Passkeys: buenas en la empresa, prematuras para el usuario individual

Los passkeys son una buena tecnología en el sitio equivocado. Eliminan el phishing porque van atados al dominio para el que se crean, y al ser asimétricos no se pueden reconstruir desde un servidor comprometido. Pero cambian un riesgo por otro que golpea más a menudo al usuario individual: la pérdida permanente de acceso a sus cuentas. Es el argumento de un análisis que lleva días circulando entre desarrolladores, y da en un punto que quien despliega autenticación debería tener en cuenta.

En la empresa encajan; fuera, no tanto

Para una organización, el cálculo sale a favor. Un ataque de intermediario que clona la pantalla de login deja de funcionar. El problema es que la seguridad de una cuenta sigue dependiendo de su método de recuperación más débil: un SMS, un enlace por correo, una pregunta de seguridad. Si esos mecanismos no se configuran, el usuario queda expuesto al bloqueo definitivo; si sí se configuran, vuelven a abrir la puerta que el passkey cerraba.

Llaves de hardware y credenciales descubribles

Una llave física no admite copia de seguridad: sus passkeys se añaden o se borran, pero no se mueven. Eso obliga a comprar dos o tres llaves y enrolarlas en cada servicio. Además, las credenciales descubribles, esas que permiten que el sitio pregunte por tu usuario en vez de teclearlo, tienen un límite por llave: entre 25 y 100 cuentas en la mayoría, y hasta 300 en los modelos de gama alta, según las cifras que publica Yubico. Al superarlo toca borrar cuentas o comprar otro juego de llaves.

Sincronizados y de terceros

Apple y Google quieren que tu identidad cuelgue de su sistema operativo. El camino feliz en sus dispositivos pasa por el passkey sincronizado con tu cuenta de Apple o Google. Si sus sistemas automáticos te cierran la cuenta, pierdes de golpe el acceso a todos los passkeys de terceros. FIDO trabaja en la interoperabilidad y la exportación, pero hoy el resultado es fragmentado e inconsistente entre proveedores. Una contraseña, en cambio, es una cadena que puedes copiar a mano cuando haga falta.

Los gestores como Bitwarden o KeePassXC pelean contra la plataforma. Hay APIs recientes, como el Credential Manager de Android, para que herramientas de terceros se enganchen, pero el autorrelleno fuera del navegador y dentro de aplicaciones nativas sigue siendo irregular.

Cuando fallan

En tu propio equipo, todo va bien. En el ordenador de un colega, no: o enchufas una llave sin acceso a los puertos, o confías el resto de tus passkeys a una máquina ajena, o tiras de transporte híbrido con QR y Bluetooth, que en teoría es seguro y en la práctica acumula casos donde la conexión falla.

La conclusión del análisis es que el ecosistema no está maduro para individuos: contraseñas aleatorias en un gestor más una app TOTP aparte dan más control sin renunciar a la flexibilidad del texto plano. Para quien reutilizaba la misma clave en todas partes, el passkey es un salto adelante. Para el resto, hoy es un paso atrás.