Una contraseña para el correo, otra para la tienda, otra para ese foro en el que entras de Pascuas a Ramos… y cuando por fin necesitas algo, no hay manera de acordarse de cuál pusiste. Así que acabas pulsando «He olvidado mi contraseña» y esperando el correspondiente correo. Otra vez.
La idea de librarnos de buena parte de este engorro me parece de lo más apetecible. Para eso están las passkeys o claves de acceso, que permiten entrar en una cuenta desbloqueando el móvil o el ordenador. Pero claro, en cuanto dices que vas a usar el teléfono para identificarte aparece una duda bastante lógica: ¿y si lo pierdo o me lo roban? Vamos a ver cómo funciona el asunto, porque no todas las claves se guardan de la misma manera y ahí está buena parte de la respuesta.
Qué es una passkey y qué tiene que ver tu huella
Al crear una passkey se generan dos claves relacionadas entre sí. Una, la pública, se queda en el servicio al que quieres entrar. La otra, la privada, la protege tu dispositivo o el gestor que hayas elegido para guardarla. Cuando vuelves a identificarte, el sistema puede demostrar que tienes esa clave privada sin enviársela a la web.
Hasta aquí la parte técnica. Lo que tú ves es bastante más sencillo: el móvil te pide la huella, la cara o el PIN, lo desbloqueas y puedes entrar. Eso no significa que estés enviando tu huella a la tienda de turno (que bastante información tiene ya de nosotros). La huella sirve para autorizar el uso de la clave en tu dispositivo, no se convierte en la contraseña de esa web.
Si os interesa profundizar, la FIDO Alliance explica el funcionamiento de las passkeys y los estándares en los que se apoyan. Para usarlas, por suerte, no hace falta estudiar criptografía.
Una ventaja que va más allá de no recordar contraseñas
Pongamos que recibes un correo que parece de un servicio que utilizas. Entras en el enlace, ves una página casi idéntica a la habitual y escribes tu contraseña. Si era una imitación, acabas de entregársela a quien la ha montado. Es el conocido phishing, que tantos disgustos da.
Con una passkey esto cambia: está vinculada al servicio legítimo, de manera que una web con un dominio parecido no puede utilizarla como si fuera la original. Por mucho que hayan copiado el logotipo y los colores. Esta es, para mí, una ventaja bastante más interesante que ahorrarnos teclear una contraseña.
Eso sí, tampoco vayamos a pensar que a partir de ahora todo vale. Si el equipo está infectado, alguien roba una sesión que ya tenías abierta o consigue colarse por la recuperación de la cuenta, puedes seguir teniendo problemas. Y si la web todavía te deja entrar con la contraseña de siempre, tendrás que seguir cuidándola.
Antes de crearla, fíjate en dónde la guardas
Aquí conviene detenerse un momento. Cuando aceptas crear una clave, el sistema te indica dónde va a guardarla. Es uno de esos detalles que resulta fácil pasar por alto entre tanto botón de aceptar, pero tener una clave guardada no significa que tengas una copia disponible en otro aparato.
- Si está sincronizada mediante un gestor, puede estar disponible en tus otros dispositivos compatibles. Para recuperarla necesitarás poder acceder a ese gestor y superar sus comprobaciones de seguridad.
- Si está ligada a un dispositivo o a una llave física, se queda ahí. Si lo pierdes, necesitarás otra forma de entrar que ya tuvieras preparada o recurrir a la recuperación de la cuenta.
Por ejemplo, Apple sincroniza las claves a través del llavero de iCloud, con cifrado de extremo a extremo. Eso ayuda al cambiar de equipo, pero no basta con comprar otro iPhone: también tendrás que poder recuperar el acceso al llavero.
En Windows, guardar una clave local con Windows Hello no es lo mismo que elegir un gestor que la sincronice. Microsoft distingue ambas posibilidades en su guía para crear y guardar passkeys. También puedes utilizar una llave de seguridad física compatible. Así que, antes de seguir adelante, mira qué opción has escogido.
En mi caso, estoy usando las passkeys en Proton Pass, que es mi gestor de contraseñas y con el que estoy bastante satisfecho. Antes llevaba muchos años con RoboForm, pero tenía una licencia de larga duración y, cuando se acabó, las renovaciones me parecían caras. Así que decidí cambiar y me agencié la versión lifetime de Proton Pass con una oferta que me pareció muy «golosa».
Cómo probarlo con tu cuenta de Google
Para empezar, utiliza un móvil o un ordenador tuyo, actualizado y con bloqueo de pantalla. Nada de guardar tu clave personal en un equipo compartido: como advierte Google, quien pueda desbloquearlo podría usarla para entrar en tu cuenta.
- Entra directamente en los ajustes de tu cuenta de Google y abre Claves de acceso y llaves de seguridad.
- Elige crear una clave y comprueba dónde se va a guardar.
- Confirma con la huella, la cara o el PIN que te pida el dispositivo.
- Prueba a iniciar sesión de nuevo, dejando abierta otra sesión de confianza por si necesitas volver a los ajustes.
Puede que no veas exactamente las mismas opciones según el navegador, el equipo o el tipo de cuenta. Si alguna no aparece, en la ayuda de Google están los requisitos y las alternativas.
Y ahora sí: ¿qué pasa si pierdes el móvil?
Perder el teléfono ya es una faena como para descubrir además que no puedes entrar en tus cuentas. Usar passkeys no te libra de bloquear o borrar el móvil a distancia cuando corresponda, ni de revisar las sesiones que dejaste abiertas. Pero la forma de recuperar el acceso dependerá de lo que hemos visto antes.
Si puedes entrar desde otro dispositivo
Desde ese equipo, abre los ajustes de seguridad y revisa las sesiones del móvil perdido y sus claves. Ojo con borrar a lo loco: una clave sincronizada puede ser la misma que necesitas en los demás dispositivos.
Si el servicio admite varias, puedes registrar otra y comprobar que funciona antes de retirar el acceso que ya no deba seguir autorizado. Y revisa también las sesiones, porque eliminar una clave no significa necesariamente que quien ya estaba dentro deje de estarlo.
Si no tienes otro dispositivo disponible
Si tus claves estaban en un gestor sincronizado, tendrás que recuperar el acceso a ese gestor siguiendo sus instrucciones. Puede pedirte verificaciones que no dependan del teléfono perdido, y aquí agradecerás haber dejado preparado un correo alternativo u otro método de los que admita.
Si la clave solo existía en ese móvil, necesitarás otra clave registrada, otro método de acceso permitido o el procedimiento de recuperación del servicio. No hay un truco que garantice recuperar cualquier cuenta. Las recomendaciones de FIDO sobre recuperación distinguen precisamente estos casos.
¿Y si cambio de Android a iPhone, o al revés?
Antes de borrar el móvil antiguo porque lo vas a vender o regalar, comprueba que puedes entrar en tus cuentas importantes desde el nuevo. Parece una obviedad, pero las ganas de estrenar juguetito no deberían hacernos saltar este paso.
No des por hecho que las claves aparecerán en el nuevo gestor: depende de cuál uses, de su compatibilidad y de las opciones de transferencia. Si hace falta y la web lo permite, crea otra passkey desde el equipo nuevo.
Hay un detalle que puede despistar: usar el teléfono antiguo para aprobar un acceso en otro aparato mediante un QR no significa que hayas copiado allí la clave. La autenticación entre dispositivos permite entrar usando la clave del móvil, y puede utilizar Bluetooth para comprobar que está cerca. Sincronizarla es otra cosa.
Lo que dejaría preparado antes de depender de ellas
Lo primero, saber en qué gestor están las claves de tus cuentas importantes y cómo recuperarías su acceso. Revisa el correo alternativo, los dispositivos de confianza y los métodos que te permita cada servicio. Guardar la única forma de recuperar un gestor dentro de ese mismo gestor es una manera bastante absurda de quedarse fuera.
Si puedes registrar otra clave o guardar códigos de recuperación, deja esa alternativa a buen recaudo y fuera del móvil. Después prueba el acceso desde otro equipo, sin borrar nada ni cerrar la única sesión que tienes abierta. No reproduce todos los problemas de una pérdida real, pero al menos permite detectar que una clave no aparece donde esperabas.
Si prefieres tener otra forma de entrar que no dependa del móvil, también puedes utilizar una llave física como la Yubico Security Key C NFC. Tendrás que registrarla previamente en las cuentas que la admitan y guardarla a buen recaudo. Eso sí, no es una copia automática de las claves que tengas en Proton Pass.
La idea de las passkeys me parece un avance muy interesante, tanto por comodidad como por la protección frente a páginas falsas. Empezaría con una cuenta, comprobaría que puedo entrar desde otro equipo y dejaría preparada la recuperación antes de seguir con las demás. Mejor dedicarle ese rato ahora que acordarse del tema cuando el móvil ya no está.