Si un sitio web o una aplicación ofrece la opción de crear una clave de acceso o contraseña, generalmente vale la pena activarla. La tecnología elimina la contraseña de ese flujo de inicio de sesión y tiene una ventaja importante: fue diseñada para resistir el phishing, porque la credencial está vinculada al sitio web o la aplicación para la que fue creada.
Esto no significa, sin embargo, que perder su teléfono celular se haya vuelto irrelevante. El resultado depende de dónde se almacenó la clave de acceso. Algunos se sincronizan mediante un administrador de credenciales y pueden reaparecer en un nuevo dispositivo; otros están vinculados a un dispositivo específico. También hay una pregunta aparte: cómo la propia cuenta le permite recuperar el acceso si se pierden todas las claves de acceso disponibles.
Cómo funciona una clave de acceso sin que memorices un secreto
Al crear una clave de acceso, el dispositivo genera un par de claves criptográficas. La clave pública queda registrada en el sitio web o aplicación. La parte privada queda protegida en el dispositivo o en el administrador de credenciales elegido. Al iniciar sesión, el servicio envía un desafío, el dispositivo usa la clave privada para firmarlo y el servidor verifica la respuesta usando la clave pública. Ya no es necesario enviar la contraseña tradicional al servicio en este proceso.
Para autorizar el uso de la clave de acceso, normalmente haces algo que ya haces para desbloquear el dispositivo: usar tu huella digital, reconocimiento facial, PIN, patrón u otro mecanismo local aceptado por la plataforma. Los datos biométricos no se envían al sitio web como parte de la clave de acceso; sirve para liberar localmente el uso de la credencial.
Esta distinción es importante. Su cara o huella digital no es la clave de acceso. La clave de acceso es la credencial criptográfica almacenada y protegida por el dispositivo o administrador.
Por qué la clave de acceso es más resistente al phishing
Se puede introducir una contraseña tanto en el sitio web real como en una página falsa convincente. El mismo problema existe con los códigos de un solo uso: si la víctima ingresa una OTP en una página controlada por el estafador, ese código puede ser retransmitido mientras aún sea válido.
NIST, en su revisión más reciente de las pautas de autenticación, publicada en julio de 2025, establece que los mecanismos que requieren la entrada manual de OTP no se consideran resistentes al phishing. WebAuthn, el estándar utilizado en las credenciales FIDO2 que subyacen a las claves de acceso, vincula criptográficamente la autenticación con el dominio del servicio.
En la práctica, esto significa que una clave de acceso creada para un dominio legítimo no se entrega simplemente a una copia visual de ese sitio alojado en otro dominio. La verificación la realizan el navegador y el sistema, en lugar de depender simplemente de que usted se dé cuenta de que la página es falsa.
Sin embargo, la protección no cubre todos los tipos de ataques. El malware en el dispositivo, el robo de una sesión ya autenticada, el compromiso del mecanismo de recuperación y un dispositivo desbloqueado por otra persona son problemas diferentes. El propio NIST llama la atención sobre la recuperación del autenticador como una debilidad potencial, especialmente cuando entran en juego métodos de respaldo menos seguros o procesos asistidos por humanos.
Clave de acceso, contraseña y 2FA no son exactamente competidores
“¿Clave de acceso o autenticación de dos factores?” puede llevar a una comparación incompleta. 2FA describe el uso de factores de autenticación; no es un solo tipo de credencial.
| Método |
Qué presentas |
Resistencia al phishing |
Punto de atención |
| Contraseña |
Un secreto que conoces y escribes |
No |
Puede ser reutilizado, robado o ingresado en un sitio web falso |
| Contraseña + código OTP |
Contraseña y código temporal |
No para el phishing de retransmisión tradicional |
Es mejor que confiar únicamente en la contraseña, pero el código aún puede ser solicitado por una página falsa |
| Clave de acceso con verificación local |
Dispositivo con llave + desbloqueo local cuando sea necesario |
Sí, cuando se implementa según WebAuthn/FIDO |
Necesita planificar la sincronización, el dispositivo de respaldo y la recuperación |
FIDO explica que una clave de acceso puede combinar la propiedad del dispositivo con una verificación local, como PIN o datos biométricos, cuando el servicio solicita esta verificación. Por lo tanto, en determinados flujos puede sustituir no sólo la contraseña, sino también combinaciones tradicionales como contraseña más OTP.
Esto no hace que todos los 2FA sean inferiores. Los autenticadores criptográficos, como ciertas claves físicas FIDO, también pueden brindar resistencia al phishing. El problema es tratar “2FA” como sinónimo de simplemente un código vía SMS o una aplicación de autenticación.
Dónde se almacena la clave de acceso
Hay dos situaciones que el usuario debe distinguir.
Las Claves de acceso sincronizadas están bajo la responsabilidad de un proveedor de credenciales capaz de hacerlas disponibles en otros dispositivos autorizados. La Alianza FIDO cita como ejemplos administradores de sistemas integrados y administradores de terceros. Google, Apple y Microsoft también documentan mecanismos de sincronización en sus ecosistemas.
Las Claves de acceso vinculadas al dispositivo, o vinculadas al dispositivo, permanecen en ese dispositivo o autenticador. Si no existe otra clave de acceso o método de recuperación, perder el dispositivo podría significar perder esa credencial específica. Microsoft, por ejemplo, recomienda tener otra clave disponible cuando la credencial se guarda solo localmente.
Por lo tanto, antes de tocar “Crear clave de acceso”, es útil observar dónde te informa el sistema que se guardará: en el dispositivo, en el administrador de Apple, Google o Microsoft, en un administrador de terceros o en una llave de seguridad física.
Perdí mi teléfono celular. ¿Perdí mis cuentas?
No necesariamente.
Si la clave de acceso está sincronizada y puede recuperar el acceso al proveedor de credenciales respectivo en otro dispositivo, es posible que vuelva a estar disponible. Google documenta claves de acceso cifradas y sincronizadas por su administrador; Apple sincroniza contraseñas y claves de acceso a través de iCloud Keychain; y Microsoft ahora ofrece sincronización a través de administradores de credenciales compatibles.
En el ecosistema de Apple, la documentación también proporciona la recuperación del llavero de iCloud incluso cuando todos los dispositivos se han perdido o han sido robados.. Dependiendo de la configuración de su cuenta Apple, el proceso puede involucrar un contacto de recuperación o el mecanismo de recuperación protegido del llavero iCloud, así como la autenticación de la cuenta, un número de teléfono confiable y una contraseña del dispositivo.
Si, por el contrario, la única clave de acceso estaba vinculada exclusivamente al teléfono celular perdido y no existe otra credencial o un proceso de recuperación utilizable, es posible que usted se quede sin esa forma de acceso. La recuperación depende entonces de las reglas del propio servicio.
También existe una medida de seguridad después de un robo. Los servicios pueden permitir que la credencial o el dispositivo perdido se eliminen de la cuenta. Con una cuenta de Google, por ejemplo, la propia documentación le recomienda eliminar la clave de acceso asociada con un dispositivo perdido o robado usando otro dispositivo en el que aún pueda iniciar sesión.
Qué hacer antes de activar las claves de acceso en las cuentas más importantes
La decisión no tiene por qué ser entre “seguir con contraseña” y “apostarlo todo en el móvil”. Una configuración más segura es reducir la dependencia de un solo dispositivo.
- Descubra dónde se almacenará la clave de acceso. Prefiere saber si se sincronizará o simplemente permanecerá en el dispositivo.
- Revisar la recuperación de la cuenta. Verifique el correo electrónico, el número de teléfono, los contactos de recuperación, los códigos de recuperación u otros métodos realmente ofrecidos por el servicio. El mecanismo exacto varía de una cuenta a otra.
- Tener una segunda forma de acceso cuando la cuenta sea crítica. Esto podría significar otra clave de acceso, otro dispositivo autorizado o una clave de seguridad física, según las opciones de servicio.
- Protege bien el bloqueo de pantalla. Cualquiera que pueda desbloquear un dispositivo en el que hay una clave de acceso podrá, dependiendo del servicio y la configuración, poder utilizarlo. Google advierte explícitamente que solo cree claves de acceso en sus propios dispositivos y recomienda no crearlas en dispositivos compartidos.
El punto más importante es evitar crear una dependencia que usted desconozca. Saber dónde está la credencial y cómo se recupera su cuenta vale tanto como activar la tecnología.
¿Qué pasa si cambio de celular?
Si utiliza claves de acceso sincronizadas, el cambio tiende a ser más sencillo: después de configurar el nuevo dispositivo y recuperar el acceso al mismo proveedor de credenciales, las claves compatibles pueden volver a estar disponibles. Este es precisamente uno de los objetivos de las claves de acceso sincronizadas.
La experiencia concreta varía según el sistema operativo, el administrador elegido y el servicio. En entornos corporativos o escolares, los administradores también pueden limitar dónde se pueden almacenar las claves de acceso o cómo se utilizan.
Si la clave de acceso era exclusivamente local, la estrategia cambia: crear otra credencial en el nuevo dispositivo antes de eliminar o entregar la anterior, siempre que el servicio lo permita. Si esto no es posible, primero confirme qué método de recuperación o inicio de sesión alternativo está disponible.
¿Puedes usar la clave de acceso en una computadora que no es tuya?
Sí, sin necesariamente guardar la clave de acceso en esa computadora.
Los estándares FIDO permiten la autenticación entre dispositivos. En un flujo común, la computadora muestra un código QR, el celular cercano lo lee y usted autoriza el inicio de sesión en el propio teléfono. Hay un control de proximidad entre los dispositivos; FIDO y los fabricantes documentan el uso de Bluetooth en este proceso.
Esta es la ruta preferida en una computadora pública, prestada o compartida: use la clave de acceso que ya está en su dispositivo, en lugar de crear una nueva credencial permanente en la computadora de otra persona. La documentación de Google recomienda expresamente no crear claves de acceso en dispositivos compartidos.
Al igual que con cualquier acceso realizado a una computadora de terceros, la clave de acceso no elimina los riesgos existentes en el propio equipo o en una sesión que permanece abierta. Cuando termine, cierre la sesión y evite mantener la cuenta iniciada.
Entonces, ¿vale la pena activarlo?
Para la mayoría de las personas que ya utilizan un teléfono móvil y un ordenador protegidos por un bloqueo de pantalla, la clave de acceso es una evolución útil en relación con el inicio de sesión solo con contraseña y también reduce una importante debilidad de combinaciones como contraseña más código OTP: el phishing de credenciales.
La mejor adopción no es simplemente presionar "activar" en cada cuenta. Comience con las cuentas importantes que lo admiten, verifique en qué administrador se almacenará la clave de acceso y revise la recuperación antes de abandonar los métodos que aún puedan ser necesarios.
Si la clave de acceso está sincronizada, perder un teléfono celular no significa automáticamente perder la credencial. Si está vinculado al dispositivo, trate otra clave de acceso o método de recuperación como clave de repuesto. Y, en cualquier caso, recuerda que la seguridad del acceso también depende de proteger el dispositivo y el proveedor que almacena tus credenciales.
Temas de este artículoautenticaçãogerenciadores de senhaspasskeysPhishingrecuperação de contasegurança de contas
