Las contraseñas tradicionales llevan años dando problemas: son difíciles de recordar, se reutilizan en mil sitios y cada dos por tres hay filtraciones masivas (consulta por qué las contraseñas cortas se rompen). En este contexto, Microsoft, Google, Apple y otros gigantes se han propuesto algo muy claro: acabar con las contraseñas y sustituirlas por un sistema mucho más cómodo y seguro, las passkeys o claves de acceso.
En Windows, las passkeys encajan como un guante gracias a Windows Hello y al estándar FIDO, que permiten iniciar sesión en webs y aplicaciones usando tu rostro, huella o PIN, sin teclear ni una sola clave complicada. Vamos a ver con calma qué son exactamente, cómo funcionan en Windows, qué hace falta para usarlas y por qué suponen un salto brutal en seguridad frente a las contraseñas de toda la vida.
Qué son las passkeys y por qué todo el mundo habla de ellas
Una passkey o clave de acceso es, en pocas palabras, un método de inicio de sesión sin contraseña. En lugar de recordar una cadena de letras, números y símbolos, tu identidad se verifica con una clave criptográfica que se guarda de forma segura en tu dispositivo (PC, móvil, tablet, etc.).
Estas claves se almacenan como secretos protegidos por cifrado y se desbloquean usando el mecanismo de seguridad del propio dispositivo: biometría (huella, reconocimiento facial), un PIN o un patrón. La idea es que el usuario no tiene que escribir nada ni memorizar datos: solo confirma que es él con algo muy natural, como mirar a la cámara o poner el dedo en el lector.
Las passkeys se basan en criptografía asimétrica, es decir, en un par de claves: una pública y otra privada. La clave pública se registra en el servicio (web o app) y la clave privada se queda en tu dispositivo, sin salir de ahí. Gracias a este diseño, los atacantes no pueden robar tu “contraseña” en una filtración de bases de datos, porque el servidor nunca almacena nada que se pueda reutilizar para suplantarte (consulta comprueba si tus credenciales han sido filtradas).
Compañías como Google, Apple y Microsoft llevan tiempo trabajando juntas bajo el paraguas de FIDO Alliance y la W3C para impulsar este estándar. Su objetivo es reducir la dependencia mundial de las contraseñas y ofrecer un inicio de sesión más robusto y al mismo tiempo más sencillo, algo que rara vez ocurre en seguridad.
Cómo funcionan las passkeys a nivel técnico
Las passkeys se apoyan en los protocolos FIDO, un conjunto de estándares de la industria que utilizan criptografía de clave pública para autenticar usuarios de forma segura. Microsoft es uno de los miembros fundadores de la FIDO Alliance y ha integrado estas tecnologías de forma nativa en Windows Hello como autenticador de plataforma.
Cuando te registras en un servicio que admite passkeys, tu dispositivo Windows genera un nuevo par de claves:
- Clave privada: se guarda de forma segura en el dispositivo (PC, portátil, tablet…). Nunca se envía a internet ni sale del equipo.
- Clave pública: se envía al servicio (web o app) y queda asociada a tu cuenta.
A la hora de iniciar sesión, el servicio envía un desafío criptográfico al dispositivo. Para superarlo, el dispositivo debe demostrar que posee la clave privada correcta firmando ese desafío. Pero esa clave privada solo se puede usar después de que el usuario la desbloquee con el factor configurado en Windows Hello: huella, cara o PIN.
Todo este proceso de autenticación se realiza en el propio dispositivo del usuario, no en un servidor remoto. El servidor solo ve la firma y la clave pública que ya tenía registrada, y verifica que ambos coinciden. Si la comprobación es correcta, te deja pasar sin necesidad de teclear ninguna contraseña.
Además, los protocolos FIDO están diseñados para proteger la privacidad. Impiden que diferentes servicios crucen datos para rastrear a los usuarios, ya que cada web o aplicación obtiene su propia clave pública única. Cualquier dato biométrico usado para desbloquear la passkey (como la huella o la cara) nunca sale del dispositivo: se queda en el chip seguro o módulo de seguridad del equipo y no viaja por la red.
Passkeys frente a contraseñas: diferencias clave
Las contraseñas tienen varios problemas conocidos: son difíciles de recordar, se repiten en demasiados sitios y son un blanco fácil para el phishing, para los keyloggers y para las filtraciones de datos. Microsoft reconoce que bloquea miles de ataques de contraseñas por segundo, una cifra enorme que demuestra que este modelo está agotado.
Las passkeys están diseñadas precisamente para eliminar esas debilidades. A diferencia de las contraseñas:
- No tienes que memorizarlas: el sistema las crea y gestiona por ti, de manera automática.
- No se pueden escribir ni compartir: no hay un texto que puedas copiar y pegar, lo que reduce errores y malos hábitos.
- Son únicas por servicio: cada web o app recibe una clave pública distinta, imposible de reutilizar en otro sitio.
- El servidor sólo guarda la clave pública, de modo que una brecha de datos no expone algo reutilizable para iniciar sesión en tu nombre.
En términos de seguridad, una passkey es intrínsecamente resistente al phishing. Si un atacante crea una página falsa imitando a un servicio legítimo, el navegador o el sistema operativo no entregarán la passkey a ese dominio falso, porque la clave está “atada” criptográficamente al sitio real donde se creó.
Además, las passkeys proporcionan autenticación entre dispositivos y multiplataforma. Esto significa que puedes usar una clave de acceso creada en un dispositivo (por ejemplo, tu móvil) para iniciar sesión en otro (por ejemplo, tu PC con Windows), siempre que el ecosistema lo admita y se cumplan las condiciones técnicas, como la conexión Bluetooth cuando se usan autenticadores externos.
Cómo funcionan las passkeys en Windows con Windows Hello
En el ecosistema de Microsoft, las passkeys se integran sobre todo a través de Windows Hello, que actúa como autenticador de plataforma en Windows 10 y Windows 11. Windows Hello permite iniciar sesión usando tu biometría (rostro, huella) o un PIN de dispositivo en lugar de una contraseña clásica.
Cuando creas una passkey en un sitio o aplicación compatible desde un equipo con Windows, el sistema la guarda como secreto asociado a tu perfil de Windows Hello. A partir de ese momento, cuando quieras volver a acceder a ese servicio, bastará con desbloquear el dispositivo con los métodos habituales: huella, PIN o reconocimiento facial.
También existe la opción de usar un dispositivo complementario, como un teléfono o una tablet, para autenticarte en Windows. En ese caso, el móvil hace de autenticador FIDO2 y, a través de Bluetooth e internet, se encarga de firmar el desafío de autenticación cuando tú lo autorizas, sin que la clave privada abandone nunca ese dispositivo.
La experiencia de usuario está pensada para ser muy natural: si una web o app admite passkeys, verás que el navegador o el sistema te ofrecen crear una passkey automáticamente cuando te registres o inicies sesión por primera vez. A partir de entonces, cuando vuelvas a la página, Windows Hello aparecerá para que verifiques tu identidad sin teclear contraseñas.
Licencias y ediciones de Windows que admiten passkeys
No todas las ediciones de Windows gestionan passkeys de la misma forma, así que conviene tener claro dónde están oficialmente admitidas. Microsoft indica que las claves de acceso están soportadas en estas ediciones:
- Windows Pro
- Windows Enterprise
- Windows Pro Education / SE
- Windows Education
En cuanto a los derechos de licencia específicos para passkeys, se conceden a través de las siguientes licencias comerciales y educativas de Microsoft:
- Windows Pro / Pro Education / SE
- Windows Enterprise E3
- Windows Enterprise E5
- Windows Education A3
- Windows Education A5
Si estás en una organización, lo habitual es que el departamento de TI tenga ya detallada la información de licenciamiento según los acuerdos que tenga firmados con Microsoft. Para usos profesionales o educativos a gran escala, es importante revisar la documentación oficial de licencias de Windows para asegurarse de que se dispone de todos los derechos necesarios para desplegar passkeys de forma corporativa.
Privacidad y consentimiento de passkeys en Windows 11
A partir de Windows 11 versión 24H2, Microsoft ha introducido un mecanismo de consentimiento de privacidad específico para las passkeys. Antes de que una aplicación pueda acceder a tus claves de acceso, el sistema te mostrará un cuadro de diálogo solicitando tu aprobación.
Si el usuario rechaza ese consentimiento, la aplicación no podrá registrar nuevas passkeys ni usarlas para autenticarse. Es decir, tanto el alta como el inicio de sesión mediante claves de acceso quedarán bloqueados para esa app concreta, hasta que se cambie la decisión.
En cualquier momento puedes administrar estos permisos desde la ruta Configuración > Privacidad & seguridad > Acceso de contraseña de seguridad / passkeys (el nombre puede variar ligeramente según la build). Desde esa página es posible permitir o impedir que aplicaciones individuales accedan a las passkeys.
Si en algún momento prohibes sin querer el acceso a passkeys para una app y luego quieres revertirlo, basta con:
- Abrir Configuración > Privacidad & seguridad > Acceso passkey de seguridad.
- Buscar la aplicación en la lista y activar de nuevo el interruptor para permitir el uso de claves de acceso.
En entornos empresariales, los administradores pueden controlar la visibilidad de esta página de Configuración y otras opciones relacionadas con la privacidad de passkeys mediante políticas de dispositivos (por ejemplo, usando el CSP PageVisibilityList). De este modo, se garantiza que los usuarios tengan acceso a la configuración necesaria sin que se modifiquen otros apartados sensibles.
Passkeys en entornos restringidos por Bluetooth
Cuando se utilizan passkeys en escenarios de autenticación entre dispositivos —por ejemplo, usar el móvil como autenticador para iniciar sesión en un PC— es imprescindible que tanto el dispositivo Windows como el dispositivo móvil tengan Bluetooth activado y conexión a internet. El Bluetooth no se usa para copiar la clave de acceso, sino para autorizar de forma segura el uso de la passkey que se encuentra en el otro dispositivo.
En algunas organizaciones, el uso de Bluetooth está restringido por motivos de seguridad o de cumplimiento normativo. Esto podría bloquear también el uso de passkeys si se aplica de forma demasiado estricta. Para solucionar este conflicto, las empresas pueden permitir exclusivamente las conexiones Bluetooth con autenticadores FIDO2 habilitados para passkeys, limitando el resto de usos.
Para lograr esa configuración fina, se pueden combinar diferentes políticas MDM (Mobile Device Management) en Windows usando los CSP (Configuration Service Providers) de Bluetooth y de instalación de dispositivos. De esa forma, el equipo solo permitirá el emparejamiento con dispositivos que actúen como autenticadores de seguridad y se bloquearán otros perfiles Bluetooth no deseados.
Por ejemplo, con PowerShell y el proveedor de puentes WMI se puede crear una instancia de política que deshabilite el modo visible, la publicidad Bluetooth y otros tipos de conexiones, pero deje en una lista blanca específica los servicios FIDO2 necesarios para passkeys. A la vez, mediante políticas de instalación de dispositivos se puede impedir la instalación de ciertos identificadores de hardware Bluetooth, manteniendo solo los relacionados con autenticadores seguros (mejores herramientas de seguridad para reforzar Windows 11).
Estas configuraciones más avanzadas suelen aplicarse en entornos corporativos de alta seguridad, donde se quiere aprovechar la protección extra de las passkeys sin abrir la puerta a otros usos de Bluetooth que se consideren arriesgados o innecesarios.
Passkeys, 2FA y MFA: cómo encajan
Durante años se ha recomendado utilizar autenticación de dos factores (2FA) o multifactor (MFA) para reforzar las contraseñas: códigos por SMS, apps de autenticación, llaves de seguridad, etc. Las passkeys pueden chocar un poco al principio con estas convenciones, porque aparentemente solo usas “un gesto” para iniciar sesión.
En realidad, una passkey incorpora múltiples factores de autenticación de forma integrada. Por un lado, está algo que tienes (el dispositivo con la clave privada): tu PC, tu móvil o tu llave de seguridad. Por otro, hay algo que eres o algo que sabes: tu huella, tu rostro o el PIN para desbloquear el dispositivo. Todo esto ocurre de manera muy rápida, casi imperceptible para el usuario.
Esto significa que las passkeys ofrecen el nivel de protección de una MFA bien implementada (ver comparativa de métodos de autenticación multifactor), pero sin pedirte que introduzcas manualmente códigos de un solo uso ni que esperes SMS. El resultado es un sistema que, paradójicamente, es a la vez más usable y más seguro que las típicas combinaciones de contraseña + código adicional.
Otro punto clave es que las passkeys son mucho más difíciles de robar o interceptar que los códigos de verificación. Los SMS, por ejemplo, se pueden desviar, y las apps de autenticación pueden verse comprometidas si el móvil se infecta. Con passkeys, el atacante tendría que tener acceso físico al dispositivo y además superar la biometría o el PIN, lo cual eleva drásticamente el listón para cualquier intento de intrusión.
Por eso muchos expertos y organizaciones, incluida la propia FIDO Alliance, ven las passkeys como la evolución natural frente a las contraseñas acompañadas de 2FA clásica. No se trata solo de reemplazar una pieza, sino de rediseñar el modelo de autenticación para que la seguridad y la comodidad vayan de la mano.
Ventajas prácticas de usar passkeys en Windows
Más allá de la teoría, lo que de verdad importa al usuario es qué gana en el día a día. Y aquí las passkeys tienen bastantes puntos a favor frente a las contraseñas tradicionales, especialmente cuando se integran con Windows Hello.
En primer lugar, la simplicidad: no tienes que preocuparte por crear, recordar ni gestionar contraseñas largas y complejas (o comparar con gestores de contraseñas más seguros para Windows). El sistema genera una passkey fuerte por ti y la vincula con el sitio correspondiente. Tu papel se reduce a desbloquear el dispositivo con un gesto que haces continuamente: poner el dedo en el lector o mirar a la cámara.
En segundo lugar, la protección frente al phishing y a los ataques de diccionario es muy superior. Tu passkey no puede “funcionar” en una web falsa, porque está asociada de forma criptográfica al dominio legítimo. Los atacantes no pueden engañarte para que “escribas” tu clave, porque no hay nada que escribir ni que revelar.
En tercer lugar, la privacidad. Cuando interviene la biometría (por ejemplo, una huella), esa información se queda en el dispositivo y no se comparte con el servicio ni con terceros. Ni la web ni la app nunca reciben tu huella ni tu imagen: únicamente reciben la confirmación criptográfica de que el autenticador ha validado la identidad.
Por último, las passkeys se pueden sincronizar en algunos ecosistemas a través de la nube (por ejemplo, Google o Apple), manteniendo la clave privada protegida en cada dispositivo y replicando solo la información necesaria para que el sistema funcione en todos tus equipos. En el caso de Windows, esto se combina con el generador y gestor de credenciales de los navegadores compatibles (como Chrome o Edge) y con Windows Hello.
Todo esto se traduce en una experiencia muy cercana a “hacer clic y entrar”, con un nivel de seguridad muy superior a lo que se consigue memorizar contraseñas o usar el mismo password en media docena de servicios diferentes.
Situación actual y respaldo institucional de las passkeys
Desde que las grandes tecnológicas empezaron a desplegar las passkeys de forma masiva, la concienciación de los usuarios ha crecido con rapidez. La FIDO Alliance ha destacado que el conocimiento sobre passkeys ha pasado aproximadamente de un 39 % de personas familiarizadas en 2022 a un 57 % en 2024, una subida notable en muy poco tiempo.
Este aumento de visibilidad encaja con el mensaje contundente de Microsoft de que “la era de las contraseñas está llegando a su fin” y con los datos de los propios servicios en la nube, que bloquean miles de intentos de ataque por segundo basados en contraseñas robadas o débiles.
Además del respaldo de la industria, también hay apoyo institucional. El NIST (Instituto Nacional de Estándares y Tecnología de Estados Unidos) ha aprobado el uso de passkeys sincronizadas en su suplemento a la guía SP 800-63B, que define los requisitos técnicos de los sistemas de gestión de identidades digitales. Este tipo de reconocimiento ayuda a que organizaciones públicas y privadas se animen a adoptar estas tecnologías con mayor confianza.
Todo indica que las passkeys son la siguiente etapa en la evolución de la identidad digital. No solo permiten reducir la dependencia de las contraseñas, sino que simplifican procesos complejos y mejoran de forma significativa la experiencia de los usuarios, algo clave para que las buenas prácticas de seguridad no se queden solo en el papel.
Mirando el panorama general, las passkeys en Windows combinan un estándar abierto como FIDO, una capa fuerte de privacidad, controles de administración tanto para usuarios como para empresas, y una experiencia de autenticación extremadamente sencilla a través de Windows Hello y dispositivos complementarios. Todo ello las convierte en una pieza central en la transición hacia un futuro donde recordar contraseñas complicadas sea, por fin, cosa del pasado.
