Las passkeys, o llaves de acceso, forman parte de la transición hacia métodos de autenticación que reducen la dependencia de contraseñas y códigos enviados por SMS. El estándar se apoya en criptografía de clave pública y puede utilizar la biometría o el bloqueo del dispositivo para confirmar que la persona autorizada está intentando entrar.
La tecnología no es una contraseña nueva. Durante el registro se genera un par de claves: una pública que puede asociarse con el servicio y otra privada que permanece protegida en el dispositivo o en un gestor compatible. El sistema valida una respuesta criptográfica sin revelar la clave privada al banco ni al sitio web.
En términos cotidianos, funciona más como una llave única guardada en el teléfono que como un dato que el usuario debe memorizar. La huella o el reconocimiento facial autorizan el uso local de esa llave; no sustituyen por sí mismos las medidas de seguridad del banco ni convierten al dispositivo en una bóveda infalible.
El estándar FIDO2 y sus componentes WebAuthn permiten que las passkeys se utilicen en aplicaciones y sitios compatibles. Su adopción depende de cada institución, del sistema operativo, del modelo de teléfono y de las reglas de recuperación de cuenta. Por eso, no puede afirmarse que todos los bancos o fintech de México ya las hayan habilitado.
Una de sus ventajas es la resistencia al phishing tradicional. Si el usuario entra a un dominio falso, la llave no debería validarse como si fuera el sitio legítimo, porque la autenticación está vinculada al origen registrado. Aun así, las estafas pueden desplazarse hacia engaños de soporte técnico, aplicaciones maliciosas o robo de control del dispositivo.
La eliminación de los códigos SMS también puede disminuir algunos riesgos relacionados con el intercambio de contraseñas o la duplicación fraudulenta de una línea. Sin embargo, los mensajes de texto siguen formando parte de procesos de recuperación en ciertos servicios, y la seguridad real depende de cómo cada institución diseñe ese mecanismo.
Para activar una passkey, cuando el servicio la ofrece, normalmente se entra a la sección de seguridad de la aplicación, se elige crear una llave de acceso y se confirma el bloqueo del teléfono. Antes de hacerlo, conviene comprobar que la aplicación sea oficial y que el dominio corresponda a la institución financiera.
El cambio de dispositivo requiere revisar las opciones de sincronización, respaldo y recuperación. Si se pierde el teléfono, el usuario debe recurrir al procedimiento oficial del banco y nunca entregar códigos, datos biométricos o contraseñas a una persona que llame inesperadamente.
La tecnología puede beneficiar especialmente a quienes tienen dificultades para recordar contraseñas complejas, pero también abre preguntas sobre accesibilidad, privacidad y dependencia de un dispositivo. Los bancos deben ofrecer alternativas seguras para personas que no usan biometría o que comparten equipos.
La comparación es sencilla: pasar de anotar una combinación en un papel a utilizar una llave que el teléfono guarda y activa localmente reduce ciertos puntos de exposición, pero no elimina la necesidad de cuidar la puerta, el dispositivo y el proceso de recuperación.
Passkeys representa un avance relevante en autenticación digital, no una garantía absoluta contra el fraude. La protección se completa con alertas activas, límites de operación, revisión de movimientos y la regla básica de no compartir códigos ni permitir acceso remoto a la banca móvil.
