Introducción
Las passkeys basadas en FIDO2 son uno de los métodos de autenticación sin contraseña disponibles en Microsoft Entra ID. Su objetivo es reducir la dependencia de credenciales reutilizables —como contraseñas, códigos SMS o códigos de un solo uso enviados por correo— y mejorar la resistencia frente a ataques de phishing remoto.
A diferencia de una contraseña, una passkey no es un secreto que el usuario recuerde y escriba en una página web. Se basa en criptografía de clave pública: la clave privada permanece protegida en el dispositivo o autenticador del usuario, mientras que el servicio conserva la clave pública asociada. En cada inicio de sesión, Microsoft Entra valida una firma criptográfica generada localmente por el autenticador.
Esto permite construir flujos de acceso más seguros y, en muchos escenarios, más cómodos para el usuario. Pero no conviene tratar las passkeys como una simple casilla que se habilita en producción: su adopción requiere revisar compatibilidad de dispositivos, políticas de autenticación, procesos de recuperación y soporte operativo.
Qué son las passkeys FIDO2
Una passkey es una credencial de autenticación basada en estándares FIDO. En el contexto de Microsoft Entra ID, se encuadra dentro del método de autenticación Passkeys (FIDO2).
Sus propiedades principales son:
- Autenticación sin contraseña: el usuario no introduce una contraseña para completar el inicio de sesión.
- Criptografía de clave pública: se genera un par de claves. La clave privada permanece en el autenticador y la clave pública se registra en el servicio.
- Vinculación al origen: la credencial está asociada al sitio o aplicación para la que se creó, lo que dificulta su reutilización en sitios fraudulentos.
- Interacción local del usuario: el inicio de sesión requiere una acción local, como desbloquear el dispositivo, usar un PIN, biometría o interactuar con una llave de seguridad compatible.
- Resistencia al phishing remoto: al no exponer contraseñas ni códigos reutilizables, reduce de forma significativa la superficie de ataque frente a campañas de robo de credenciales.
Es importante matizar que “passkey” no significa siempre lo mismo en todos los dispositivos o proveedores. Dependiendo del autenticador, la credencial puede estar asociada a un dispositivo concreto o sincronizarse mediante un ecosistema compatible. En entornos corporativos, esa diferencia debe evaluarse desde el punto de vista de seguridad, recuperación y gobierno.
Cómo funcionan en Microsoft Entra ID
El flujo general de una passkey FIDO2 en Microsoft Entra ID puede resumirse así:
-
Registro de la credencial
El usuario registra una passkey mediante un autenticador compatible. Durante este proceso se genera un par de claves criptográficas. -
Almacenamiento de la clave privada
La clave privada queda protegida en el dispositivo, llave de seguridad o autenticador utilizado. No se envía a Microsoft Entra ID. -
Registro de la clave pública
Microsoft Entra ID conserva la clave pública asociada a esa credencial y al usuario correspondiente. -
Inicio de sesión
Cuando el usuario intenta autenticarse, Microsoft Entra ID envía un desafío criptográfico. -
Verificación local del usuario
El usuario desbloquea la passkey mediante el mecanismo local requerido: por ejemplo, PIN, biometría o interacción con una llave de seguridad. -
Validación por Microsoft Entra ID
El autenticador firma el desafío con la clave privada. Microsoft Entra ID valida esa firma con la clave pública registrada.
El resultado es un inicio de sesión en el que no se transmite una contraseña ni un código de un solo uso que pueda ser capturado y reutilizado fácilmente por un atacante remoto.
Requisitos y consideraciones previas
Antes de habilitar passkeys FIDO2 en una organización, conviene revisar al menos los siguientes puntos.
1. Compatibilidad de usuarios y dispositivos
No todos los dispositivos, navegadores, sistemas operativos o autenticadores ofrecen la misma experiencia con FIDO2. Es recomendable validar:
- sistemas operativos soportados por la organización;
- navegadores utilizados en entornos corporativos;
- uso de dispositivos gestionados o personales;
- disponibilidad de llaves de seguridad físicas, si forman parte de la estrategia;
- compatibilidad con los escenarios de acceso habituales: web, aplicaciones SaaS, escritorios compartidos, dispositivos móviles, etc.
2. Métodos de autenticación permitidos
Las passkeys FIDO2 deben configurarse dentro de la estrategia global de métodos de autenticación. En muchos entornos no se sustituyen todos los métodos de golpe, sino que se despliegan por fases.
Es habitual mantener métodos alternativos para:
- recuperación de cuenta;
- incorporación de nuevos usuarios;
- pérdida o sustitución de dispositivo;
- colectivos que todavía no cumplen los requisitos técnicos;
- cuentas administrativas con procesos de acceso reforzados.
3. Políticas de acceso condicional
Las passkeys pueden formar parte de una estrategia más amplia de Conditional Access, pero no deben configurarse de forma aislada. La política de acceso debería tener en cuenta:
- nivel de riesgo del usuario o del inicio de sesión;
- ubicación y red;
- cumplimiento o administración del dispositivo;
- criticidad de la aplicación;
- requisitos de autenticación fuerte;
- excepciones controladas para escenarios de soporte y continuidad.
4. Procesos de recuperación
Un riesgo frecuente en despliegues passwordless es no diseñar bien la recuperación. Si un usuario pierde su dispositivo o llave de seguridad, la organización debe contar con un proceso claro para recuperar el acceso sin debilitar la seguridad.
Ese proceso debería incluir:
- verificación de identidad del usuario;
- revocación de credenciales perdidas;
- registro de una nueva passkey;
- trazabilidad de la operación;
- procedimientos específicos para usuarios privilegiados.
Configuración en Microsoft Entra ID
La configuración se realiza desde las opciones de métodos de autenticación de Microsoft Entra ID. La nomenclatura exacta de los menús puede variar con el tiempo, pero el enfoque administrativo es el siguiente:
- Acceder al centro de administración de Microsoft Entra.
- Ir a la sección de métodos de autenticación.
- Revisar la política correspondiente a Passkeys (FIDO2) o FIDO2 security keys, según aparezca en el portal.
- Habilitar el método para todos los usuarios o para grupos seleccionados.
- Definir restricciones o parámetros admitidos por la plataforma, si aplica.
- Guardar los cambios y validar el comportamiento con un grupo piloto.
Para un despliegue controlado, es preferible empezar con grupos reducidos y representativos: usuarios técnicos, perfiles móviles, perfiles administrativos y usuarios con distintos tipos de dispositivo.
Registro de una passkey por parte del usuario
Una vez habilitado el método para el usuario o grupo correspondiente, el usuario debe registrar su credencial.
El flujo habitual es:
- Acceder a la página de información de seguridad de la cuenta corporativa.
- Elegir la opción para agregar un nuevo método de inicio de sesión.
- Seleccionar el método FIDO2/passkey disponible.
- Seguir las instrucciones del navegador, sistema operativo o llave de seguridad.
- Completar la verificación local requerida.
- Confirmar que el método aparece registrado en la cuenta.
Durante este proceso es importante que el usuario entienda qué dispositivo o autenticador está registrando. En entornos empresariales, conviene acompañar el despliegue con una guía interna clara y capturas adaptadas a los dispositivos aprobados por la organización.
Buenas prácticas de despliegue
Empezar con un piloto
Antes de habilitar passkeys de forma masiva, conviene validar el escenario con un piloto. Ese piloto debería cubrir:
- distintos sistemas operativos;
- navegadores corporativos;
- usuarios con y sin dispositivo gestionado;
- aplicaciones críticas;
- usuarios remotos;
- usuarios con necesidades de accesibilidad;
- casos de pérdida o sustitución de dispositivo.
Definir una estrategia por perfiles
No todos los usuarios tienen los mismos requisitos. Una estrategia madura suele diferenciar entre:
- usuarios estándar;
- personal técnico;
- usuarios con acceso a información sensible;
- administradores;
- cuentas de emergencia o break-glass;
- personal externo o colaboradores.
Para cuentas privilegiadas, la adopción de métodos resistentes al phishing es especialmente relevante, pero debe integrarse con controles adicionales como separación de cuentas, mínimo privilegio, revisión de roles y monitorización.
Mantener métodos alternativos controlados
Eliminar contraseñas y métodos débiles es un objetivo razonable, pero debe hacerse de forma progresiva. Mientras dure la transición, es habitual mantener métodos alternativos, aunque limitados y monitorizados.
La clave es evitar que un método de recuperación débil anule el beneficio de adoptar passkeys. Si un usuario puede iniciar sesión con passkey, pero también puede recuperar acceso mediante un canal fácilmente comprometible, la postura de seguridad global seguirá siendo limitada.
Monitorizar adopción y errores
Después de habilitar el método, conviene revisar:
- tasas de registro;
- errores de autenticación;
- usuarios bloqueados;
- patrones de uso por aplicación;
- incidencias de soporte;
- intentos de acceso con métodos heredados;
- señales de riesgo relacionadas con identidad.
La adopción de passkeys no es solo un cambio técnico: también afecta a soporte, comunicación interna y hábitos de los usuarios.
Beneficios principales
Mayor resistencia frente al phishing
Las passkeys FIDO2 están diseñadas para reducir el riesgo de phishing remoto. Al estar basadas en criptografía de clave pública y vinculadas al origen, no funcionan como una contraseña que pueda copiarse y reutilizarse en otro sitio.
Esto no elimina todos los riesgos de identidad, pero sí reduce de manera importante los ataques basados en captura de contraseñas, códigos SMS o códigos de un solo uso.
Menos dependencia de contraseñas
Las contraseñas generan fricción operativa: restablecimientos, reutilización, credenciales débiles, almacenamiento inseguro y soporte recurrente. Las passkeys permiten avanzar hacia modelos passwordless en los que el usuario no necesita recordar ni introducir una contraseña para cada acceso.
Mejor experiencia de usuario
Cuando el dispositivo y el navegador son compatibles, la experiencia puede ser más rápida que un flujo tradicional con contraseña y segundo factor. El usuario puede autenticarse mediante una acción local, como desbloquear su dispositivo o usar una llave de seguridad.
Alineación con una estrategia Zero Trust
Las passkeys encajan bien en una arquitectura Zero Trust porque refuerzan la comprobación explícita de identidad y reducen la dependencia de secretos compartidos. Aun así, deben combinarse con otros controles: acceso condicional, cumplimiento de dispositivo, mínimo privilegio, segmentación y monitorización continua.
Limitaciones y riesgos a tener en cuenta
Compatibilidad desigual
La experiencia puede variar según dispositivo, sistema operativo, navegador y autenticador. Por eso es importante probar los escenarios reales antes de un despliegue amplio.
Recuperación de cuenta
La pérdida del dispositivo o de la llave de seguridad puede bloquear al usuario si no existe un proceso de recuperación bien definido. Este punto es crítico en usuarios privilegiados.
Dependencia de la configuración local
Aunque la clave privada no se envía al servicio, el acceso a la passkey depende de la seguridad local del dispositivo o autenticador. Es necesario aplicar controles de gestión de dispositivos, cifrado, bloqueo, actualización y cumplimiento.
Falsa sensación de seguridad
Adoptar passkeys no sustituye a una estrategia completa de seguridad de identidad. Siguen siendo necesarios controles como:
- revisión de accesos;
- detección de riesgo;
- protección de sesiones;
- políticas de acceso condicional;
- gobierno de identidades;
- gestión de dispositivos;
- formación de usuarios;
- monitorización y respuesta ante incidentes.
Recomendaciones para organizaciones
Para una adopción ordenada de passkeys FIDO2 en Microsoft Entra ID, una hoja de ruta práctica podría ser:
- Inventariar dispositivos y navegadores usados por la organización.
- Definir qué autenticadores se permiten: dispositivos integrados, llaves de seguridad físicas u otras opciones compatibles.
- Habilitar el método en un grupo piloto.
- Documentar el proceso de registro para los usuarios.
- Probar escenarios de pérdida y recuperación antes del despliegue masivo.
- Ajustar políticas de acceso condicional para aplicaciones críticas.
- Medir adopción y errores durante las primeras semanas.
- Reducir progresivamente métodos más débiles, cuando sea viable y seguro.
- Aplicar controles reforzados a cuentas privilegiadas.
- Revisar periódicamente la configuración y los métodos permitidos.
Conclusión
Las passkeys FIDO2 en Microsoft Entra ID son una opción sólida para avanzar hacia autenticación sin contraseña y mejorar la resistencia frente al phishing remoto. Su valor principal está en sustituir secretos reutilizables por credenciales criptográficas vinculadas al origen y protegidas localmente.
Aun así, no deben desplegarse como una medida aislada. Para obtener beneficios reales, es necesario acompañarlas de una estrategia de identidad bien diseñada: acceso condicional, recuperación segura, gobierno de dispositivos, soporte al usuario y monitorización continua.
En organizaciones que ya utilizan Microsoft Entra ID, las passkeys pueden ser una pieza importante para reducir el riesgo asociado a contraseñas y métodos de autenticación más expuestos, siempre que se implementen con planificación y controles adecuados.