Claves de acceso vs contraseñas: qué está reemplazando tus inicios de sesión

Una clave de acceso reemplaza tu contraseña con un par de claves criptográficas generado en tu propio dispositivo: no hay nada que escribir ni nada guardado en la base de datos de una empresa que un hacker pueda robar. La desbloqueas con Face ID, Touch ID o el código de tu dispositivo. Y ya está: has iniciado sesión.

Cada mes más servicios piden una clave de acceso en 2026: bancos, correo electrónico, hasta cuentas de videojuegos. Así que la pregunta real es esta: ¿es de verdad más segura o solo un nuevo nombre para "confiar en este dispositivo"? Lo que sigue cubre qué es una clave de acceso, cómo funciona en el iPhone, por qué resiste ataques que las contraseñas no pueden y dónde siguen quedando huecos.

Qué es

Una clave de acceso no es una contraseña oculta. Es un tipo de credencial completamente distinto. Tu dispositivo genera un par de claves criptográficas, pública y privada: la clave privada nunca sale del dispositivo, y la clave pública se entrega al sitio web, que puede verificarte sin llegar a tener nunca un secreto que valga la pena robar. Una clave de acceso ocupa aproximadamente entre 100 y 1.400 bytes de datos aleatorios, algo que ni siquiera podrías escribir aunque un sitio te lo pidiera.

Ninguna empresa inventó esto por su cuenta. Las claves de acceso funcionan sobre WebAuthn, parte del estándar FIDO2 en desarrollo desde 2013 y recomendación del W3C desde 2019. Apple añadió compatibilidad con Face ID/Touch ID para esta tecnología en 2020 y lanzó las claves de acceso al público en 2022.

Cómo funciona en realidad

Configurar una clave de acceso en el iPhone ocurre en el momento en que aceptas hacerlo en un sitio compatible. Tu dispositivo genera el par de claves y mantiene la clave privada en el propio equipo. Al iniciar sesión más tarde, Face ID o Touch ID autoriza su uso sin transmitir nunca nada que un servidor pueda filtrar o que un keylogger pueda capturar: la misma lógica del procesamiento en el dispositivo aplicada a un inicio de sesión en lugar de a tus fotos. Después, tus claves de acceso se sincronizan entre tus dispositivos Apple a través de iCloud Keychain, cifrado de extremo a extremo y limitado contra intentos de fuerza bruta, así que siguen protegidas incluso si tus credenciales de Apple Account se vieran expuestas.

La ventaja real aparece frente al phishing. Cada clave de acceso está vinculada al dominio exacto para el que se creó, así que tu navegador simplemente no la entregará a un sitio falso que se parezca al original: el tipo de phishing que apunta a tu iCloud o a tus fotos con una página de inicio de sesión falsa. Una contraseña se puede escribir en cualquier página que parezca correcta. Una clave de acceso no se puede engañar así. Y como una filtración de datos solo expone claves públicas, inútiles sin su mitad privada, las cifras lo confirman: Microsoft reporta un éxito de inicio de sesión de aproximadamente el 98% con claves de acceso frente a cerca del 32% con contraseñas, en un mundo donde las credenciales robadas aparecen en la gran mayoría de las filtraciones.

Por qué importa para tu privacidad

Las claves de acceso no eliminan el riesgo. Lo desplazan. El punto débil deja de ser "un secreto que alguien puede adivinar" y pasa a ser "quién tiene acceso al dispositivo que guarda la clave". Si pierdes el dispositivo, la recuperación depende de qué tan bien haya construido el sitio —o Apple, en el caso de claves sincronizadas— su proceso de recuperación. Es un equilibrio distinto al de un código de acceso que supera a Face ID en situaciones concretas de privacidad, pero el tema de fondo es el mismo: la comodidad y la seguridad no siempre tiran en la misma dirección.

La adopción también sigue poniéndose al día. Muchos sitios todavía no admiten claves de acceso, y algunos que sí lo hacen igual obligan a crear una contraseña, sin forma de eliminarla después. La sincronización también está fragmentada entre ecosistemas: Windows Hello no sincroniza en absoluto, Google Password Manager solo sincroniza entre dispositivos Android, y iCloud Keychain funciona solo entre dispositivos Apple. La mayoría de la gente usará contraseñas y claves de acceso en paralelo durante un buen tiempo.

El punto más importante: una clave de acceso protege cómo inicias sesión. No dice nada sobre lo que ocurre una vez que ya iniciaste sesión, ni sobre lo que ya está guardado localmente en tu teléfono.

Preguntas frecuentes

¿Las claves de acceso reemplazan por completo a las contraseñas?

Todavía no. La mayoría de los sitios que admiten claves de acceso mantienen una contraseña como alternativa, así que puedes esperar usar ambas durante un tiempo. La configuración más segura es usar una clave de acceso donde esté disponible y una contraseña fuerte y única en todo lo demás.

¿Qué pasa si pierdo el dispositivo donde tengo mis claves de acceso?

En el iPhone, las claves de acceso se sincronizan a través de iCloud Keychain, cifrado de extremo a extremo, así que un dispositivo nuevo puede recuperarlas mediante el proceso de recuperación de cuenta de Apple. Sin un dispositivo de respaldo sincronizado, la recuperación depende del propio proceso del sitio, por lo que conviene registrar más de una clave de acceso por cada cuenta importante cuando sea posible.

¿Se puede hacer phishing a una clave de acceso como a una contraseña?

No de la misma forma. Una clave de acceso está vinculada al dominio exacto para el que se creó, así que un navegador no la entregará a un sitio falso. El riesgo que queda es la ingeniería social que te convence de entregar, en su lugar, una contraseña de respaldo.

¿Se guardan las claves de acceso en los servidores de Apple?

No. La mitad privada nunca sale de tu dispositivo ni de su Secure Enclave. Lo que se sincroniza a través de iCloud Keychain está cifrado de extremo a extremo, así que ni siquiera Apple puede leerlo.

¿Es un gestor de contraseñas lo mismo que una clave de acceso?

No. Un gestor de contraseñas guarda y autocompleta contraseñas de texto que tú sigues creando. Una clave de acceso es un par de claves criptográficas generado en tu dispositivo, y hoy muchos gestores de contraseñas también guardan claves de acceso, junto con las contraseñas.

Cómo lo maneja Privara

Las claves de acceso son un avance real en la forma de iniciar sesión. Pero no tocan las fotos, videos, documentos y contactos privados que ya están en tu teléfono una vez que pasaste la pantalla de inicio de sesión. Eso es un problema aparte, y merece la misma lógica de "sin secreto compartido, protegido en el dispositivo" que hace fuertes a las claves de acceso.

Privara oculta tus fotos, videos, documentos y contactos privados detrás de una única bóveda cifrada con AES-256 que luce y funciona exactamente como una calculadora. La bóveda se abre solo con tu PIN: el contenido está cifrado en reposo, no solo oculto a la vista, así que no hay ningún secreto compartido esperando en una base de datos para que alguien lo encuentre. No se requiere ninguna cuenta y nada se sube por defecto; es una bóveda local y de conocimiento cero, del mismo modo que la clave privada de tu passkey nunca sale de tu dispositivo. Suma Face ID o Touch ID por encima del PIN, y la detección de intrusos de Privara captura una foto de quien introduzca el código equivocado.

Una sola bóveda, cuatro tipos de contenido: fotos, videos, documentos y contactos, todos protegidos de la misma manera. Descarga Privara en la App Store y aplica ese mismo pensamiento "en el dispositivo" que protege tus inicios de sesión a todo lo demás que quieres mantener privado.