Passkeys: el adiós a las contraseñas ya está en tu web (o debería estarlo)
Cinco mil millones de passkeys activas, la mitad de los grandes sitios ya las admiten y los logins son hasta 17 veces más rápidos. Qué es exactamente una passkey, qué gana tu negocio y cómo adoptarlas sin romper nada.
Hay una función que puedes añadir a tu web que reduce los tickets de soporte, sube la conversión del login y elimina de raíz el phishing de credenciales. No es IA y no hay licencia que pagar: son las passkeys, y 2026 es el año en que han dejado de ser una curiosidad de Apple y Google para convertirse en lo que tus usuarios esperan.
Los números de la FIDO Alliance: unos 5.000 millones de passkeys en uso activo según su informe de mayo de 2026, un 75% de consumidores con al menos una cuenta protegida así, y cerca de la mitad de los 100 sitios más grandes del mundo ya las soportan. En su Passkey Index, con datos de Amazon, Google, Microsoft, PayPal o TikTok, el 93% de los inicios de sesión con passkey tienen éxito, frente al 63% del resto de métodos, y cada login tarda un 73% menos. TikTok habla de logins hasta 17 veces más rápidos — compáralo con la tasa de éxito de "escribe la contraseña que inventaste hace tres años".
Qué es una passkey, sin humo
Una passkey es un par de claves criptográficas. La privada vive en el dispositivo del usuario (móvil, portátil, llave de seguridad física) y se desbloquea con lo que ya usa a diario: huella, cara o PIN del dispositivo. La pública se guarda en tu servidor. En cada login, el dispositivo firma un desafío; tu servidor verifica la firma. Fin.
Las consecuencias prácticas importan más que la criptografía:
- No hay secreto compartido. Tu base de datos ya no guarda nada que merezca la pena robar: una fuga de claves públicas no compromete ninguna cuenta.
- No hay nada que escribir. Ni contraseña que olvidar, ni gestor que instalar, ni SMS que esperar.
- El phishing se queda sin materia prima. La passkey está ligada al dominio: en una web falsa simplemente no funciona. No hay nada que el usuario pueda teclear donde no debe.
Qué gana tu negocio
La seguridad convence a los técnicos; a un negocio le convencen otras tres cosas:
- Menos soporte. El "he olvidado mi contraseña" es, en casi todos los productos que he auditado, la primera causa de tickets. Cada reset que desaparece es dinero ahorrado.
- Más conversión. Cada fricción en el login es carrito abandonado. Un toque de huella convierte mejor que un formulario con requisitos de mayúsculas y símbolos.
- Menos riesgo regulatorio. Sin credenciales almacenadas, una parte entera del catálogo de brechas simplemente deja de afectarte.
Rincón de la honestidad
No hagas la migración de golpe. Las passkeys tienen aristas reales: usuarios con dispositivos compartidos, empresas con dispositivos capados por IT, gente que cambia de móvil sin sincronizar. La estrategia que funciona en 2026 — y la que usan los grandes — es híbrida: añade las passkeys junto al login existente, no en su lugar.
En la práctica: ofrécelas primero en los puntos de menor riesgo — el registro, la recuperación de cuenta, la verificación extra antes de una acción sensible — y deja la contraseña como respaldo mientras tus métricas te digan que todavía hace falta. El estándar que hay debajo es WebAuthn, es compatible con todos los navegadores modernos y hay librerías maduras para cualquier stack serio; no es un proyecto de seis meses, es una funcionalidad bien acotada.
Por dónde empezaría
- Mide cuánto te cuesta hoy: cuántos tickets de reset, cuánto abandono en el login.
- Añade passkeys al registro y a la recuperación — donde el usuario ya está demostrando quién es.
- Invita, no obligues: un aviso tras un login con contraseña ("entra con tu huella la próxima vez") convierte sorprendentemente bien.
- Observa las métricas y quita fricción al ritmo que tus usuarios marquen.
Las contraseñas no van a desaparecer mañana. Pero cada mes que tu login sigue siendo solo un formulario de contraseña, estás pagando soporte y perdiendo conversiones por un problema que la industria ya ha resuelto.
Soy arquitecto de software independiente con foco en front-end, y funcionalidades como esta — bien acotadas, con impacto medible en el negocio — son exactamente el tipo de proyecto que más disfruto. Si quieres passkeys en tu producto sin romper el login de nadie, hablemos: una llamada de 30 minutos es gratuita.