Una web falsa puede imitar colores, logos y formularios para intentar que escribas tu contraseña. Una passkey cambia esa relación: la credencial está vinculada al sitio o aplicación correspondiente, de modo que una copia alojada en otro dominio no puede usarla como si fuera el servicio original.
La FIDO Alliance describe estas claves de acceso como credenciales criptográficas que pueden guardarse en un teléfono, computador o llave de seguridad. Para autorizar el acceso normalmente utilizas el mecanismo de desbloqueo del dispositivo, como un PIN o la biometría.
La diferencia no es una contraseña más larga
En lugar de inventar y recordar un secreto, el sistema utiliza un par de claves. El servicio conserva una clave pública; la parte privada se usa desde el autenticador. No tienes que copiar una contraseña de una cuenta a otra ni teclearla en un formulario.
La documentación de MDN explica que el navegador limita la credencial al dominio permitido. Un sitio cuyo nombre se parece al verdadero, pero no coincide con ese ámbito, no puede solicitar la misma passkey. Esa vinculación es una razón central de su resistencia al phishing.
Qué debes revisar antes de depender de una
No todas las claves se guardan de la misma forma. Algunas se sincronizan entre dispositivos mediante un proveedor; otras quedan ligadas a un dispositivo o llave física. La experiencia al cambiar de teléfono depende de esa decisión y del servicio.
Por eso conviene comprobar dónde quedó guardada y qué mecanismo de recuperación ofrece la cuenta. MDN advierte que las amenazas también pueden dirigirse al dispositivo o a otras partes del acceso, como la recuperación. Una passkey no convierte cualquier mensaje o descarga en algo seguro.
La pregunta práctica no es solo si una cuenta permite activarlas, sino cómo volverías a entrar si pierdes el equipo. Entender ese recorrido evita cambiar una contraseña difícil de recordar por una llave cuya ubicación desconoces.
Conversación