Passkeys en empresas: el punto débil puede ser la recuperación
Activar passkeys es fácil de medir. Saber si la cuenta quedó protegida es más difícil. Un usuario puede entrar con una clave de acceso resistente al phishing y, al perder el teléfono, recuperar la misma cuenta con un enlace de correo o un SMS. En ese caso, la ruta de recuperación define buena parte del riesgo real.
La adopción ya no es una curiosidad: el Passkey Index 2026 de FIDO, basado en servicios participantes, indica que el 36 % de sus inicios de sesión exitosos usó passkey. El siguiente reto para dirección de tecnología es revisar el sistema completo de identidad: registro, uso diario, acceso alternativo y recuperación. La guía de FIDO sobre prevención de phishing insiste en ese recorrido.
Por qué una passkey resiste el phishing
Una passkey usa criptografía de clave pública vinculada al servicio legítimo. La clave privada permanece en el autenticador y el sitio comprueba una respuesta firmada; no recibe una contraseña reutilizable que alguien pueda copiar en una página falsa. El desbloqueo local puede usar PIN o biometría, pero esa biometría no se envía como contraseña al sitio.
Ese diseño reduce un ataque común: convencer a una persona de escribir sus credenciales en un dominio impostor. Pero si el servicio conserva una ruta alternativa débil, un atacante buscará esa ruta. FIDO documenta casos donde la coexistencia con contraseñas y mecanismos de recuperación socava el beneficio del acceso con passkey.
Tutorial: dibuja todos los caminos hacia una cuenta
Antes de cambiar la política de identidad, elige un servicio crítico —correo corporativo, panel de administración, CRM o repositorio— y dibuja cuatro flujos: alta de passkey, inicio de sesión habitual, incorporación de un dispositivo nuevo y recuperación tras pérdida del dispositivo. Para cada flujo anota quién confirma la identidad, qué factor se usa y qué alerta recibe el titular.
Este mapa suele revelar detalles que una captura de la pantalla de login no muestra: una contraseña que sigue activa, un código SMS que permite reentrada, un agente de soporte capaz de restablecer el acceso sin una verificación proporcional o una sesión antigua que nunca se revoca.
Seis pruebas de aceptación para un piloto
- Dominio falso: comprueba que una passkey creada para el sitio legítimo no pueda autenticarse en otro dominio. La resistencia al phishing depende del vínculo con el servicio.
- Acceso alternativo: enumera contraseñas, SMS, códigos, correo y soporte. Decide cuáles siguen habilitados para cada tipo de cuenta y por cuánto tiempo.
- Dispositivo perdido: ensaya la recuperación con una persona autorizada. Registra pasos, tiempo y evidencia exigida sin improvisar excepciones.
- Alta de un segundo autenticador: pide una autenticación fuerte antes de añadirlo y notifica al titular. Un segundo método ayuda a evitar bloqueos.
- Salida de un empleado: verifica la revocación de sesiones, dispositivos registrados y acceso al sistema donde se sincronizan las claves.
- Cuenta privilegiada: comprueba si necesita una passkey ligada a dispositivo o llave física y controles de recuperación más estrictos que los de una cuenta ordinaria.
No hay una configuración universal. NIST SP 800-63B-4 distingue los autenticadores sincronizables de los no exportables y establece requisitos diferentes según el nivel de garantía. Para un entorno empresarial, importan también la gestión de dispositivos, el control de la cuenta de sincronización y la capacidad de recuperación.
La política que conviene escribir antes del despliegue
Define qué aplicaciones aceptan passkeys, qué grupos deben registrarlas, cuántos autenticadores puede añadir cada persona, cómo se autoriza un dispositivo nuevo y quién aprueba una excepción. Conserva un proceso de soporte accesible para usuarios con dispositivos incompatibles o necesidades de accesibilidad, pero protégelo contra suplantación.
La transición puede hacerse por etapas: primero ofrecer passkeys, luego favorecerlas en la interfaz, después limitar métodos alternativos y finalmente exigirlas donde el riesgo lo justifique. En cada etapa mide el porcentaje de cuentas registradas, el porcentaje de accesos que realmente usa passkeys, los bloqueos de cuenta y las recuperaciones. Son métricas diferentes.
Qué significa «sin contraseña» en la práctica
Mi criterio es no dar por terminado un programa solo porque el login principal ya muestra el botón de passkey. La pregunta difícil es: ¿cuál es la forma más sencilla de obtener acceso a esta cuenta? Si la respuesta sigue siendo un proceso alternativo fácil de engañar, allí está el próximo trabajo. La identidad digital se diseña como un ciclo completo, desde el alta hasta la baja.
Fuentes: FIDO Passkey Index 2026; FIDO, guía de prevención de phishing; NIST SP 800-63B-4.
