Cómo configurar llaves de acceso (passkeys) e iniciar sesión sin contraseña en iPhone, Android y Windows

Una llave de acceso se basa en el estándar FIDO2 de la FIDO Alliance, una agrupación de socios de la industria. Según el BACS, su núcleo son dos protocolos: CTAP2 entre el dispositivo y el «authenticator», y WebAuthn del W3C entre el navegador y el servidor. Al configurarla, tu dispositivo genera un par de claves aleatorio para ese servicio concreto: la clave privada se queda en el dispositivo o en el authenticator, y la pública va al servicio. Apple describe lo mismo: el servidor nunca sabe cuál es la clave privada, y la pública no es ningún secreto; ya no hay ningún «secreto compartido» que alguien pueda robar.

El inicio de sesión funciona por desafío y respuesta: el servicio envía un reto, tu dispositivo lo firma con la clave privada después de desbloquearse, y el servicio comprueba la firma con la clave pública. Como la dirección del servicio va incluida en el reto y el authenticator la comprueba antes de firmar, la respuesta solo sirve para el servidor de destino auténtico. El BACS escribe que WebAuthn protege así eficazmente contra muchos ataques de phishing y de «Mallory-in-the-Middle»; Microsoft lo formula de forma tangible: una llave de acceso para netflix.com solo funciona en netflix.com; en una página engañosamente parecida, tu dispositivo ni siquiera la presenta.

Según el BACS, la palabra significa hoy dos cosas: la tecnología de las claves FIDO sincronizables y la clave privada concreta que sustituye a la contraseña. La huella y la cara son solo la llave que abre la clave guardada en el dispositivo; según Google y la ayuda de Chrome, los datos biométricos se quedan en el dispositivo y no se comparten con Google. Una página detallada de nuestro glosario, «¿Qué es una llave de acceso?», se publicará el 4 de noviembre de 2026.

El BACS constata en su informe tecnológico «Passkeys», de septiembre de 2025, que sobre la seguridad de las llaves de acceso no se pueden hacer afirmaciones de validez general, porque el diablo está en cada implementación; «pero al menos por tres motivos las llaves de acceso son siempre mejores que las contraseñas», según el BACS (traducido del alemán): primero, son distintas para cada servidor de destino y hay que comprometerlas una a una, mientras que las contraseñas suelen reutilizarse en muchos servicios. Segundo, se generan de forma pseudoaleatoria y no se pueden adivinar. Tercero, no se transmiten por la línea, así que no se pueden interceptar ni usar en ataques de «replay». El BACS saluda y apoya expresamente esta evolución y cuenta con que FIDO2 se imponga en forma de distintas implementaciones de llaves de acceso; Google, Apple y Microsoft sustituyen las contraseñas siempre que pueden.

Lo avanzado que está lo muestra la FIDO Alliance en su comunicado del 15 de octubre de 2026: unos 7000 millones de llaves de acceso en todo el mundo, y en los 15 servicios de consumo de su «Passkey Index», entre ellos Amazon, Google, Microsoft, PayPal, Shopify, TikTok y WhatsApp, «more than a third of successful sign-ins», más de un tercio de los inicios de sesión correctos, se hace con una llave de acceso, casi tres veces más rápido que con contraseña y segundo factor clásico. Según FIDO, todos los participantes que miden el phishing registran desde entonces menos ataques con éxito. Google añade en su página de ayuda la utilidad práctica: las llaves de acceso no se pueden compartir, copiar, escribir ni dar por error a otra persona.

Para ti significa: la llave de acceso te quita los dos mayores riesgos de las contraseñas, la reutilización y el phishing. Lo que no te quita es el cuidado del respaldo: mientras un servicio conserve tu contraseña, esta tiene que ser fuerte y única (→ Cómo crear una contraseña segura, y qué es seguro de verdad en 2026), y para los servicios sin llave de acceso, el segundo factor sigue siendo la mejor protección (→ Cómo activar la verificación en dos pasos en tu cuenta de Google: notificaciones, app, llave o passkey).

Originalmente, según el BACS, la clave privada debía quedarse fija y sin posibilidad de lectura en el authenticator («device-bound authenticators»). Como eso es poco práctico con varios dispositivos, la FIDO Alliance añadió después la sincronización a través de un almacenamiento en la nube («synced authenticators»); eso son exactamente las llaves de acceso del Llavero de iCloud, del Gestor de contraseñas de Google, del Administrador de contraseñas de Microsoft y de los gestores de contraseñas. El BACS dice con claridad que todas esas simplificaciones «van en detrimento de la seguridad» y que la protección original por hardware se abandonó para lograr una gran penetración de mercado; cuánto se aleja una implementación del estándar hay que mirarlo caso por caso. La FIDO Alliance tiene tres niveles de certificación: L1 permite cualquier hardware y software, L2 exige un Secure Element o un Trusted Execution Environment, L3 un entorno aprobado por la alianza; al BACS esta clasificación le parece demasiado gruesa para un análisis de seguridad.

En su informe tecnológico sobre categorías de seguridad de los procedimientos de autenticación, de septiembre de 2026, el BACS clasifica los métodos: la contraseña sola está en «baja», las llaves de acceso sincronizadas en «media*», las llaves de hardware FIDO2 sin sincronización en «alta*»; el asterisco marca los procedimientos que protegen contra el phishing en tiempo real. Las dos variantes de llave de acceso son, por tanto, resistentes al phishing; la diferencia está en si la clave se queda en hardware especial o puede copiarse a varios dispositivos a través de una nube. Apple replica que el Llavero de iCloud está cifrado de extremo a extremo con claves que Apple no conoce y que las llaves de acceso se pueden recuperar incluso si se pierden todos los dispositivos.

Nuestra recomendación práctica: para particulares, las llaves de acceso sincronizadas son la elección correcta, en el Llavero de iCloud, en el Gestor de contraseñas de Google, en el Administrador de contraseñas de Microsoft o en un gestor de contraseñas independiente si usas dispositivos de distintos fabricantes (→ Mejores gestores de contraseñas 2026: 1Password, NordPass, Bitwarden y Proton Pass comparados). Así el caso de pérdida está resuelto y estás protegido contra el phishing. Para las cuentas especialmente importantes, correo, gestor de contraseñas, banco, merece la pena además una llave de hardware, mejor dos, porque no se puede recuperar.

En la cuenta de Google, la llave de acceso es la opción predeterminada de las cuentas personales desde el 10 de octubre de 2023; en la cuenta de Apple y en las webs en Safari funciona a través del Llavero de iCloud; en la cuenta de Microsoft, a través de las «Opciones avanzadas de seguridad». WhatsApp comunicó el 25 de agosto de 2026 que más de mil millones de personas protegen su cuenta con una llave de acceso; tras la oleada de cuentas de WhatsApp secuestradas de la que informó el BACS en Suiza en octubre de 2026, un buen motivo para activarla ahí. Los 15 servicios del Passkey Index de la FIDO Alliance, entre ellos Amazon, PayPal, Shopify y TikTok, también la ofrecen.

No todas las apps y webs han llegado tan lejos. Apple, Google y Microsoft lo dicen igual: si al iniciar sesión o en los ajustes de la cuenta no ves ninguna opción de llave de acceso, el servicio no la admite por ahora. Entonces queda contraseña más segundo factor, y echar un vistazo a los ajustes de seguridad dentro de unos meses.

Lo nuevo es la creación automática de llaves de acceso: si inicias sesión con una contraseña guardada, el sitio web puede crear una llave de acceso en segundo plano. Apple lo describe para webs y apps; Chrome la guarda en el Gestor de contraseñas de Google y te avisa; Edge la guarda en el Administrador de contraseñas de Microsoft. Quien no lo quiera, desactiva en Chrome, en «Contraseñas y Autocompletar» > «Gestor de contraseñas de Google» > «Configuración», la opción «Crear automáticamente una llave de acceso para iniciar sesión más rápido», y en Edge, en «Configuración» > «Contraseñas y autorrellenar» > «Administrador de contraseñas de Microsoft» > «Más configuraciones», la opción «Actualizar automáticamente a claves de paso». Tus datos de inicio de sesión existentes se mantienen en ambos casos.

La contraseña se queda. El BACS señala que muchos ámbitos de uso de las llaves de acceso permiten o incluso exigen seguir usando contraseñas, por ejemplo como respaldo para restablecer; las contraseñas débiles y la mala gestión de contraseñas siguen siendo así vías de ataque realistas. Quien configura la llave de acceso y conserva la vieja contraseña, la misma en todas partes, solo ha pasado por alto la puerta trasera, no la ha cerrado.

El dispositivo es la llave. Google escribe que, después de crear una llave de acceso, cualquier persona que pueda desbloquear tu dispositivo podrá acceder a tu cuenta de Google, aunque hayas cerrado la sesión. Por eso: nada de llaves de acceso en dispositivos compartidos, el bloqueo de pantalla es obligatorio, y una llave de acceso que haya acabado por error en un dispositivo ajeno se quita de la cuenta de inmediato. Las cuentas del trabajo o del centro educativo pueden estar limitadas, según Google y Microsoft: Google Workspace solo permite el inicio de sesión solo con llave de acceso si la administración lo autoriza, y las organizaciones de Microsoft pueden bloquear ubicaciones de guardado. Y en modo Incógnito, según Google, las llaves de acceso no funcionan en algunos sistemas.

La mudanza aún no está resuelta. El BACS cita el Credential Exchange Format y Protocol, con el que las llaves de acceso se podrían exportar e importar una a una, pero que solo admiten algunas implementaciones; nuestra investigación en los cuatro gestores de contraseñas confirma ese panorama, desde Bitwarden con CXP hasta NordPass sin exportación alguna. Y una llave de acceso no te protege del malware en tu propio dispositivo ni de la estafa telefónica en la que alguien te presiona para aprobar un inicio de sesión. Mantén actualizados el sistema operativo y el navegador, Google lo cita como requisito para que las llaves de acceso funcionen de forma segura, y lee cómo los estafadores falsifican reservas y pagos; el caso de las reservas de hotel falsas del que avisó el BACS en octubre de 2026 muestra cómo consiguen también el segundo factor.

Cambia primero las tres grandes cuentas que abren todas las demás: Google, Apple y Microsoft. Ahí la llave de acceso es hoy el estándar, el proceso lleva pocos minutos por cuenta, y esas cuentas cuelgan del buzón de correo desde el que se puede restablecer todo lo demás. Después vienen los servicios que ofrecen llaves de acceso: WhatsApp, servicios de pago, tiendas; donde falte la opción, queda contraseña más segundo factor (→ Cómo activar la verificación en dos pasos en tu cuenta de Google: notificaciones, app, llave o passkey).

Quien solo usa dispositivos Apple o solo Android va bien servido con el Llavero de iCloud o el Gestor de contraseñas de Google. Quien mezcla, iPhone y PC con Windows, Android y Mac, usa un gestor de contraseñas que sincronice llaves de acceso y contraseñas en todas las plataformas; Bitwarden y Proton Pass lo hacen, según nuestra comparativa, también gratis. Y en cada cuenta vale lo mismo: siempre dos caminos para entrar, segunda llave de acceso, llave de hardware, códigos de respaldo o una contraseña fuerte con segundo factor (→ Cómo crear una contraseña segura, y qué es seguro de verdad en 2026). La llave de acceso hace el inicio de sesión más sencillo y más seguro; prevenir la pérdida sigue siendo tarea tuya.