, o las personas con el rol Administrador de directivas de autenticación, pueden configurar directivas de autenticación para dar prioridad a las passkeys frente a las contraseñas tradicionales. Esto implica establecer las passkeys como método preferido en el Centro de administración de Microsoft Entra, de modo que los usuarios reciban la solicitud de usar su passkey para iniciar sesión siempre que sea posible. Aunque puede ser necesario un enfoque por fases para que los usuarios estén preparados, poder establecer las passkeys como método predeterminado mejora notablemente la autenticación resistente al phishing, reduce la dependencia de métodos menos seguros y simplifica la experiencia de usuario. Este cambio estratégico refleja las actualizaciones de seguridad y los avances continuos de Microsoft Entra ID hacia un ecosistema de gestión de identidades más seguro y eficiente.

Lista de comprobación: configurar passkeys en Microsoft Entra

Usa esta lista de comprobación para planificar, desplegar y validar las passkeys en Microsoft Entra ID (passkeys de Microsoft Entra).

Requisitos previos

• Confirma que el inquilino de Azure AD / Microsoft Entra ID está activo y que tienes privilegios de Administrador global o de Administrador de identidades.
• Verifica que tu suscripción y tus licencias admiten la autenticación sin contraseña y las funciones de FIDO2 y passkeys.
• Asegúrate de que los dispositivos y navegadores que usan los usuarios admiten passkeys o FIDO2 (versiones modernas de Windows, macOS, iOS, Android y navegadores basados en Chromium).
• Confirma que la organización dispone de un plan documentado de adopción de la autenticación sin contraseña y de una estrategia de comunicación.

Preparar Microsoft Entra ID

• Ve al Centro de administración de Microsoft Entra y localiza Métodos de autenticación > Directivas.
• Habilita el método de autenticación Passkey (FIDO2) y configúralo como Permitido o Obligatorio para los usuarios o grupos específicos.
• Configura las restricciones de usuarios y dispositivos (anclajes de confianza, autenticador de plataforma frente a autenticador externo) según sea necesario.
• Revisa las directivas de autenticación heredadas para reducir conflictos y asegurarte de que los flujos sin contraseña tengan prioridad.

Configurar el acceso condicional y los ajustes de seguridad

• Actualiza las directivas de acceso condicional para permitir o exigir el inicio de sesión sin contraseña cuando sea oportuno.
• Añade controles de acceso basados en riesgo (Azure AD Identity Protection) junto con el despliegue de las passkeys.
• Prueba las directivas en modo de solo informes antes de aplicarlas.

Incorporación y registro de usuarios

• Crea una guía paso a paso para que los usuarios registren sus passkeys (inscripción mediante Windows Hello, solicitudes de la plataforma o del navegador, o llaves de seguridad externas).
• Proporciona capturas de pantalla e instrucciones para dispositivos conocidos en las plataformas más comunes (Windows, macOS, iOS, Android).
• Define una directiva para varias passkeys por usuario y un proceso de copia de seguridad y recuperación.
• Realiza un piloto con un grupo pequeño de usuarios y recopila sus comentarios.

Pruebas y validación

• Verifica que los usuarios piloto registran y usan las passkeys correctamente en todas las plataformas y navegadores compatibles.
• Prueba los escenarios de SSO, las solicitudes de MFA y el comportamiento del acceso condicional con passkeys.
• Confirma que los métodos de inicio de sesión alternativos (MFA secundaria, recuperación de cuenta) funcionan y son seguros.
• Supervisa los registros de inicio de sesión y los informes de uso de métodos de autenticación en Microsoft Entra.

Despliegue y formación

• Comunica a los usuarios el calendario de despliegue, los beneficios y los recursos de soporte disponibles.
• Proporciona a los equipos de soporte de TI manuales de procedimientos para los escenarios habituales de inscripción y fallo.
• Aplica las directivas por fases, ampliando de los grupos piloto a toda la organización.

Supervisión y mantenimiento

• Revisa periódicamente los registros de inicio de sesión de Microsoft Entra y los informes de métodos de autenticación para detectar anomalías.
• Haz seguimiento de las métricas de adopción y de los tickets de soporte relacionados con las passkeys.
• Mantén la documentación actualizada ante cambios de sistema operativo o navegador que afecten al comportamiento de las claves de acceso.
• Revisa y actualiza periódicamente las directivas de acceso condicional y de métodos de autenticación.

Solución de problemas y reversión

• Documenta los errores habituales (compatibilidad de dispositivos, solicitudes del navegador, errores de registro) y sus soluciones.
• Define procesos claros de recuperación de cuenta y acceso de emergencia para los usuarios que pierdan el acceso a sus claves de acceso.
• Si se producen problemas críticos, prepárate para revertir la aplicación del método de autenticación y comunica los pasos de reversión.

Consideraciones de seguridad y cumplimiento

• Asegúrate de que el despliegue de las claves de acceso se ajusta a las directivas de seguridad y a los requisitos de cumplimiento de la organización.
• Valida que los métodos de almacenamiento y de certificación (attestation) de las claves de acceso cumplan los estándares empresariales.
• Revisa las guías de seguridad de los proveedores de autenticadores de terceros y de dispositivos.

Completar esta lista de comprobación te ayudará a garantizar una adopción exitosa y segura de Microsoft Entra Passkeys en toda tu organización.

Tipos de claves de acceso y sus características

Descripción de las claves de acceso sincronizadas

Las claves de acceso sincronizadas representan un avance significativo en comodidad y accesibilidad para el usuario dentro del ecosistema de claves de acceso, especialmente en Microsoft Entra ID. Estas claves están diseñadas para sincronizarse entre los distintos dispositivos del usuario, ofreciendo una experiencia de inicio de sesión fluida sin comprometer la sólida seguridad de la autenticación FIDO2. Cuando un usuario crea una clave de acceso en un dispositivo, esta puede replicarse de forma segura en otros dispositivos autenticados a través de un proveedor de claves de acceso seguro, que a menudo está integrado directamente en el sistema operativo o en un gestor de contraseñas dedicado. Por ejemplo, al habilitar las claves de acceso sincronizadas a través de la aplicación Microsoft Authenticator, el usuario puede registrar una clave de acceso una sola vez y usarla después para iniciar sesión en Microsoft Entra ID desde su teléfono, tableta u ordenador, siempre que los dispositivos estén vinculados a la misma cuenta. Esta capacidad mejora notablemente la practicidad de las claves de acceso como método de autenticación predeterminado, acercando a las organizaciones a un futuro verdaderamente sin contraseñas al garantizar que los usuarios siempre tengan acceso a sus credenciales de autenticación resistentes al phishing.

Tipos de claves de acceso disponibles

Más allá de las claves de acceso sincronizadas, es fundamental que los administradores de Entra conozcan las distintas formas que puede adoptar una clave de acceso para gestionar eficazmente los métodos de autenticación en Microsoft Entra ID. La distinción principal se da entre las claves de acceso sincronizadas y las claves de acceso vinculadas al dispositivo. Ambos tipos utilizan el estándar FIDO2 para una autenticación resistente al phishing, pero sus estrategias de despliegue y gestión difieren. Las organizaciones pueden optar por habilitar las claves de acceso sincronizadas para la comodidad general de los usuarios, y exigir claves de acceso vinculadas al dispositivo para cuentas con privilegios elevados o requisitos de cumplimiento específicos, creando así una estrategia de autenticación flexible y sólida. Este enfoque integral garantiza que la organización pueda registrar claves de acceso que se ajusten a diversas necesidades de seguridad y a las preferencias de los usuarios.

Uso de claves de seguridad FIDO2

Las claves de seguridad FIDO2 ofrecen un método muy seguro y diferenciado para usar claves de acceso, actuando como autenticadores de hardware dedicados para la autenticación FIDO2 en Microsoft Entra ID. Estos dispositivos físicos, normalmente pequeños tokens USB, generan y almacenan la clave privada de forma segura dentro de su hardware resistente a manipulaciones. Cuando un usuario necesita iniciar sesión en Microsoft Entra ID, basta con que conecte la clave de seguridad FIDO2 y siga las indicaciones, que a menudo implican introducir un PIN o una verificación biométrica directamente en la clave.

Esto añade una capa adicional de seguridad, ya que la clave privada nunca sale del hardware, lo que la hace inmune a muchos ataques basados en software. Los administradores de Entra pueden habilitar las passkeys específicamente mediante claves de seguridad FIDO2, lo que ofrece una opción de autenticación multifactor robusta y muy recomendable para roles críticos o entornos en los que la máxima seguridad es fundamental. El proceso para registrar una passkey con una clave de seguridad FIDO2 es sencillo, y te da acceso a un potente método de autenticación resistente al phishing.

Errores comunes sobre las claves de seguridad FIDO2

Las claves de seguridad FIDO2 son herramientas de autenticación sólidas que se usan habitualmente con plataformas como las passkeys de Microsoft Entra. A continuación se indican los errores más comunes y cómo evitarlos.

• Suponer que una clave sustituye por completo la recuperación de la cuenta: Muchos piensan que una clave FIDO2 por sí sola cubre todos los escenarios de recuperación. Si pierdes la clave y no has habilitado métodos de recuperación alternativos (claves de respaldo, códigos de recuperación o passkeys gestionadas por la plataforma, como las passkeys de Microsoft Entra), podrías quedarte bloqueado.
• No registrar claves o métodos de respaldo: Registrar solo una clave de seguridad es arriesgado. Añade siempre al menos una clave de respaldo y habilita opciones de recuperación secundarias para evitar la pérdida de la cuenta.
• Confundir las claves FIDO2 con los tokens OTP de hardware: Las claves FIDO2 utilizan criptografía de clave pública y son resistentes al phishing, a diferencia de muchos tokens de contraseña de un solo uso (OTP). Trátalas de forma distinta en los flujos de trabajo y en la documentación.
• Esperar una compatibilidad universal sin comprobarla: No todos los sitios o plataformas admiten todas las funciones de FIDO2. Verifica la compatibilidad del navegador, la plataforma y el servicio, especialmente al integrar servicios de identidad como las passkeys de Microsoft Entra.
• Almacenar o etiquetar las claves de respaldo de forma insegura: Guardar una clave de respaldo en un lugar evidente o marcarla como «clave de seguridad» compromete la seguridad. Guarda las copias de repuesto en ubicaciones seguras y discretas.
• Descuidar las actualizaciones de firmware y las indicaciones del fabricante: Algunas claves reciben actualizaciones o tienen problemas conocidos. Ignorar los avisos del fabricante es un riesgo: sigue los periodos recomendados de mantenimiento y sustitución.
• Compartir una misma clave entre varios usuarios: Las claves suelen estar vinculadas a una única identidad de usuario. Compartirlas socava la responsabilidad individual y puede incumplir los requisitos de auditoría y cumplimiento normativo.
• Confundir las claves residentes con las no residentes: Las credenciales residentes (detectables) se almacenan en la clave; las no residentes dependen del servidor. Elegir el tipo incorrecto para tu caso de uso puede afectar a la portabilidad y a las opciones de recuperación.
• Dar por hecho que la posesión física equivale a acceso sin restricciones: Una clave robada puede seguir protegida por un PIN o por biometría en el dispositivo, pero asumir que está segura sin activar esas protecciones es un error. Activa siempre el PIN o la biometría disponibles y valora las directivas de bloqueo de dispositivos.
• Descuidar la formación de los usuarios y los procesos operativos: Desplegar claves sin formación lleva a un mal uso, a pérdidas de claves y a una mayor carga de soporte. Proporciona un proceso de incorporación claro, procedimientos para claves perdidas y consejos de integración (por ejemplo, usar las passkeys de Microsoft Entra para simplificar la experiencia del usuario).

Usar passkeys de Entra en Windows

Integrar passkeys con Windows Hello para empresas

Integrar las passkeys de Entra con Windows Hello para empresas ofrece una sinergia potente para reforzar la seguridad y agilizar el inicio de sesión en dispositivos Windows. Cuando una organización decide habilitar las passkeys en Microsoft Entra ID, en particular mediante Windows Hello para empresas, los usuarios obtienen passkeys vinculadas al dispositivo que aprovechan la sólida autenticación biométrica o por PIN ya integrada en su entorno Windows. Esto significa que, para usar la passkey al iniciar sesión, los usuarios solo tienen que autenticarse con el método de Windows Hello que ya conocen, como una huella dactilar, el reconocimiento facial o un PIN. Esta integración proporciona un método de autenticación sin contraseña muy resistente al phishing, ya que la clave privada de la passkey nunca sale del dispositivo y está protegida por el hardware seguro de Windows Hello para empresas. Los administradores de Entra pueden configurar directivas que permitan esta integración, lo que facilita que los usuarios registren una passkey y disfruten de un futuro verdaderamente sin contraseñas directamente desde sus dispositivos Windows.

Acceder a las passkeys de Entra en Windows

Acceder a las claves de acceso de Entra en dispositivos Windows es un proceso sencillo y seguro, ya sea mediante claves de acceso sincronizadas o claves de acceso vinculadas al dispositivo a través de Windows Hello para la empresa. En el caso de las claves de acceso sincronizadas, los usuarios que hayan habilitado las claves de acceso en Microsoft Authenticator u otro proveedor de claves de acceso encontrarán su perfil de clave de acceso disponible en su dispositivo Windows, lo que les permite iniciar sesión en las aplicaciones de Microsoft Entra con facilidad. Cuando se solicite la autenticación, Windows ofrecerá la opción de usar la clave de acceso, que normalmente requiere una simple confirmación o una verificación biométrica. Para quienes utilizan Windows Hello para la empresa, el acceso está aún más integrado, ya que la clave de acceso está directamente vinculada al elemento seguro del dispositivo. Esto permite a los usuarios iniciar sesión en Microsoft Entra ID y otros servicios simplemente autenticándose con Windows Hello, ofreciendo una experiencia de inicio de sesión coherente y muy segura en todo su ecosistema Windows, y mejorando significativamente sus capacidades de autenticación resistente al phishing.

Actualizaciones de seguridad y mejores prácticas

Para mantener el máximo nivel de seguridad y garantizar un funcionamiento óptimo al usar las claves de acceso de Entra en Windows, cumplir con las actualizaciones de seguridad y las mejores prácticas es fundamental. Los administradores de Entra deben priorizar la actualización de los sistemas operativos Windows, la aplicación Microsoft Authenticator y el firmware de cualquier llave de seguridad FIDO2 para beneficiarse de las últimas mejoras de seguridad y correcciones de errores. Revisar y actualizar periódicamente las directivas de autenticación en el Centro de administración de Microsoft Entra ayuda a garantizar que el registro y el uso de las claves de acceso se ajusten a los requisitos de seguridad de la organización. También son fundamentales educar a los usuarios sobre cómo crear una clave de acceso de forma segura, comprender las diferencias entre las claves de acceso sincronizadas y las vinculadas al dispositivo, y la importancia de proteger sus dispositivos. Microsoft Learn ofrece amplios recursos sobre estas actualizaciones de seguridad y mejores prácticas, que orientan a las organizaciones hacia una estrategia de autenticación resistente y sin contraseñas dentro de su entorno de Microsoft Entra ID.

Solución de problemas y soporte

Problemas comunes con las claves de acceso

Al implementar y administrar claves de acceso en Microsoft Entra ID, los administradores de Entra y los usuarios pueden encontrarse con algunos problemas habituales que requieren solución de problemas. Un reto frecuente es asegurarse de que los usuarios puedan registrar una clave de acceso correctamente, sobre todo si la compatibilidad de los dispositivos o las configuraciones de directivas no están bien alineadas. Los usuarios podrían tener dificultades si su llave de seguridad FIDO2 no es reconocida o si existen conflictos con los métodos de autenticación ya configurados. Otro problema común se relaciona con las claves de acceso sincronizadas que no se sincronizan en todos los dispositivos previstos, a menudo por problemas de conectividad o por una configuración incorrecta del proveedor de claves de acceso. Además, los usuarios podrían eliminar sin querer su perfil de clave de acceso o encontrar dificultades al intentar establecer las claves de acceso como método de autenticación predeterminado si las opciones de respaldo no están configuradas correctamente. Comprender estos posibles obstáculos es el primer paso para abordarlos de forma eficaz y mantener una experiencia sin contraseñas fluida.

Cómo habilitar y dirigir las claves de acceso

Habilitar y dirigir de forma eficaz las claves de acceso en Microsoft Entra ID es una tarea administrativa crítica que requiere una configuración cuidadosa en el Centro de administración de Microsoft Entra. Los administradores de Entra, o quienes tengan el rol de Administrador de directivas de autenticación, deben ir a la hoja de métodos de autenticación para habilitar las claves de acceso en su organización. Esto implica seleccionar Llave de seguridad FIDO2 o permitir que los usuarios registren una clave de acceso sincronizada a través de la aplicación Microsoft Authenticator. Dirigir el despliegue de claves de acceso a grupos de usuarios específicos es una buena práctica, ya que permite una implementación por fases y garantiza que los usuarios adecuados puedan crear una clave de acceso. Para ello, se pueden asignar directivas a grupos de usuarios concretos, de modo que solo las personas autorizadas puedan registrar claves de acceso y usarlas como método de autenticación principal o de autenticación multifactor. Una segmentación adecuada facilita la transición a un entorno sin contraseñas y se alinea con las actualizaciones de seguridad de la organización.

Cómo obtener ayuda con la configuración de claves de acceso

Para los administradores de Entra y los usuarios que necesiten ayuda con la configuración de las claves de acceso, hay varios recursos disponibles para garantizar una transición fluida a este método de autenticación resistente al phishing. Microsoft Learn ofrece documentación completa y tutoriales que detallan cada paso del proceso, desde cómo habilitar las claves de acceso en Microsoft Entra ID hasta la solución de problemas comunes. El centro de administración de Microsoft Entra proporciona ayuda contextual y guías para configurar directivas de autenticación y gestionar el registro de claves de acceso. Además, los canales de soporte de Microsoft están disponibles para problemas más complejos, con asistencia experta para configurar y mantener las claves de acceso en Microsoft Entra. Aprovechar estos recursos puede ayudar a las organizaciones a superar obstáculos, habilitar de forma eficaz las claves de acceso sincronizadas y hacer que las claves de acceso sean el método de autenticación predeterminado, reforzando así significativamente su postura de seguridad y adoptando una experiencia de inicio de sesión moderna y sin contraseñas.

Preguntas frecuentes

perfil de clave de acceso: crear y administrar un perfil de clave de acceso

Entra passkey en Windows: habilitar y usar Entra passkey en dispositivos Windows

funcionamiento de las claves de acceso: cómo funcionan las claves de acceso en varios dispositivos y las claves de acceso sincronizadas

¿Qué es una clave de acceso de Microsoft Entra y en qué se diferencia de una clave de acceso FIDO2?

Una clave de acceso de Microsoft Entra es una credencial moderna y resistente al phishing que se almacena en un dispositivo o en un proveedor de claves de acceso en la nube y se administra a través de Microsoft Entra ID. Utiliza criptografía de clave pública, similar a una clave de acceso FIDO2, pero está integrada con las funciones de Microsoft 365 y Entra para habilitar el inicio de sesión con claves de acceso y la sincronización en la nube entre dispositivos.

¿Cómo habilito el inicio de sesión con claves de acceso para mi organización?

Para habilitar el inicio de sesión con claves de acceso, debes crear un perfil de clave de acceso en Microsoft Entra, configurar los perfiles de clave de acceso para especificar la directiva (incluido si los usuarios pueden usar claves de acceso sincronizadas) e integrar opcionalmente Microsoft Intune para aplicar controles de dispositivo. Los administradores deciden si las claves de acceso se convertirán en la experiencia de autenticación predeterminada o si seguirán siendo opcionales.

¿Qué significa «permitir claves de acceso sincronizadas» y cómo lo configuro?

«Permitir claves de acceso sincronizadas» es una decisión de directiva que permite a los usuarios almacenar claves de acceso en un proveedor de claves de acceso en la nube para poder usar claves de acceso sincronizadas en varios dispositivos. Para configurarlo, habilita esta opción en el perfil de clave de acceso, asegúrate de que los usuarios reciban la solicitud de registrar una clave de acceso y comprueba que el proveedor de claves de acceso en la nube sea compatible.

¿Pueden los usuarios registrar una clave de acceso directamente o se les solicita que lo hagan?

Los usuarios pueden registrar una clave de acceso directamente desde la configuración de seguridad de su cuenta de Microsoft Entra, o bien se les puede pedir que la registren durante el proceso de inicio de sesión cuando la organización exige las claves de acceso como experiencia de autenticación predeterminada o cuando el perfil de clave de acceso activa una solicitud de registro.

¿Cómo funcionan las claves de acceso en Windows y Microsoft Entra admite Windows Hello?

Las claves de acceso funcionan en Windows aprovechando Windows Hello como autenticador. Al usar Entra passkey en Windows, el dispositivo puede generar una clave de acceso vinculada que se almacena en el TPM o en un proveedor de claves de acceso en la nube, y Microsoft Entra ID admite el uso de Windows Hello para crear y utilizar claves de acceso de autenticador.

¿Qué son las claves de acceso vinculadas y dónde se almacenan las claves de acceso?

Las claves de acceso vinculadas son claves de acceso asociadas al autenticador de un dispositivo específico (como Windows Hello) y normalmente se almacenan en un almacenamiento seguro respaldado por hardware (TPM). Las claves de acceso sincronizadas o almacenadas en la nube se guardan en el proveedor de claves de acceso en la nube asociado a la cuenta de Microsoft Entra del usuario.

¿Cómo creo un perfil de clave de acceso y puede limitarse a varias directivas?

Crea un perfil de clave de acceso en el portal de Microsoft Entra seleccionando los métodos de autenticación y la configuración. Los perfiles de clave de acceso pueden limitarse a varios grupos o entornos, y puedes crear perfiles de clave de acceso con ámbito o tres perfiles de clave de acceso para aplicar reglas diferentes a distintos grupos de usuarios.

¿Qué debo hacer si los usuarios no pueden registrar una clave de acceso?

Si los usuarios no pueden registrar una clave de acceso, comprueba que el perfil de clave de acceso que permite el registro esté asignado a su cuenta, verifica que sus dispositivos cumplan los requisitos (por ejemplo, Windows Hello o un autenticador compatible), confirma que la configuración del proveedor de claves de acceso en la nube y de Microsoft Entra ID permita registrar la clave de acceso directamente y asegúrate de que ninguna directiva de configuración de dispositivos de Microsoft Intune bloquee las funciones del autenticador.

¿Las claves de acceso se convertirán en la experiencia de autenticación predeterminada en Microsoft Entra?

Microsoft ha anunciado que las claves de acceso (passkeys) se convertirán en la experiencia de autenticación predeterminada para muchos usuarios. Los administradores pueden configurar de forma proactiva las claves de acceso como método de autenticación predeterminado, estableciéndolas como método principal en el perfil de claves de acceso, de modo que la autenticación con claves de acceso como predeterminada se aplique según la directiva de la organización.

¿Cómo funcionan las claves de acceso sincronizadas en Microsoft Entra con varios dispositivos y las aplicaciones de Microsoft 365?

El uso de claves de acceso sincronizadas permite que las claves de acceso de un usuario se sincronicen a través de un proveedor de claves de acceso en la nube, de modo que puede iniciar sesión en varios dispositivos. Al usar las aplicaciones de Microsoft 365, el inicio de sesión con clave de acceso lo gestionan Microsoft Entra ID y el proveedor en la nube, lo que permite a los usuarios utilizar claves de acceso para Microsoft 365 sin tener que registrarlas de nuevo en cada dispositivo.

¿Puedo exigir el uso de claves de acceso y qué nivel de detalle puede tener la directiva?

Sí, puedes exigir el uso de claves de acceso configurando directivas en los perfiles de claves de acceso y en el acceso condicional de Microsoft Entra ID. Las directivas pueden ser muy granulares: los perfiles de claves de acceso con ámbito te permiten exigir claves de acceso para usuarios, grupos o escenarios concretos, e incluso restringir qué autenticadores o proveedores de claves de acceso en la nube están permitidos.

¿Cuál es la diferencia entre el protocolo cliente-autenticador y el inicio de sesión con clave de acceso?

El protocolo cliente-autenticador (CTAP, Client to Authenticator Protocol) es un protocolo técnico que utilizan los autenticadores para comunicarse con los clientes (navegadores y dispositivos), mientras que el inicio de sesión con clave de acceso es el proceso que realiza el usuario final para autenticarse con una clave de acceso. CTAP es la base de las claves de acceso FIDO2 y de las claves de acceso de autenticadores que se usan en los flujos de inicio de sesión con clave de acceso.

¿Cómo puedo ver las claves de acceso y gestionarlas para los usuarios en Microsoft Entra?

Los administradores pueden consultar el estado de registro de las claves de acceso y gestionarlas a través de los métodos de autenticación e informes de Microsoft Entra ID. Los usuarios pueden ver sus claves de acceso en la configuración de seguridad de su cuenta de Microsoft Entra, donde pueden registrar una clave de acceso o eliminar una que esté almacenada en el dispositivo o en el proveedor en la nube.

¿Admiten Microsoft Entra ID las claves de acceso y qué autenticadores son compatibles?

Sí, Microsoft Entra ID admite claves de acceso mediante los estándares FIDO2 y son compatibles muchos autenticadores, entre ellos Windows Hello, los autenticadores de plataforma y las llaves de seguridad externas. Al basarse en estos estándares, Microsoft Entra ID admite tanto las claves de acceso vinculadas al dispositivo como las credenciales sincronizadas en la nube.

¿Qué ocurre si la clave de acceso de un usuario ya está registrada en otro dispositivo?

Si una clave de acceso ya está registrada en otro dispositivo y el usuario quiere usarla en otro lugar, debe utilizar claves de acceso sincronizadas (si están permitidas) o registrar una nueva clave de acceso en el nuevo dispositivo. Los administradores deben tener en cuenta los escenarios con varios dispositivos al configurar los perfiles de claves de acceso y las opciones de sincronización en la nube.

¿Puede Intune gestionar los dispositivos que usan claves de acceso y Windows Hello?

Sí, Microsoft Intune puede gestionar el cumplimiento y la configuración de los dispositivos que usan claves de acceso y Windows Hello. Las directivas de Intune pueden garantizar que se cumplan los requisitos de seguridad del dispositivo antes de permitir el inicio de sesión con clave de acceso, y pueden combinarse con la configuración de claves de acceso de Entra en Windows para lograr una implantación coherente.

¿Cómo puedo habilitar las claves de acceso para varias aplicaciones y servicios de mi organización?

Para habilitar las claves de acceso en varias aplicaciones, asegúrate de que estén federadas o integradas con Microsoft Entra ID, activa el inicio de sesión con clave de acceso en la configuración de autenticación y crea perfiles de claves de acceso que especifiquen si los usuarios pueden usar claves de acceso en varias aplicaciones y servicios de Microsoft 365.

¿Qué es un proveedor de claves de acceso en la nube y es necesario?

Un proveedor de claves de acceso en la nube almacena y sincroniza las claves de acceso entre los dispositivos del usuario. Su uso es opcional, pero recomendable si quieres que los usuarios utilicen claves de acceso sincronizadas en varios dispositivos en lugar de únicamente claves de acceso vinculadas a un solo dispositivo.