Las passkeys (llaves de acceso) permiten iniciar sesión con la huella, la cara o el PIN de tu móvil en lugar de escribir una contraseña. Se basan en claves criptográficas, no se pueden adivinar ni entregar a una web falsa, y se activan en pocos minutos desde los ajustes de seguridad de cada cuenta.

En esta guía verás cómo funcionan, en qué se diferencian de la verificación en dos pasos, cómo crearlas en Google, Microsoft, WhatsApp y Amazon (y dónde se guardan en iPhone), y qué hacer si pierdes o cambias de móvil.

Qué es una passkey y cómo funciona

Passkeys, también llamadas claves de acceso o de paso, es el nombre de una tecnología de autenticación sin contraseña basada en el estándar WebAuthn / FIDO2. Su objetivo es sustituir a las contraseñas tradicionales con un sistema más seguro y más cómodo.

Al crear una passkey se genera un par de claves:

• Clave pública: se guarda en el servidor del servicio y no es sensible por sí sola.
• Clave privada: se guarda cifrada en tu dispositivo o en tu gestor de contraseñas y nunca se envía al servicio.

Cuando inicias sesión, el servicio te pide una verificación (huella, cara o PIN). Tu dispositivo firma la petición con la clave privada y el servidor la comprueba con la clave pública. En ningún momento se envía un secreto que alguien pueda interceptar.

Las claves se protegen en zonas aisladas del hardware: el Secure Enclave en los dispositivos de Apple, el chip TPM en los PC con Windows y el entorno seguro del procesador en los móviles Android.

Por qué son más seguras que una contraseña

En seguridad informática, el punto débil de las contraseñas es que dependen de las personas: se reutilizan, se olvidan o se teclean en la web equivocada. Las passkeys eliminan esos problemas:

• No se pueden adivinar ni recordar, así que los ataques de diccionario no sirven.
• Resisten al phishing: solo funcionan en el sitio web o la aplicación donde las registraste, de modo que una página falsa no puede usarlas.
• No dependen de lo que se filtre en un hackeo: el servidor solo guarda la clave pública, que por sí sola no permite entrar en tu cuenta.

En qué se diferencian de la verificación en dos pasos

La verificación en dos pasos añade una segunda comprobación (un código por SMS, una app…) a una contraseña que sigue existiendo. Si caes en una web falsa, puedes acabar entregando tanto la contraseña como el código. Con una passkey no hay contraseña que entregar: el propio inicio de sesión ya combina algo que tienes (tu dispositivo) y algo que eres o sabes (huella, cara o PIN).

Antes de empezar: compatibilidad

Para usar passkeys necesitas un dispositivo y un navegador razonablemente actuales:

• Apple: iOS 16 o posterior, macOS Ventura 13 o posterior y Safari 16 o superior.
• Android: Android 9 (Pie) o superior, con el Gestor de contraseñas de Google.
• Windows: Windows 10 y Windows 11 mediante Windows Hello.
• Navegadores: Google Chrome y Microsoft Edge (versión 109 o posterior) tienen un soporte amplio; Mozilla Firefox ofrece un soporte limitado.

Además de Google, ya admiten esta tecnología servicios como GitHub, Dropbox, PayPal, Amazon, X, LinkedIn, TikTok y Nintendo. Conviene tener el bloqueo de pantalla del móvil activado con huella, cara o PIN, porque es lo que usarás para confirmar.

Cómo activar passkeys paso a paso desde el móvil

El procedimiento es parecido en todos los servicios: entras en los ajustes de seguridad de la cuenta, buscas la opción de llaves de acceso y confirmas con tu biometría. Los nombres de los menús pueden variar ligeramente según la versión de la app.

Google

1. Abre myaccount.google.com/signinoptions/passkeys en el navegador del móvil (o entra en tu cuenta de Google > «Seguridad e inicio de sesión» > «Llaves de acceso y llaves de seguridad»).
2. Verifica tu identidad si te lo pide.
3. Pulsa «Crear llave de acceso» y confirma con tu huella, tu cara o el PIN del móvil.

En Android es posible que ya tengas una creada sin saberlo: Google registra llaves de acceso automáticamente en los móviles donde has iniciado sesión con tu cuenta.

Microsoft

1. Entra en account.microsoft.com desde el navegador del móvil e inicia sesión.
2. Abre el apartado «Seguridad» y entra en la gestión de cómo inicias sesión.
3. Elige añadir una nueva forma de iniciar sesión y selecciona la opción de cara, huella digital o PIN (la llave de acceso).
4. Sigue las indicaciones y confirma con la huella, la cara o el PIN.

WhatsApp

• En Android (Android 9 o posterior): toca los tres puntos de arriba a la derecha > «Ajustes» > «Cuenta» > «Llaves de acceso» > «Crear llave de acceso» y confirma con tu bloqueo de pantalla.
• En iPhone (iOS 16 o posterior): pestaña «Ajustes» > «Cuenta» > «Llaves de acceso» > «Continuar» y confirma con Face ID, Touch ID o el código.

Con la llave activada, al cambiar de móvil WhatsApp puede pedirte la huella o la cara en lugar del código por SMS, que es justo lo que intentan robar los estafadores. Desde este año, además, se pueden añadir varias llaves a la misma cuenta.

Amazon

1. Entra en Amazon.es desde el navegador o la app e inicia sesión.
2. Ve a «Tu cuenta» > «Inicio de sesión y seguridad».
3. En el apartado «Clave de acceso» (Amazon las llama así), pulsa «Configurar».
4. Confirma con tu huella, tu cara o el PIN del dispositivo.

iPhone y Llavero de iCloud

En iPhone no hay que activar nada aparte: las llaves de acceso que crees en cualquier web o app se guardan en el Llavero de iCloud (o en la app Contraseñas en las versiones recientes de iOS). Solo comprueba que el Llavero de iCloud está activado en Ajustes > tu nombre > iCloud.

Qué pasa si pierdes o cambias de móvil

Existen dos tipos de passkeys. Las multidispositivo (sincronizadas) se guardan en la nube y se copian entre tus dispositivos: en Android con el Gestor de contraseñas de Google y en iPhone, iPad y Mac con el Llavero de iCloud. Las vinculadas a un dispositivo no se pueden copiar y están atadas a un único aparato, algo habitual en entornos empresariales.

Si usas las sincronizadas, al estrenar móvil basta con iniciar sesión en tu cuenta de Google o de Apple. Tus passkeys aparecerán de nuevo, y no tendrás que crearlas otra vez. Por eso es importante proteger bien esa cuenta principal.

Cómo entrar desde un ordenador escaneando un código QR

Si quieres iniciar sesión en un ordenador que no tiene tu passkey, no necesitas escribir ninguna contraseña:

1. En la página de inicio de sesión del ordenador, elige la opción de usar una llave de acceso desde otro dispositivo.
2. Aparecerá un código QR en la pantalla.
3. Escanéalo con la cámara de tu móvil (el Bluetooth tiene que estar activado en los dos dispositivos, porque comprueba que estás cerca).
4. Confirma con tu huella, tu cara o tu PIN en el móvil.

El ordenador iniciará sesión sin que la clave privada salga de tu teléfono. En equipos con Windows 10 u 11 también puedes usar Windows Hello para guardar y utilizar passkeys en ese mismo equipo.

Errores comunes y soluciones

• No me aparece la opción de llaves de acceso: revisa que tu sistema (iOS 16, Android 9, Windows 10 u 11) y tu navegador estén actualizados. Si usas Firefox, prueba con Chrome o Edge, que tienen un soporte más amplio.
• El móvil no me pide la huella: comprueba que tienes un bloqueo de pantalla configurado con biometría o PIN.
• No encuentro mis passkeys en el móvil nuevo: asegúrate de haber iniciado sesión con la misma cuenta de Google o de Apple y de tener activada la sincronización del gestor de contraseñas o del Llavero de iCloud.
• La passkey no funciona en una web: solo sirve en el sitio donde se creó. Si dudas del enlace, entra escribiendo tú la dirección oficial.

Preguntas frecuentes

¿Puedo seguir usando mi contraseña?

Sí. En la mayoría de servicios la passkey se añade como una forma más de entrar, y puedes mantener tu contraseña como alternativa.

¿Alguien puede robarme una passkey con una web falsa?

No. La passkey solo funciona en el sitio o la app donde se registró, por lo que una página falsa no puede aprovecharla.

¿Dónde se guarda mi huella o mi cara?

La huella o la cara solo sirven para desbloquear la clave privada en tu dispositivo. Ni la huella ni la cara se envían a Google, WhatsApp o Amazon.

¿Qué diferencia hay entre una passkey y la verificación en dos pasos?

La verificación en dos pasos añade un código a una contraseña. La passkey sustituye a la contraseña por una clave criptográfica que confirmas con tu biometría o tu PIN.