Elegir la cuenta de empresa en el portátil, autorizar el acceso en el dispositivo y seguir trabajando: una passkey puede simplificar el día a día. Para las empresas también hace falta un plan de dispositivos permitidos, sustitución y recuperación.
Qué sucede realmente al iniciar sesión
Una passkey es una credencial de acceso basada en los estándares FIDO y en un par de claves criptográficas. El servicio conoce la clave pública. El autenticador utiliza la clave privada correspondiente, por ejemplo en un teléfono, ordenador o llave de seguridad. Al iniciar sesión responde a un desafío del servicio con una firma digital. No necesita una contraseña de acceso compartida con el sitio web.
WebAuthn es la interfaz normalizada para este acceso en la web; FIDO2 engloba los mecanismos subyacentes. Para el personal importa sobre todo el proceso visible: comprobar cuenta y destino, y autorizar con el PIN del dispositivo o una verificación biométrica adecuada. Las opciones dependen del servicio, sistema operativo, navegador y proveedor de passkeys.
Por qué es distinto de una contraseña con código de un solo uso
Una contraseña y un código SMS o de aplicación introducido manualmente pueden solicitarse en una página de acceso falsa y reenviarse. WebAuthn vincula la credencial al servicio previsto. Esto hace que el acceso con passkeys sea resistente al phishing. No protege automáticamente un dispositivo infectado, una sesión robada o una recuperación débil.
La autorización local del dispositivo no es una segunda contraseña del sitio. El cumplimiento del nivel multifactor o de la fuerza de autenticación exigida se evalúa según el método real y la política. Pulsar cualquier botón de cualquier llave no es una descripción suficiente. Fuentes: FIDO Alliance: explicación de las passkeys (enlace externo).
Vinculadas al dispositivo o sincronizadas: la diferencia decisiva
Las passkeys vinculadas al dispositivo permanecen en el autenticador concreto. Puede ser un teléfono compatible o una llave de seguridad FIDO2. Una llave nueva o un teléfono de sustitución no dispone de esa credencial solo por pertenecer a la misma persona. Se registra otro autenticador permitido o se utiliza un proceso de recuperación preparado.
Las passkeys sincronizadas pueden llegar a otros dispositivos autorizados de la misma persona mediante un proveedor de passkeys. Por ello importan su cuenta, protección y recuperación. Los dispositivos y vías de transferencia compatibles dependen del proveedor. Esto no implica exportación libre entre todas las plataformas ni incorporación automática a la administración empresarial.
| Variante | ¿Qué ocurre al cambiar de dispositivo? | Aclarar antes del uso operativo |
|---|---|---|
| Passkey vinculada al dispositivo | Registrar un autenticador nuevo o usar la vía de recuperación prevista. | Preparar de forma independiente la sustitución y las responsabilidades. |
| Passkey sincronizada | Disponible en un dispositivo compatible mediante el proveedor adecuado; importa su recuperación. | Definir la cuenta de proveedor permitida, los dispositivos y la protección de la cuenta. |
| Acceso entre dispositivos | Usar un autenticador existente desde otro dispositivo no equivale a copiarlo. | Probar la combinación compatible y una sesión segura en el dispositivo de destino. |
Un teléfono puede iniciar sesión sin copiar la passkey
Un proceso de trabajo hipotético: una empleada abre un portal empresarial autorizado en el portátil de la sala de reuniones. Su teléfono permitido confirma el acceso. Un método compatible entre dispositivos utiliza el autenticador del teléfono. Esto se distingue de sincronizar o registrar permanentemente la credencial en el portátil.
Estos procesos pueden requerir una comprobación de proximidad y otros requisitos técnicos. Se prueban con los dispositivos y navegadores realmente utilizados. En un ordenador compartido también importan la cuenta correcta, una duración de sesión adecuada y cerrar sesión después. Tener el teléfono cerca no sustituye estos pasos organizativos.
Distinguir deliberadamente dispositivos personales y administrados
Si el acceso empresarial solo se sincroniza en una cuenta personal de plataforma, la recuperación empresarial puede depender de la cuenta privada de una persona. Se define de antemano qué proveedores, dispositivos y tipos de passkeys se permiten para cada grupo. Un dispositivo administrado facilita ciertos requisitos; su administración no permite automáticamente leer todas las claves privadas.
Según la documentación verificada, Microsoft Entra ID admite passkeys sincronizadas y vinculadas al dispositivo y puede aplicar requisitos a grupos mediante perfiles de passkeys. No supone aprobar todas las combinaciones: registro, permisos existentes, compatibilidad de dispositivos y políticas deben encajar. Fuentes: Microsoft: passkeys y perfiles en Entra ID (enlace externo).
Preparar sustitución y baja antes del despliegue general
El piloto incluye no solo un acceso correcto, sino también un teléfono perdido, una llave de seguridad averiada y una cuenta de proveedor bloqueada. Según la necesidad de protección, se prepara un autenticador de sustitución registrado independientemente o una recuperación controlada. El cambio de dispositivo no es buen momento para empezar a buscar al responsable y las pruebas necesarias.
Al dejar la empresa, se bloquea el acceso empresarial en el servicio de identidad o sistema de destino y se revocan adecuadamente los métodos registrados. Una copia en una cuenta personal de sincronización no tiene por qué desaparecer del dispositivo privado; lo determinante es que ya no se acepte para el acceso empresarial. Las sesiones existentes y otras vías de acceso se tratan por separado. No se deduce de ello un borrado remoto generalizado de dispositivos personales.
Qué sucede con las huellas y los datos faciales
En el acceso WebAuthn el servicio no recibe rasgos biométricos como una huella o plantilla facial. La comprobación se realiza localmente en el autenticador; el servicio recibe la prueba criptográfica y la información de verificación prevista. El PIN del dispositivo tampoco se transmite como contraseña del sitio. El tratamiento concreto en el dispositivo y por el proveedor sigue siendo parte de la elección de dispositivos y proveedores.
Fuentes: W3C: verificación biométrica local con WebAuthn (enlace externo). Esto no significa que un proveedor de nube participante no trate ningún dato de cuenta ni metadatos.
Comenzar con un piloto acotado
DAXS ayuda a seleccionar servicios y dispositivos adecuados, acordar roles y recuperación y realizar un piloto con resultados documentados. Se comprueban acceso normal, sustitución, puestos compartidos y baja. Después se decide qué métodos desplegar de forma general.
Hablar de la adopción de passkeys · Planificar puestos e identidades · Gestionar de forma ordenada los accesos empresariales compartidos
Preguntas frecuentes
¿Puedo copiar sin más una passkey del dispositivo a un teléfono nuevo?
Precisamente no está previsto para las passkeys vinculadas al dispositivo. Las sincronizadas pueden estar disponibles en dispositivos compatibles de la cuenta del proveedor correspondiente. La vía concreta de cambio se prueba antes.
¿Debe cada persona utilizar su teléfono personal?
Lo define el modelo operativo empresarial. Según el servicio y las normas, se pueden utilizar dispositivos administrados, llaves de seguridad adecuadas u otros autenticadores compatibles.
¿Una passkey sustituye todos los permisos de la empresa?
Demuestra el acceso a una cuenta. Qué aplicaciones y datos puede utilizar esa cuenta sigue siendo una tarea separada de la gestión de usuarios y permisos.
