Google ha publicado el 8 de octubre una guía breve para crear una passkey en una cuenta personal. La propuesta consiste en entrar con el mismo método que desbloquea el teléfono u ordenador, como la huella, el rostro o el PIN, en lugar de escribir una contraseña. La biometría permanece en el dispositivo y no se envía a Google.
Para activarla hay que abrir g.co/passkeys, iniciar sesión, seleccionar la creación de una passkey y confirmar con el bloqueo del dispositivo. No conviene hacerlo en un ordenador compartido. Añadirla no borra la contraseña ni los métodos de recuperación existentes, por lo que la transición puede hacerse sin depender desde el primer momento de una sola credencial.
Por qué una web falsa no puede pedirla
Google Developers explica que una passkey es un par de claves criptográficas vinculado a una cuenta y a un dominio. El servicio guarda la parte pública. La privada permanece protegida por el dispositivo o el gestor de credenciales. Al iniciar sesión, el servidor envía un reto y el dispositivo lo firma después de que el usuario se identifique con su bloqueo de pantalla.
La clave funciona únicamente con el sitio que la registró. El navegador y el sistema operativo comprueban esa relación, por lo que una copia visual de la página de Google no puede solicitar la misma credencial. El usuario no tiene un secreto que copiar en el formulario falso. FIDO Alliance clasifica las passkeys como resistentes al phishing por esa vinculación al nombre del verificador.
Resistencia no significa invulnerabilidad. Una sesión ya abierta puede ser robada por otros medios y una persona con acceso al dispositivo y a su PIN podría utilizar la passkey. El bloqueo de pantalla pasa a ser una pieza central de la cuenta. Conviene elegir un código difícil de adivinar y activar las protecciones frente al robo disponibles en el teléfono.
Dispositivos y navegadores compatibles
La ayuda de Google admite Windows 10, macOS Ventura y ChromeOS 109 o versiones posteriores. En teléfonos, el mínimo indicado es Android 9 o iOS 16. Chrome y Edge necesitan la versión 109, Safari la 16 y Firefox la 122. El móvil debe tener bloqueo de pantalla. Para usarlo como llave al entrar desde otro ordenador, Bluetooth ayuda a demostrar que ambos dispositivos están cerca.
Una cuenta administrada por una empresa o un centro educativo puede aplicar otras reglas. El administrador de Google Workspace decide si la passkey permite omitir la contraseña o si funciona solo como segundo factor, método de recuperación o confirmación de una operación sensible. Por eso la pantalla disponible en una cuenta de trabajo puede diferir de la personal.
Con verificación en dos pasos, la passkey puede sustituir el segundo paso porque ya demuestra posesión y desbloqueo del dispositivo. Esa comodidad evita códigos SMS o de una aplicación en muchos accesos, pero hace recomendable conservar vías de recuperación actualizadas.
Dónde se guarda y cómo se sincroniza
La documentación de compatibilidad de Android y Chrome señala que Google Password Manager cifra las passkeys de extremo a extremo antes de sincronizarlas. En un entorno nuevo hay que desbloquearlas con el método previsto, como el PIN del gestor o el bloqueo de un Android asociado. Chrome puede utilizarlas en Windows, macOS, Linux y ChromeOS.
En iPhone y iPad, una passkey puede quedar en el llavero de iCloud o en la aplicación Contraseñas. Las versiones recientes de iOS permiten configurar Google Password Manager como proveedor para Chrome. Android 14 y posteriores también dejan elegir gestores compatibles de terceros. La web que recibe el inicio de sesión no necesita saber en qué proveedor se guardó hasta que este entrega una credencial válida.
También se puede usar una passkey que está en otro teléfono sin sincronizarla con el ordenador. El equipo muestra un código QR, el móvil lo escanea y confirma el acceso cercano. Esta opción resulta útil en un ordenador ocasional, siempre que se compruebe que el dominio mostrado es el correcto y no se guarde allí una nueva credencial.
Preparar la recuperación antes de depender de ella
Perder un teléfono no debería bloquear la cuenta si la passkey estaba sincronizada o existe otro método de acceso. Aun así, es prudente revisar el correo y el número de recuperación, mantener más de un dispositivo fiable y eliminar las credenciales asociadas a aparatos vendidos o extraviados.
La sección de seguridad de Google muestra las passkeys registradas. Una revisión periódica sirve para reconocer cada dispositivo y retirar lo que ya no se utiliza. Si desaparece un móvil, además de borrar su passkey hay que cerrar sus sesiones y usar las herramientas de localización o borrado remoto que ofrezca el sistema.
El cambio no exige abandonar todas las contraseñas en un día. Puede empezarse por la cuenta de Google, comprobar el acceso desde los dispositivos habituales y conservar la recuperación preparada. La ventaja práctica es clara: el inicio se parece a desbloquear el teléfono y la credencial no puede escribirse en otro dominio. La seguridad final seguirá dependiendo de proteger el dispositivo y de mantener limpia la lista de accesos.
