Revisado: 25 de octubre de 2026. Hemos mirado: la FIDO Alliance, el NCSC (el centro de ciberseguridad del Reino Unido; su página sobre llaves de acceso y un artículo del 23 de abril de 2026), el NIST, el soporte de Apple (llaves de acceso y Llavero de iCloud; las páginas en inglés se publicaron el 16 de septiembre de 2024 y el 1 de octubre de 2026), la ayuda de la cuenta de Google y el soporte de Microsoft (crear y guardar una llave de acceso). El ejemplo paso a paso usa una cuenta de Google. Las pantallas cambian. Si la tuya se ve distinta, busca la página de ayuda de la empresa.
En pocas palabras: una llave de acceso (passkey) te deja iniciar sesión con tu huella, tu cara o el bloqueo de pantalla del teléfono, en lugar de escribir una contraseña. El NCSC dice que conviene usar llaves de acceso donde un servicio las ofrezca.
Por qué la gente se aleja de las contraseñas
Las contraseñas son difíciles de recordar y fáciles de entregar. Un delincuente puede engañarte para que escribas una en una web falsa, o robarla de los datos de una empresa. Las llaves de acceso son una forma más nueva de iniciar sesión.
Qué es una llave de acceso
Una llave de acceso es un método de inicio de sesión que sustituye a tu contraseña. Apple y la FIDO Alliance (el grupo de la industria que está detrás del estándar) explican cómo funciona. Esta es una imagen simplificada.
Cuando creas una llave de acceso, tu dispositivo hace un par de claves digitales para esa web. Piensa en un candado y una llave. La web guarda el candado. Es la clave pública, y no es un secreto. Tu dispositivo guarda la llave. Es la clave privada, y la web nunca la ve.
Para usar la llave, desbloqueas tu dispositivo como siempre. Puede ser con la huella, con la cara o con el PIN de pantalla. Google dice que los datos de tu huella o de tu cara se quedan en tu dispositivo y nunca se comparten con Google. La biometría usa tu cuerpo, por ejemplo una huella, para demostrar quién eres.
Por qué es más segura
- No hay nada que escribir. No tienes una contraseña que escribir en una web falsa.
- Solo funciona en la web verdadera. Tu dispositivo une cada llave de acceso al servicio real. Por eso las llaves de acceso resisten el phishing. El phishing es un mensaje falso que te engaña para que entregues una contraseña o un código.
- Hay menos que robar. La web guarda la clave pública, que no es un secreto. FIDO dice que, si se filtra la lista de contraseñas de una web, ya no importa, porque en ella no hay contraseñas. Mira filtración de datos.
- Siempre es fuerte. Nunca inventas ni repites una contraseña.
Las llaves de acceso no lo resuelven todo. Sigues dependiendo de tu dispositivo y de la cuenta que protege tus llaves de acceso. FIDO dice que una llave de acceso guardada en una llave de seguridad física da el nivel más alto de garantía, y que la sincronización (la copia automática) entre dispositivos usa cifrado de extremo a extremo (queda bloqueada para que la empresa que la guarda no pueda leerla). Lo importante es lo bien protegida que esté la cuenta que sincroniza tus llaves de acceso.
Dónde viven las llaves de acceso
Una llave de acceso se guarda en un gestor de credenciales. Es la parte de tu dispositivo o de tu cuenta que guarda las llaves de acceso. Muchas veces viene integrado en tu teléfono o computadora u ordenador, como la app Contraseñas de Apple (Llavero de iCloud), el Gestor de contraseñas de Google (en Latinoamérica, Administrador de contraseñas de Google) o el Administrador de contraseñas de Microsoft. Algunos gestores de contraseñas también guardan llaves de acceso.
Muchos gestores de credenciales sincronizan las llaves de acceso con tus otros dispositivos. Apple dice que el Llavero de iCloud usa cifrado de extremo a extremo. Eso significa que tus llaves de acceso se bloquean con una clave hecha a partir de tu dispositivo y tu código, así que Apple no puede leerlas. Un gestor de credenciales también hace una copia de seguridad, así que no deberías perder del todo tus llaves de acceso si pierdes un dispositivo. Una llave de acceso guardada solo en una llave de seguridad, o en un solo dispositivo, no se sincroniza. Apple dice que el Llavero de iCloud debe estar activado y que la autenticación de doble factor (en Latinoamérica, «autenticación de dos factores») debe estar activada en tu cuenta de Apple. Google dice que necesitas como mínimo Android 9, iOS 16, Windows 10 o macOS Ventura, un navegador actualizado y un bloqueo de pantalla en el teléfono.
Cómo crear una (ejemplo con una cuenta de Google)
Comprobado en la página de ayuda de Google en octubre de 2026.
- En un teléfono o una computadora que sea tuyo, ve a myaccount.google.com/signinoptions/passkeys.
- Inicia sesión si Google te lo pide.
- Elige Crear llave de acceso (en Latinoamérica, Crear una llave de acceso) y sigue los pasos de la pantalla. Los nombres de los botones pueden ser distintos en tu dispositivo.
- La próxima vez, inicia sesión y elige la llave de acceso cuando te la ofrezcan.
Google dice que crees llaves de acceso solo en dispositivos que sean tuyos, porque cualquiera que pueda desbloquear ese dispositivo puede entrar en tu cuenta. No crees una en una computadora compartida. Google también dice que una llave de acceso nueva puede tardar hasta 7 días en estar disponible al iniciar sesión.
Para una cuenta personal de Microsoft, la página de Microsoft dice que vayas a account.live.com/proofs/manage y elijas Agregar una nueva forma de iniciar sesión o verificar. Microsoft usa en español el nombre «clave de paso» para lo que aquí llamamos llave de acceso. Otros servicios escriben «clave de acceso» o «passkey» (por ejemplo, Bitwarden y 1Password). Es lo mismo.
Inicia sesión en el dispositivo de otra persona
Google describe cómo usar la llave de acceso de tu teléfono para iniciar sesión en una computadora que no es tuya:
- En la página de inicio de sesión de la computadora, elige Probar otra manera (en Latinoamérica, Probar otro método) y usa tu llave de acceso.
- En la pantalla aparece un código QR (un cuadrado con un dibujo que tu cámara puede leer). Escanéalo con la cámara del teléfono.
- Confirma con tu huella, tu cara o tu PIN en el teléfono.
Google dice que actives el Bluetooth para esto. Hazlo solo en una computadora de confianza y cierra la sesión cuando termines.
Si pierdes el teléfono
No hay motivo para preocuparse. Si tus llaves de acceso se sincronizan, también están en tus otros dispositivos o en tu cuenta. En una cuenta de Google, quita la llave de acceso del dispositivo perdido o cierra la sesión en ese dispositivo. Después sigue los pasos de tu proveedor. Mantén al día tus opciones de recuperación y códigos de respaldo. Google dice que añadir una llave de acceso no quita tus otras opciones de recuperación.
Los límites, con sinceridad
- Todavía no todas las webs ofrecen llaves de acceso.
- Donde una web no tiene llaves de acceso, usa una contraseña fuerte de un gestor de contraseñas, más un segundo paso (una comprobación extra después de tu contraseña, como un código de una app). Mira la verificación en dos pasos.
- Algunas cuentas de trabajo o de centros educativos solo permiten llaves de acceso como segundo paso. Lo decide tu centro o tu empresa. Su administrador (la persona que gestiona esas cuentas) fija las reglas.
¿Llaves de acceso o una app de autenticación?
Usa llaves de acceso donde un servicio las admita y la verificación en dos pasos (una comprobación extra después de tu contraseña) donde no. Así que elige primero una llave de acceso. Una app de autenticación es la siguiente mejor opción. Los códigos por mensaje de texto son la última opción. Lee por qué los códigos por SMS son más débiles. Empieza por tu cuenta de correo.
Palabras relacionadas: llave de acceso, verificación en dos pasos (2FA).
En tu país
Si una cuenta está en manos de un estafador, si le diste un código a alguien o si perdiste dinero, esto es lo que podemos decirte hoy:
- España: la Línea de Ayuda en Ciberseguridad de INCIBE, 017. Es gratuita y confidencial y atiende todos los días de 8:00 a 23:00. Si enviaste dinero, llama primero a tu banco y después denuncia ante las Fuerzas y Cuerpos de Seguridad del Estado (Policía Nacional o Guardia Civil).
- Argentina: denuncia en la comisaría o en la oficina receptora de denuncias que corresponda a tu domicilio. Lo indica el Centro Nacional de Ciberseguridad en argentina.gob.ar.
- México y Colombia: puede que en tu país el camino para denunciar sea distinto. Todavía no hemos comprobado las vías de denuncia en estos dos países. Mientras tanto, llama a tu banco y denuncia ante las autoridades de tu país.
- Estados Unidos y Reino Unido (si nos lees desde allí): reportfraud.ftc.gov en EE. UU. y reportfraud.police.uk (Report Fraud) en Inglaterra, Gales e Irlanda del Norte.
Haz esto hoy (unos 8 minutos)
- Abre los ajustes de seguridad de tu cuenta de Google o de Microsoft.
- Crea una llave de acceso en un dispositivo que sea tuyo. En un iPhone o un Mac, guarda una llave de acceso la próxima vez que una web o una app te ofrezca una. Apple dice que el Llavero de iCloud debe estar activado.
Para otro día: la próxima vez que inicies sesión, elige la llave de acceso. Google puede tardar hasta 7 días en ofrecer una llave de acceso nueva. Si no te la ofrece, inicia sesión como siempre e inténtalo más tarde.
No escribas nunca un código ni una contraseña en esta web, y nunca le leas un código a alguien que se ponga en contacto contigo.
