Laboratorio de passkeys y WebAuthn
Toma la decisión de autenticación correcta en 20 escenarios de WebAuthn: passkey frente a OTP, detecta el error de configuración, sincronizada frente a ligada al dispositivo.
Abrir la herramienta →La herramienta interactiva se abre en inglés.
Una passkey frena el phishing no por ser más difícil de adivinar, sino porque vincula la credencial al origen: el autenticador firma sobre el RP ID, así que un dominio que imita a otro nunca puede obtener una aserción utilizable. En este laboratorio en el navegador trabajas una cola de unos 20 escenarios de diseño de identidad y tomas la decisión correcta en cada uno: passkey frente a OTP frente a contraseña, el error de configuración de WebAuthn concreto o «el diseño ya es sólido». Enseña las decisiones reales de FIDO2: por qué las passkeys resisten el phishing, autenticadores de plataforma frente a itinerantes, y credenciales sincronizadas frente a ligadas al dispositivo. Los problemas repartidos por la cola: un OTP, un push o una recuperación por SMS que se pueden suplantar, una contraseña que sigue funcionando sola junto a una passkey, un RP ID demasiado amplio o que no coincide, la falta de verificación del usuario y cuentas privilegiadas que necesitan una llave ligada al dispositivo con atestación. Se te califica por la tasa de detección frente a los falsos positivos: marcar un flujo de passkey sólido o complicar uno inofensivo con llaves de hardware conlleva una penalización adicional, porque bloquear controles que funcionan es un fallo en sí mismo. Funciona íntegramente en el cliente: no se sube nada, no se invoca ningún autenticador ni criptografía, y tras la calificación cada escenario muestra exactamente por qué la decisión correcta lo es. Es un laboratorio Pro: con una cuenta gratuita tienes 3 usos y después necesitas Pro.
- Lee cada escenario de diseño de identidad.
- Elige el factor resistente al phishing, nombra el error de configuración de WebAuthn concreto o reconoce que el diseño ya es correcto.
- Decide cuándo basta una passkey sincronizada y cuándo una cuenta privilegiada necesita una llave ligada al dispositivo.
- Revisa la calificación y la explicación de cada escenario.
Preguntas frecuentes
¿Qué es el laboratorio de passkeys y WebAuthn?
Un ejercicio en el navegador en el que trabajas una cola de escenarios realistas de diseño de identidad (un inicio de sesión que está siendo objeto de phishing, el RP ID de un SaaS multiinquilino, una acción de alto valor sin verificación del usuario, una cuenta privilegiada con una llave sincronizada) y tomas una decisión en cada uno: elegir el factor resistente al phishing (una passkey) frente a uno suplantable (OTP, push, contraseña), nombrar el error de configuración de WebAuthn concreto o reconocer que el diseño ya es correcto y el ataque no puede funcionar. Se te puntúa por cuántos problemas reales detectas frente a cuántos diseños sólidos marcas por error.
¿Por qué las passkeys resisten el phishing?
Una passkey es una credencial WebAuthn cuya clave privada nunca sale del autenticador. El navegador solo ofrece una credencial cuyo RP ID coincide con el dominio efectivo del origen que sirve la página, y el autenticador firma sobre ese RP ID mientras el origen viaja en el clientDataJSON firmado. Así que un dominio que imita a otro no puede recuperar la credencial del sitio real ni falsificar una aserción que el sitio real acepte, y el usuario nunca escribe un secreto que pueda retransmitirse. Esa vinculación al origen es la razón estructural por la que una passkey derrota el phishing con atacante en el medio que retransmite contraseñas, códigos TOTP y aprobaciones push.
¿Qué diferencia hay entre passkeys sincronizadas y ligadas al dispositivo?
Las passkeys sincronizadas (multidispositivo) replican la clave privada a través del sistema de sincronización de un proveedor (Apple, Google o un gestor de contraseñas), así que sobreviven a la pérdida de un teléfono y se recuperan mediante la cuenta en la nube del usuario; son ideales para grandes poblaciones de consumidores. Las llaves FIDO2 ligadas al dispositivo (de un solo dispositivo) no se pueden exportar y viven solo en un autenticador, que es lo que quieres para cuentas privilegiadas, reguladas o críticas, normalmente con atestación empresarial para que la parte que confía pueda confirmar un modelo de autenticador aprobado. El laboratorio te hace elegir bien en ambos sentidos, incluida una trampa en la que exigir llaves de hardware a consumidores corrientes es complicarlo de más.
¿Ejecuta WebAuthn real o toca mi autenticador?
No. No se sube nada, no se invoca ningún autenticador, biometría ni llave de seguridad, y no se ejecuta criptografía. Los escenarios son descripciones realistas, redactadas e incluidas con la página, y todo funciona en tu navegador: no hay que instalar nada ni se envía nada.
¿Para quién es?
Para ingenieros de IAM y de seguridad de aplicaciones que despliegan passkeys, arquitectos que eligen entre OTP, push y WebAuthn, y cualquiera que prepare una entrevista de seguridad y quiera entender de verdad por qué TOTP y el push con coincidencia de números siguen siendo suplantables, por qué una ruta de recuperación por SMS anula una passkey, por qué un RP ID demasiado amplio permite que una credencial cruce inquilinos, y cuándo una passkey sincronizada es exactamente lo correcto y cuándo hace falta una llave ligada al dispositivo.
¿Es gratis?
No, es un laboratorio Pro. Con una cuenta gratuita tienes 3 usos de prueba; después necesitas Pro.