Si tu cuenta ofrece passkeys, suelen ser una opción más resistente al robo de credenciales mediante páginas de phishing que una contraseña acompañada de SMS o códigos TOTP. Sin embargo, antes de activarlas debes comprobar dónde se guardarán, qué otros métodos de inicio de sesión seguirán habilitados y cómo recuperarás el acceso al perder el móvil o la llave física. No todos los servicios usan exactamente el mismo procedimiento.
Esta guía compara mecanismos FIDO2, SMS y TOTP con documentación técnica. MyBlogSoft no realizó ataques de phishing ni ensayos de recuperación sobre cuentas reales durante esta revisión.
Passkeys, SMS, TOTP y llaves físicas: comparación rápida
| Método | Protección frente al phishing | Qué revisar antes de usarlo |
|---|---|---|
| Contraseña única | Puede robarse en una página falsa | Gestor de contraseñas y factor adicional disponible |
| Contraseña + SMS | El código puede capturarse mediante phishing | Protección del número y recuperación con el operador |
| Contraseña + app TOTP | El código temporal también puede capturarse en tiempo real | Códigos de respaldo o migración del autenticador |
| Passkey FIDO2 | Resistente al phishing de credenciales gracias a su vinculación al servicio | Dispositivos, sincronización y método de recuperación |
| Llave física compatible con FIDO2 | Resistente al phishing cuando se utiliza con FIDO2 | Registrar una segunda llave o alternativa de recuperación |
El uso de SMS o TOTP normalmente mejora la protección frente a una contraseña sola, aunque no ofrece la misma resistencia al phishing que FIDO2. Una llave física solo aporta esa propiedad en los flujos que realmente utilizan el estándar compatible; no todas las formas de introducir un código mediante un dispositivo físico equivalen a una passkey.
Qué es una passkey y cómo funciona
Una passkey utiliza criptografía de clave pública. El servicio verifica una operación criptográfica vinculada a su dominio, en lugar de recibir una contraseña reutilizable. Para autorizar el acceso, desbloqueas el dispositivo o autenticador con PIN, huella o reconocimiento facial. Esos datos biométricos no tienen que enviarse a la página.
Algunas passkeys se sincronizan mediante un proveedor entre dispositivos compatibles; otras permanecen vinculadas a un dispositivo. Esa diferencia afecta a la recuperación. Tampoco debes asumir que activar una passkey elimina automáticamente la contraseña o los métodos alternativos de tu cuenta: depende del servicio.
Passkeys sincronizadas frente a passkeys vinculadas a un dispositivo
| Tipo | Qué sucede al cambiar de equipo | Qué debes preparar |
|---|---|---|
| Sincronizada mediante proveedor | Puede aparecer en tus otros equipos compatibles al iniciar sesión en el mismo proveedor de passkeys | Proteger la cuenta del proveedor y comprobar sus métodos de recuperación y sincronización |
| Vinculada a un dispositivo | No se copia automáticamente a otro móvil u ordenador; perderlo puede impedir usar esa credencial | Registrar otro autenticador permitido o una alternativa de recuperación que funcione |
| En una llave de seguridad FIDO2 | Permanece normalmente en la llave física compatible; puedes utilizarla en equipos que admitan el estándar | Registrar una segunda llave o método independiente antes de extraviar la primera |
Según FIDO Alliance, las passkeys sincronizadas facilitan cambiar de dispositivo sin registrar de nuevo cada cuenta; las vinculadas al dispositivo priorizan mantener la credencial en ese hardware. Ambas pueden ser resistentes al phishing cuando se usan mediante un flujo FIDO correcto. Sincronizada no significa pública, y una llave física tampoco implica que todos los mecanismos alternativos de la cuenta sean resistentes al phishing.
Cómo crear una passkey sin perder el acceso a tu cuenta
- Entra al servicio desde su dirección o aplicación oficial y abre Seguridad → Métodos de inicio de sesión o el apartado equivalente.
- Si ofrece «Crear una llave de acceso», comprueba qué dispositivo o gestor la almacenará. Protege el desbloqueo de ese equipo con PIN o biometría.
- Completa el registro mediante el procedimiento del servicio y prueba un inicio de sesión normal con esa credencial, sin eliminar tus demás métodos de acceso.
- Antes de retirar un método antiguo, comprueba la recuperación de la cuenta, la disponibilidad de una segunda passkey, una llave de reserva o los códigos proporcionados por el servicio.
- Revisa si aún se permite acceder con contraseña, SMS u otro factor. La seguridad de la cuenta también depende de esas rutas alternativas, especialmente si permanecen activas.
En una cuenta de Google puedes seguir la guía oficial de configuración de llaves de acceso. No deshabilites la única forma de entrar como «prueba» de seguridad; no compartas códigos de recuperación ni capturas donde aparezcan.
Qué método elegir para cada tipo de cuenta
- Correo principal o gestor de contraseñas: prioriza un método resistente al phishing cuando esté disponible y prepara una ruta de respaldo independiente.
- Cuentas de uso habitual: una passkey es una buena opción si conoces cómo volver a acceder al perder el móvil; en su ausencia, usa una contraseña única con TOTP.
- Servicios que únicamente ofrecen SMS: activa ese segundo factor antes que depender solo de una contraseña y protege los mecanismos de recuperación del número.
- Administración o cuentas de alto impacto: considera llaves FIDO2 y una segunda llave registrada, guardada por separado, si el servicio permite esa configuración.
Una opción no es segura por el simple nombre de la tecnología: revisa qué alternativas de recuperación conserva el sitio, porque podrían convertirse en una vía más débil de acceso.
Plan de recuperación antes de perder el teléfono
| Situación | Preparación práctica |
|---|---|
| Pierdes el dispositivo con la passkey | Confirma si está sincronizada y si tienes otro dispositivo o un método alternativo válido |
| Pierdes una llave física | Registra una llave adicional y guárdala en un lugar distinto |
| Cambias de móvil o ecosistema | Agrega y comprueba la nueva credencial antes de perder acceso al dispositivo antiguo |
| Pierdes acceso a TOTP | Conserva códigos de recuperación de forma segura, separada del autenticador principal |
No pruebes la recuperación eliminando la única credencial que te permite entrar. Comprueba desde los ajustes del servicio qué dispositivos y métodos están registrados y prepara una alternativa antes de cambiar de equipo. Una passkey sincronizada facilita algunos escenarios, pero perder el acceso al proveedor de sincronización también puede complicar la recuperación.
Qué hacer si recibes una solicitud de acceso inesperada
No apruebes notificaciones de autenticación que no hayas iniciado y no compartas códigos de un solo uso. Comprueba los dispositivos con sesiones abiertas y los métodos registrados; si sospechas una contraseña filtrada, sigue los pasos de nuestra guía sobre cuentas expuestas en una filtración. También conviene revisar las extensiones del navegador con acceso a tus datos.
El beneficio principal de una passkey es que el sitio verifica una credencial vinculada a su origen, en lugar de aceptar una contraseña que puedas escribir en una página impostora. Eso no elimina automáticamente los riesgos del dispositivo, una sesión robada o una recuperación de cuenta insegura. Consulta también la explicación técnica de FIDO Alliance.
Sobre el autor
Sergio Andres Alvarado Mendoza
Sergio Andres Alvarado Mendoza es el responsable y editor de MyBlogSoft, un sitio web de tecnología administrado desde Colombia. El sitio ofrece guías sobre software, hardware, redes y seguridad basadas en documentación técnica. Las pruebas propias, cuando existan, se identificarán con su equipo y método. Las ilustraciones de los artículos se generan con IA y no acreditan pruebas de productos.
Comentarios