Antes de activar passkeys en tu sitio, resuelve esto: qué pasa cuando un cliente pierde el celular y no puede entrar a su cuenta

Las passkeys son, sin exagerar, la mejora de seguridad de autenticación más importante en años. Reemplazan la contraseña por una llave criptográfica ligada a tu dispositivo (huella, rostro o PIN), lo que las hace resistentes al phishing de una forma que ninguna contraseña, por larga o compleja que sea, puede igualar — no hay nada que "regalarle" a un sitio falso porque no hay una cadena de texto que robar. La adopción ya no es un experimento: la FIDO Alliance reporta más de 5.000 millones de passkeys activas en el mundo, con cerca de 1.300 millones de autenticaciones al mes, el doble que hace un año. Y el motivo de fondo es contundente: distintos análisis de la industria coinciden en que alrededor del 70% de las brechas de seguridad tienen que ver, de una forma u otra, con contraseñas comprometidas o reutilizadas.

Con esos números, la tentación de sumar "iniciar sesión con passkey" a tu sitio, tu tienda online o tu app es totalmente razonable. El problema no es la tecnología — es lo que casi nadie resuelve antes de activarla: ¿qué pasa cuando alguien pierde el dispositivo donde vive su passkey y no tiene ningún otro método configurado?

Con una contraseña, la respuesta siempre fue simple, aunque imperfecta: "olvidé mi contraseña", un correo de recuperación, listo. Con una passkey, no existe ese mismo camino de vuelta por diseño — es justamente lo que la hace segura. Si el usuario tenía la passkey sincronizada en el ecosistema de Apple, Google o Microsoft y todavía tiene acceso a esa cuenta desde otro dispositivo, la recuperación es razonablemente fluida. Pero si perdió el único dispositivo, no tenía sincronización activada, o simplemente no entendía bien qué estaba configurando la primera vez —algo mucho más común de lo que cualquiera que ofrece soporte técnico quisiera admitir—, la cuenta queda efectivamente bloqueada, y el "correo de recuperación" de toda la vida ya no está ahí para salvarlo.

Esto no es una advertencia teórica: hasta los propios centros de ayuda de plataformas grandes (Microsoft, Square, y varias más) tienen artículos dedicados exclusivamente a qué hacer cuando una passkey deja de funcionar o el dispositivo se pierde, y organizaciones de defensa del consumidor ya están avisando explícitamente que las passkeys "pueden complicar la recuperación de una cuenta" si no se configuran con cuidado. Para una plataforma del tamaño de Google o Apple, con equipos enteros dedicados a procesos de recuperación de identidad, esto es un problema manejable. Para un negocio pequeño o mediano que activó passkeys en su tienda porque un plugin lo ofrecía con un clic, es un ticket de soporte que nadie en el equipo sabe resolver, multiplicado por cada cliente que pierda su teléfono.

La recomendación práctica, antes de sumar passkeys a cualquier sitio que administres, es simple pero fácil de saltarse en el apuro de "modernizar" el login: nunca las actives como método único y obligatorio, al menos no todavía. Mantén siempre un segundo camino de recuperación real —verificación por correo con un paso adicional, o una cuenta de respaldo vinculada— y, lo más importante, pruébalo tú mismo antes de lanzarlo: crea una cuenta de prueba, simula perder el dispositivo, e intenta recuperar el acceso siguiendo exactamente el flujo que le vas a ofrecer a un cliente real. Si te cuesta trabajo a ti, que sabes cómo funciona la tecnología por dentro, imagina lo que le va a costar a alguien que nunca había escuchado la palabra "passkey" antes de esta semana.

Adoptar passkeys es la dirección correcta, y cuanto antes lo hagas, mejor para la seguridad de tus usuarios. Adoptarlas sin haber resuelto primero el peor caso —el cliente que pierde el celular un viernes a las 8pm— es cambiar un problema de seguridad conocido por un problema de soporte que todavía no sabes cómo vas a manejar.