Passkeys: Qué Son, Cómo Funcionan y Cómo Configurarlas en 2026 — El Futuro Sin Contraseñas ya Está Aquí

¿Y si pudieras iniciar sesión en todas tus cuentas sin escribir nunca más una contraseña? Sin recordar combinaciones imposibles, sin gestores de contraseñas, sin códigos 2FA, sin miedo a filtraciones. Solo tu huella dactilar, tu cara o el PIN de tu dispositivo. Eso es exactamente lo que prometen las passkeys (claves de acceso), y en 2026 ya no son el futuro: son el presente.

Google, Apple, Microsoft, Amazon, WhatsApp, GitHub, PayPal y decenas de grandes servicios ya soportan passkeys. La tecnología está lista, funciona y es más segura que cualquier contraseña, por muy larga y compleja que sea. Las passkeys son completamente inmunes al phishing, no se pueden filtrar en brechas de datos y no requieren que recuerdes absolutamente nada.

En esta guía completa te explicamos qué son las passkeys, cómo funcionan por dentro, por qué son más seguras que las contraseñas tradicionales, cómo configurarlas paso a paso en los servicios más populares y qué debes saber antes de dar el salto al futuro de la autenticación.

🔍 ¿Qué son las passkeys (claves de acceso)?

Las passkeys (en español, claves de acceso) son un nuevo método de autenticación que reemplaza las contraseñas tradicionales por un sistema basado en criptografía de clave pública. En lugar de crear y recordar una contraseña para cada sitio web, tu dispositivo (móvil, ordenador o tablet) genera automáticamente un par de claves criptográficas únicas que te identifican de forma segura.

Para iniciar sesión con una passkey, solo necesitas verificar tu identidad con algo que ya usas para desbloquear tu dispositivo:

• Huella dactilar (Touch ID, sensor del móvil)
• Reconocimiento facial (Face ID)
• PIN del dispositivo
• Patrón de desbloqueo (en Android)

No hay contraseña que escribir, no hay código que recordar, no hay SMS que esperar. Es como desbloquear tu móvil, pero para iniciar sesión en cualquier web o app.

¿Quién creó las passkeys?

Las passkeys están basadas en los estándares FIDO2 y WebAuthn, desarrollados por la FIDO Alliance, una organización formada por las empresas tecnológicas más grandes del mundo. En 2022, Apple, Google y Microsoft se comprometieron conjuntamente a implementar passkeys en sus plataformas, marcando el inicio del fin de las contraseñas.

⚙️ ¿Cómo funcionan las passkeys por dentro?

Aunque para el usuario son extremadamente simples, por dentro las passkeys usan criptografía avanzada. Aquí te lo explicamos de forma sencilla:

🛡️ ¿Por qué las passkeys son más seguras que las contraseñas?

Las passkeys eliminan prácticamente todos los vectores de ataque que afectan a las contraseñas tradicionales:

1. Inmunes al phishing 🎣

Este es el superpoder más importante de las passkeys. Cuando inicias sesión, la passkey verifica criptográficamente el dominio del sitio web antes de autenticarte. Si estás en una web falsa (g00gle.com en vez de google.com), la passkey simplemente no funciona. No importa lo perfecta que sea la réplica del phishing: la passkey sabe que no es el sitio correcto y se niega a autenticarte.

2. No se pueden filtrar 🔓

Con contraseñas, si un servicio sufre una brecha de datos, tu contraseña queda expuesta (como explicamos en nuestro artículo sobre contraseñas filtradas). Con passkeys, el servidor solo almacena tu clave pública, que es completamente inútil para un atacante. No hay nada que robar.

3. No se pueden adivinar ni descifrar 🔨

Los ataques de fuerza bruta no funcionan contra passkeys porque no hay una contraseña que adivinar. La clave privada es una secuencia criptográfica de 256 bits que reside en el chip de seguridad de tu dispositivo. Descifrarla por fuerza bruta requeriría más energía de la que existe en el universo.

4. No se pueden reutilizar 🔁

Cada passkey es única para cada servicio. Se genera automáticamente y no hay forma de "reutilizarla" en otro sitio. El problema de reutilizar contraseñas desaparece por completo.

5. No se pueden interceptar 📡

La clave privada nunca viaja por internet. Solo se envía una firma digital que cambia cada vez. Interceptar la comunicación no sirve de nada porque la firma capturada no se puede reutilizar.

6. Requieren presencia física 📱

Para usar una passkey, necesitas tener el dispositivo físicamente Y verificar tu identidad con biometría o PIN. Un hacker en la otra punta del mundo no puede acceder a tu cuenta ni siquiera si compromete el servidor.

📊 Passkeys vs contraseñas vs 2FA: comparativa completa

Aspecto	Solo contraseña	Contraseña + 2FA	Passkey
Seguridad general	🔴 Baja	🟢 Alta	🛡️ Máxima
Resistencia al phishing	❌ Ninguna	🟡 Parcial	✅ Total
Resistencia a fuerza bruta	🟡 Depende de la contraseña	🟢 Alta	✅ Inmune
Riesgo de filtración	🔴 Alto	🟡 La contraseña puede filtrarse	✅ No hay nada que filtrar
Credential stuffing	🔴 Vulnerable	🟢 Protegido	✅ Imposible
Facilidad de uso	⭐⭐⭐	⭐⭐ (dos pasos)	⭐⭐⭐⭐⭐ (un toque)
Velocidad de login	🟡 5-15 seg	🟡 15-30 seg	⚡ 1-2 seg
Necesitas recordar algo	🔴 Sí (la contraseña)	🔴 Sí (contraseña + app 2FA)	✅ No (solo biometría/PIN)
Soporte actual (2026)	✅ Universal	✅ Muy amplio	🟡 Creciendo rápidamente

🌐 ¿Qué servicios soportan passkeys en 2026?

La adopción de passkeys se ha acelerado enormemente. Estos son los principales servicios que ya las soportan:

Servicio	Soporte passkeys	¿Pueden reemplazar la contraseña?
Google (Gmail, YouTube, Drive...)	✅ Completo	✅ Sí, login sin contraseña
Apple (iCloud, App Store...)	✅ Completo	✅ Sí
Microsoft (Outlook, Xbox...)	✅ Completo	✅ Sí
Amazon	✅ Completo	✅ Sí
WhatsApp	✅ Completo	🟡 Como segundo factor
PayPal	✅ Completo	✅ Sí
GitHub	✅ Completo	✅ Sí
LinkedIn	✅ Completo	✅ Sí
X (Twitter)	✅ Completo	✅ Sí
TikTok	✅ Completo	✅ Sí
Nintendo	✅ Completo	✅ Sí
PlayStation (Sony)	✅ Completo	✅ Sí
Instagram	🟡 Parcial	🟡 En desarrollo
Facebook	🟡 Parcial	🟡 En desarrollo

La lista crece cada mes. Puedes consultar el directorio completo de servicios con passkeys en passkeys.directory.

📲 Cómo configurar passkeys paso a paso

Configurar una passkey es muy sencillo. Aquí tienes las instrucciones para los servicios más populares:

Google (Gmail, YouTube, Drive...)

1. Ve a myaccount.google.com/signinoptions/passkeys
2. Inicia sesión con tu cuenta de Google
3. Haz clic en "Crear una clave de acceso"
4. Tu dispositivo te pedirá verificación biométrica (huella, Face ID o PIN)
5. ¡Listo! La próxima vez que inicies sesión en Google, solo necesitarás tu huella o cara

Apple (iCloud, App Store...)

1. iPhone/iPad: Ajustes → tu nombre → "Inicio de sesión y seguridad"
2. Las passkeys se crean automáticamente con el Llavero de iCloud
3. Cuando un servicio compatible te pida crear una passkey, Safari te ofrecerá guardarla en el Llavero
4. Para iniciar sesión, solo usa Face ID o Touch ID

Microsoft (Outlook, Xbox, OneDrive...)

1. Ve a account.microsoft.com
2. Ve a "Seguridad" → "Opciones de seguridad avanzadas"
3. Busca "Agregar una nueva forma de iniciar sesión"
4. Selecciona "Clave de acceso"
5. Sigue las instrucciones de verificación biométrica

Amazon

1. Ve a amazon.es → "Tu cuenta"
2. Haz clic en "Inicio de sesión y seguridad"
3. Busca la sección "Clave de acceso"
4. Haz clic en "Configurar"
5. Verifica con tu huella o PIN

WhatsApp

1. Abre WhatsApp → Configuración
2. Ve a "Cuenta" → "Claves de acceso"
3. Toca "Crear clave de acceso"
4. Verifica con tu huella dactilar o Face ID

PayPal

1. Inicia sesión en paypal.com
2. Ve a Configuración → "Seguridad"
3. Busca "Claves de acceso"
4. Haz clic en "Crear una clave de acceso"
5. Verifica con biometría

💻 Compatibilidad de dispositivos

Para usar passkeys necesitas un dispositivo relativamente moderno. Estos son los requisitos mínimos:

Plataforma	Requisito mínimo	Dónde se guardan
iPhone / iPad	iOS 16 o superior	Llavero de iCloud (sincronizado)
Android	Android 9 o superior	Google Password Manager (sincronizado)
Windows	Windows 10/11 con Windows Hello	Windows Hello o en el navegador
Mac	macOS Ventura (13) o superior	Llavero de iCloud (sincronizado)
Chrome	Chrome 109 o superior	Google Password Manager
Safari	Safari 16 o superior	Llavero de iCloud
Firefox	Firefox 122 o superior	Depende del sistema operativo

¿Puedo usar una passkey del móvil en mi ordenador?

Sí. Si creas una passkey en tu iPhone y quieres usarla para iniciar sesión en tu ordenador, puedes hacerlo. El navegador del ordenador mostrará un código QR que escaneas con tu móvil, verificas tu identidad con biometría en el móvil y quedas autenticado en el ordenador. Es un proceso que dura unos 5 segundos.

✅ Ventajas y ❌ desventajas de las passkeys

Ventajas

• ✅ Inmunes al phishing: verifican criptográficamente el dominio del sitio
• ✅ No se pueden filtrar: el servidor solo tiene la clave pública
• ✅ No hay nada que recordar: solo necesitas tu biometría o PIN
• ✅ Mucho más rápidas: login en 1-2 segundos vs 15-30 con contraseña + 2FA
• ✅ Únicas por servicio: cada passkey es exclusiva para un sitio
• ✅ Se sincronizan: entre dispositivos del mismo ecosistema (iCloud, Google)
• ✅ Gratis: no necesitas hardware ni software adicional
• ✅ Inmunes a fuerza bruta: no hay contraseña que adivinar

Desventajas

• ❌ No todos los servicios las soportan aún: la adopción está creciendo pero no es universal
• ❌ Dependencia del dispositivo: necesitas un dispositivo compatible para autenticarte
• ❌ Sincronización entre ecosistemas: las passkeys de iCloud no se sincronizan directamente con Google y viceversa (aunque puedes usar el QR entre dispositivos)
• ❌ Si pierdes todos tus dispositivos: necesitas un método de recuperación alternativo (email, teléfono, códigos de respaldo)
• ❌ Curva de aprendizaje: algunos usuarios menos técnicos pueden confundirse al principio

🚫 Mitos y verdades sobre las passkeys

Mito: "Si me roban el móvil, acceden a todo"

FALSO. Para usar tus passkeys, el ladrón necesitaría desbloquear tu dispositivo con tu huella, tu cara o tu PIN. Sin eso, las passkeys son inaccesibles. Además, puedes borrar remotamente tu dispositivo (con Find My iPhone, Find My Device de Google, etc.) y las passkeys sincronizadas siguen disponibles en tus otros dispositivos.

Mito: "Mis datos biométricos se envían al servidor"

FALSO. Tu huella dactilar o tu cara NUNCA salen de tu dispositivo. La biometría solo se usa localmente para desbloquear la clave privada almacenada en el chip de seguridad de tu dispositivo. El servidor nunca ve, recibe ni almacena tus datos biométricos.

Mito: "Si el servicio es hackeado, me roban la passkey"

FALSO. El servidor solo almacena tu clave pública. Con ella, un hacker no puede hacer absolutamente nada. No puede usarla para iniciar sesión, no puede deducir tu clave privada, no puede suplantar tu identidad. Es como si robasen el agujero de la cerradura: sin la llave, es completamente inútil.

Mito: "Las passkeys son solo para gente técnica"

FALSO. Las passkeys son literalmente más fáciles que las contraseñas. No tienes que inventar nada, recordar nada ni escribir nada. Solo tocas tu huella o miras a la cámara. Si sabes desbloquear tu móvil, sabes usar passkeys.

Mito: "Ya no necesito contraseñas para nada"

PARCIALMENTE CIERTO. En 2026, muchos servicios ya permiten eliminar la contraseña por completo. Pero aún hay muchos otros que no soportan passkeys. La estrategia correcta es: passkeys donde sea posible y contraseñas seguras + 2FA para el resto.

🔄 Cómo hacer la transición de contraseñas a passkeys

No tienes que cambiar todo de golpe. Sigue este plan de migración gradual:

Fase 1: Cuentas más importantes (hoy mismo)

1. Configura passkeys en Google (tu email es la cuenta más crítica)
2. Configura passkeys en Apple o Microsoft (según tu ecosistema)
3. Configura passkeys en Amazon y PayPal (cuentas con dinero/tarjetas)

Fase 2: Redes sociales y comunicación (esta semana)

1. Configura passkeys en WhatsApp
2. Configura passkeys en X (Twitter), LinkedIn, TikTok
3. Revisa si Instagram y Facebook ya soportan passkeys completas

Fase 3: Resto de servicios (gradualmente)

1. Cada vez que inicies sesión en un servicio, comprueba si soporta passkeys
2. Si sí → configura una passkey
3. Si no → asegúrate de tener una contraseña segura y única + 2FA

❓ Preguntas frecuentes sobre passkeys

¿Las passkeys sustituirán completamente a las contraseñas?

Eventualmente sí, pero no de la noche a la mañana. En 2026, la adopción está creciendo rápidamente pero aún no es universal. La FIDO Alliance estima que las contraseñas tardarán 5-10 años en desaparecer completamente. Mientras tanto, conviven ambos sistemas.

¿Qué pasa si pierdo mi teléfono?

Si tus passkeys están sincronizadas en la nube (iCloud Keychain, Google Password Manager), puedes acceder a ellas desde otro dispositivo vinculado a tu misma cuenta. Si pierdes TODOS tus dispositivos, la mayoría de servicios ofrecen métodos de recuperación alternativos (email, SMS, códigos de respaldo). Por eso es importante tener passkeys en más de un dispositivo.

¿Las passkeys funcionan sin internet?

Parcialmente. La clave privada se almacena localmente en tu dispositivo, por lo que la verificación biométrica funciona sin internet. Sin embargo, para completar el proceso de autenticación, tu dispositivo necesita comunicarse con el servidor del servicio, así que necesitas conexión a internet para iniciar sesión.

¿Puedo usar passkeys en un ordenador compartido o público?

Sí, usando el método del código QR. El ordenador muestra un QR, lo escaneas con tu móvil, verificas tu identidad en el móvil y quedas autenticado en el ordenador. La passkey nunca se transfiere al ordenador público, así que es completamente seguro.

¿Son las passkeys gratuitas?

Sí, completamente gratis. No necesitas comprar hardware especial ni suscribirte a ningún servicio. Las passkeys están integradas en los sistemas operativos y navegadores modernos de forma nativa.

¿Puedo tener passkeys y contraseña al mismo tiempo?

Sí. La mayoría de servicios te permiten tener ambas. Puedes configurar una passkey para el uso diario y mantener la contraseña como método de respaldo. Con el tiempo, algunos servicios te permitirán eliminar la contraseña completamente.

¿Las passkeys funcionan con gestores de contraseñas?

Sí. Gestores como Bitwarden, 1Password y Dashlane ya soportan almacenar y sincronizar passkeys. Esto es especialmente útil si usas dispositivos de diferentes ecosistemas (por ejemplo, iPhone y Windows), ya que el gestor te permite usar las mismas passkeys en todos ellos.

¿Qué diferencia hay entre passkeys y llaves de seguridad físicas?

Las llaves de seguridad físicas (como YubiKey) son dispositivos USB/NFC que también usan criptografía FIDO2 y son muy seguras. La diferencia principal es que las passkeys están integradas en tu dispositivo (móvil, ordenador) y se sincronizan en la nube, mientras que las llaves físicas son hardware separado que no se sincroniza. Ambas son excelentes opciones de seguridad.

📝 Conclusión: el futuro de la autenticación ya está aquí

Las passkeys representan el avance más importante en seguridad digital de los últimos años. Eliminan de raíz los problemas que han plagado las contraseñas durante décadas: phishing, filtraciones, fuerza bruta, reutilización y la necesidad de recordar combinaciones complejas.

En 2026, no hay excusa para no empezar a usarlas. Son gratuitas, están soportadas por los principales servicios y son más fáciles de usar que las propias contraseñas que pretenden reemplazar.

Tu plan de acción para la máxima seguridad en 2026:

1. ✅ Configura passkeys en todos los servicios que las soporten (Google, Apple, Microsoft, Amazon, PayPal...).
2. ✅ Para servicios sin passkeys, genera contraseñas aleatorias y únicas.
3. ✅ Guarda las contraseñas en un gestor de contraseñas.
4. ✅ Activa 2FA en todas las cuentas que no tengan passkey.
5. ✅ Comprueba regularmente si tus datos han sido filtrados.
6. ✅ Nunca reutilices contraseñas en servicios que aún las requieran.

El mundo sin contraseñas ya está aquí. Empieza hoy mismo configurando tu primera passkey en Google o Apple. Son 2 minutos que cambiarán para siempre tu forma de iniciar sesión.