Passkeys sincronizadas frente a passkeys vinculadas al dispositivo en Microsoft Entra ID: ¿cuál deberías usar?

By Mirko Peters · 2026-10-28

Compara las passkeys sincronizadas y las vinculadas al dispositivo en Microsoft Entra ID. Descubre qué método de autenticación se adapta a los usuarios corporativos del día a día frente a los administradores de TI.

Automatically translated with AI from the original post. Read the English original

Al implementar la autenticación moderna, elegir entre passkeys sincronizadas y passkeys vinculadas al dispositivo en Microsoft Entra ID es la decisión de arquitectura más crítica a la que se enfrentan los responsables de TI. Aunque ambas opciones eliminan las contraseñas vulnerables y neutralizan el phishing impulsado por IA, gestionan de formas muy distintas la pérdida del dispositivo, la sincronización en la nube y la visibilidad administrativa.

Puntos clave

• Las passkeys sincronizadas almacenan las credenciales en cuentas de nube de confianza, como iCloud o Google, lo que permite que viajen entre dispositivos y sobrevivan a la pérdida de un teléfono.
• Las passkeys vinculadas al dispositivo residen exclusivamente en una única unidad física, como una clave de seguridad de hardware o la aplicación Microsoft Authenticator, y no pueden sincronizarse.
• Microsoft recomienda las passkeys sincronizadas para los empleados corporativos en general, por su gran comodidad y menor fricción.
• Los administradores de TI y las cuentas con privilegios elevados deben usar claves de hardware vinculadas al dispositivo para mantener un control absoluto sobre las credenciales.
• Microsoft Entra ID admite ambos tipos de credenciales, lo que permite a las organizaciones equilibrar la productividad de los usuarios con directivas de seguridad rigurosas.

Entender las passkeys sincronizadas en la empresa

Las passkeys sincronizadas representan la máxima combinación de seguridad y comodidad para el lugar de trabajo moderno. Cuando un usuario crea una passkey sincronizada en su dispositivo móvil o estación de trabajo, la clave privada se cifra y se almacena en una cuenta de un proveedor de nube de confianza, como Llavero de iCloud de Apple, el Gestor de contraseñas de Google o soluciones de terceros como 1Password y Dashlane. Esta arquitectura subyacente permite que la credencial siga al usuario sin problemas por todo su ecosistema.

Si un empleado compra un portátil nuevo o sustituye un smartphone dañado, volver a iniciar sesión en su cuenta del proveedor de nube restaura de inmediato el acceso a sus passkeys. Según datos destacados por Microsoft, aproximadamente el 99 por ciento de los usuarios registra correctamente passkeys sincronizadas, y experimentan velocidades de inicio de sesión unas catorce veces más rápidas que con contraseñas tradicionales combinadas con autenticación multifactor. Para los trabajadores del conocimiento habituales que usan aplicaciones de Microsoft 365 como Teams y Outlook, las passkeys sincronizadas eliminan la fricción y, al mismo tiempo, elevan la seguridad general de la organización.

Sin embargo, esta comodidad tiene una contrapartida en cuanto a visibilidad para los administradores de TI. Como las passkeys sincronizadas se replican entre ecosistemas de nube, los administradores pierden el control detallado sobre los dispositivos exactos que tienen una copia de la clave privada. Esta falta de aislamiento de hardware hace que las opciones sincronizadas no sean lo ideal para roles de TI con altos privilegios, donde la certeza absoluta sobre los límites de las credenciales es primordial.

El papel de las passkeys vinculadas al dispositivo para usuarios con privilegios

A diferencia de sus equivalentes sincronizados en la nube, las passkeys vinculadas al dispositivo están ancladas de forma permanente a una única pieza de hardware físico. La clave privada se genera directamente en el dispositivo y es físicamente incapaz de salir de él. Esta categoría incluye tanto las claves de seguridad físicas dedicadas como las passkeys almacenadas localmente en la aplicación Microsoft Authenticator.

Para los administradores de TI y las cuentas que custodian las llaves del reino corporativo, las passkeys vinculadas al dispositivo son el estándar de oro. Si un empleado pierde un teléfono con una passkey vinculada al dispositivo configurada en la aplicación Authenticator, esa credencial concreta desaparece junto con el hardware. No existe una copia de seguridad en la nube que la restaure automáticamente, lo que elimina por completo el riesgo de replicación de credenciales en la nube.

Aunque este enfoque introduce desafíos de recuperación si el token físico se pierde o se daña, ofrece la postura de seguridad inflexible que requiere la administración de la infraestructura de Azure y los roles de administrador global. Las organizaciones pueden aplicar estos parámetros estrictos dentro de Microsoft Entra ID aprovechando la configuración de certificación (attestation) para exigir una autenticación respaldada por hardware.

Gestionar las compensaciones en Microsoft Entra ID

Desplegar passkeys con éxito en toda una empresa exige asumir las compensaciones operativas inherentes a cada formato. El despliegue de passkeys ya no es un concepto futurista: con Microsoft Entra ID haciendo de las passkeys la experiencia de inicio de sesión predeterminada y eliminando gradualmente los códigos por SMS y por voz heredados, las organizaciones deben diseñar una estrategia de doble vía.

Para la mayoría de los empleados, desplegar passkeys sincronizadas garantiza tasas de adopción altas, reduce al mínimo las incidencias de restablecimiento de contraseñas en el servicio de asistencia y mejora drásticamente las tasas de éxito de autenticación. La experiencia de usuario sigue siendo rápida, basada en solicitudes biométricas familiares como el reconocimiento facial o la huella dactilar.

Por el contrario, para los usuarios con privilegios, exigir llaves de seguridad de hardware vinculadas al dispositivo crea un perímetro infranqueable frente a amenazas cibernéticas sofisticadas. Las empresas deben establecer flujos de recuperación claros para los tokens de hardware perdidos, garantizando que los administradores dispongan de capacidades de revocación rápidas dentro de Entra ID sin comprometer la integridad del sistema de identidad.

Conclusión

Elegir entre passkeys sincronizadas y passkeys vinculadas al dispositivo no consiste en encontrar una única solución universal, sino en asociar el control de seguridad adecuado al perfil de usuario adecuado. Si despliegas passkeys sincronizadas para la productividad diaria y reservas las llaves de hardware vinculadas al dispositivo para los equipos administrativos, las organizaciones pueden alcanzar una seguridad óptima sin sacrificar la usabilidad. Para profundizar en los mecanismos técnicos que hay detrás de estas credenciales, puedes escuchar el episodio completo del podcast M365 FM, con una conversación experta sobre la seguridad moderna en la nube de Microsoft.

Preguntas frecuentes

¿Puedo usar passkeys sincronizadas para cuentas administrativas en Microsoft Entra ID?

Aunque es técnicamente posible, Microsoft recomienda encarecidamente las llaves de hardware vinculadas al dispositivo para los administradores de TI y los roles con privilegios elevados, a fin de evitar la replicación no autorizada de credenciales en la nube.

¿Qué ocurre con una passkey sincronizada si pierdo mi smartphone?

No ocurre nada catastrófico. Como las passkeys sincronizadas se respaldan de forma segura en la cuenta de tu proveedor de nube de confianza, al iniciar sesión en un nuevo dispositivo con esa misma cuenta, tus passkeys se restauran al instante.

¿Son compatibles las passkeys vinculadas al dispositivo con la aplicación Microsoft Authenticator?

Sí. Las passkeys almacenadas directamente en la aplicación Microsoft Authenticator se clasifican como vinculadas al dispositivo, lo que significa que permanecen asociadas a ese teléfono concreto y no se sincronizan con llaveros en la nube externos.

¿Pueden los administradores exigir tipos de passkey específicos en Microsoft Entra ID?

Sí. Los administradores pueden utilizar directivas de certificación (attestation) dentro de Microsoft Entra ID para restringir los inicios de sesión exclusivamente a passkeys vinculadas al dispositivo en entornos de alta seguridad.