Blog Azure Security Security Microsoft Entra FIDO2 Passkeys Passwordless

Autenticación con Passkeys (FIDO2) en Microsoft Entra: Seguridad sin contraseñas

Ilustración de autenticación sin contraseña con passkeys FIDO2 en Microsoft Entra

Introducción

Las passkeys basadas en FIDO2 son uno de los métodos de autenticación sin contraseña disponibles en Microsoft Entra ID. Su objetivo es reducir la dependencia de credenciales reutilizables —como contraseñas, códigos SMS o códigos de un solo uso enviados por correo— y mejorar la resistencia frente a ataques de phishing remoto.

A diferencia de una contraseña, una passkey no es un secreto que el usuario recuerde y escriba en una página web. Se basa en criptografía de clave pública: la clave privada permanece protegida en el dispositivo o autenticador del usuario, mientras que el servicio conserva la clave pública asociada. En cada inicio de sesión, Microsoft Entra valida una firma criptográfica generada localmente por el autenticador.

Esto permite construir flujos de acceso más seguros y, en muchos escenarios, más cómodos para el usuario. Pero no conviene tratar las passkeys como una simple casilla que se habilita en producción: su adopción requiere revisar compatibilidad de dispositivos, políticas de autenticación, procesos de recuperación y soporte operativo.


Qué son las passkeys FIDO2

Una passkey es una credencial de autenticación basada en estándares FIDO. En el contexto de Microsoft Entra ID, se encuadra dentro del método de autenticación Passkeys (FIDO2).

Sus propiedades principales son:

  • Autenticación sin contraseña: el usuario no introduce una contraseña para completar el inicio de sesión.
  • Criptografía de clave pública: se genera un par de claves. La clave privada permanece en el autenticador y la clave pública se registra en el servicio.
  • Vinculación al origen: la credencial está asociada al sitio o aplicación para la que se creó, lo que dificulta su reutilización en sitios fraudulentos.
  • Interacción local del usuario: el inicio de sesión requiere una acción local, como desbloquear el dispositivo, usar un PIN, biometría o interactuar con una llave de seguridad compatible.
  • Resistencia al phishing remoto: al no exponer contraseñas ni códigos reutilizables, reduce de forma significativa la superficie de ataque frente a campañas de robo de credenciales.

Es importante matizar que “passkey” no significa siempre lo mismo en todos los dispositivos o proveedores. Dependiendo del autenticador, la credencial puede estar asociada a un dispositivo concreto o sincronizarse mediante un ecosistema compatible. En entornos corporativos, esa diferencia debe evaluarse desde el punto de vista de seguridad, recuperación y gobierno.


Cómo funcionan en Microsoft Entra ID

El flujo general de una passkey FIDO2 en Microsoft Entra ID puede resumirse así:

  1. Registro de la credencial
    El usuario registra una passkey mediante un autenticador compatible. Durante este proceso se genera un par de claves criptográficas.

  2. Almacenamiento de la clave privada
    La clave privada queda protegida en el dispositivo, llave de seguridad o autenticador utilizado. No se envía a Microsoft Entra ID.

  3. Registro de la clave pública
    Microsoft Entra ID conserva la clave pública asociada a esa credencial y al usuario correspondiente.

  4. Inicio de sesión
    Cuando el usuario intenta autenticarse, Microsoft Entra ID envía un desafío criptográfico.

  5. Verificación local del usuario
    El usuario desbloquea la passkey mediante el mecanismo local requerido: por ejemplo, PIN, biometría o interacción con una llave de seguridad.

  6. Validación por Microsoft Entra ID
    El autenticador firma el desafío con la clave privada. Microsoft Entra ID valida esa firma con la clave pública registrada.

El resultado es un inicio de sesión en el que no se transmite una contraseña ni un código de un solo uso que pueda ser capturado y reutilizado fácilmente por un atacante remoto.


Requisitos y consideraciones previas

Antes de habilitar passkeys FIDO2 en una organización, conviene revisar al menos los siguientes puntos.

1. Compatibilidad de usuarios y dispositivos

No todos los dispositivos, navegadores, sistemas operativos o autenticadores ofrecen la misma experiencia con FIDO2. Es recomendable validar:

  • sistemas operativos soportados por la organización;
  • navegadores utilizados en entornos corporativos;
  • uso de dispositivos gestionados o personales;
  • disponibilidad de llaves de seguridad físicas, si forman parte de la estrategia;
  • compatibilidad con los escenarios de acceso habituales: web, aplicaciones SaaS, escritorios compartidos, dispositivos móviles, etc.

2. Métodos de autenticación permitidos

Las passkeys FIDO2 deben configurarse dentro de la estrategia global de métodos de autenticación. En muchos entornos no se sustituyen todos los métodos de golpe, sino que se despliegan por fases.

Es habitual mantener métodos alternativos para:

  • recuperación de cuenta;
  • incorporación de nuevos usuarios;
  • pérdida o sustitución de dispositivo;
  • colectivos que todavía no cumplen los requisitos técnicos;
  • cuentas administrativas con procesos de acceso reforzados.

3. Políticas de acceso condicional

Las passkeys pueden formar parte de una estrategia más amplia de Conditional Access, pero no deben configurarse de forma aislada. La política de acceso debería tener en cuenta:

  • nivel de riesgo del usuario o del inicio de sesión;
  • ubicación y red;
  • cumplimiento o administración del dispositivo;
  • criticidad de la aplicación;
  • requisitos de autenticación fuerte;
  • excepciones controladas para escenarios de soporte y continuidad.

4. Procesos de recuperación

Un riesgo frecuente en despliegues passwordless es no diseñar bien la recuperación. Si un usuario pierde su dispositivo o llave de seguridad, la organización debe contar con un proceso claro para recuperar el acceso sin debilitar la seguridad.

Ese proceso debería incluir:

  • verificación de identidad del usuario;
  • revocación de credenciales perdidas;
  • registro de una nueva passkey;
  • trazabilidad de la operación;
  • procedimientos específicos para usuarios privilegiados.

Configuración en Microsoft Entra ID

La configuración se realiza desde las opciones de métodos de autenticación de Microsoft Entra ID. La nomenclatura exacta de los menús puede variar con el tiempo, pero el enfoque administrativo es el siguiente:

  1. Acceder al centro de administración de Microsoft Entra.
  2. Ir a la sección de métodos de autenticación.
  3. Revisar la política correspondiente a Passkeys (FIDO2) o FIDO2 security keys, según aparezca en el portal.
  4. Habilitar el método para todos los usuarios o para grupos seleccionados.
  5. Definir restricciones o parámetros admitidos por la plataforma, si aplica.
  6. Guardar los cambios y validar el comportamiento con un grupo piloto.

Para un despliegue controlado, es preferible empezar con grupos reducidos y representativos: usuarios técnicos, perfiles móviles, perfiles administrativos y usuarios con distintos tipos de dispositivo.


Registro de una passkey por parte del usuario

Una vez habilitado el método para el usuario o grupo correspondiente, el usuario debe registrar su credencial.

El flujo habitual es:

  1. Acceder a la página de información de seguridad de la cuenta corporativa.
  2. Elegir la opción para agregar un nuevo método de inicio de sesión.
  3. Seleccionar el método FIDO2/passkey disponible.
  4. Seguir las instrucciones del navegador, sistema operativo o llave de seguridad.
  5. Completar la verificación local requerida.
  6. Confirmar que el método aparece registrado en la cuenta.

Durante este proceso es importante que el usuario entienda qué dispositivo o autenticador está registrando. En entornos empresariales, conviene acompañar el despliegue con una guía interna clara y capturas adaptadas a los dispositivos aprobados por la organización.


Buenas prácticas de despliegue

Empezar con un piloto

Antes de habilitar passkeys de forma masiva, conviene validar el escenario con un piloto. Ese piloto debería cubrir:

  • distintos sistemas operativos;
  • navegadores corporativos;
  • usuarios con y sin dispositivo gestionado;
  • aplicaciones críticas;
  • usuarios remotos;
  • usuarios con necesidades de accesibilidad;
  • casos de pérdida o sustitución de dispositivo.

Definir una estrategia por perfiles

No todos los usuarios tienen los mismos requisitos. Una estrategia madura suele diferenciar entre:

  • usuarios estándar;
  • personal técnico;
  • usuarios con acceso a información sensible;
  • administradores;
  • cuentas de emergencia o break-glass;
  • personal externo o colaboradores.

Para cuentas privilegiadas, la adopción de métodos resistentes al phishing es especialmente relevante, pero debe integrarse con controles adicionales como separación de cuentas, mínimo privilegio, revisión de roles y monitorización.

Mantener métodos alternativos controlados

Eliminar contraseñas y métodos débiles es un objetivo razonable, pero debe hacerse de forma progresiva. Mientras dure la transición, es habitual mantener métodos alternativos, aunque limitados y monitorizados.

La clave es evitar que un método de recuperación débil anule el beneficio de adoptar passkeys. Si un usuario puede iniciar sesión con passkey, pero también puede recuperar acceso mediante un canal fácilmente comprometible, la postura de seguridad global seguirá siendo limitada.

Monitorizar adopción y errores

Después de habilitar el método, conviene revisar:

  • tasas de registro;
  • errores de autenticación;
  • usuarios bloqueados;
  • patrones de uso por aplicación;
  • incidencias de soporte;
  • intentos de acceso con métodos heredados;
  • señales de riesgo relacionadas con identidad.

La adopción de passkeys no es solo un cambio técnico: también afecta a soporte, comunicación interna y hábitos de los usuarios.


Beneficios principales

Mayor resistencia frente al phishing

Las passkeys FIDO2 están diseñadas para reducir el riesgo de phishing remoto. Al estar basadas en criptografía de clave pública y vinculadas al origen, no funcionan como una contraseña que pueda copiarse y reutilizarse en otro sitio.

Esto no elimina todos los riesgos de identidad, pero sí reduce de manera importante los ataques basados en captura de contraseñas, códigos SMS o códigos de un solo uso.

Menos dependencia de contraseñas

Las contraseñas generan fricción operativa: restablecimientos, reutilización, credenciales débiles, almacenamiento inseguro y soporte recurrente. Las passkeys permiten avanzar hacia modelos passwordless en los que el usuario no necesita recordar ni introducir una contraseña para cada acceso.

Mejor experiencia de usuario

Cuando el dispositivo y el navegador son compatibles, la experiencia puede ser más rápida que un flujo tradicional con contraseña y segundo factor. El usuario puede autenticarse mediante una acción local, como desbloquear su dispositivo o usar una llave de seguridad.

Alineación con una estrategia Zero Trust

Las passkeys encajan bien en una arquitectura Zero Trust porque refuerzan la comprobación explícita de identidad y reducen la dependencia de secretos compartidos. Aun así, deben combinarse con otros controles: acceso condicional, cumplimiento de dispositivo, mínimo privilegio, segmentación y monitorización continua.


Limitaciones y riesgos a tener en cuenta

Compatibilidad desigual

La experiencia puede variar según dispositivo, sistema operativo, navegador y autenticador. Por eso es importante probar los escenarios reales antes de un despliegue amplio.

Recuperación de cuenta

La pérdida del dispositivo o de la llave de seguridad puede bloquear al usuario si no existe un proceso de recuperación bien definido. Este punto es crítico en usuarios privilegiados.

Dependencia de la configuración local

Aunque la clave privada no se envía al servicio, el acceso a la passkey depende de la seguridad local del dispositivo o autenticador. Es necesario aplicar controles de gestión de dispositivos, cifrado, bloqueo, actualización y cumplimiento.

Falsa sensación de seguridad

Adoptar passkeys no sustituye a una estrategia completa de seguridad de identidad. Siguen siendo necesarios controles como:

  • revisión de accesos;
  • detección de riesgo;
  • protección de sesiones;
  • políticas de acceso condicional;
  • gobierno de identidades;
  • gestión de dispositivos;
  • formación de usuarios;
  • monitorización y respuesta ante incidentes.

Recomendaciones para organizaciones

Para una adopción ordenada de passkeys FIDO2 en Microsoft Entra ID, una hoja de ruta práctica podría ser:

  1. Inventariar dispositivos y navegadores usados por la organización.
  2. Definir qué autenticadores se permiten: dispositivos integrados, llaves de seguridad físicas u otras opciones compatibles.
  3. Habilitar el método en un grupo piloto.
  4. Documentar el proceso de registro para los usuarios.
  5. Probar escenarios de pérdida y recuperación antes del despliegue masivo.
  6. Ajustar políticas de acceso condicional para aplicaciones críticas.
  7. Medir adopción y errores durante las primeras semanas.
  8. Reducir progresivamente métodos más débiles, cuando sea viable y seguro.
  9. Aplicar controles reforzados a cuentas privilegiadas.
  10. Revisar periódicamente la configuración y los métodos permitidos.

Conclusión

Las passkeys FIDO2 en Microsoft Entra ID son una opción sólida para avanzar hacia autenticación sin contraseña y mejorar la resistencia frente al phishing remoto. Su valor principal está en sustituir secretos reutilizables por credenciales criptográficas vinculadas al origen y protegidas localmente.

Aun así, no deben desplegarse como una medida aislada. Para obtener beneficios reales, es necesario acompañarlas de una estrategia de identidad bien diseñada: acceso condicional, recuperación segura, gobierno de dispositivos, soporte al usuario y monitorización continua.

En organizaciones que ya utilizan Microsoft Entra ID, las passkeys pueden ser una pieza importante para reducir el riesgo asociado a contraseñas y métodos de autenticación más expuestos, siempre que se implementen con planificación y controles adecuados.