Passkeys en la empresa: Cómo decir adiós a las contraseñas para siempre y elevar la seguridad

¿Cansado de restablecer constantemente contraseñas olvidadas, de las quejas de los usuarios por requisitos complejos y del miedo constante a los ataques de phishing? No está solo. La gestión de contraseñas se ha convertido en uno de los mayores dolores de cabeza operativos y de seguridad para las empresas, independientemente de su tamaño. Sin embargo, llega una solución que promete el fin de esta era. La implementación de passkeys en la empresa ya no es ciencia ficción, sino un paso práctico y necesario hacia un futuro digital más seguro y eficiente. Se trata de una tecnología que cambia radicalmente la forma de acceder a los sistemas y aplicaciones corporativas.

En este artículo, analizaremos qué son exactamente las passkeys, por qué son significativamente mejores que cualquier contraseña y, lo más importante, cómo puede implementarlas de forma estratégica y segura en su entorno empresarial. Nos centraremos en los pasos prácticos que pueden seguir las pequeñas y medianas empresas españolas, con ejemplos concretos de uso en herramientas como Microsoft Entra ID.

¿Qué son exactamente las 'passkeys' y por qué son mejores que las contraseñas?

Una passkey es un estándar de inicio de sesión moderno que sustituye a las contraseñas. En lugar de que el usuario invente (y trate de recordar) una combinación compleja de caracteres, la passkey genera un par de claves criptográficas únicas: una pública y una privada.

• La clave pública se almacena en el servidor de la aplicación o servicio (por ejemplo, Microsoft 365, Google Workspace). Esta clave por sí sola no sirve para iniciar sesión y no es un dato sensible.
• La clave privada permanece almacenada de forma segura en el dispositivo del usuario: teléfono, portátil o una llave de seguridad especializada (como una YubiKey). Esta clave nunca sale del dispositivo.

Cuando el usuario desea iniciar sesión, el servidor envía un "desafío" que solo la clave privada correspondiente puede resolver. El usuario simplemente confirma el inicio de sesión con biometría (huella dactilar, reconocimiento facial) o introduciendo el código PIN de su dispositivo. A continuación, el dispositivo firma digitalmente el desafío y lo envía de vuelta al servidor, que verifica la firma con la clave pública. Todo esto sucede en pocos segundos, sin introducir ninguna contraseña.

La ventaja clave es que las passkeys son, por diseño, resistentes a los ataques de phishing. Al no haber una contraseña que el usuario pueda introducir en un sitio web falso, los atacantes no pueden robarla. Además, cada passkey está vinculada a un dominio web específico, lo que impide su uso indebido en otros sitios.Experto en seguridad de VitalIT

Comparativa: Contraseñas tradicionales frente a Passkeys

Para comprender mejor el alcance de las mejoras que aportan las passkeys en la empresa, veamos una comparación directa de los aspectos clave de seguridad y usabilidad.

Planificación de la implementación de passkeys en la empresa: Pasos prácticos

La transición a un futuro sin contraseñas requiere un enfoque estratégico. Dar un salto al vacío puede causar confusión entre los empleados y crear brechas de seguridad. Recomendamos una implementación gradual en cuatro fases.

Fase 1: Análisis y planificación

Antes de la implementación técnica, es fundamental comprender el estado actual y fijar objetivos claros.

1. Inventario de aplicaciones: Identifique las aplicaciones empresariales clave (dentro y fuera del ecosistema Microsoft 365). ¿Cuáles de ellas ya admiten el estándar FIDO2 o el inicio de sesión con passkeys? ¿Para cuáles tendrá que mantener los métodos de inicio de sesión actuales?
2. Evaluación de usuarios y dispositivos: ¿Tienen todos los empleados teléfonos inteligentes de empresa (iOS, Android)? ¿Cuál es la política respecto al uso de dispositivos personales (BYOD)? ¿Existen puestos de trabajo (ej. en producción, almacén) donde se utilicen ordenadores compartidos?
3. Definición del grupo piloto: Seleccione un grupo de usuarios más pequeño y con más conocimientos técnicos (ej. departamento de IT, desarrolladores) con el que probará el proceso de implementación, recopilará comentarios y resolverá posibles problemas.
4. Establecimiento de la política: Defina las reglas de uso. ¿Permitirá guardar passkeys en dispositivos personales? ¿Exigirá el uso de llaves de seguridad FIDO2 dedicadas (ej. YubiKey) para determinados roles? ¿Cuál es el procedimiento en caso de pérdida del dispositivo?

Fase 2: Implementación técnica (ejemplo: Microsoft Entra Passkey)

Si su empresa utiliza Microsoft 365, Microsoft Entra ID (anteriormente Azure Active Directory) es su centro neurálgico para la gestión de identidades. Habilitar las passkeys es un proceso relativamente sencillo.

• Habilitar el método de autenticación: En el centro de administración de Microsoft Entra, bajo "Protección" > "Métodos de autenticación", habilite el método "Llave de seguridad FIDO2".
• Configuración de la política: Defina a qué usuarios o grupos se aplica la política. Inicialmente, limítela a su grupo piloto.
• Ajustes para passkeys: Entra ID permite configuraciones avanzadas, como el "cumplimiento de atestación", con el que puede restringir el uso solo a modelos de llaves de seguridad verificados y específicos.
• Registro de usuarios: Los usuarios deben registrar sus propios dispositivos o llaves de seguridad. Lo hacen en la página myaccount.microsoft.com en la sección de información de seguridad. El proceso es sencillo y guiado.

Garantice una ciberseguridad integralLa implementación de passkeys es una parte importante de una estrategia de seguridad moderna. Nuestro equipo puede ayudarle a planificar e implementar soluciones de seguridad integrales adaptadas a su empresa.

Fase 3: Comunicación y formación de los empleados

La tecnología es solo la mitad de la historia. El éxito del despliegue depende de cómo lo acepten los empleados. No subestime el poder de una buena comunicación.

• Explique el "por qué": Presente las ventajas para los empleados: inicio de sesión más fácil y rápido, sin necesidad de recordar contraseñas.
• Prepare instrucciones claras: Cree guías visuales cortas (PDF, vídeo) para el proceso de registro de la passkey en diferentes dispositivos (PC con Windows Hello, smartphone).
• Organice talleres: Para el grupo piloto y, posteriormente, para todos los empleados, organice breves presentaciones en vivo o remotas donde demuestre el proceso y responda a preguntas.
• Destaque los procedimientos de recuperación: Comunique claramente qué deben hacer los empleados si pierden el teléfono o se les estropea el portátil. Esto reduce el miedo a la nueva tecnología.

Fase 4: Supervisión, soporte y expansión

Tras completar con éxito la fase piloto, es hora de expandirse a toda la empresa. Supervise los informes de inicio de sesión en Microsoft Entra ID para ver cuántos usuarios están utilizando realmente el acceso sin contraseñas. Esté preparado para ofrecer soporte a los usuarios que encuentren dificultades y amplíe gradualmente la política de uso de passkeys a todos los empleados y, siempre que sea posible, a todas las aplicaciones.

El futuro es sin contraseñas (passwordless): FIDO2 y el ecosistema ampliado

Es importante entender que las passkeys no son un invento de Apple, Google o Microsoft. Son el resultado del trabajo de la FIDO Alliance (Fast Identity Online), una asociación industrial cuyo objetivo es crear estándares de autenticación abiertos e interoperables. Esto significa que una passkey que cree en un iPhone funcionará para iniciar sesión en un ordenador con Windows y viceversa (mediante Bluetooth o código QR). Esta interoperabilidad es clave para el éxito a largo plazo del concepto sin contraseñas.

El apoyo a esta tecnología crece día a día. Además de los sistemas operativos, cada vez más sitios web y aplicaciones la integran en sus servicios, desde proveedores de redes sociales hasta plataformas bancarias. Al implementar passkeys en su empresa, no solo soluciona el problema actual de las contraseñas, sino que sitúa a su negocio en el lado correcto del desarrollo tecnológico y lo prepara para el futuro.

¿Qué ocurre si un empleado pierde el dispositivo con la passkey (ej. el teléfono)?

Esto no es una catástrofe de seguridad. En primer lugar, el dispositivo está protegido por un PIN o biometría. En segundo lugar, el administrador de IT puede revocar la passkey para ese dispositivo en el sistema (ej. Microsoft Entra ID). El usuario puede utilizar otra passkey registrada (ej. en el portátil o llave de seguridad) para acceder, o el departamento de IT puede asignarle un pase de acceso temporal (Temporary Access Pass) para que pueda registrar un nuevo dispositivo.

¿Son seguras las passkeys si alguien me roba el teléfono y conoce mi código PIN?

Los códigos PIN de los dispositivos son el punto débil de cualquier sistema. Por ello, se recomienda utilizar biometría (huella dactilar, rostro) siempre que sea posible. En entornos corporativos, los departamentos de IT pueden utilizar herramientas de gestión de dispositivos móviles (MDM) para aplicar políticas de complejidad de códigos PIN y bloqueo/borrado automático del dispositivo tras varios intentos fallidos.

¿Debo crear una passkey nueva para cada servicio?

Sí, y esa es la ventaja. Cada passkey es única para la combinación de cuenta de usuario y sitio web/aplicación. Gracias a la sincronización (ej. a través de iCloud Keychain, Google Password Manager o la cuenta de Microsoft), no tiene que preocuparse por cada una individualmente. Al crear una passkey en un dispositivo, esta pasa a estar disponible automáticamente en sus otros dispositivos dentro del mismo ecosistema.

¿Debemos abandonar inmediatamente todas las contraseñas y aplicaciones MFA?

No. La transición será gradual. Las contraseñas seguirán existiendo durante un tiempo como método de reserva y para acceder a aplicaciones antiguas que no admiten passkeys. Una buena estrategia es habilitar primero las passkeys como método de inicio de sesión primario y más sencillo, manteniendo los métodos actuales como reserva.

¿Cuál es la diferencia entre una passkey en el teléfono y una llave de seguridad FIDO2 (ej. YubiKey)?

Funcionalmente son muy similares, ya que ambos se basan en el estándar FIDO2. Una passkey en un teléfono u ordenador ("platform authenticator") utiliza el hardware de seguridad integrado del dispositivo. Una llave de seguridad física ("roaming authenticator") es un dispositivo independiente y dedicado que puede llevar entre ordenadores y suele ser más resistente a usos indebidos. Para usuarios con los requisitos de seguridad más elevados (ej. administradores de sistemas, directivos), el uso de llaves FIDO2 físicas es muy recomendable.