Claves de acceso explicadas: cómo reemplazan las contraseñas y resisten el phishing

Una contraseña tiene que ser conocida tanto por vos como por el sitio web, y eso es precisamente lo que hace que puedan robarla. Una clave de acceso está diseñada para evitarlo: no hay nada que escribir ni que recordar, y ningún sitio falso puede recopilarla y reutilizarla.

A continuación, te contamos qué es una clave de acceso, cómo funciona el inicio de sesión con una, por qué resiste el phishing y de qué manera sigue dependiendo de vos.

Qué es una clave de acceso

Según FIDO Alliance, el grupo del sector responsable del estándar, una clave de acceso es una credencial que te permite iniciar sesión en una aplicación o un sitio web con el mismo proceso que usás para desbloquear tu dispositivo, como una huella digital, un escaneo facial, un PIN o un patrón. Está vinculada a tu cuenta en un sitio específico y reemplaza tanto la contraseña como, en la mayoría de los casos, el código adicional.

En segundo plano, una clave de acceso es un par de claves criptográficas. El sitio web guarda la clave pública, que por sí sola no sirve de nada, y la clave privada permanece en tu dispositivo. Se crea un par nuevo para cada sitio, así que una clave de acceso no se puede reutilizar en distintos servicios como sí se puede hacer con una contraseña.

Cómo funciona el inicio de sesión con una clave de acceso

Cuando iniciás sesión, el sitio web envía a tu dispositivo un desafío de un solo uso. Tu dispositivo te pide que lo desbloquees con tu dato biométrico o PIN; después, usa la clave privada para firmar el desafío y envía la respuesta firmada. El sitio web verifica la firma con la clave pública guardada y te permite ingresar. El NCSC, la agencia nacional de ciberseguridad del Reino Unido, describe la misma secuencia, en la que la clave privada nunca se comparte con el sitio web ni con el navegador.

FIDO afirma que durante el inicio de sesión no se transmite ningún dato personal ni biométrico. La huella digital o el escaneo facial solo se usan localmente para desbloquear la clave en tu dispositivo.

Por qué las claves de acceso resisten el phishing

La diferencia clave es que una clave de acceso está vinculada al dominio del sitio real. El NCSC explica que un autenticador FIDO solo ofrece credenciales que coinciden con el sitio en el que estás, y que la comprobación la realiza tu navegador o aplicación de confianza, por lo que una página falsa no puede influir en ella. No hay ninguna contraseña ni código que un sitio parecido pueda robar.

El NCSC compara este método con los segundos factores tradicionales y concluye que todos ellos, incluidos los códigos de las aplicaciones de autenticación, son vulnerables a los atacantes que retransmiten un inicio de sesión en tiempo real a través de una página falsa, mientras que las credenciales FIDO2 no lo son. También informó que, al momento de redactar este artículo, no se habían observado ataques contra la autenticación FIDO2 en sí en el mundo real, aunque los atacantes intentan que las cuentas pasen a métodos alternativos más débiles. Por eso, importa cuál es la opción de inicio de sesión más débil que todavía está habilitada en una cuenta.

Claves de acceso sincronizadas y vinculadas al dispositivo

Hay dos tipos de claves de acceso. Una clave de acceso sincronizada tiene una copia de seguridad a través de un servicio de sincronización y aparece en tus otros dispositivos, así que perder un dispositivo no implica perder el acceso. Una clave de acceso vinculada al dispositivo, como la guardada en una llave de seguridad física, permanece en ese único dispositivo y no se puede copiar.

Cada tipo tiene sus ventajas y desventajas. El NCSC recomienda proteger contra el phishing la cuenta asociada al servicio de sincronización y mantener un método seguro para recuperarla. También señala que, según su revisión de los principales servicios de sincronización propios en 2025, estos exigían autenticación de dos factores para guardar claves de acceso, mientras que los servicios de terceros tenían requisitos distintos. Para las claves de acceso vinculadas al dispositivo, recomienda registrar una copia de seguridad, ya que una llave perdida no se puede recuperar.

Qué no hacen las claves de acceso

Una clave de acceso protege el paso del inicio de sesión, no todo lo que lo rodea. No puede ayudarte si alguien tiene tu dispositivo y un PIN débil. Además, el NCSC señala que la recuperación de cuentas suele ser más débil que el propio inicio de sesión y que es un objetivo de los atacantes. Una clave de acceso tampoco es la clave de una billetera de criptomonedas. Te permite iniciar sesión en una cuenta, mientras que la frase semilla o la clave privada de una billetera controlada por vos determina el acceso a los fondos, y una clave de acceso no puede proteger ni reemplazar ninguna de las dos.

Recordatorio de WEEX: una clave de acceso no es una frase semilla

WEEX recuerda a los usuarios que una clave de acceso te permite iniciar sesión en una cuenta, mientras que una frase semilla o una clave privada controla una billetera de autocustodia. Nunca escribas una frase semilla en una página que te pida que la ingreses para “verificar” o “restaurar” una clave de acceso, y nunca la compartas con nadie, incluidas las personas que digan ser del equipo de soporte. Usá un PIN seguro en tus dispositivos, mantené actualizadas las opciones de recuperación de tu cuenta y verificá la dirección de un sitio antes de iniciar sesión. Nada de lo aquí expuesto constituye asesoramiento financiero.

Conclusión

Una clave de acceso reemplaza un secreto compartido por un par de claves, de modo que el sitio web nunca guarda algo que se pueda robar y reutilizar, y un sitio falso no tiene nada que recopilar. Por eso, es uno de los métodos de inicio de sesión más seguros disponibles para cuentas personales. Aun así, depende de un dispositivo seguro, de una cuenta de sincronización protegida y de un buen método de recuperación, y no hace nada para proteger la frase semilla de una billetera.

Preguntas frecuentes

1. ¿Qué es una clave de acceso?
Una clave de acceso es una credencial FIDO que te permite iniciar sesión en una aplicación o un sitio web con el mismo dato biométrico, PIN o patrón que usás para desbloquear tu dispositivo, en lugar de una contraseña.

2. ¿En qué se diferencia una clave de acceso de una contraseña?
Una contraseña es un secreto compartido que escribís y que el sitio almacena. Una clave de acceso es un par de claves: el sitio solo guarda la clave pública. Se crea una clave distinta para cada cuenta y se desbloquea en tu dispositivo.

3. ¿Una clave de acceso es autenticación de dos factores?
Cuando para iniciar sesión se requiere tu dato biométrico o PIN, se combina algo que tenés —la clave en tu dispositivo— con algo que sos o que sabés. FIDO afirma que esto puede reemplazar un código independiente, y el NCSC considera que equivale a la autenticación de dos factores.

4. ¿Se puede hacer phishing con una clave de acceso?
Está diseñada para resistir el phishing porque está vinculada al dominio del sitio real. Los atacantes todavía pueden intentar que una cuenta pase a un método alternativo más débil, así que las demás opciones de inicio de sesión de una cuenta también importan.

5. ¿Qué pasa si pierdo el dispositivo que tiene mi clave de acceso?
Una clave de acceso sincronizada está disponible en otros dispositivos de la misma cuenta de sincronización, o se puede restaurar recuperando esa cuenta en un dispositivo nuevo. Una clave de acceso vinculada al dispositivo no se puede copiar, por lo que necesitás una llave de respaldo u otro método de recuperación.