Passkeys frente a llaves de seguridad FIDO2: ¿cuál es la diferencia?
«¿Deberíamos usar passkeys o llaves de seguridad FIDO2?» es una de las preguntas de identidad más comunes ahora mismo, y es ligeramente la pregunta equivocada, porque no son estándares distintos. Ambas son credenciales FIDO2/WebAuthn. Ambas te autentican demostrando que controlas una clave privada ligada criptográficamente al origen de un sitio web concreto, que es justo la propiedad que hace a ambas resistentes al phishing. Lo que de verdad difiere es la portabilidad y el nivel de garantía.
Lo único que comparten (y por qué importa)
Una credencial FIDO2/WebAuthn —la llames passkey o llave de seguridad— solo se libera para el origen con el que se registró. Lleva a un usuario a un dominio parecido y el navegador simplemente no producirá la credencial. No hay ningún código que leer, ningún aviso push que aprobar, nada que un kit de adversario en el medio pueda retransmitir. Esa vinculación al origen es todo el juego, y ambas formas la tienen.
En qué difieren
| Passkeys sincronizadas | Llaves de seguridad de hardware | |
|---|---|---|
| Forma | Credencial de software en un llavero en la nube | Token físico (USB/NFC/Bluetooth) |
| Portabilidad | Se sincroniza entre los dispositivos del usuario | Ligada al dispositivo; no se sincroniza |
| Nivel de garantía | Alto; también depende de la cuenta en la nube | El más alto; la clave nunca sale del dispositivo |
| Ideal para | Plantilla general, consumidores, adopción amplia | Administradores, roles privilegiados y de alto riesgo |
| Coste / logística | Prácticamente gratis; sin hardware que enviar | Coste por llave; aprovisionamiento y repuestos |
Cómo elegir
- Todos reciben passkeys. Son el motor de adopción: no hay hardware que enviar, se sincronizan y son muchísimo más resistentes al phishing que las contraseñas o el OTP.
- Las cuentas privilegiadas reciben llaves de hardware. Para los administradores y cualquiera que pueda mover dinero, cambiar infraestructura o acceder a datos de las joyas de la corona, la garantía ligada al dispositivo de una llave de hardware compensa la logística.
- Registra dos por usuario. Una passkey de plataforma más una llave itinerante elimina el problema del bloqueo y es en sí un control de resiliencia.
- Elimina la vía alternativa. Ninguna de las dos ayuda si en la misma cuenta sigue habilitada una vía de SMS/OTP vulnerable al phishing.
La respuesta corta
No es passkeys frente a llaves: es passkeys para la mayoría, llaves de hardware para unos pocos, ambas bajo un único programa FIDO2/WebAuthn. Para los despliegues impulsados por el cumplimiento, consulta FIDO2 para NIS2 y FIDO2 para DORA, y la evaluación completa de opciones. Cuantifica dónde está hoy la autenticación débil con la herramienta de riesgo de identidad →
Preguntas frecuentes
¿Las passkeys son más seguras que el 2FA? Las passkeys son una forma más fuerte de autenticación de dos factores / sin contraseña: como son credenciales FIDO2/WebAuthn ligadas al origen de un sitio web, son resistentes al phishing, a diferencia de los códigos SMS o las apps TOTP que a un usuario se le puede engañar para que introduzca en un sitio falso. Suben el listón respecto al 2FA tradicional en lugar de solo añadir un factor.
¿Qué es una passkey de wifi? Una passkey de wifi es simplemente la contraseña de una red inalámbrica, un uso no relacionado de la palabra. No tiene nada que ver con las passkeys de FIDO2/WebAuthn, que son credenciales criptográficas de inicio de sesión para sitios web y apps.
¿Qué es FIDO2 WebAuthn? FIDO2 es el estándar que permite la autenticación sin contraseña y resistente al phishing; WebAuthn es su API web/de navegador, combinada con CTAP para hablar con los autenticadores. Tanto las passkeys como las llaves de seguridad de hardware son implementaciones de credenciales FIDO2/WebAuthn.
¿Cuáles son las desventajas de la autenticación sin contraseña? Los principales compromisos son la recuperación de la cuenta (necesitas una vía alternativa robusta si se pierde un dispositivo o una llave), la pérdida del dispositivo o la llave, y los sistemas heredados que no hablan WebAuthn. Registrar un autenticador de respaldo y planificar la recuperación mitiga la mayoría de estos.
¿Las passkeys y las llaves FIDO2 son lo mismo? Son dos formas del mismo estándar FIDO2/WebAuthn, ambas ligadas al origen y resistentes al phishing. Las passkeys suelen sincronizarse mediante un llavero en la nube; las llaves de hardware están ligadas al dispositivo y no se sincronizan.
¿Cuál es más segura? Las llaves de hardware dan el nivel de garantía más alto, ligado al dispositivo (ideal para administradores); las passkeys sincronizadas son muy resistentes al phishing y mejores para una adopción amplia.
¿Podemos usar ambas? Sí: passkeys para la plantilla, llaves de hardware para las cuentas privilegiadas, dos autenticadores por usuario.
¿Existen passkeys ligadas al dispositivo? Sí: una passkey puede estar ligada al dispositivo o sincronizada; si se sincroniza es una propiedad aparte, a menudo controlable por política.
Preguntas frecuentes
¿Las passkeys son más seguras que el 2FA?
Las passkeys son una forma más fuerte de autenticación de dos factores / sin contraseña: como son credenciales FIDO2/WebAuthn ligadas al origen de un sitio web, son resistentes al phishing, a diferencia de los códigos SMS o las apps TOTP que a un usuario se le puede engañar para que introduzca en un sitio falso. Suben el listón respecto al 2FA tradicional en lugar de solo añadir un factor.
¿Qué es una passkey de wifi?
Una passkey de wifi es simplemente la contraseña de una red inalámbrica, un uso no relacionado de la palabra. No tiene nada que ver con las passkeys de FIDO2/WebAuthn, que son credenciales criptográficas de inicio de sesión para sitios web y apps.
¿Qué es FIDO2 WebAuthn?
FIDO2 es el estándar que permite la autenticación sin contraseña y resistente al phishing; WebAuthn es su API web/de navegador, combinada con CTAP para hablar con los autenticadores. Tanto las passkeys como las llaves de seguridad de hardware son implementaciones de credenciales FIDO2/WebAuthn.
¿Cuáles son las desventajas de la autenticación sin contraseña?
Los principales compromisos son la recuperación de la cuenta (necesitas una vía alternativa robusta si se pierde un dispositivo o una llave), la pérdida del dispositivo o la llave, y los sistemas heredados que no hablan WebAuthn. Registrar un autenticador de respaldo y planificar la recuperación mitiga la mayoría de estos.
¿Las passkeys y las llaves FIDO2 son lo mismo?
Son dos implementaciones del mismo estándar. Ambas son credenciales FIDO2/WebAuthn que autentican demostrando el control de una clave privada ligada criptográficamente al origen de un sitio web concreto, que es lo que hace a ambas resistentes al phishing. La diferencia es la forma y la portabilidad: las passkeys suelen sincronizarse entre los dispositivos de un usuario mediante un llavero en la nube, mientras que las llaves de seguridad de hardware son tokens físicos, ligados al dispositivo, que no se sincronizan.
¿Cuál es más segura?
Las llaves de seguridad de hardware ofrecen el nivel de garantía más alto porque la clave privada está ligada al dispositivo físico y no se puede copiar ni sincronizar fuera de él, que es justo lo que quieres para los administradores. Las passkeys sincronizadas siguen siendo muy resistentes al phishing y mucho mejores que las contraseñas o el OTP, pero su seguridad también depende de la seguridad de la cuenta en la nube que las sincroniza. Para la mayoría de los usuarios, las passkeys son el compromiso correcto; para las cuentas privilegiadas, las llaves de hardware.
¿Podemos usar ambas?
Sí, y la mayoría de los programas maduros lo hacen. Despliega passkeys sincronizadas para la plantilla general por su adopción y su resistencia al phishing, y exige llaves de seguridad de hardware para los administradores, el acceso privilegiado y otros roles de alto riesgo. Registrar dos autenticadores por usuario —por ejemplo, una passkey de plataforma más una llave itinerante— también evita los bloqueos.
¿Existen passkeys ligadas al dispositivo?
Sí. Una passkey puede estar ligada al dispositivo (nunca sale del dispositivo en que se creó, como una llave de hardware o un autenticador de plataforma configurado para no sincronizarse) o sincronizada (sigue al usuario mediante un llavero en la nube). «Passkey» describe la credencial; si se sincroniza es una propiedad aparte que a menudo puedes controlar por política.