Ya ni Google, ni Apple, ni los bancos: todos los sitios quieren meterme una passkey. Por un tiempo las acepté sin pensarlo mucho, porque la criptografÃa detrás (WebAuthn) es sólida y honestamente es más cómodo que escribir una contraseña de dieciséis caracteres a las once de la noche después de la pega. Pero esta semana apareció en HackerNews un artÃculo que se volvió viral defendiendo lo contrario — las passkeys son una trampa, no las uses — y me quedó dando vueltas. Lo revisé con calma y, weón, tiene bastante razón en lo importante.
No existe «la passkey»
La primera sorpresa es que la palabra «passkey» no designa una sola cosa. El estándar es un catálogo: hay llaves respaldadas por hardware (el TPM de tu notebook, el Secure Enclave del iPhone) y otras de software; hay copiables y no copiables; transferibles y no transferibles; que exigen biometrÃa y que no. Todo eso son «passkeys» en la interfaz, con el mismo branding, aunque se comporten distinto entre sÃ. Si algún dÃa un servicio te dice «tu passkey no es suficientemente segura», puede estar pidiendo una variedad completamente distinta de la que tú creaste, sin explicarte nada. El estándar apenas usa el término; el marketing lo hizo famoso.
El detalle incómodo se llama atestación
El estándar lleva un campo de banderas — UP (usuario presente), UV (usuario verificado), BE (respaldable/copiable) — que tu software reporta al servidor en cada login. La que me cambió la mirada sobre el tema es la bandera AT: atestación remota. Con ella, el chip seguro del dispositivo certifica criptográficamente al sitio que estás usando un gestor de passkeys aprobado, no uno propio.
¿Por qué importa? Porque un passkey de software normal puede, técnicamente, mentir sobre sus banderas. Uno atestado no puede. Y atado a la atestación va un requisito real: que el chip, el sistema operativo y el firmware del equipo pasen la verificación. Traducción concreta: si tu teléfono quedó sin actualizaciones y le instalaste LineageOS para alargarle la vida, puedes quedar deslogueado de servicios que exigieran atestación. Lo mismo con Linux en el escritorio, o cualquier cosa que la empresa dueña de la plataforma no haya bendecido.
Por qué esto me toca directo
Administro servidores y mi seguridad vive en tres cosas: llaves SSH, un gestor de contraseñas que yo controlo, y TOTP (el código de 30 segundos del RFC 6238). Con TOTP el seed es mÃo: un archivo en mi bóveda, funciona offline, corre en un celular viejo y hasta en una Game Boy si te aburres. Con una contraseña, siempre hay un plan B — la migras, la rotas, la guardas donde quieras. Con un passkey respaldado por hardware, la llave muere con el dispositivo. Todos los que alguna vez perdieron un celular mojado o formatearon el notebook de emergencia saben lo que significa eso si el servicio no ofrece ruta de recuperación.
Mi posición: no es la criptografÃa, es quién queda con el control. WebAuthn es elegante; el problema está en la banda de atestación que convierte «tu llave» en «la llave que ciertos fabricantes te autorizan a usar, siempre que tu equipo cumpla sus condiciones». Que la bandera AT no sea obligatoria hoy no me consuela: con la misma lógica, hace diez años decÃan que las contraseñas no iban a desaparecer y mira cómo estamos.
Asà que el consejo práctico es simple: donde te ofrezcan passkey, activa también contraseña + TOTP y ten claro cuál de los dos factores es el que realmente puedes recuperar. Y cuidado con el passkey como único factor: no es más seguridad, es menos autonomÃa.
Fuente de inspiración: Passkeys are a trap. Do not use them. – Non-Functional
