Contraseñas y passkeys: menos reglas, más herramientas

Por qué no funcionan las reglas de contraseñas

La política clásica pide una mayúscula, un dígito, un signo de puntuación, al menos doce caracteres y una contraseña nueva cada trimestre. Se lee como rigor. En la práctica produce lo contrario.

Lo que pasa es que la gente se inventa un patrón y lo mantiene, porque no hay otra forma de recordar veinte contraseñas distintas. La contraseña trimestral pasa a ser Verano2026! y luego Otoño2026!. El cambio obligatorio no da entonces un secreto nuevo sino una serie predecible, y quien conoce el anterior adivina el siguiente.

Las directrices se revisaron en este punto hace años. Hoy el consejo es: sin cambio periódico obligatorio, sin reglas de composición, pero sí permitir contraseñas largas y sí comprobarlas contra listas de filtraciones. Se cambia cuando hay motivo, no porque lo diga el calendario.

El problema de verdad va aparte, y es la reutilización. La misma contraseña que alguien usa en tu portal corporativo está también en una tienda que se filtró hace tres años. Esa filtración está en una lista, la lista se prueba, y nadie ha tenido que romper nada.

El gestor de contraseñas es el primer paso, no el último

La reutilización solo desaparece cuando desaparece el recordar. Por eso un gestor de contraseñas no es un lujo del departamento de TI sino la medida con mayor rendimiento de todas: todo el mundo tiene en cada sitio una contraseña distinta, larga y aleatoria sin tener que hacer nada por ello.

Lo que resuelve en la práctica, y es más que la caja fuerte en sí:

• Las cuentas compartidas tienen sitio. La cuenta de recepción, el acceso del proveedor, la contraseña de administrador de la tienda: hoy viven en un grupo de chat o en una nota en un cajón. En una caja compartida están en un solo lugar, con una lista de quién puede llegar a ellas.
• Las bajas se vuelven manejables. Cuando alguien se va, ves exactamente qué contraseñas compartidas conocía y por tanto cuáles hay que sustituir. Sin caja fuerte esa respuesta es siempre «no lo sabemos, así que no sustituimos nada».
• El phishing se hace visible. Un gestor solo rellena en la dirección donde guardó la contraseña. Si el usuario está en una página imitada, no pasa nada, y ese nada es el aviso.

La resistencia que recibes es previsible y va sobre la contraseña maestra: todo en un sitio, ¿no es justo eso el peligro? La respuesta honesta es que estás moviendo un riesgo. Cambias veinte secretos débiles y reutilizados por un secreto fuerte con un segundo factor encima. Es un cambio mejor, y por eso lo recomendamos en lugar de fingir que no hay contrapartida.

Qué es una passkey, en palabras llanas

Una passkey no es una contraseña que ya no hay que recordar. Es otra cosa, y la diferencia está en lo que viaja por la línea.

Con una contraseña envías el secreto a la web. El sitio tiene que recibirlo para poder comprobarlo, y por eso se puede interceptar por el camino o entregar al sitio equivocado. Con una passkey tu dispositivo crea un par de claves. La mitad privada se queda en tu dispositivo y nunca sale; el sitio solo recibe la mitad pública. Al iniciar sesión el sitio manda un reto, tu dispositivo lo firma y el sitio comprueba la firma.

De ahí sale la propiedad de la que todo depende: una passkey está clavada a la dirección para la que se creó. Una página de acceso imitada en una dirección que se diferencia en una letra no recibe nada, y no porque el usuario esté atento, sino porque el navegador sencillamente no ofrece la clave. No hay ningún secreto que puedas entregar por error.

Es una protección esencialmente distinta de un código de una aplicación. Un usuario ante una página falsa convincente copia ese código sin más, y el atacante lo usa dentro de los treinta segundos que vale. Con una passkey eso no puede pasar.

Se desbloquea con tu huella, tu cara o el PIN del dispositivo. Eso no va a la web; solo abre la clave que ya está allí.

Dónde encalla en la práctica

Por buena que sea la idea, hay tres puntos donde un despliegue encalla con terquedad. Rara vez aparecen en el discurso comercial.

• La vía de recuperación es el punto débil. Una passkey vive en un dispositivo. Si ese dispositivo se pierde, se rompe o su dueño se va, tiene que haber un camino de vuelta. Si ese camino es «llama al servicio de asistencia y te abren la cuenta», eso es lo que atacará un atacante, y habrás movido la puerta en lugar de cerrarla. Deja resuelto cómo demuestra alguien quién es antes de desplegar passkeys, no después.
• El recurso alternativo deshace la ganancia. Si la contraseña sigue ahí como alternativa, un atacante puede tomar ese camino. Mientras ese botón exista no tienes resistencia real al phishing. Apagarlo solo es posible cuando todos han pasado, y por eso un despliegue necesita fecha de fin.
• No todo se apunta. Tu entorno ofimático y los grandes servicios cloud ya lo soportan bien. El programa de contabilidad de tu asociación sectorial, el portal de un proveedor y la máquina de la planta a menudo no. Para esos sigue haciendo falta un gestor de contraseñas, y no es una solución provisional sino la situación de los próximos años.

Hay un cuarto punto más frecuente de lo que parece: las cuentas compartidas. Las passkeys son personales por diseño. Una cuenta de mostrador que usan tres personas encaja mal, y ese suele ser un buen momento para constatar que esa cuenta debería haber sido tres cuentas.

El orden que seguimos

Todo a la vez no funciona, y empezar por las passkeys tampoco. Este es el orden en que se va primero el mayor riesgo.

• Uno: un gestor de contraseñas para todos. Con una caja compartida para las cuentas que no son de una sola persona. Esto quita la reutilización, que es la mayor ganancia individual.
• Dos: segundo factor en todo, y en los administradores primero. Mejor una aplicación o una llave que un SMS; un código por mensaje se puede interceptar y rodear.
• Tres: passkeys en las cuentas que importan. Empieza por los administradores y por el acceso a tu entorno ofimático. Ahí es donde apunta el phishing y por tanto donde la ganancia es mayor.
• Cuatro: cerrar la vía de recuperación. Quién puede abrir una cuenta, cómo comprueba la identidad y si queda registrado. Sin esto, el paso tres es seguridad aparente.
• Cinco: solo entonces apagar la contraseña como alternativa, por grupos, y no antes de tener la certeza de que todo el grupo ha pasado.

Es la misma capa de identidad que en Zero Trust, y no es casualidad que los dos temas lleguen al mismo sitio. La cuenta es la entrada en casi todos los incidentes, y este es el trabajo que la estrecha.

Cuenta con un trimestre para los pasos uno y dos en una organización de cien personas, y con resistencia las dos primeras semanas. Esa resistencia baja en cuanto la gente ve que ya no tiene que recordar nada: este es el caso raro en que más seguro es también más fácil.