Llaves de acceso: iniciar sesión sin contraseña

Recurso complementario de la lección “Llaves de acceso: iniciar sesión sin contraseña” — curso Seguridad en Línea

Una llave de acceso (passkey) te permite iniciar sesión con el mismo gesto con el que desbloqueas el móvil o el ordenador: la cara, la huella o el PIN. Sin contraseñas que recordar ni códigos que copiar. Aquí verás qué es, por qué es mucho más difícil de robar que una contraseña o un código, dónde es seguro crear una y cómo añadir la primera sin quedarte fuera.

A. Por qué esto cuenta

Las contraseñas tienen dos puntos débiles que ninguna precaución elimina del todo: se pueden robar de las webs que las guardan, y se pueden escribir en una página que solo parece auténtica. Un segundo factor ayuda mucho, pero un código también se puede escribir en la página equivocada.

Esos dos puntos débiles dejan de afectar a los accesos con llave de acceso. La web no guarda ningún secreto de tu llave de acceso que merezca la pena robar, y tu dispositivo solo responde a la web para la que se creó la llave. Por eso el NCSC, el centro nacional de ciberseguridad del Reino Unido, recomienda usar las llaves de acceso allí donde se ofrezcan.

Lo que cambia es dónde está la protección. El secreto ya no vive en tu memoria sino en tus dispositivos, y lo custodia el bloqueo de cada uno de ellos.

¿Y en España?

En España tienes una guía pensada para la ciudadanía: el 30 de septiembre de 2026 INCIBE, el Instituto Nacional de Ciberseguridad, publicó «Passkeys: inicia sesión sin contraseñas de forma segura». Explica el par de claves pública y privada en el que se basan, por qué resisten el phishing, con qué sistemas son compatibles y cómo se sincronizan entre dispositivos. También recuerda que, si tienes dudas, puedes llamar al 017, su línea gratuita de ayuda en ciberseguridad. Para los pasos concretos en cada servicio, la documentación más clara en español es la de las plataformas que las ofrecen, Apple, Google y Microsoft, que encontrarás en la sección E.

B. Conceptos clave

Seis ideas sobre qué es una llave de acceso y qué la mantiene segura.

Llave de acceso (passkey)

Una credencial para iniciar sesión formada por dos claves digitales que encajan entre sí, creadas por tu dispositivo para una sola web o una sola app. Se basa en estándares abiertos de la FIDO Alliance, una asociación del sector, así que funciona en los principales sistemas y navegadores. Apple y Google la llaman «llave de acceso»; Microsoft, «clave de paso»; y muchas webs usan directamente el término inglés «passkey».

Por qué te afecta: la desbloqueas igual que desbloqueas el dispositivo. No hay nada que inventar, recordar ni reutilizar.

La mitad pública y la mitad privada

La mitad pública se entrega a la web, y por sí sola no sirve de nada. La mitad privada se queda contigo, en el dispositivo o en el gestor de contraseñas, y la web nunca la conoce: cuando inicias sesión, la web envía una petición y tu dispositivo responde usando esa mitad.

Por qué te afecta: si esa web sufre una filtración, allí no hay nada de tu llave de acceso que sirva para entrar en tu lugar.

Vinculada a una sola web

Cada llave de acceso está vinculada a la dirección de la web que la creó. El navegador y el sistema operativo se aseguran de que solo se pueda usar allí.

Por qué te afecta: una copia convincente de la web no consigue nada, porque tu dispositivo no la reconoce. Eso es lo que significa «resistente al phishing»: quien comprueba la dirección es el dispositivo, no tú.

El bloqueo de pantalla

Para usar una llave de acceso desbloqueas el dispositivo con la cara, la huella, el PIN o el patrón. El dato biométrico nunca llega a la web: solo sirve para desbloquear el dispositivo. Google avisa de que en el móvil no se puede usar una llave de acceso sin bloqueo de pantalla.

Por qué te afecta: una llave de acceso es tan segura como el bloqueo que la abre. Un código corto o fácil de adivinar, o un dispositivo que otras personas pueden desbloquear, debilita todas las llaves que contiene.

Llaves sincronizadas y llaves ligadas al dispositivo

Las llaves de acceso que creas en móviles y ordenadores suelen sincronizarse: se guardan cifradas en tu cuenta de Apple, de Google o del gestor de contraseñas, y las recuperas en un dispositivo nuevo. Apple, por ejemplo, las sincroniza con el Llavero de iCloud, con cifrado de extremo a extremo. Otras no salen nunca del dispositivo: por ejemplo, las de una llave de seguridad física. Como resume Google: «Las llaves de acceso no se pueden compartir, copiar, escribir ni dar por error a otra persona». Es decir: tú no puedes copiarlas ni dárselas a nadie, y la sincronización entre tus dispositivos la hace tu cuenta, de forma cifrada.

Por qué te afecta: una llave sincronizada sobrevive a la pérdida del móvil, siempre que puedas seguir entrando en la cuenta que la sincroniza. Esa cuenta merece la mejor protección.

El móvil como puente

En un ordenador que no tiene tu llave de acceso, la página de inicio de sesión puede mostrar un código QR. Lo escaneas con el móvil, que comprueba que está cerca del ordenador (normalmente por Bluetooth), y ya estás dentro.

Por qué te afecta: puedes usar una llave de acceso en un ordenador nuevo sin crear otra allí. Evita crear llaves de acceso en ordenadores que no son tuyos.

C. Un ejemplo concreto: el portátil en casa de una amiga

Marta está en casa de una amiga y necesita mirar el correo desde el portátil de su amiga. Al iniciar sesión, la web le propone crear una llave de acceso, «para entrar más rápido la próxima vez». Es tarde, y está a punto de hacer clic en «Sí».

Se detiene, porque recuerda qué custodia una llave de acceso: el bloqueo del dispositivo. Aquí ese bloqueo es la contraseña de su amiga, y cualquiera en casa que la conozca podría abrir el correo de Marta.

Qué cambió el resultado

• Marta eligió «Ahora no» y terminó de iniciar sesión con su contraseña y su segundo factor.
• Antes de devolver el portátil, cerró la sesión.
• En casa creó la llave de acceso en su propio móvil, protegido con un PIN de seis cifras que solo conoce ella.
• La siguiente vez que necesitó el correo en otro ordenador, usó el código QR y el móvil.

No salió nada mal. La diferencia la marcó una sola pregunta: ¿de quién es el bloqueo que custodiaría la llave?

D. Pruébalo: tu primera llave de acceso (20 minutos)

Cuatro pasos cortos, en este orden. El primero decide lo seguros que son los demás.

Paso 1 — Revisa el bloqueo de pantalla

• En el móvil o el ordenador que vayas a usar, comprueba que el bloqueo de pantalla está activado.
• En el móvil, mejor un código de al menos seis cifras que nadie pueda adivinar a partir de tus datos, como una fecha de nacimiento.
• Si alguien más puede desbloquear ese dispositivo, elige otro.

Paso 2 — Añade una llave de acceso a tu correo principal

• Entra en tu cuenta de correo principal y abre la configuración de seguridad.
• Busca una opción como «Llaves de acceso», «Llaves de acceso y llaves de seguridad», «Claves de paso» o «Passkeys». No todos los servicios la ofrecen.
• Sigue las indicaciones y confirma con la cara, la huella o el PIN.

Paso 3 — Inicia sesión una vez con la llave de acceso

• Cierra sesión en la cuenta y vuelve a entrar eligiendo la llave de acceso.

Paso 4 — Revisa tu vía de regreso

La vía de regreso son los datos de recuperación (el correo, el teléfono y los códigos de recuperación) que te permiten volver a entrar si un día no puedes usar tu llave de acceso ni tu contraseña.

• En la misma configuración de seguridad, comprueba que el correo y el número de teléfono de recuperación están al día.
• Si el servicio ofrece códigos de recuperación, asegúrate de tener guardada una serie en un sitio al que llegues también sin el móvil.
• Guarda la contraseña en tu gestor: muchos servicios la mantienen como otra forma de entrar.

Cuando funcione en el correo, repite el paso 2 en las demás cuentas importantes, a medida que te propongan una llave de acceso.

E. Para profundizar

La guía de INCIBE, la documentación de las plataformas en español y dos referencias internacionales en inglés.

Fuentes españolas

INCIBE — Passkeys: inicia sesión sin contraseñas de forma segura
La guía para la ciudadanía (30 de septiembre de 2026): el par de claves pública y privada, la resistencia al phishing, la compatibilidad y la sincronización entre dispositivos.
https://www.incibe.es/ciudadania/blog/passkeys-inicia-sesion-sin-contrasenas-de-forma-segura

Las plataformas, en español

Soporte técnico de Apple — Acerca de la seguridad de las llaves de acceso
Cómo funciona el par de claves, cómo se sincronizan con el Llavero de iCloud y cómo se recuperan.
https://support.apple.com/es-es/102195

Ayuda de Cuenta de Google — Iniciar sesión con una llave de acceso en lugar de una contraseña
Qué dispositivos y navegadores las admiten, cómo usar el móvil en otro ordenador y qué hacer si pierdes un dispositivo.
https://support.google.com/accounts/answer/13548313?hl=es

Soporte técnico de Microsoft — Crear y guardar una clave de paso
Cómo crear una clave de paso para tu cuenta Microsoft con Windows Hello, con el móvil mediante un código QR o en un gestor de contraseñas.
https://support.microsoft.com/es-es/accounts-billing/security/create-save-passkey

Fuentes internacionales (en inglés)

FIDO Alliance — Passkeys
Qué son, la diferencia entre llaves sincronizadas y ligadas al dispositivo, y el inicio de sesión de un dispositivo a otro. De la organización que redacta los estándares.
https://fidoalliance.org/passkeys/

NCSC (Reino Unido) — Passkeys are more secure than traditional ways to log in
Por qué resisten el phishing, y por qué la verificación en dos pasos sigue siendo la opción donde todavía no hay llaves de acceso. Abril de 2026.
https://www.ncsc.gov.uk/blogs/passkeys-are-more-secure-than-traditional-ways-to-log-in

Enlaces verificados en octubre de 2026. Si una dirección cambia, suele bastar con buscar el título en la web del organismo.

F. El Marco Cyber Welfare: Habilidades, Conciencia, Comportamiento seguro

Esta lección se sitúa en el pilar de las Habilidades, en el nivel FL2. Llega después de las lecciones sobre los segundos factores e introduce la forma de iniciar sesión que se lo pone mucho más difícil al phishing.

Habilidades

• Crear una llave de acceso en un servicio que la ofrezca.
• Iniciar sesión con una llave de acceso, también en otro ordenador a través del móvil.
• Revisar las opciones de recuperación antes de confiar en una nueva forma de iniciar sesión.

Conciencia

• Entender que la web solo guarda la mitad pública, que por sí sola no sirve de nada.
• Saber que una llave de acceso está vinculada a una sola web, así que una página falsa no saca nada de ella.
• Reconocer que lo que ahora custodia el secreto es el bloqueo de pantalla y la cuenta que sincroniza.

Comportamiento seguro

• Crear llaves de acceso solo en dispositivos tuyos, que solo tú puedes desbloquear.
• Mantener siempre operativa una vía de regreso: datos de recuperación, códigos de recuperación y gestor de contraseñas.

G. Preguntas para pensar

• Si hoy tu correo principal te ofreciera una llave de acceso, ¿en qué dispositivo la crearías? ¿Quién más puede desbloquear ese dispositivo?
• ¿Qué cuenta sincroniza tus llaves de acceso, y cómo de bien protegida está?
• Si mañana perdieras el móvil, ¿por qué camino volverías a entrar en tu correo?

H. Qué hacer ahora

Las recomendaciones (R) y las medidas de seguridad (MS) de la base de datos Cyber Welfare que se aplican más directamente aquí.

1. Proteger el bloqueo

• R5 — Pon en el móvil un PIN de al menos seis cifras. Ahora también abre tus llaves de acceso.
• R7 — Mantén corto el tiempo de bloqueo automático de la pantalla, para que un dispositivo que dejas sin vigilar se bloquee solo.
• MS4 — Si puedes, usa un código alfanumérico de al menos ocho caracteres.

Compromiso mínimo: asegúrate de que el dispositivo que guardará tu primera llave de acceso tiene un bloqueo de pantalla que solo conoces tú.

2. Conservar una vía de regreso

• R2 — Guarda las contraseñas en un gestor fiable. Las seguirás necesitando en todas las webs que no ofrecen llaves de acceso.
• R4 — Mantén un segundo factor en tus cuentas, y guarda los códigos de recuperación en un sitio al que llegues también sin el móvil.
• R8 — Activa los avisos de inicio de sesión, para enterarte de si alguien intenta entrar por la vía de regreso.

Compromiso mínimo: añade una llave de acceso a tu correo principal y, ese mismo día, revisa sus datos de recuperación.

En resumen

• Una llave de acceso es un par de claves. La web solo guarda la mitad pública, que por sí sola no sirve de nada; la mitad privada se queda contigo.
• Está vinculada a una sola web, así que una página falsa no saca nada de ella.
• Es tan segura como el bloqueo de pantalla que la abre: crea llaves de acceso solo en dispositivos tuyos, que solo tú puedes desbloquear.
• Conserva una vía de regreso: datos de recuperación, códigos de recuperación y gestor de contraseñas.

Otros recursos de este curso

• Métodos de verificación en dos pasos: no son equivalentes
• Bloqueo de pantalla del móvil: la barrera detrás de la que está todo
• Cómo funciona un gestor de contraseñas: una sola clave que recordar

Descubre más recursos complementarios de los cursos en línea del Programa Protege tu Privacidad Digital.