Passkeys: la pesadilla digital que Big Tech te está obligando a usar (y que ni los ingenieros entienden)

Si trabajas en tecnología y hoy no sabes qué son las Passkeys, no estás solo. Literalmente. En Hacker News, un hilo con más de 350 puntos y 466 comentarios explotó con una confesión que resonó como un grito colectivo: "Tengo una empresa de tecnología y no tengo idea de qué son las Passkeys, y a estas alturas ya me da miedo preguntar."

La respuesta de la comunidad fue abrumadora. No porque se burlaran de él, sino porque casi todos los que comentaron admitieron lo mismo. Incluso el fundador de Hacker News, dang, respondió: "Creía que era el único".

Y aquí está la ironía del siglo: las Passkeys —impulsadas por Apple, Google, Microsoft y el FIDO Alliance— fueron presentadas como "el fin de las contraseñas". Una solución mágica que sería más segura, más fácil y que acabaría con los hackeos masivos. Pero lo que llegó fue todo lo contrario.

¿Qué diablos es una Passkey? (spoiler: nadie lo sabe con certeza)

En teoría, una Passkey es un par de llaves criptográficas (pública y privada) que reemplaza tu contraseña. En lugar de escribir "MiClave123", tu dispositivo genera una clave única que solo existe en tu teléfono, laptop o un gestor de contraseñas. Nunca sale de ahí. No se puede phishing, no se puede interceptar.

Suena genial, ¿verdad? El problema es que en la práctica funciona como si alguien hubiera diseñado un candado irrompible... y hubiera perdido la llave maestra antes de distribuirlo.

Problema #1: Si pierdes tu teléfono, pierdes tus cuentas. Sin respaldo, sin recuperación. A menos que hayas sincronizado tus Passkeys con iCloud, Google Password Manager o un gestor de terceros como 1Password. Pero aquí viene el segundo problema...

Tres ecosistemas, cero estándares reales

Apple tiene sus Passkeys en iCloud. Google en Gestor de Contraseñas de Chrome. Microsoft en su propio sistema de Microsoft 365. Ninguno habla bien con el otro. Si tienes un iPhone y una laptop con Windows, bienvenido al infierno de la sincronización.

Un usuario en el hilo de HN lo resumió perfecto: "Configuré mi Passkey en la laptop del trabajo. Ahora no puedo acceder a mi cuenta personal desde mi celular." Eso no es seguridad, es secuestro de identidad digital.

Y ni hablemos de los que tienen iOS + Chrome + Linux. La experiencia es tan fragmentada que terminas usando contraseñas tradicionales como respaldo —lo que derrota completamente el propósito de las Passkeys.

El elefante en la habitación: ¿a quién beneficia esto realmente?

En un comentario que recibió decenas de respuestas positivas, un desarrollador señaló: "Las Passkeys son un vector para encerrar tus inicios de sesión en los ecosistemas de Big Tech". El soporte de device attestation permite que los servicios exijan que uses solo ciertos clientes de Passkey —adivina cuáles.

Microsoft ya anunció que a partir del 1 de septiembre de 2026 comenzará la inscripción automática de todos los tenants de M365 en Passkeys. Y para febrero de 2027, eliminarán SMS y llamadas como método de autenticación en dos factores. No es opt-in. Es obligatorio.

Hay quien lo compara con el Digital ID, con la verificación de edad, con el fin del anonimato en internet. Y aunque suene a conspiración, hay un patrón: cada vez que Big Tech "simplifica" algo, terminas con menos control sobre tus propios datos.

¿Son completamente inútiles? No. ¿Están mal implementadas? Totalmente.

Los defensores de las Passkeys tienen razón en algo: son inherentemente más seguras que las contraseñas contra phishing. No puedes engañar a un usuario para que entregue su clave privada en un sitio falso porque la clave privada nunca sale del dispositivo.

Para usuarios que usan gestores de contraseñas como 1Password o Bitwarden con soporte de Passkeys, la experiencia es casi fluida. Pero para el 90% de los usuarios normales que no son ingenieros de software, la curva de aprendizaje es demasiado empinada.

Un comentario en HN describió exactamente este fenómeno: "Puedo explicarle a mis padres de 78 años cómo usar una llave física U2F. No tengo idea de cómo explicarles qué es una Passkey." Y si no puedes explicárselo a tus papás, el producto está mal diseñado. Punto.

El futuro: ¿hacia dónde vamos?

Las Passkeys no van a desaparecer. Apple, Google y Microsoft ya invirtieron demasiado. La autenticación sin contraseñas es el futuro, pero el presente es un desorden de implementaciones a medias, ecosistemas fragmentados y usuarios confundidos.

Lo que necesitamos no es más presión corporativa. Necesitamos un estándar universal, portabilidad real entre dispositivos y —sobre todo— una UX que cualquier persona pueda entender sin leer un tutorial de 20 pasos.

Mientras tanto, mi recomendación: usa un gestor de contraseñas con soporte de Passkeys (Bitwarden, 1Password), NO actives Passkeys directamente vinculadas a tu dispositivo físico, y por amor al código abierto, no dejes que Microsoft decida por ti cuándo migrar.

Comparte esto con alguien que todavía cree que las Passkeys son la solución mágica.

¿Tú has usado Passkeys? ¿Te funcionan o también estás tan perdido como el resto? Déjalo en los comentarios.