Passkeys: cómo usarlas sin perder acceso a tus cuentas

Una passkey o clave de acceso permite entrar en una cuenta compatible usando el desbloqueo de tu móvil, ordenador o llave de seguridad, sin escribir la contraseña de esa cuenta. Para empezar con buen pie, créala desde los ajustes de seguridad del servicio en un dispositivo propio, comprueba dónde se guarda y mantén un método de recuperación antes de retirar nada. Su gran ventaja es que la credencial se vincula al sitio legítimo y resiste el robo mediante páginas de inicio de sesión falsas. Eso no vuelve invulnerable la cuenta: el bloqueo del dispositivo, la seguridad del gestor donde se guarda y el proceso de recuperación siguen importando.

Imagen de portada: ilustración conceptual original generada con IA para Gaia Genius Hub. La pantalla no representa una interfaz real ni acredita la seguridad de un servicio.

Qué ocurre cuando pulsas «Iniciar sesión con una clave de acceso»

Al crearla, el dispositivo o gestor genera una pareja de claves criptográficas. El servicio guarda la parte pública; la parte privada queda bajo el control del dispositivo, la llave física o el proveedor de claves de acceso. Durante el inicio de sesión se responde a un desafío criptográfico. No se envía al servicio una contraseña reutilizable que puedas repetir por error en otra web. La Alianza FIDO explica que esta arquitectura vincula la clave al servicio para el que se creó.

El gesto que ves puede ser una huella, el reconocimiento facial o el PIN del dispositivo. Ese gesto sirve para autorizar localmente el uso de la clave; no significa que el sitio web reciba tu huella o una fotografía de tu cara. Tampoco convierte automáticamente cualquier desbloqueo del teléfono en una passkey. Si una web te pide copiar un código de seis cifras o escribir una contraseña, estás usando otro método, aunque aparezca dentro del mismo flujo de seguridad.

El vínculo al dominio es la razón técnica de la resistencia al phishing. Según las directrices de identidad digital de NIST, WebAuthn utiliza la identidad del sitio para que una credencial creada para un servicio no pueda usarse como si perteneciera a un dominio impostor. Esto frena un ataque muy concreto: una página falsa que pretende capturar y reutilizar la credencial de inicio de sesión. No impide que alguien te convenza de entregar un código de recuperación, apruebes un cambio de cuenta que no solicitaste o pierdas el control de un dispositivo desbloqueado.

Antes de crearla, revisa dónde se guardará

El botón de creación suele parecer sencillo, pero la decisión importante aparece en el selector del sistema: guardar la clave en el gestor sincronizado del teléfono, en el ordenador, en otro gestor compatible o en una llave de seguridad física. Una clave sincronizada puede estar disponible en los dispositivos que autorizas dentro del proveedor. Una clave ligada a un dispositivo concreto requiere conservar ese dispositivo o registrar otro método antes de perderlo. La Alianza FIDO distingue ambos modelos y sus compromisos de recuperación.

Si usas un gestor sincronizado, comprueba que sabes recuperar el acceso al propio gestor y que su cuenta está protegida. Si prefieres una llave física, considera cómo accederás si se rompe o se extravía; registrar una segunda opción en el servicio puede ser necesario. La mejor ubicación no es universal. Para una cuenta personal usada en varios aparatos puede pesar la comodidad; para una cuenta de trabajo pueden existir políticas que obliguen a una llave concreta. No cambies el método impuesto por tu organización por una elección doméstica.

Evita registrar la passkey en un ordenador prestado o compartido por comodidad. La ayuda oficial de Google advierte que una clave creada en un dispositivo puede dar acceso a quien pueda desbloquearlo. En equipos ajenos, elige el flujo que use tu móvil o llave propia, si el servicio lo ofrece, y verifica que el cuadro de diálogo indique dónde se guardará la credencial antes de aceptarlo.

Un proceso de configuración que sirve para la mayoría de los servicios

Primero, entra en la web o aplicación del servicio escribiendo su dirección habitual o desde un marcador que ya uses. Inicia sesión con tu método actual. Busca «Seguridad», «Inicio de sesión» o «Claves de acceso» en los ajustes de la cuenta. Si no aparece la opción, el servicio quizá todavía no la admita para tu cuenta o dispositivo; no descargues una extensión desconocida que prometa activarla.

Segundo, elige «Añadir» o «Crear clave de acceso» y lee la ventana del sistema. Confirma si propone el móvil, el gestor de contraseñas, el ordenador o una llave física. Selecciona un lugar que controles y desbloquéalo con tu método normal. Los nombres exactos de botones varían. Apple describe un flujo típico en iPhone, mientras que Google mantiene instrucciones específicas para su cuenta; usa el manual del proveedor que corresponda a tu equipo y versión.

Tercero, vuelve al panel de seguridad del servicio y comprueba que la nueva passkey figura entre los métodos disponibles. Si puedes, cierra sesión y prueba a entrar de nuevo desde un dispositivo propio. Reconoce el nombre del servicio y el dominio antes de confirmar. Haber visto la ventana de creación no garantiza que el alta haya terminado: una interrupción de red o una cancelación puede dejarla sin registrar. Solo después de probar el acceso conviene pensar si deseas reducir la dependencia de la contraseña anterior.

Cuarto, anota de forma segura qué otros métodos de recuperación ofrece el servicio. No guardes códigos de recuperación en una nota pública ni en la misma carpeta compartida que cualquiera pueda abrir. El artículo de Gaia sobre organizar archivos digitales puede ayudarte a ubicar la documentación de tus cuentas, pero los códigos sensibles requieren además un almacenamiento protegido. Una estructura ordenada no sustituye el control de acceso.

Usarla en otro ordenador sin guardarla allí

Muchos servicios permiten iniciar sesión en un ordenador con una passkey que está en tu teléfono. El ordenador muestra un código QR; el móvil lo escanea y te pide confirmar mediante su desbloqueo. La guía de Google indica que este flujo puede necesitar Bluetooth para comprobar la proximidad de ambos dispositivos. La implementación concreta depende del navegador, el sistema y el servicio. Si no aparece, usa la alternativa oficial de inicio de sesión en lugar de forzar el proceso.

Escanea un QR de inicio de sesión solo cuando tú acabas de abrir la página legítima y entiendes qué cuenta estás autorizando. Un QR que llega por mensajería, correo o una llamada no es una instrucción fiable. La passkey evita el robo de su clave privada mediante una web falsa, pero la ingeniería social puede dirigirse a otros pasos del proceso. En la guía de Gaia sobre suplantación de voz y verificación de llamadas encontrarás un método para cortar una petición urgente y volver al canal oficial por iniciativa propia.

Si pierdes el móvil o cambias de dispositivo

Antes de que ocurra, revisa en cada cuenta crítica qué método alternativo admite y cómo recuperarás el gestor de passkeys. Con claves sincronizadas, quizá puedas volver a acceder después de autorizar un nuevo dispositivo en el proveedor; con claves ligadas a un aparato, puede que debas usar otra passkey registrada o el procedimiento de recuperación del servicio. Ninguno de esos caminos está garantizado para todas las cuentas. Una copia sincronizada y una llave física tienen ventajas distintas y dependencias distintas.

Si el dispositivo se pierde o crees que alguien lo desbloqueó, entra desde otro equipo de confianza, revisa la seguridad de la cuenta y elimina o revoca la passkey asociada al dispositivo perdido cuando el servicio lo permita. Protege también la cuenta del proveedor que sincroniza las claves y cierra las sesiones que no reconozcas. Las instrucciones de Microsoft para gestionar claves guardadas advierten que retirar todas las opciones de seguridad puede dejar una cuenta personal temporalmente restringida. Añade y prueba una alternativa antes de borrar la última vía de entrada.

Si lo que falla es un cambio de teléfono planificado, la secuencia es más sencilla: configura el nuevo dispositivo, confirma que tu gestor y los servicios muestran las claves esperadas, entra en las cuentas principales y solo entonces retira métodos antiguos. No tienes que hacerlo todo en una tarde; empieza por el correo principal y el gestor, porque suelen intervenir en la recuperación de las demás cuentas. Si una cuenta de empresa usa políticas propias, consulta a su administrador.

Lo que mejora y lo que todavía depende de ti

La passkey reduce el valor de robar una contraseña en una página falsa y evita reutilizar esa credencial entre servicios. Aun así, una cuenta que conserva contraseña o recuperación por correo puede seguir expuesta por esas rutas. El teléfono también necesita bloqueo eficaz, actualizaciones y cuidado frente al acceso físico no autorizado. No hay motivo para prometer «seguridad total» ni para desactivar a ciegas métodos que aún necesitas.

Empieza por una cuenta compatible que uses de verdad. Comprueba dónde está guardada la clave, pruébala una vez y deja preparada la recuperación. Ese pequeño ensayo aporta más que activar el botón en diez servicios sin saber cómo volverás a entrar si cambias de móvil.

Fuentes consultadas

Fuentes oficiales y documentos originales consultados el 16 de octubre de 2026. Verifica condiciones y recomendaciones que puedan haber cambiado antes de actuar.

• Alianza FIDO: qué son las passkeys
• NIST: autenticadores y resistencia al phishing
• Alianza FIDO: modelos de passkeys sincronizadas y vinculadas a un dispositivo
• Google: crear, usar y retirar una llave de acceso
• Apple: llaves de acceso en iPhone
• Microsoft: gestión de passkeys guardadas