Passkeys frente a FIDO2: comparativa en profundidad para una autenticación segura y sin contraseñas

By Mirko Peters · 2026-04-26 · Updated 2026-09-13

Compara las passkeys y las llaves de seguridad FIDO2 para una autenticación sin contraseñas resistente al phishing, con WebAuthn, Microsoft Entra ID, recuperación e implantación en empresas.

Automatically translated with AI from the original post. Read the English original

Elegir entre passkeys y FIDO2 requiere una decisión clara y práctica, basada en el escenario del usuario, los requisitos de seguridad y el entorno de Microsoft 365. Empieza por el resultado que buscas, valida la guía vigente de Microsoft, prueba con usuarios representativos y documenta quién es responsable antes de aplicar el enfoque de forma generalizada.

Lista de comprobación práctica de passkeys frente a FIDO2

• Define el escenario de negocio y el responsable.
• Valida el diseño con un piloto representativo.
• Revisa las implicaciones de seguridad, acceso y soporte.

Consulta Microsoft Learn para ver la guía de producto vigente.

Última revisión: julio de 2026.

Proteger las cuentas digitales sin la molestia, ni el riesgo, de las contraseñas se está convirtiendo en el nuevo estándar de oro. Si estás estudiando la autenticación moderna para ti o para tu organización, es difícil no oír hablar de FIDO2 y las passkeys. Son términos que se usan mucho, pero ¿qué significan realmente y cómo se comparan en seguridad, facilidad de uso e implantación en entornos reales, sobre todo en entornos muy basados en Microsoft?

Esta guía desglosa lo esencial: cómo funcionan FIDO2 y las passkeys, qué las diferencia y por qué están cambiando la forma en que iniciamos sesión en dispositivos y servicios en la nube. Encontrarás consejos prácticos sobre modelos de amenazas, cumplimiento, experiencia de usuario y los detalles de la configuración de una autenticación sin contraseñas que realmente funcione. Tanto si administras Microsoft 365, como si diriges el departamento de TI de tu organización o simplemente quieres cuentas que los atacantes no puedan manipular con facilidad, has llegado al lugar adecuado.

¿Qué son FIDO2 y las passkeys?

FIDO2 es un estándar abierto para la autenticación sin contraseñas, desarrollado por la FIDO Alliance y el World Wide Web Consortium (W3C). Su objetivo principal es permitir que los usuarios inicien sesión de forma segura, sin contraseñas, mediante criptografía de clave pública. En el núcleo de FIDO2 hay dos protocolos principales: WebAuthn (para sitios web y aplicaciones) y CTAP (para la comunicación con autenticadores, como teléfonos o llaves de hardware).

Las passkeys son una implementación de FIDO2 pensada para el usuario. Dicho en términos sencillos, una «passkey» es básicamente una credencial FIDO2 que el sistema operativo de tu dispositivo gestiona por ti, como el llavero de iCloud de Apple, el Administrador de contraseñas de Google o el Administrador de credenciales de Microsoft. Las passkeys sustituyen a las contraseñas independientes y permiten iniciar sesión desbloqueando el dispositivo o usando datos biométricos como Face ID, Touch ID o Windows Hello.

Aquí está el detalle clave: aunque todas las passkeys se basan en FIDO2, no todas las credenciales FIDO2 se comercializan como «passkeys». Las passkeys suelen ofrecer ventajas adicionales, como la sincronización entre dispositivos o una recuperación sencilla, pero los mecanismos criptográficos que usan (claves públicas y privadas) son los mismos. Mientras que las contraseñas tradicionales son secretos que memorizas, FIDO2 y las passkeys mantienen el secreto (la clave privada) protegido en tu dispositivo y solo envían al servidor una prueba, nunca la clave en sí.

En resumen, FIDO2 proporciona el conjunto de herramientas estandarizado, mientras que las passkeys ponen ese conjunto de herramientas en tu bolsillo, en tu portátil o en la nube, prometiendo inicios de sesión sin contraseñas y resistentes al phishing.

Eliminar las contraseñas y lograr resistencia al phishing

El objetivo principal de FIDO2 y las passkeys no es solo facilitar el inicio de sesión, aunque eso sea una buena ventaja añadida. Se trata de por fin retirar las contraseñas, que son notoriamente débiles frente al phishing, los ataques por reutilización y la adivinación por fuerza bruta. Con FIDO2 y las passkeys, la autenticación se basa en criptografía de clave pública: no se transmite ni se almacena ninguna contraseña que un atacante pueda robar mediante phishing.

Inicias el inicio de sesión desbloqueando tu dispositivo, ya sea con la huella dactilar, el reconocimiento facial o el PIN del dispositivo. A continuación, tu dispositivo demuestra criptográficamente que posee la clave privada, de una forma que solo funciona con el servidor correcto (llamado parte que confía, o relying party) y que nunca envía tu clave por la red. Aunque un atacante te engañe con un sitio web falso, la clave no funcionará, porque está vinculada al origen del sitio real.

Este enfoque hace prácticamente obsoletos los ataques de phishing clásicos, como el robo de credenciales mediante sitios falsos que imitan los reales. No hay ninguna contraseña que robar y reutilizar en otro lugar, y los atacantes no pueden reproducir las credenciales capturadas porque cada inicio de sesión usa un desafío nuevo. El password spraying y el credential stuffing, en los que los atacantes usan contraseñas filtradas en brechas para iniciar sesión masivamente, también quedan descartados con las passkeys.

Las organizaciones se están decantando por esta vía no solo por la seguridad técnica, sino también por motivos de cumplimiento normativo y de negocio. Al desplegar FIDO2 y passkeys, sobre todo junto con herramientas como Microsoft Defender para Office 365 y Microsoft Purview para la gobernanza de datos, las empresas pueden bloquear toda una categoría de ataques basados en credenciales sin añadir más carga a sus usuarios.

Cómo funciona la autenticación FIDO2 por dentro

Para entender por qué FIDO2 es mucho más seguro que los inicios de sesión tradicionales, conviene echar un vistazo al interior de la caja negra. En esencia, FIDO2 se basa en la criptografía de clave pública para demostrar tu identidad ante un servicio, sin exponer nunca los secretos que realmente desbloquean tus cuentas.

Cuando configuras un inicio de sesión FIDO2 (o registras una passkey), tu dispositivo genera un par de claves único: una pública y una privada. La clave pública se envía al servicio en el que quieres iniciar sesión, mientras que la clave privada nunca sale de tu dispositivo. En cada inicio de sesión, el servidor desafía a tu dispositivo para demostrar que posee la clave privada, normalmente firmando un valor aleatorio, y comprueba el resultado con la clave pública que almacena.

Todo esto depende de un almacenamiento y una verificación de usuario estrictamente controlados: tu clave privada está guardada en un enclave seguro, al que solo se puede acceder cuando desbloqueas el dispositivo o proporcionas datos biométricos. Esta es una de las principales razones por las que la adopción de FIDO2 y las passkeys crece tanto en sistemas capaces de aplicar seguridad respaldada por hardware, como Microsoft Windows, Apple macOS/iOS y Android.

En las próximas secciones entraremos en detalle en cómo funcionan los flujos de registro y autenticación, así como en la forma en que tus credenciales quedan protegidas y vinculadas a tu dispositivo.

Flujo de registro y autenticación FIDO2 explicado

1. Registro: Cuando te registras por primera vez en un servicio con FIDO2, tu dispositivo crea un nuevo par de claves criptográficas. La clave pública se envía al servicio (la parte que confía, o relying party), mientras que la clave privada permanece en tu dispositivo.
2. Atestación: El dispositivo puede demostrar al servicio que es un autenticador legítimo mediante un certificado de atestación, lo que garantiza que la credencial se generó en hardware seguro.
3. Autenticación: Al iniciar sesión, el servicio envía un desafío único. Tu dispositivo firma este desafío con la clave privada, tras la verificación del usuario mediante PIN, huella dactilar u otro método.
4. Validación en el servidor: El desafío firmado se devuelve al servidor, que lo verifica con la clave pública almacenada. Si es correcto, accedes; no se intercambian secretos y no hay nada que pueda ser objeto de phishing.

Almacenamiento seguro y vinculación al dispositivo para passkeys

• Seguridad respaldada por hardware: Las passkeys y las credenciales FIDO2 suelen almacenarse en hardware seguro dedicado, como los Trusted Platform Modules (TPM), el Secure Enclave (Apple) o el chip Titan M (Google). Así se aísla la clave del resto del dispositivo, lo que hace los ataques mucho más difíciles.
• Autenticación biométrica o por PIN: Para usar tu passkey, debes desbloquearla, normalmente mediante un método biométrico o el PIN del dispositivo. Los datos biométricos nunca salen del hardware ni se envían al servicio en línea, lo que mantiene privados tus identificadores.
• Vinculación al dispositivo: El par de claves criptográficas está ligado a tu dispositivo físico, no solo a tu cuenta en línea. Esto significa que un posible atacante tendría que comprometer tu dispositivo y saltarse las protecciones locales para entrar.
• Protecciones de exportación y sincronización de credenciales: En las plataformas que sincronizan las passkeys entre dispositivos (como el llavero de iCloud o el gestor de contraseñas de Google), las credenciales se cifran de extremo a extremo. Solo tus dispositivos, con la autenticación correspondiente, pueden leer o usar las passkeys.
• Seguridad del ciclo de vida: Los dispositivos pueden borrar de forma segura las credenciales si los restableces o los das de baja. Las organizaciones pueden aplicar el acceso condicional y la gobernanza mediante soluciones como Microsoft Entra ID y las directivas de acceso condicional para controlar el uso de las credenciales y remediar los compromisos.

Comparación de passkeys sincronizadas y soluciones vinculadas al software

No todas las passkeys son iguales. Una vez que configuras la autenticación sin contraseña, pronto notarás diferencias en la forma en que se gestionan tus credenciales; principalmente, si se sincronizan entre tus dispositivos a través de la nube o si están bloqueadas en un único dispositivo. Estas decisiones de arquitectura tienen consecuencias reales en cuanto a usabilidad y riesgo.

Las passkeys sincronizadas, como las que ofrecen iCloud Keychain en dispositivos Apple o Google Password Manager en Android, te permiten acceder a tus inicios de sesión desde teléfonos, tabletas y ordenadores, a menudo con una comodidad impresionante. Pero eso conlleva sus propios compromisos de seguridad y fiabilidad, sobre todo por la posible exposición si el proveedor de la nube sufre una brecha o si se interrumpe el enlace de sincronización.

Por otro lado, las passkeys vinculadas al software residen por completo en un único dispositivo. Si quieres pasar a un dispositivo nuevo, tienes que transferirlas o volver a registrarlas manualmente; a veces es una molestia menor, y otras veces, un obstáculo decisivo para las organizaciones que gestionan miles de usuarios y actualizaciones de dispositivos sin intervención.

A continuación, analizaremos por qué importan estos modelos, qué riesgos conlleva cada enfoque y cómo elegir el adecuado para tu entorno, ya sea que protejas inicios de sesión personales o que implantes la autenticación sin contraseña en toda una empresa.

Passkeys sincronizadas entre dispositivos: ventajas y riesgos

• Comodidad multidispositivo: Las passkeys sincronizadas (como las de iCloud o Google Password Manager) te permiten iniciar sesión desde cualquier dispositivo de tu ecosistema de forma instantánea, lo que ofrece una experiencia fluida entre teléfonos, tabletas y portátiles.
• Recuperación automatizada: ¿Pierdes un dispositivo? Tus passkeys siguen a salvo y pueden recuperarse desde otro dispositivo de confianza, lo que reduce los bloqueos de cuenta y los problemas de soporte.
• Riesgos por dependencia de la nube: Como las credenciales viajan por la nube, aunque estén cifradas, aumenta el riesgo si el proveedor de sincronización sufre una brecha o una caída del servicio, lo que hace que tu postura de seguridad dependa de un tercero.
• Ecosistemas cerrados: La sincronización suele funcionar mejor dentro de un mismo ecosistema, como todos los dispositivos Apple o todos los de Google, lo que genera fricción cuando los usuarios cambian entre iOS, Android, Windows o macOS.

Passkeys vinculadas al software y compromisos de la sincronización entre dispositivos

• Seguridad solo local: Estas passkeys están estrechamente vinculadas a un único dispositivo, lo que significa que ninguna nube de terceros puede exponerlas en caso de intrusión; son ideales para entornos que exigen un aislamiento más estricto.
• Portabilidad limitada: Si cambias de dispositivo, tendrás que exportar, migrar o restablecer las passkeys manualmente. Esto añade carga operativa, pero puede reducir la superficie de ataque.
• Recuperación complicada: Si el dispositivo se pierde o falla, también se pierden sus passkeys locales. Planificar una copia de seguridad segura o protocolos de recuperación claros es esencial para evitar bloqueos permanentes.
• Caso de uso adecuado: Las organizaciones con necesidades de alta garantía o reguladas (como los sectores financiero o público) suelen preferir este método para las cuentas privilegiadas y los sistemas sensibles, a pesar del esfuerzo operativo adicional.

Llaves de seguridad de hardware y autenticadores externos explicados

Las llaves de seguridad de hardware son dispositivos físicos dedicados que se usan para la autenticación sin contraseña con FIDO2 y los sistemas de passkeys. Existen en diversos formatos, normalmente como dongles USB, NFC o Bluetooth, que llevas en el llavero o dejas junto a tu estación de trabajo. Entre los modelos más populares se encuentran YubiKey, SoloKey y Feitian.

Lo que distingue a las llaves de seguridad de hardware es su diseño resistente a la manipulación. Los secretos criptográficos (las claves privadas) se generan dentro del dispositivo y nunca salen de él, incluso si el ordenador o teléfono conectado se ve comprometido. Esto las hace extremadamente resistentes tanto al phishing como al malware, por lo que se prefieren para cuentas de administrador, root o de alto valor.

A diferencia de las passkeys ligadas a una plataforma, las llaves de seguridad físicas se basan en estándares del sector, como el Client to Authenticator Protocol (CTAP), para interactuar con los dispositivos y con las API del navegador (como WebAuthn). Esto significa que, por lo general, se pueden usar en muchos sistemas, sin depender de las plataformas de Apple, Google o Microsoft, siempre que la aplicación de destino sea compatible con FIDO2.

Algunos entornos, sobre todo los de sectores regulados o de alto riesgo, exigen el uso de estas llaves para cumplir la normativa o alcanzar el nivel AAL3 (el de mayor garantía según la definición del NIST SP 800-63B). Aunque no son tan cómodas como las passkeys sincronizadas entre todos tus dispositivos, ofrecen una seguridad de primer nivel para los roles en los que comprometer la cuenta simplemente no es una opción.

Ciclo de vida de las credenciales y seguridad en cada etapa

Pasar a FIDO2 y a las passkeys no se trata solo de mejorar las pantallas de inicio de sesión, sino de reforzar la seguridad en todo el ciclo de vida de las credenciales. Cada paso, desde que se crea una passkey hasta que se usa, se almacena o se revoca, presenta retos y superficies de ataque distintos.

Comprender este ciclo de vida ayuda a las organizaciones a identificar dónde centrar los controles de seguridad y la gobernanza. Por ejemplo, la creación de credenciales necesita una atestación y una vinculación sólidas, mientras que el uso activo debe supervisarse para detectar intentos de phishing o de compromiso del dispositivo. El almacenamiento y la copia de seguridad, siempre un punto débil con las contraseñas, pueden convertirse en una fortaleza con credenciales ligadas al dispositivo bien protegidas o con un cifrado robusto en la nube.

La gestión del ciclo de vida también abarca el lado menos atractivo, pero igual de crítico: la rotación, la revocación y la recuperación de cuentas. Mantener el control sobre quién tiene qué llaves, garantizar una limpieza ordenada cuando un empleado se marcha y poder responder ante dispositivos perdidos o comprometidos sin afectar a la productividad forman parte de un buen plan para la autenticación sin contraseña.

En entornos de Microsoft, integrar buenas prácticas de ciclo de vida de credenciales está directamente relacionado con las estrategias generales de gobernanza de datos y de acceso, como se explica en recursos como Microsoft 365 Data Access Governance, donde la propiedad, la responsabilidad y los procesos de revisión son fundamentales para una colaboración segura.

Creación de credenciales, ataques y gestión de estados

• Creación segura: genera siempre las credenciales FIDO2 en almacenes de claves respaldados por hardware, con una atestación sólida que garantice el origen auténtico del dispositivo.
• Resistencia al phishing: los flujos de autenticación con passkeys y FIDO2 son inherentemente resistentes al phishing, ya que los secretos nunca se transmiten y los desafíos de firma son únicos en cada sesión.
• Ataques de repetición y MITM: los desafíos criptográficos únicos y de un solo uso impiden que los atacantes reutilicen respuestas interceptadas o lleven a cabo ataques de tipo man-in-the-middle.
• Gestión de estados: revisa periódicamente el estado de las credenciales, revoca las claves no utilizadas o comprometidas y mantén un inventario, sobre todo para las cuentas con privilegios o con acceso elevado.

Recuperación, revocación y limitaciones de las credenciales

Ningún sistema es perfecto: incluso las passkeys y las llaves de seguridad más robustas pueden perderse, robarse o romperse. Planificar la recuperación y la revocación de credenciales es fundamental, sobre todo si vas a migrar tu equipo u organización a la autenticación sin contraseña a gran escala.

Cuando se pierde una passkey o una credencial FIDO2, las opciones de recuperación dependen de cómo se gestione. En el caso de las passkeys sincronizadas (como iCloud Keychain de Apple o el Gestor de contraseñas de Google), normalmente puedes restaurar tus credenciales en un dispositivo nuevo una vez superados la autenticación a nivel de dispositivo y los pasos de recuperación. Esto reduce al mínimo el tiempo de inactividad, pero implica confiar en los mecanismos de seguridad y recuperación del proveedor de la nube.

Las llaves de seguridad añaden una capa de complejidad: si pierdes una llave física, debes tener llaves de respaldo registradas o procedimientos de anulación por parte del administrador. De lo contrario, podrías quedarte completamente bloqueado. La revocación la gestiona el servidor: una vez que se notifica que una llave se ha perdido, la clave pública se elimina de tu perfil y la credencial perdida deja de ser válida.

Por otro lado, depender en exceso de las funciones de copia de seguridad y recuperación puede debilitar la seguridad: los procesos de recuperación deben estar reforzados frente a la ingeniería social y las amenazas internas. Las revisiones frecuentes y la automatización mediante herramientas como Microsoft Purview Audit pueden ayudar a las organizaciones a supervisar el uso de las credenciales, los eventos de revocación y los posibles riesgos para el cumplimiento normativo o las necesidades de investigación forense.

En definitiva, elegir una estrategia de recuperación y revocación implica equilibrar la comodidad del usuario con controles sólidos; no existe una solución única para todos los casos. Mapear los escenarios de pérdida de dispositivos e implementar soluciones de recuperación de cuentas por niveles es imprescindible en cualquier despliegue serio sin contraseñas.

Claves de acceso frente a llaves de seguridad: cómo elegir la opción adecuada

Cuando llega el momento de decidir, la elección entre claves de acceso y llaves de seguridad de hardware depende de tu caso de uso, de las necesidades de comodidad de los usuarios y del entorno de amenazas. Ambas comparten una base común (los protocolos FIDO2 y la criptografía de clave pública), pero se comportan de forma muy distinta en el día a día.

Las claves de acceso brillan en entornos donde los usuarios necesitan un acceso fluido desde varios dispositivos: piensa en usuarios finales con teléfonos, tabletas, portátiles y aplicaciones en la nube como Microsoft 365. Su fortaleza está en la usabilidad: desbloqueas tu dispositivo y ya has iniciado sesión, incluso en un parque de dispositivos personales o de trabajo.

Las llaves de seguridad, en cambio, ofrecen la máxima seguridad, algo crítico para administradores, usuarios con privilegios o cualquiera que no pueda asumir ni el más mínimo riesgo de compromiso. Su portabilidad las hace ideales en escenarios en los que necesitas autenticarte desde equipos no gestionados o públicos. El inconveniente: si olvidas llevarla, la pierdes o se rompe, recuperar el acceso puede resultar más engorroso.

En contextos regulados y de alto riesgo, integrar llaves de seguridad en un enfoque de Zero Trust (como el descrito en Zero Trust for Microsoft 365) garantiza una verificación continua que se adapta a modelos de amenazas que cambian rápidamente, minimizando al mismo tiempo la fricción para el usuario.

Aplicaciones para empresas y sectores regulados: 1Kosmos 1Key y más allá

1. 1Kosmos 1Key para garantías altas: Esta solución ofrece autenticación sin contraseñas compatible con FIDO2, diseñada para cumplir los estrictos requisitos AAL3 de NIST SP 800-63B. Combina verificación biométrica, confianza en el dispositivo y factores de autenticación dinámicos para usuarios con privilegios y cuentas de alto riesgo.
2. Integración empresarial avanzada: 1Key se integra de forma fluida con las plataformas empresariales de Microsoft, automatizando el aprovisionamiento de identidades, la gestión del ciclo de vida de los accesos y su revocación en despliegues en la nube a gran escala.
3. Cumplimiento normativo: La plataforma incluye asignaciones de cumplimiento listas para usar para sectores regulados (financiero, sanitario y gubernamental), lo que permite verificar identidades, registrar con detalle los eventos y mantener pistas de auditoría que cumplen con exigentes obligaciones de informes.
4. Acceso seguro para ciudadanos y empleados: Las organizaciones que despliegan aplicaciones en la nube o portales orientados a ciudadanos obtienen acceso sin contraseñas manteniendo la verificación de identidad y la gobernanza, y reducen los quebraderos de cabeza operativos derivados de credenciales perdidas o restablecimientos de contraseña.
5. Sinergia entre Power Platform y gobernanza: Integrar soluciones como 1Key en marcos de gobernanza más amplios (como se analiza en Power Platform governance best practices) ayuda a alinear la seguridad basada en la identidad con las directivas empresariales de datos, conectores y entornos.

Mejorar la experiencia de usuario y la autenticación en varios dispositivos

Si hay algo en lo que coinciden usuarios y administradores, es en que las contraseñas son un auténtico incordio. Las claves de acceso pretenden solucionarlo, haciendo que los inicios de sesión sean sencillos, intuitivos y menos estresantes, especialmente en varios dispositivos y plataformas en la nube. Con las claves de acceso no hace falta recordar frases complejas ni restablecer contraseñas después de cada campaña trimestral de «concienciación en seguridad».

Una gran ventaja de las claves de acceso es la autenticación en varios dispositivos. Una vez almacenadas en el llavero de tu cuenta (sea de Apple, Google o Microsoft), obtienes inicios de sesión casi instantáneos en los dispositivos vinculados al mismo ecosistema. Aprobar los inicios de sesión con un simple escaneo facial o una huella dactilar no solo acelera el proceso, sino que reduce drásticamente la fricción para los usuarios que cambian constantemente de dispositivo o de ubicación.

Desde la perspectiva de la adopción, reducir la fricción lo es todo. Muchos equipos de TI temen la reacción negativa ante directivas de contraseñas impuestas o el aumento de tickets de soporte por bloqueos de cuenta. Las claves de acceso lo minimizan: los usuarios no gestionan contraseñas, no sufren cansancio por los inicios de sesión ni entran en bucles de restablecimiento. Las barreras de adopción suelen estar más relacionadas con la compatibilidad entre ecosistemas o con la configuración inicial de los dispositivos, y ambas están mejorando rápidamente.

Las organizaciones inteligentes priorizan las estrategias de despliegue probando las passkeys con equipos pequeños, recopilando comentarios y automatizando la inscripción de dispositivos. Así el proceso se mantiene estable y es fácil de usar, sin renunciar a la seguridad.

Preguntas frecuentes, claves de seguridad frente a passkeys y seguridad en el acceso remoto

• ¿Las passkeys y las claves de seguridad son lo mismo? No exactamente. Las passkeys son credenciales FIDO2 digitales que gestiona tu dispositivo o tu nube; las claves de seguridad son dispositivos físicos que conectas o tocas para autenticarte. Ambas usan la misma base criptográfica.
• ¿Puedo usar passkeys en dispositivos Apple, Google y Windows? En cierta medida. Las passkeys sincronizadas funcionan mejor dentro de un mismo ecosistema; el soporte multiplataforma real existe, pero puede ser irregular, y la compatibilidad de los navegadores con las funciones de FIDO2 varía.
• ¿Alguien puede robarme mi passkey de forma remota? A menos que tu dispositivo (y su cuenta de copia de seguridad en la nube) esté comprometido, el robo remoto de passkeys es muy poco probable. Las propias claves nunca salen de tu dispositivo sin cifrar.
• ¿Son seguras las passkeys para el trabajo remoto y el acceso a la nube? Sí, siempre que se combinen con directivas de dispositivo y herramientas como Microsoft Defender y Purview. Así, las passkeys ofrecen una autenticación remota robusta y reducen de forma significativa el riesgo de phishing, malware y robo de identidad.
• ¿Los gestores de contraseñas pueden almacenar passkeys? Las versiones más recientes de gestores como 1Password, iCloud Keychain y Google Password Manager ya admiten passkeys. Aun así, comprueba siempre la compatibilidad y el soporte de FIDO2/WebAuthn al integrarlos en tu flujo de identidad.

Conclusión, comparativa de seguridad y recomendaciones finales

1. Conclusión sobre seguridad: Tanto las passkeys como las credenciales FIDO2 eliminan las contraseñas y sus debilidades. Las passkeys ganan en facilidad de uso para la mayoría de los usuarios, mientras que las claves de seguridad físicas siguen siendo la opción principal en escenarios de alta garantía.
2. Usabilidad frente a portabilidad: Las passkeys sincronizadas ofrecen inicios de sesión fluidos en varios dispositivos, lo que las hace ideales para el usuario medio o para una flota corporativa. Las claves físicas ofrecen portabilidad, pero obligan a llevar siempre un token físico a mano.
3. Estrategia de despliegue: En entornos regulados, implementa una seguridad por capas: combina passkeys para los usuarios generales, claves de seguridad para los administradores y soluciones empresariales como 1Kosmos 1Key para flujos de trabajo conformes con AAL3.
4. Ciclo de vida y recuperación: Planifica los flujos de recuperación y revocación antes de la migración; las copias de seguridad y las auditorías (consulta Governance for AI and access control) son fundamentales para evitar interrupciones o desviaciones en el cumplimiento.
5. Preparación para el futuro: Sigue de cerca la evolución de los estándares de interoperabilidad y cumplimiento, especialmente en entornos de Microsoft 365 y Azure, para anticiparte a los nuevos retos de identidad y amenazas.

Próximos pasos y más formación sobre seguridad de identidad

• Documentación de Microsoft: Explora la documentación oficial sobre FIDO2, passkeys y despliegue sin contraseña en Microsoft 365 y Azure.
• Podcasts sobre seguridad de identidad: Escucha debates prácticos sobre auditoría y gobernanza en M365.fm: Auditing User Activity with Microsoft Purview.
• Guías técnicas: Revisa blogs técnicos sobre la configuración y la resolución de problemas de autenticación FIDO2 y passkeys para empresas a gran escala.
• Buenas prácticas de cumplimiento: Estudia el NIST SP 800-63B y aprende cómo las principales soluciones sin contraseña se alinean con los niveles de garantía (IAL, AAL).
• Foros de la comunidad: Únete a foros de seguridad, Microsoft 365 y gestión de identidades para plantear preguntas y compartir consejos de implementación reales con otros profesionales.

🎧 También te puede interesar

• Identity Governance in Microsoft Entra

  Aprende prácticas de propiedad y controles de acceso para Microsoft 365.

• Microsoft 365 Governance Operating Model

  Descubre las decisiones que hacen sostenible la adopción de tecnología.

• AI Agents – Simply Explained

  Comprende el contexto de gobernanza del trabajo asistido por IA.

Passkeys frente a FIDO2: orientación práctica para empresas

Las passkeys y las claves de seguridad FIDO2 ofrecen ambas autenticación resistente al phishing, pero hacen compromisos distintos en cuanto a portabilidad, recuperación, control del dispositivo y experiencia de usuario. Un despliegue sólido define el modelo de credenciales, el proceso de registro, el proceso de recuperación, los requisitos para usuarios con privilegios y las excepciones para aplicaciones heredadas.

Lista de verificación de implementación

1. Inventaría los proveedores de identidad, los navegadores, los dispositivos y las aplicaciones compatibles.
2. Elige credenciales sincronizadas o vinculadas al dispositivo para cada perfil de riesgo.
3. Registra varios autenticadores antes de aplicar la obligatoriedad.
4. Protege la recuperación y la verificación en el servicio de asistencia técnica.
5. Prueba con usuarios con privilegios y mide los fallos antes de desplegarlo de forma amplia.

Errores comunes

• Aplicar el inicio de sesión sin contraseña sin una ruta de recuperación.
• Suponer que todos los navegadores y aplicaciones heredadas admiten la misma credencial.
• Permitir autenticadores compartidos, lo que debilita la rendición de cuentas.
• Ignorar el ciclo de vida de los dispositivos y los procedimientos para autenticadores perdidos.

Preguntas frecuentes

¿Qué es una passkey?

Una passkey es una credencial FIDO que usa criptografía de clave pública y se desbloquea con un gesto en el dispositivo, un dato biométrico o un PIN local.

¿Qué es FIDO2?

FIDO2 es el estándar de autenticación basado en WebAuthn y en el Client to Authenticator Protocol, que permite el inicio de sesión resistente al phishing.

¿Son lo mismo las passkeys y FIDO2?

Las passkeys son una experiencia de credenciales fácil de usar, basada en los estándares FIDO. FIDO2 describe el ecosistema técnico más amplio y los protocolos de autenticación.

¿Son las passkeys más seguras que las contraseñas?

Sí. Las passkeys usan criptografía de clave pública vinculada al origen, de modo que un sitio web no recibe un secreto reutilizable que los atacantes puedan robar o reproducir.

¿Son las passkeys resistentes al phishing?

Sí, si se implementan correctamente. La credencial está vinculada al origen legítimo del sitio web y no revela una contraseña a una página de phishing.

¿Es una YubiKey una passkey FIDO2?

Una YubiKey puede almacenar credenciales FIDO2 y funcionar como clave de seguridad. Que se la llame passkey depende de la credencial y de la terminología del producto.

¿Son las passkeys más seguras que una YubiKey?

Ninguna es universalmente más segura. Las passkeys sincronizadas mejoran la recuperación y la facilidad de uso, mientras que las claves vinculadas al hardware ofrecen un control sólido del dispositivo y una separación clara.

¿Qué es una passkey sincronizada?

Una passkey sincronizada se respalda a través de un gestor de credenciales aprobado o de un ecosistema de plataforma, de modo que esté disponible en varios dispositivos.

¿Qué es una passkey vinculada al dispositivo?

Una passkey vinculada al dispositivo permanece en un solo autenticador o dispositivo y no se sincroniza con otra plataforma.

¿FIDO2 reemplaza completamente las contraseñas?

Puede reemplazarlas en las aplicaciones compatibles, pero las organizaciones siguen necesitando estrategias para la recuperación, la autenticación heredada y el ciclo de vida de las cuentas.

¿Admite Microsoft Entra ID las passkeys?

Microsoft Entra ID admite claves de seguridad FIDO2 y opciones de autenticación relacionadas con passkeys, sujetas a la configuración del inquilino y a las capacidades actuales del servicio.

¿Qué relación tiene WebAuthn con las passkeys?

WebAuthn es la API del navegador y de la plataforma que permite a los sitios web y a los proveedores de identidad crear y usar credenciales de clave pública.

¿Qué ocurre si un usuario pierde el dispositivo con su passkey?

El usuario necesita otro autenticador registrado o un método de recuperación aprobado. Las empresas deben registrar varios autenticadores antes de exigir el acceso sin contraseña.

¿Se pueden usar las passkeys en varios dispositivos?

Las passkeys sincronizadas pueden estar disponibles en los dispositivos compatibles, mientras que las credenciales vinculadas al dispositivo deben registrarse en cada autenticador.

¿Se pueden compartir passkeys entre usuarios?

No. Las credenciales deben representar a una persona o a una identidad de carga de trabajo aprobada. Los autenticadores compartidos debilitan la rendición de cuentas.

¿Protegen las passkeys contra la reproducción de credenciales?

Sí. La clave privada permanece en el autenticador y cada autenticación incluye un desafío que impide la reproducción simple.

¿Puede robarse una passkey?

Un atacante puede robar el dispositivo, pero la credencial normalmente está protegida por un factor de desbloqueo local y no expone una contraseña reutilizable.

¿Qué es la autenticación sin contraseña?

La autenticación sin contraseña verifica al usuario mediante un autenticador criptográfico, datos biométricos, un PIN o una clave de seguridad, en lugar de una contraseña memorizada.

¿Cuáles son las desventajas de las passkeys?

Los retos incluyen la recuperación, la interoperabilidad entre plataformas, los escenarios de dispositivos compartidos, las aplicaciones heredadas y la comprensión que tienen los usuarios durante el despliegue.

¿Cómo deben gestionar las empresas la recuperación de passkeys?

Exige varios autenticadores, define la verificación en el servicio de asistencia técnica, protege los métodos de recuperación y supervisa los eventos de registro y restablecimiento.

¿Pueden las passkeys funcionar con dispositivos móviles?

Sí. Los sistemas operativos móviles compatibles pueden crear o usar passkeys a través de autenticadores de plataforma o llaves de seguridad externas.

¿Pueden funcionar las passkeys en distintos navegadores?

La compatibilidad depende del navegador, del sistema operativo, del proveedor de identidad y del tipo de credencial. Prueba los flujos de usuario previstos antes de implantarlas.

¿Son adecuadas las passkeys para los administradores?

Sí. Son especialmente valiosas para los usuarios con privilegios, que deberían usar autenticación resistente al phishing y cuentas administrativas independientes.

¿Cómo afectan las passkeys al acceso condicional?

Pueden cumplir los requisitos de autenticación sólida cuando el proveedor de identidad reconoce el autenticador y se cumplen las condiciones de la directiva.

¿Cómo deberían implantarse las passkeys?

Empieza por los usuarios con privilegios y de alto riesgo, establece un método de recuperación, realiza una prueba piloto con dispositivos representativos y amplía después el despliegue con métricas de registro y soporte.

¿Qué debería supervisarse tras la implantación?

Supervisa el registro, los errores de autenticación, los eventos de recuperación, las omisiones de directivas, el volumen de soporte técnico y el riesgo de inicio de sesión.

¿Las passkeys eliminan la MFA?

Una passkey puede ofrecer una experiencia de autenticación multifactor resistente al phishing cuando combina la posesión del autenticador con un factor de desbloqueo local.

¿Pueden las passkeys proteger las cuentas de servicio?

Las passkeys de usuarios no sustituyen a la identidad de carga de trabajo. Para los servicios, usa identidades administradas, certificados u otras credenciales no humanas adecuadas.

¿Cuál es el principal beneficio para la empresa?

El principal beneficio es reducir el riesgo de phishing y de restablecimiento de contraseñas, al tiempo que se mejoran la seguridad del inicio de sesión y la experiencia del usuario.

¿Cuál es el primer paso de la implementación?

Inventaría las aplicaciones y los usuarios, confirma la compatibilidad del proveedor de identidad, define el método de recuperación y realiza una prueba piloto con un grupo pequeño antes de exigir el inicio de sesión sin contraseña.

Explora recursos relacionados de M365.fm: M365.fm Learning Hub, Microsoft 365 governance checklist y Microsoft Copilot security model.