Ventajas de FIDO2 y las passkeys para la plantilla
La mayoría de los controles de seguridad cambian experiencia de usuario por protección. FIDO2 y las passkeys son el caso poco habitual que mejora las dos cosas, y por eso desplegarlas en la plantilla es uno de los proyectos de identidad con mayor retorno que existen. Las ventajas llegan en tres ejes a la vez.
Seguridad
Las passkeys y las llaves FIDO2 están ligadas al origen, así que son resistentes al phishing: una credencial no puede entregarse en un dominio parecido ni retransmitirse mediante un kit de adversario en medio. No hay ningún secreto compartido guardado en una base de datos que pueda filtrarse. En conjunto, eso elimina los ataques de credenciales robadas por phishing y de retransmisión de MFA que hay detrás de la mayoría de las tomas de cuentas.
Productividad
Iniciar sesión con una huella, la cara o el PIN del dispositivo es más rápido que escribir una contraseña y luego un código de un solo uso, y no hay nada que olvidar, ningún código que copiar y muchos menos inicios de sesión fallidos. Bajan tanto el tiempo de inicio de sesión como los ciclos de restablecimiento, y por eso la adopción suele ser alta una vez que los empleados lo prueban.
Coste
Los restablecimientos de contraseña son una gran parte de los tickets del servicio de soporte, y los incidentes de toma de cuentas son caros de investigar. Un inicio de sesión resistente al phishing y sin secretos reduce ambos, lo que recorta la carga del soporte y de la respuesta a incidentes. Una MFA resistente al phishing también puede facilitar los requisitos del ciberseguro.
Cómo obtener las ventajas
Dos pasos deciden si de verdad obtienes el beneficio. Registra al menos dos autenticadores por usuario (una passkey de plataforma más una llave itinerante) para eliminar el riesgo de bloqueo, y elimina las alternativas más débiles (SMS u OTP) en las cuentas reforzadas: la ventaja de seguridad solo se mantiene si los atacantes no pueden recurrir a la vía susceptible de phishing.
Ventajas de FIDO2 frente a SMS, OTP y MFA por push
La ventaja clave de FIDO2 frente a otras MFA para la plantilla es que resiste por diseño el phishing y la retransmisión. La credencial está ligada al origen del sitio real, así que no hay nada que se pueda engañar a un usuario para que escriba o apruebe en una página falsa.
- Frente a los códigos por SMS: los códigos de un solo uso enviados por SMS pueden robarse por phishing, retransmitirse en tiempo real o interceptarse mediante el SIM swapping. FIDO2 no tiene ningún código que entregar.
- Frente a los códigos de aplicación autenticadora (TOTP): un código de seis dígitos puede escribirse en un sitio parecido y un kit de adversario en medio puede reutilizarlo mientras siga siendo válido. Un autenticador FIDO2 solo firma para el origen auténtico.
- Frente a las aprobaciones por push: las notificaciones push están expuestas a la fatiga de MFA (bombardeo de notificaciones), en la que un usuario aprueba por costumbre el inicio de sesión de un atacante. FIDO2 necesita el gesto del propio usuario en su propio dispositivo, para el sitio legítimo.
- Frente a las contraseñas: la clave privada nunca sale del autenticador y el servidor solo guarda una clave pública, así que una brecha en el servidor no da nada que un atacante pueda reutilizar.
Por eso las guías sobre MFA resistente al phishing, incluida la de CISA, consideran FIDO2/WebAuthn la opción más sólida y ampliamente disponible para la plantilla.
¿Dudas entre credenciales sincronizadas y tokens de hardware según el rol? Nuestra comparativa passkeys frente a llaves de seguridad FIDO2 explica cuándo usar cada una. Consulta la visión completa de opciones en la evaluación de FIDO2 y passkeys →, los aspectos de cumplimiento en FIDO2 para NIS2, y cuantifica la exposición de identidad con la herramienta de riesgo de identidad.
Preguntas frecuentes
¿Principales ventajas? Más seguridad (resistente al phishing, sin secreto compartido), más productividad (inicio de sesión más rápido, menos restablecimientos) y menos coste (menos carga de soporte y de respuesta a incidentes).
¿Más fácil para los empleados? En general sí: iniciar sesión con biometría o PIN es mejor que contraseña más OTP y reduce los inicios de sesión fallidos.
¿Reduce el coste del soporte? Sí: menos restablecimientos de contraseña y menos tomas de cuentas; puede reducir las fricciones con el seguro.
¿Qué hace falta? Dos autenticadores por usuario y eliminar las alternativas susceptibles de phishing en las cuentas reforzadas.
Preguntas frecuentes
¿Qué ventajas tiene FIDO2 frente a la MFA por SMS o por aplicación?
Las credenciales FIDO2 están ligadas al origen del sitio real, así que no pueden robarse por phishing, escribirse en una página parecida ni retransmitirse mediante un kit de adversario en medio. Los códigos por SMS y de aplicación autenticadora sí pueden, y las aprobaciones por push están expuestas a los ataques de fatiga de MFA. FIDO2 tampoco deja ningún secreto compartido en el servidor, porque el servidor solo guarda una clave pública.
¿Cómo mejora FIDO2 la seguridad de la plantilla?
FIDO2 (y las passkeys) mejoran la seguridad de la plantilla sustituyendo secretos susceptibles de phishing por credenciales ligadas al origen: la credencial está vinculada criptográficamente al sitio real, así que no puede entregarse en un dominio parecido ni retransmitirse mediante un kit de adversario en medio, y no hay ningún secreto compartido en una base de datos que robar. Eso elimina los ataques de credenciales robadas por phishing y de retransmisión de MFA que hay detrás de la mayoría de las tomas de cuentas. La ventaja se obtiene registrando al menos dos autenticadores por usuario y eliminando las alternativas más débiles por SMS u OTP en las cuentas que has reforzado.
¿Cómo funcionan las passkeys FIDO2 para el personal de ministerios o de la Administración?
Igual que para cualquier plantilla: una passkey es una credencial FIDO2/WebAuthn que se desbloquea con una huella, la cara o el PIN del dispositivo y está ligada al origen real del inicio de sesión, así que es resistente al phishing y no tiene ningún secreto compartido que pueda filtrarse. Para el personal de la Administración y de los ministerios, a menudo un objetivo de mayor valor, el patrón habitual es usar passkeys sincronizadas para la plantilla en general más llaves de seguridad de hardware ligadas al dispositivo para los administradores y las cuentas privilegiadas, registrar dos autenticadores por usuario para evitar bloqueos y eliminar las alternativas susceptibles de phishing en las cuentas reforzadas.
¿Cuáles son las principales ventajas de FIDO2 para la plantilla?
Tres a la vez: más seguridad (credenciales resistentes al phishing y ligadas al origen, sin ningún secreto compartido que robar, lo que elimina las vías más comunes de toma de cuentas), más productividad (inicio de sesión más rápido que contraseña más OTP, menos inicios de sesión fallidos, ningún código que copiar) y menos coste (menos restablecimientos de contraseña y menos incidentes de toma de cuentas reducen la carga del soporte y de la respuesta a incidentes). Pocos controles de seguridad mejoran a la vez la seguridad y la experiencia de usuario; las passkeys lo hacen.
¿De verdad son más fáciles las passkeys para los empleados?
En general sí. Iniciar sesión con una passkey (una huella, la cara o el PIN del dispositivo) es más rápido que escribir una contraseña y luego un código de un solo uso, y elimina la fricción de las contraseñas olvidadas, los códigos caducados y los ciclos de restablecimiento. Como no hay nada que recordar ni escribir, suelen bajar tanto el tiempo de inicio de sesión como la tasa de inicios fallidos, lo que explica en parte por qué la adopción tiende a ser alta una vez que los usuarios lo prueban.
¿Reducen las passkeys los costes del servicio de soporte?
Pueden reducirlos. Una gran parte de los tickets del servicio de soporte son restablecimientos de contraseña, y los incidentes de toma de cuentas son caros de investigar. Un inicio de sesión resistente al phishing y sin secretos memorizados reduce ambos, lo que baja con el tiempo la carga del soporte y de la respuesta a incidentes. Una MFA resistente al phishing también puede reducir las fricciones con las aseguradoras cibernéticas, que la esperan cada vez más.
¿Qué hace falta para obtener las ventajas?
Dos cosas más allá del despliegue. Primera, registrar al menos dos autenticadores por usuario (por ejemplo, una passkey de plataforma más una llave de seguridad itinerante) para que no haya riesgo de bloqueo. Segunda, el paso que las organizaciones se saltan con más frecuencia: eliminar las alternativas más débiles y susceptibles de phishing (SMS u OTP) en las cuentas que has reforzado, porque la ventaja de seguridad solo se mantiene si los atacantes no pueden recurrir a la vía débil.