Llaves de seguridad de hardware y passkeys: el 2FA más fuerte

Por qué los códigos y las apps de autenticación se quedan cortos

Durante años, el consejo fue simple: activa la autenticación de dos factores y una contraseña robada, por sí sola, ya no sería suficiente. Para la mayoría de las cuentas, ese segundo factor es un código: seis dígitos que llegan por SMS o que genera una app de autenticación. Los códigos por SMS son el más débil de los dos, ya que los ataques de SIM swap pueden interceptarlos, mientras que los códigos generados por la app al menos nunca salen de tu dispositivo. Ambos son una mejora genuina frente a las contraseñas solas, y si son tu única opción, úsalos. Pero fueron creados para una amenaza que desde entonces ha evolucionado.

La debilidad es fundamental: un código es un secreto compartido que escribes. Cualquier cosa que puedas escribir, te pueden engañar para que la escribas. Una página de inicio de sesión falsa convincente no se detiene en tu contraseña. En un ataque de phishing en tiempo real, el sitio del atacante retransmite todo lo que introduces —contraseña y luego código— directamente al sitio web real, iniciando sesión en el momento en que llega el código. Tú ves un vago error de "algo salió mal"; el atacante obtiene una sesión funcional. El código hizo su trabajo, pero para la persona equivocada.

Qué son realmente FIDO2 y WebAuthn

FIDO2 es el estándar paraguas detrás de las llaves de hardware y las passkeys. Tiene dos partes que funcionan juntas:

• WebAuthn se ejecuta en el navegador. Es el protocolo que un sitio web utiliza para solicitar un inicio de sesión y verificar la respuesta.
• CTAP rige cómo tu dispositivo — una llave USB, un teléfono, el lector integrado de un portátil — se comunica con ese navegador. Conecta una llave o acércala por NFC, y CTAP transporta la conversación.

Un par de claves por sitio web

Cuando registras un dispositivo en un sitio, la llave genera un par de claves pública/privada nuevo exclusivamente para ese sitio. La clave privada permanece dentro del hardware y nunca lo abandona. El sitio web recibe solo la clave pública correspondiente, vinculada a tu cuenta.

Esta separación es lo que hace que las filtraciones sean mucho menos dañinas. Los inicios de sesión tradicionales obligan a los servidores a almacenar contraseñas o sus hashes — una base de datos que los atacantes realmente quieren robar. Con FIDO2, la base de datos del servidor no contiene nada más que claves públicas. Una clave pública no puede usarse para iniciar sesión como tú, por lo que no hay ninguna bóveda de secretos que valga la pena vulnerar en primer lugar.

Llaves de seguridad de hardware: una llave que puedes tocar

Una llave de seguridad de hardware es un pequeño dispositivo físico, normalmente del tamaño de una memoria USB o de una llave de casa, creado específicamente para iniciar sesión. YubiKey es la marca más conocida, pero varios fabricantes las producen. La llevas en tu llavero, la conectas a tu ordenador y pulsas un botón para iniciar sesión.

Las llaves vienen con diferentes conectores para adaptarse a tus dispositivos:

• USB-C para portátiles modernos, tabletas y teléfonos Android
• USB-A para ordenadores más antiguos
• NFC para acercarlas a iPhones y a muchos teléfonos Android — sin necesidad de cable

Muchos modelos incluyen dos de estos, de modo que una sola llave puede cubrir tanto tu portátil como tu teléfono.

La seguridad proviene de cómo funciona la llave por dentro. Cuando la registras, se genera una clave criptográfica única y se almacena en el propio dispositivo. Nunca sale de la llave — ni hacia el sitio web, ni hacia tu ordenador, ni hacia ningún lugar. La llave firma cada inicio de sesión internamente, y no ocurre nada hasta que la tocas físicamente. Un atacante remoto no puede pulsar un botón que está en tu bolsillo.

Passkeys: la misma tecnología, sincronizada

Una passkey es una credencial WebAuthn, igual que la que crea una llave de seguridad. La diferencia está en dónde vive. En lugar de quedar dentro de un dispositivo físico, una passkey se guarda en tu sistema operativo o gestor de contraseñas y puede sincronizarse entre tus dispositivos.

Cómo funciona la sincronización

Cuando creas una passkey, tu dispositivo ofrece un hogar para ella:

• iCloud Keychain en dispositivos Apple, sincronizada de extremo a extremo entre tu iPhone, iPad y Mac
• Google Password Manager en Android y en Chrome, sincronizada con tu cuenta de Google
• Gestores de contraseñas de terceros, que guardan las passkeys junto con tus inicios de sesión

Como la credencial te sigue, iniciar sesión en un dispositivo nuevo suele ser tan simple como aprobar un aviso en un dispositivo que ya tienes.

¿Sincronizada o vinculada al hardware?

Las passkeys sincronizadas sirven para cuentas cotidianas: compras, redes sociales, streaming. La comodidad importa, y perder un teléfono ya no significa perder el acceso.

Una llave vinculada al hardware gana cuando el riesgo es mayor. Las credenciales que nunca salen del dispositivo no se pueden sincronizar, copiar ni extraer de una cuenta en la nube, por eso los bancos, los empleadores y las cuentas de administrador siguen justificando una llave física.

Por qué el phishing deja de funcionar

La 2FA tradicional falla contra el phishing porque los códigos son solo números. Todo lo que se puede escribir puede escribirlo una víctima en un formulario falso.

Las credenciales FIDO2 funcionan de otra manera. Al registrar una llave de seguridad o una passkey, la credencial queda criptográficamente vinculada al nombre de dominio exacto del sitio web — bank.example.com, por ejemplo. El navegador hace cumplir este vínculo. La llave simplemente se niega a firmar cualquier cosa para un dominio distinto.

Lo que obtiene un sitio falso

Suponga que hace clic en un enlace a bank.example-login.com, una copia convincente del sitio real. Cuando el navegador ejecuta la ceremonia WebAuthn, presenta el dominio falso a su llave. La llave ve un dominio para el que no tiene credencial. El inicio de sesión falla, o no se produce nada utilizable. El atacante recibe datos que no sirven para iniciar sesión en otro lugar.

Nada que robar por voz

Tampoco hay un código de seis dígitos que leer por teléfono o pegar en un formulario. El secreto nunca sale del dispositivo, y la respuesta está vinculada al dominio real. Un estafador que pide "el número de su pantalla" pide algo que no existe.

Primeros pasos: una configuración práctica

Compra dos llaves

Compra dos llaves de seguridad de hardware, preferiblemente de distintos fabricantes para que un defecto en un lote no inutilice ambas. Comprueba los tipos de conector antes de comprar: USB-C, USB-A o NFC, según tus dispositivos. Lleva la primera llave en tu llavero para el uso diario. Guarda la segunda en un lugar seguro pero accesible — una caja fuerte en casa o un cajón que realmente recuerdes. Una llave de respaldo sin registrar no protege nada.

Registra ambas, más una copia de seguridad

Empieza con tus cuentas más valiosas: primero tu correo electrónico, luego tu gestor de contraseñas, después la banca y las redes sociales. En la configuración de seguridad de cada cuenta, registra ambas llaves y guarda los códigos de recuperación del servicio sin conexión. Los códigos de recuperación son lo que te permite volver a entrar si pierdes ambas llaves a la vez, así que trátalos como una segunda contraseña.

Activa 2FA en todas las demás cuentas

No todas las cuentas necesitan una llave de hardware. Donde no se admitan llaves, activa la 2FA que se ofrezca — una aplicación de autenticación por encima de los SMS cuando sea posible. Da prioridad al correo electrónico y a tu gestor de contraseñas; quien controle eso controla en esencia todo lo demás. Ve avanzando con el resto poco a poco, unas pocas cuentas por semana.

Claves perdidas, recuperación y preguntas frecuentes

Perder una llave de hardware no es una crisis si te has anticipado. Compra llaves en pares, registra ambas en cada cuenta y guarda la de repuesto en un lugar seguro pero separado: un cajón en casa, no en el mismo llavero. Si pierdes una, inicia sesión con la de respaldo y elimina la llave perdida de tu cuenta.

El eslabón más débil: la recuperación

La recuperación de cuentas es donde acuden los atacantes cuando 2FA los bloquea. Los códigos de recuperación son contraseñas de un solo uso; guárdalos sin conexión, nunca en tu correo electrónico. Protege tus opciones de recuperación—número de teléfono, correo de respaldo—porque una vía de restablecimiento que omita tu llave de seguridad deshace todo. Prefiere servicios que te permitan recuperarte solo con otra passkey o llave.

Soporte hoy

Google, Apple, Microsoft y muchos bancos, gestores de contraseñas y plataformas sociales aceptan passkeys o llaves FIDO2. Revisa la configuración de seguridad de cada cuenta.

Resumen práctico

Empieza con una cuenta importante. Añade una passkey, registra una de respaldo, imprime los códigos de recuperación. Luego repite. Un inicio de sesión resistente al phishing toma una tarde; la protección dura años.

Errores comunes y cómo evitarlos

Registrar una sola llave. Una llave perdida o rota te deja sin acceso. Registra siempre dos por cuenta, de fabricantes distintos.

Guardar los códigos de recuperación en el correo. Si alguien compromete tu correo, obtiene también tu vía de escape. Imprímelos o guárdalos en un gestor de contraseñas cifrado, y nunca en la misma cuenta que protegen.

Comprar llaves sin comprobar compatibilidad. Un conector USB-A no sirve en un portátil moderno sin USB-C. Verifica tus dispositivos antes de comprar y prioriza NFC si usas iPhone.

Registrar llaves en una cuenta de prueba y olvidar el resto. Proteger una cuenta y dejar el correo sin llave no reduce el riesgo real: el correo es el punto de restablecimiento de todo lo demás. Empieza por ahí.

Ignorar los avisos del navegador. Si tu navegador advierte que el dominio no coincide o que la ceremonia WebAuthn falla en un sitio que crees legítimo, detente. Ese fallo suele ser la llave haciendo exactamente su trabajo. Cierra la pestaña y escribe la dirección a mano.

Confiar en una passkey sin respaldo. Si tu passkey vive solo en un teléfono que se rompe, y tu cuenta de sincronización no tiene 2FA propia, has movido el problema en lugar de resolverlo. Activa 2FA en tu cuenta de Google o Apple, y crea una passkey de respaldo en otro dispositivo.

Darse por vencido en sitios sin soporte. La adopción crece, pero las cuentas donde sí funciona —correo, gestor de contraseñas, banca— cubren lo esencial. Revisa cada pocos meses qué servicios han añadido soporte y migra cuando aparezca.