Llaves de acceso (passkeys): cómo dejar las contraseñas en Google, Apple, Microsoft y WhatsApp

Google, Microsoft y WhatsApp dejan crear hoy una llave de acceso desde sus ajustes de seguridad. Con ella entras con la huella o el PIN del móvil en lugar de escribir la contraseña o esperar un SMS. Apple juega otro papel: el iPhone y el Mac guardan esas llaves en la app Contraseñas.

El sitio donde guardes la primera llave decide qué pasa el día que pierdas el móvil.

Una llave de acceso (passkey en inglés) es un par de claves que tu dispositivo crea para una cuenta concreta. El servicio se queda con la clave pública y nunca llega a ver la privada, que es la que abre la puerta. Además cada llave va atada a la web para la que se creó. Una llave de netflix.com solo funciona en netflix.com, y en una página que la imite el móvil ni la ofrece. Por eso resiste el phishing mucho mejor que una contraseña. Tu huella o tu cara se comprueban en tu aparato y no se envían a Google.

Sincronizadas o ligadas a un aparato

La FIDO Alliance, el grupo que escribe el estándar, separa dos clases de llaves. Las sincronizadas viajan cifradas entre tus dispositivos a través de una cuenta en la nube. Las ligadas a un dispositivo nunca salen de él, como las de una llave de seguridad física. El sitio donde acaba cada una lo eliges en la ventana que sale al crearla:

Dónde	¿Pasa a tus otros aparatos?	Si pierdes el aparato
Gestor de contraseñas de Google (Android y Chrome)	Sí, con tu cuenta de Google	Las recuperas en otro con el PIN del gestor o el de bloqueo de tu Android
App Contraseñas de Apple (iPhone, iPad y Mac)	Sí, con el Llavero de iCloud	Se recuperan aunque pierdas todos tus aparatos Apple
Administrador de contraseñas de Microsoft (Edge)	Sí, con tu cuenta personal de Microsoft	Siguen en tu cuenta de Microsoft
Gestores como Bitwarden o 1Password	Sí, con la cuenta del gestor	Siguen en el gestor
Windows Hello	No, se quedan en ese PC	Se pierden, también si reinstalas Windows
Llave de seguridad física FIDO2	No, viven en la llave	Se pierden con ella

Ojo con la fila de Windows Hello, porque esas llaves no tienen copia y guardarlas en el PC parece lo más natural. Por eso Microsoft aconseja usar un gestor sincronizado. Quien prefiera dejarlas en el aparato puede crear otra en el móvil o el portátil para tener una de repuesto.

Cuenta de Google

La llave de Google se crea en el mismo aparato que la va a guardar:

1. Abre myaccount.google.com/signinoptions/passkeys en el móvil o el ordenador y toca «Crear llave de acceso».
2. Desbloquea el aparato con la huella, la cara o el PIN cuando te lo pida.
3. Repite el paso en cada dispositivo tuyo, porque cada uno guarda la suya.

Esto pide Android 9 o iOS 16 en el móvil, y en el ordenador Windows 10, macOS Ventura o ChromeOS 109. En el iPhone tienes que tener activado el Llavero de iCloud. Con la primera llave se enciende «Saltar contraseña cuando sea posible». Desde entonces Google te pide la llave al entrar, aunque la contraseña sigue valiendo desde «Probar otra manera». Con la verificación en dos pasos activada, entrar con la llave se salta el segundo paso, porque ya demuestra que el aparato es tuyo.

No la crees en un ordenador o una tableta que use más gente. Cualquiera que pueda desbloquear ese aparato entrará en tu cuenta, aunque hayas cerrado la sesión. Ten paciencia con las nuevas, que pueden tardar hasta siete días en estar disponibles para iniciar sesión.

¿Y en un ordenador que no es tuyo? En la página de inicio de sesión de Google pulsa «Probar otra manera» y luego «Usar tu llave de acceso». Sale un código QR. Lo escaneas con la cámara del móvil, con el Bluetooth activado, y confirmas allí con la huella.

Cuenta de Microsoft

En la cuenta personal la llave se añade desde las opciones de seguridad avanzadas, en account.live.com/proofs/manage. Ahí eliges «Agregar una nueva forma de iniciar sesión o verificar» y después «Rostro, Huella digital, PIN o Clave de seguridad». Al final el aparato te propone un sitio para guardarla. Con «Guardar de otra forma» la mandas al Administrador de contraseñas de Microsoft, al de Google, al Llavero de iCloud, al móvil con un QR o a una llave física. Las cuentas del trabajo o de clase van por mysignins.microsoft.com, si tu organización lo permite.

Microsoft ha empezado a retirar los códigos por SMS de las cuentas personales. Los sustituye por llaves de acceso y un correo comprobado, que pasan a ser también tu forma de recuperar la cuenta. Puedes incluso quitar la contraseña del todo con «Cuenta sin contraseñas». Antes de hacerlo mira la lista de lo que todavía la necesita, porque incluye el correo leído por IMAP o POP en otro programa, Windows 7 y 8.1, Office 2010 o el Escritorio remoto.

WhatsApp: la llave sustituye al código por SMS

WhatsApp no tiene contraseña. La llave entra en juego cuando vuelves a registrar tu número o restauras la cuenta, y ocupa el lugar del código por SMS. Funciona en los dos sistemas, con estos mínimos:

• En Android 9 o posterior, con el bloqueo de pantalla puesto y un gestor de contraseñas configurado en el móvil, como el de Google o el de Samsung.
• En un iPhone 8 o posterior con iOS 16 o una versión más nueva.

Se crea en Ajustes, Cuenta, Llaves de acceso, con «Crear llave de acceso» y «Continuar». En el iPhone se llega desde Ajustes o la pestaña del perfil. Para cambiarla tienes que borrar la que tienes y crear otra. Al vincular WhatsApp Web puede pedirte la llave en el teléfono o en el navegador. Para eso el ordenador tiene que tener abierta la misma cuenta de Google o de Apple donde está guardada, o la extensión de tu gestor.

Con la copia de seguridad hay que ir con bastante más cuidado. La llave puede proteger la copia cifrada de los chats en lugar de una contraseña o de la clave de 64 dígitos, en Android 9 con Google Mobile Services 241217000 o posterior y en iOS 18. Si luego desactivas el cifrado o creas una llave nueva, la copia vieja solo se abre con la llave, la contraseña o la clave originales. WhatsApp no puede restaurarla por ti.

iPhone y Mac: la app Contraseñas

Desde iOS 18 y macOS Sequoia, las llaves que creas en el iPhone o el Mac van a la app Contraseñas. Para que pasen a tus otros aparatos Apple, activa el Llavero de iCloud en Ajustes, tu nombre, iCloud, Contraseñas y Llavero. Para que el iPhone te las ofrezca al entrar en una web está «Autorrellenar contraseñas y llaves de acceso», en Ajustes, General, Autorrelleno y contraseñas. Tu cuenta de Apple necesita además la autenticación de doble factor.

En cada web o app que las admite el proceso es muy parecido. Entras con tu contraseña de siempre, vas a los ajustes de la cuenta y tocas «Continuar» cuando te ofrezca guardar una llave. La llave y la contraseña de esa cuenta conviven en la misma ficha de Contraseñas. Con «Otras opciones» la guardas en una llave de seguridad física en vez de en el teléfono.

Si pierdes el móvil

Con llaves sincronizadas, el móvil nuevo las recupera en cuanto entras en la misma cuenta. En Android y Chrome te pedirá el PIN del Gestor de contraseñas de Google o el de bloqueo de tu Android. Apple las recupera aunque hayas perdido todos tus aparatos. Para ello pide la contraseña de la cuenta, un SMS a tu número y el código de desbloqueo de uno de tus dispositivos. Ese depósito admite diez intentos y al décimo fallido se destruye, por lo que no está de más configurar un contacto de recuperación.

Luego, desde otro aparato, entra en tu cuenta de Google y ve a Seguridad e inicio de sesión, Llaves de acceso y llaves de seguridad. Desde ahí quitas la de ese teléfono. Las que Android creó por su cuenta para ese teléfono desaparecen cerrando su sesión en «Tus dispositivos». En Google, añadir una llave no borra ninguno de tus métodos de verificación y recuperación. Guárdalos, que son los que te sacan del apuro si la llave falla: la app del código de 6 cifras o los códigos de recuperación impresos.

Llaves y gestor de contraseñas, a la vez

Yo voy con llaves donde se puede y gestor de contraseñas para el resto. Una web que no ofrece llave sigue necesitando contraseña, y los gestores ya guardan las dos cosas. Bitwarden guarda llaves en iOS 17, en Android 14 y en su versión de la Microsoft Store para Windows, una vez que lo eliges como proveedor en los ajustes de autorrelleno del sistema. El Gestor de contraseñas de Google va más lejos y a veces crea una llave él solo cuando entras en una web con una contraseña guardada. Eso se apaga en Chrome, en la configuración del gestor, con «Crear automáticamente una llave de acceso para iniciar sesión más rápido».

Apple ya deja importar y exportar llaves entre gestores en sus sistemas. La contraseña maestra del gestor, en cambio, sigue haciendo falta. Bitwarden ni siquiera deja guardar la llave de tu cuenta de Bitwarden dentro de Bitwarden, porque necesitarías abrir la caja fuerte para abrir la caja fuerte. ¿Cuánto aguantaría la tuya? Puedes probar una parecida y ver en qué falla.