Habilitar passkeys es un paso hacia una autenticación más segura, pero lograr que las personas las utilicen requiere una experiencia clara y opciones de recuperación bien diseñadas. En operaciones de mayor riesgo, la verificación de identidad puede complementar este proceso.
Habilitar una tecnología no garantiza su uso
Los principales sistemas operativos y navegadores incorporan soporte para passkeys: credenciales criptográficas que permiten acceder a servicios sin escribir una contraseña. Según el dispositivo y la configuración, el usuario puede autorizar su uso mediante una huella, reconocimiento facial o un PIN.
Sin embargo, disponibilidad, registro y uso habitual son indicadores diferentes. El Passkey Index 2025 de FIDO Alliance distingue estas dimensiones entre los proveedores participantes. Sus resultados ayudan a comprender la adopción, aunque no deben interpretarse como una medición del mercado chileno.
Para las empresas en Chile, la pregunta práctica es cómo incorporar esta alternativa de manera que sus clientes entiendan qué están activando, cómo utilizarla y qué hacer si pierden el acceso.
Qué puede dificultar la adopción
Una explicación poco clara. Si la persona no entiende qué es una passkey o cree que perderá el acceso al cambiar de teléfono, puede preferir seguir utilizando su contraseña. Las instrucciones deben explicar el beneficio y acompañar la configuración.
Un registro en un momento poco oportuno. Una invitación inesperada o un proceso con demasiados pasos puede generar abandono. Conviene ofrecer la creación de una passkey dentro de una sesión autenticada y explicar para qué servirá.
Dudas sobre la recuperación. La empresa debe definir qué ocurre cuando el usuario pierde un dispositivo o deja de tener acceso a su proveedor de credenciales. Esa respuesta depende del tipo de passkey y de las alternativas habilitadas.
Las passkeys sincronizadas pueden estar disponibles en otros dispositivos del mismo ecosistema. También es posible registrar credenciales adicionales o utilizar llaves de seguridad, según lo que admita el servicio.
Autenticar una cuenta y verificar una identidad son funciones diferentes
Una passkey permite demostrar el control de una credencial vinculada a una cuenta. Por sí sola, no acredita la identidad civil de quien la utiliza.
Esa distinción importa en procesos como la apertura de productos financieros o la recuperación de cuentas sensibles. En ellos, la organización puede necesitar comprobar que la persona corresponde al titular antes de permitir el registro de una nueva credencial.
La verificación documental y la biometría pueden complementar ese proceso cuando el riesgo lo justifica. La biometría 3D no es un requisito para utilizar passkeys, sino un control adicional que puede incorporarse en determinados momentos.
Dónde puede aportar Autentikar
Autentikar integra verificación de identidad, prueba de vida, consentimiento y firma electrónica para responder a las necesidades de cada operación.
Entre sus tecnologías se encuentra la biometría facial 3D de FaceTec, que puede utilizarse para comprobar la presencia de una persona y comparar su rostro con una referencia confiable.
Al evaluar estas soluciones, es importante distinguir la evidencia disponible. Las pruebas de detección de ataques de presentación —PAD— realizadas conforme a ISO/IEC 30107-3 no deben presentarse como evidencia suficiente frente a ataques de inyección digital. Estos últimos requieren revisar evaluaciones específicas.
Mediante Smartflow, el equipo de Autentikar configura junto con cada organización los pasos del proceso. En un proyecto que incorpore passkeys, el alcance de la integración y las responsabilidades de cada componente deben definirse previamente.
Cómo diseñar un proceso adecuado
Facilitar la creación y el uso. Explicar la passkey en lenguaje sencillo, ofrecerla dentro de una sesión confiable y probar la experiencia en los dispositivos utilizados por los clientes.
Aplicar controles según el riesgo. No todas las operaciones necesitan verificación documental o prueba de vida 3D. Una recuperación de cuenta sensible puede requerir controles distintos de un acceso habitual.
Ofrecer recuperación y atención de excepciones. La verificación biométrica puede apoyar una recuperación automatizada cuando existe una referencia confiable y se cumplen los controles definidos. También deben existir alternativas para quienes no logren completar el proceso.
Proteger los datos personales. Definir la finalidad y la base jurídica del tratamiento, informar al usuario y establecer medidas de seguridad y conservación. Registrar una autenticación o un consentimiento no garantiza, por sí solo, el cumplimiento normativo.
Medir los resultados. Revisar cuántas personas crean una passkey, cuántas la utilizan, dónde abandonan y cuántas requieren asistencia permite mejorar la implementación con evidencia propia.
Las passkeys pueden simplificar el acceso y reducir la dependencia de las contraseñas. Su adopción requiere una experiencia comprensible y una recuperación segura. Cuando la operación exige verificar también la identidad del titular, Autentikar puede ayudar a incorporar los controles adecuados.
¿Tu empresa está evaluando este proceso? Conversemos sobre sus necesidades de acceso, enrolamiento y recuperación de cuentas.
Autentikar — Ecosistema de identidad digital y consentimiento
