Claves de acceso, autenticación sin contraseña y MFA resistente al phishing

1. Introducción#

Para todos los servicios digitales, la autenticación de usuarios es la parte más importante de la ciberseguridad. A medida que las empresas dependen cada vez más de aplicaciones web y móviles para interactuar con sus clientes, la necesidad de soluciones de inicio de sesión seguras y fáciles de usar ha crecido exponencialmente. Las contraseñas tradicionales se han convertido en un riesgo: pueden obtenerse fácilmente mediante phishing, olvidarse o reutilizarse en distintos servicios. Como resultado, aumentan los ataques basados en credenciales y las filtraciones de datos, y se deteriora la confianza de los consumidores.

En los últimos años han surgido nuevos métodos de autenticación que prometen mayor seguridad y una mejor experiencia de usuario. Este artículo compara tres de ellos —las claves de acceso, la autenticación sin contraseña en general y la autenticación multifactor resistente al phishing (MFA)— para aclarar sus diferencias, ventajas e implicaciones estratégicas, así como el significado de estos términos de moda.

Este artículo busca responder a las siguientes preguntas:

1. ¿Cuáles son las principales diferencias entre las claves de acceso, la autenticación sin contraseña y la MFA resistente al phishing?
2. ¿Cómo mejoran las claves de acceso, la autenticación sin contraseña y la MFA resistente al phishing la seguridad frente a las contraseñas tradicionales?
3. ¿Cómo afectan estos métodos a la experiencia de usuario, la adopción y los costes operativos?
4. ¿Cuáles son algunos casos prácticos y ejemplos reales de organizaciones que han implementado con éxito estos métodos?

2. Explicación de los conceptos clave#

Antes de comparar, es importante definir los términos que utilizaremos. La autenticación sin contraseña, la MFA resistente al phishing y las claves de acceso representan mejoras importantes frente a los métodos antiguos. Sin embargo, no son términos intercambiables.

2.1 ¿Qué es la autenticación sin contraseña?#

Los métodos de autenticación sin contraseña eliminan por completo la contraseña tradicional. En su lugar, los usuarios demuestran su identidad mediante:

• Algo que tienen (como un teléfono o una llave de seguridad)
• Algo que son (factores biométricos)
• Un código de un solo uso enviado por correo electrónico o SMS (también puede considerarse algo que tienen, por ejemplo, un teléfono para recibir SMS)

La idea es reducir la dependencia de una contraseña estática, que resulta incómoda y fácil de comprometer.

Entre los métodos habituales sin contraseña se encuentran:

• Enlaces mágicos por correo electrónico
• Códigos temporales de un solo uso (TOTP) mediante aplicaciones de autenticación, como Google Authenticator, Authy o Microsoft Authenticator
• Notificaciones push, por ejemplo, en aplicaciones nativas de iOS/Android
• Biometría, por ejemplo, en las claves de acceso
• Códigos de un solo uso (OTP) por SMS
• Códigos de un solo uso (OTP) por correo electrónico
• Inicio de sesión con redes sociales, por ejemplo, «Iniciar sesión con Google» o «Iniciar sesión con Facebook»

Aunque los métodos sin contraseña suelen mejorar la experiencia de usuario y reducir la probabilidad de ataques de fuerza bruta, no todos son resistentes al phishing por naturaleza. Por ejemplo, un sitio malicioso aún puede interceptar un enlace mágico o un código OTP por SMS si se engaña al usuario para que introduzca el código en una página de phishing. Por tanto, estos métodos mejoran muchos aspectos de la seguridad y la facilidad de uso, pero algunos siguen siendo vulnerables a la ingeniería social.

2.2 ¿Qué es la MFA resistente al phishing?#

Las llaves de seguridad físicas basadas en FIDO2, como las YubiKeys, son un ejemplo de MFA resistente al phishing. Al vincular el proceso de autenticación al origen legítimo, es decir, al dominio del sitio web real, estas llaves impiden que la autenticación del usuario se redirija o reutilice en un sitio falso. El atacante nunca obtiene la clave privada ni un código secreto reutilizable. Lo mismo ocurre con las claves de acceso.

Sin embargo, las llaves de seguridad físicas son prácticas principalmente para empleados. Aunque las organizaciones pueden ofrecer esta opción a sus clientes, exigirla no suele ser realista, ya que solo los usuarios con conocimientos tecnológicos están familiarizados con estas soluciones. A un usuario medio puede resultarle difícil entender y usar llaves físicas.

La MFA resistente al phishing garantiza que, incluso si un usuario interactúa con un sitio fraudulento, no pueda entregar inadvertidamente una credencial válida. Su diseño de seguridad hace que la información robada sea inútil para los atacantes o impide directamente su robo. Se basa en comprobaciones criptográficas que verifican la autenticidad del sitio, no solo la identidad del usuario.

Organismos como CISA y ACSC reconocen y recomiendan cada vez más la MFA resistente al phishing para proteger cuentas sensibles. Adoptar estos estándares puede ayudar a las organizaciones a cumplir obligaciones legales, reducir responsabilidades y demostrar la diligencia debida en auditorías de ciberseguridad.

2.3 ¿Qué son las claves de acceso?#

Las claves de acceso son credenciales de autenticación modernas basadas en estándares abiertos como FIDO2 y WebAuthn. En lugar de depender de un secreto compartido como una contraseña, utilizan criptografía asimétrica:

• Una clave pública (que se envía al servidor durante la autenticación)
• Una clave privada (que nunca sale del dispositivo del usuario y no necesita escribirse ni recordarse)

Cuando una persona registra una cuenta con claves de acceso, su dispositivo genera un par de claves único. La clave pública se envía al servidor y se asocia a la cuenta, mientras que la clave privada permanece protegida en el dispositivo. Para autenticar al usuario, el servidor envía un desafío y el dispositivo lo firma con la clave privada. Así demuestra su identidad sin revelar ningún secreto que pueda robarse.

Las claves de acceso evitan que los usuarios tengan que recordar o gestionar contraseñas engorrosas. La autenticación suele reducirse a una verificación biométrica, como el reconocimiento facial o la huella dactilar, que ya conocen por el desbloqueo de sus teléfonos. Como cada clave de acceso está vinculada a un dominio concreto, los intentos de phishing fracasan: un atacante no puede engañar al usuario para que entregue una credencial reutilizable. La combinación de alta seguridad y mínima fricción hace que las claves de acceso sean una opción destacada para muchas empresas, como Google, PayPal, TikTok y KAYAK.

2.4 Principales diferencias de un vistazo#

• Sin contraseña (término general): elimina las contraseñas por completo, pero no siempre es resistente al phishing, según el método concreto.
• MFA resistente al phishing (término general): normalmente garantiza la vinculación al origen, pero en ocasiones puede incluir una contraseña en un proceso multifactor, por ejemplo, una contraseña más una llave de seguridad física.
• Claves de acceso: no requieren contraseña y son resistentes al phishing. Se basan en criptografía asimétrica vinculada al origen legítimo.

3. Comparación: autenticación sin contraseña, MFA resistente al phishing y claves de acceso#

Ahora que hemos definido los conceptos principales, comparemos con más detalle las claves de acceso, la autenticación sin contraseña y la MFA resistente al phishing. Esta comparación ayuda a determinar qué método se ajusta mejor a los requisitos de seguridad, las expectativas de los usuarios y los objetivos de la organización a largo plazo. Nos centraremos en tres factores principales:

• Seguridad
• Experiencia de usuario y adopción
• Implementación y costes
• Normativa y cumplimiento

3.1 Seguridad: robo de credenciales frente a vinculación al origen#

La seguridad es una de las principales razones para abandonar las contraseñas tradicionales. Sin embargo, los tres conceptos difieren en la forma de proteger frente a ataques basados en credenciales, como el phishing o los ataques de fuerza bruta.

3.1.1 Prevención del robo de credenciales#

• Sin contraseña: eliminar las contraseñas reduce considerablemente la probabilidad de ataques de fuerza bruta o de reutilización de contraseñas. Sin embargo, según el método, por ejemplo, códigos OTP por SMS o enlaces mágicos, puede persistir cierta vulnerabilidad si un atacante engaña al usuario para que introduzca o reenvíe un OTP en un sitio de phishing.
• MFA resistente al phishing: utiliza métodos como las llaves de seguridad FIDO2 para garantizar que no se comparta ningún secreto reutilizable. Aunque los atacantes obtengan información parcial, como una clave pública, esta carece de valor criptográfico sin la clave privada correspondiente.
• Claves de acceso: como utilizan criptografía asimétrica, ningún secreto compartido sale del dispositivo del usuario. Un atacante que robe datos del servidor solo obtiene claves públicas, inútiles sin la clave privada que permanece protegida localmente.

3.1.2 Prevención del phishing#

• Sin contraseña: es un término general, por lo que la prevención del phishing no siempre está garantizada. Un enlace mágico o un OTP por SMS todavía puede interceptarse si el usuario lo introduce por error en un sitio fraudulento. Esto hace que algunos métodos sin contraseña sean menos fiables frente a ataques de phishing sofisticados.
• MFA resistente al phishing: una de sus funciones centrales es confirmar el dominio legítimo antes de autenticar al usuario. Las llaves de seguridad físicas o las claves de acceso verifican la autenticidad del sitio, ya que están vinculadas al origen utilizado inicialmente, e impiden que los atacantes capturen un secreto válido.
• Claves de acceso: basadas en FIDO2 y WebAuthn, están vinculadas al origen por naturaleza. Si un usuario intenta autenticarse en un dominio suplantado, la clave de acceso no completará la comprobación criptográfica. Esto bloquea eficazmente los ataques de phishing.

3.1.3 Conclusión sobre seguridad#

Las claves de acceso y la MFA resistente al phishing ofrecen una defensa superior frente al robo de credenciales y al phishing gracias a una sólida vinculación criptográfica al origen y a que no revelan secretos confidenciales.

Los métodos sin contraseña siguen siendo un gran avance respecto a las contraseñas convencionales, pero su resistencia al phishing puede variar si dependen de códigos (T)OTP o secretos interceptables, como los de los enlaces mágicos.

3.2 Experiencia de usuario y adopción#

Ningún método de seguridad resulta útil si es demasiado complicado para los usuarios finales. Un proceso de inicio de sesión fluido e intuitivo puede reducir la frustración, disminuir los costes de soporte y mejorar la adopción general. Además, los usuarios no necesitan recurrir a soluciones alternativas para usar el método de inicio de sesión.

3.2.1 Registro y configuración inicial#

• Sin contraseña: registrarse sin contraseña suele ser más fácil que crear y recordar una nueva. Por ejemplo, recibir un enlace mágico por correo electrónico o verificarse con un OTP por SMS puede resultar familiar, aunque añade una pequeña demora.
• MFA resistente al phishing: si incluye llaves de seguridad físicas, el registro puede requerir distribuirlas o instalar software especializado. Una vez configurado, iniciar sesión a diario puede ser tan sencillo como tocar una llave conectada al dispositivo o situada cerca de él.
• Claves de acceso: la configuración suele ser sencilla y los usuarios registran una clave de acceso, por lo general, mediante una rápida verificación biométrica en su dispositivo, como la huella dactilar o el reconocimiento facial.

3.2.2 Fricción en el inicio de sesión diario#

• Sin contraseña: eliminar las contraseñas ya supone una gran mejora de usabilidad, porque los usuarios no tienen que recordarlas, buscarlas en sus gestores de contraseñas ni anotarlas en notas adhesivas. Sin embargo, métodos como los OTP o los enlaces mágicos pueden añadir fricción si hay que cambiar de aplicación para recuperar los códigos o enlaces.
• MFA resistente al phishing: si la llave de seguridad física está conectada al dispositivo o cerca de él, el proceso es bastante sencillo. Aun así, a menudo hay que pulsar un botón o recordar e introducir un PIN, o ambas cosas. Si la MFA resistente al phishing utiliza una clave de acceso, el proceso es más fluido.
• Claves de acceso: generalmente ofrecen una fricción mínima: los usuarios desbloquean sus dispositivos mediante biometría, por ejemplo, Face ID, Touch ID o Windows Hello, y la clave de acceso hace el resto. Es una forma de iniciar sesión prácticamente sin esfuerzo.

3.2.3 Complejidad percibida y confianza#

• Sin contraseña: la opción sin contraseña atrae a los usuarios frustrados por los restablecimientos de contraseñas.
• MFA resistente al phishing: es muy segura, pero puede parecer compleja a los usuarios nuevos si requiere llaves de seguridad físicas.
• Claves de acceso: quienes están acostumbrados a desbloquear el teléfono con biometría suelen percibirlas como una tecnología familiar. La confianza en los ecosistemas de Apple, Google y Microsoft también impulsa su adopción.

3.2.4 Conclusión sobre experiencia de usuario y adopción#

Los métodos sin contraseña, especialmente la biometría, son fáciles de usar. La MFA resistente al phishing puede ser cómoda una vez implementada, pero el requisito de hardware puede resultar una carga en determinados contextos. Las claves de acceso suelen ofrecer la mayor comodidad.

3.3 Implementación y costes#

Además de la seguridad y la experiencia de usuario, factores prácticos como la complejidad de integración, la carga de soporte y los costes directos influyen en la viabilidad de una solución a gran escala.

3.3.1 Integración con sistemas existentes#

• Sin contraseña: métodos como los OTP por SMS o los enlaces mágicos son relativamente fáciles de implementar, pero cada uno requiere lógica específica, por ejemplo, para generar y verificar tokens o enviar correos y SMS.
• MFA resistente al phishing: desplegar llaves de seguridad físicas, como YubiKeys, puede ser más complejo: las organizaciones deben planificar la distribución de las llaves, los procesos de recuperación y la formación de los usuarios. Sin embargo, la tecnología subyacente basada en FIDO está bien consolidada.
• Claves de acceso: su despliegue puede ser complicado porque requiere un amplio soporte del ecosistema, incluida la compatibilidad de dispositivos, la integración con navegadores y la formación de los usuarios.

3.3.2 Costes y retorno de la inversión (ROI)#

• Sin contraseña: eliminar contraseñas puede ahorrar costes de soporte, pero algunos métodos, especialmente los SMS, pueden generar cargos por transacción. Los procesos basados en enlaces mágicos requieren una infraestructura de correo electrónico sólida. Las aplicaciones de autenticación TOTP y las notificaciones push requieren instalar y desarrollar aplicaciones específicas.
• MFA resistente al phishing: suele tener el coste inicial más alto si requiere hardware, pero ofrece una protección sólida contra el phishing. En cuentas de alto valor, el coste de una sola filtración de datos puede superar con creces el de las llaves de seguridad físicas.
• Claves de acceso: tras el desarrollo inicial, pueden reducir las solicitudes de restablecimiento de contraseñas, uno de los mayores costes ocultos del soporte de TI. También reducen los incidentes de apropiación de cuentas, lo que mejora directamente los resultados económicos. Además, pueden sustituir la gran mayoría de los costosos OTP por SMS.

3.3.3 Conclusión sobre implementación y costes#

Los métodos sin contraseña suelen ser más sencillos que las contraseñas, pero sus costes recurrentes varían considerablemente. La MFA resistente al phishing puede ser más cara y compleja de desplegar a gran escala, especialmente si requiere comprar y distribuir llaves de seguridad físicas. La implementación de claves de acceso es un desafío debido a los complejos requisitos técnicos y a la necesidad de compatibilidad entre plataformas.

3.4 Normativa y cumplimiento#

Muchas normativas, como PSD2 en el sector financiero europeo y HIPAA en el sector sanitario, recomiendan explícitamente o exigen una autenticación sólida y resistente al phishing.

• Sin contraseña: puede satisfacer algunos requisitos de cumplimiento, por ejemplo, la exigencia de 2FA o MFA, pero según el método concreto puede no ser resistente al phishing.
• MFA resistente al phishing: suele ofrecer el mayor grado de garantía a auditores y organismos reguladores, y cumple los estrictos requisitos para un inicio de sesión seguro.
• Claves de acceso: ya se ajustan a los estándares FIDO2, que cumplen o superan los requisitos de seguridad de la mayoría de los sectores regulados.

3.5 Tabla comparativa#

4. Ejemplos prácticos y casos de uso#

4.1 Mercari mejora la tasa de inicio de sesión con claves de acceso frente a OTP por SMS#

Mercari, una empresa de comercio electrónico, utilizaba tradicionalmente códigos de un solo uso enviados por SMS para proteger los inicios de sesión y verificar las transacciones. Este enfoque generaba costes importantes por el envío de mensajes en todo el mundo y, en ocasiones, quejas de usuarios por códigos retrasados o no recibidos.

Resultados:

• Reducción drástica de costes: al eliminar la mayor parte del tráfico de SMS, Mercari redujo considerablemente los costes de mensajes relacionados con OTP.
• Mayor seguridad: las claves de acceso resisten los ataques de intercambio de SIM y phishing porque utilizan criptografía asimétrica vinculada al dominio legítimo de la aerolínea.
• Más inicios de sesión exitosos: la adopción de claves de acceso alcanzó una tasa de éxito del 82,5 % en los inicios de sesión, frente al 67,7 % de los OTP por SMS.

Conclusión principal:
La transición a claves de acceso puede marcar una gran diferencia para organizaciones con grandes volúmenes de inicios de sesión. Además de mejorar la seguridad, el ahorro en OTP por SMS puede repercutir considerablemente en los resultados económicos.

4.2 Empresas emergentes de SaaS usan enlaces mágicos para un registro sin contraseña y con poca fricción#

Las empresas emergentes de SaaS suelen recurrir a enlaces mágicos porque este método permite incorporar usuarios rápidamente y reducir drásticamente las solicitudes de soporte por contraseñas olvidadas.

Resultados:

• Menor fricción en el registro: la tasa de abandono durante el registro cayó más de un 30 %, lo que aumentó las conversiones.
• Menos solicitudes de soporte: las consultas para restablecer contraseñas disminuyeron considerablemente, lo que permitió al pequeño equipo de soporte centrarse en cuestiones relacionadas con el producto.
• Iteraciones ágiles: como los enlaces mágicos son relativamente sencillos de implementar y perfeccionar, el proceso puede ajustarse fácilmente, lo que mejora la satisfacción general con la incorporación.

Conclusión principal:
Para las empresas emergentes de SaaS, las soluciones sin contraseña, como los enlaces mágicos, no solo simplifican la incorporación de usuarios, sino que también reducen la carga operativa de gestionar contraseñas, una ventaja crucial en las primeras etapas de crecimiento.

4.3 MyGov mejora la seguridad y previene el phishing en las cuentas de los ciudadanos#

MyGov, un portal en línea del Gobierno australiano, ofrece acceso a varios servicios gubernamentales, como Medicare, Centrelink y la Australian Taxation Office. El tratamiento de datos personales sensibles somete a MyGov a normas estrictas y a un mayor escrutinio público.

Resultados:

• Mayor adopción: despliegue de claves de acceso para 200.000 usuarios en 3 meses.
• Sólido cumplimiento: mediante la vinculación criptográfica al origen, con tokens físicos y soluciones seguras basadas en aplicaciones, MyGov abordó las directrices Essential Eight de la ASD y otras directrices nacionales de ciberseguridad.
• Menos incidentes de phishing: las credenciales robadas se volvieron mucho más difíciles de reutilizar sin el token físico legítimo o la clave vinculada al dispositivo.
• Mayor confianza pública: destacar soluciones de MFA sólidas ayudó a reforzar la confianza de los usuarios en un periodo de creciente preocupación por las filtraciones de datos.

Conclusión principal:
Para las entidades gubernamentales y las empresas del sector público, o las organizaciones de sectores muy regulados, implementar MFA resistente al phishing es crucial tanto para la seguridad como para cumplir estándares en evolución.

5. Cómo puede ayudar Corbado#

La tabla de la sección 3.5 puntúa tres opciones de forma abstracta. La versión útil para tomar decisiones se construye a partir de los inicios de sesión reales: sus filas son los métodos que utilizan los usuarios y sus puntuaciones son tasas de finalización, en lugar de una escala de cinco puntos. Corbado Observe, la capa de observabilidad de la autenticación, genera esa versión.

• La combinación real de métodos. Cada inicio de sesión se clasifica en subprocesos: contraseña, clave de acceso, inicio de sesión con redes sociales, código de un solo uso por SMS o correo electrónico, TOTP y confirmación en la aplicación. La proporción de inicios de sesión por método y la tasa de éxito de cada uno son el punto de partida realista para elegir entre las tres categorías de este artículo.
• Dónde pierde usuarios cada método. Login Friction desglosa cada inicio de sesión iniciado en categorías —recuperación, cambio a otro método, abandono, error, restablecimiento y proceso sin incidencias— y las separa por método. Así, la afirmación de que «la autenticación sin contraseña reduce la fricción» se convierte en una medición del tráfico real.
• Qué aporta una opción resistente al phishing frente a las demás. Method Uplift ordena los procesos de inicio de sesión según los métodos disponibles en cada uno —solo contraseña, contraseña con clave de acceso, contraseña con inicio de sesión social o los tres— y evalúa cada combinación frente a la referencia de solo contraseña. Todas se analizan en el mismo periodo, por lo que el argumento sobre adopción de la sección 3.2 puede evaluarse para el producto sin esperar a una fecha de cambio para hacer comparaciones.
• No hace falta un programa de claves de acceso. Observe funciona con el inicio de sesión actual. Si utiliza una contraseña y un código por SMS, mide ambos: ese es el punto de partida real de la mayoría de las decisiones de este artículo.

See Login Methods in Corbado Observe →

Cuando la decisión se inclina por las claves de acceso, Corbado Connect se encarga de su implementación. Los avisos sujetos a condiciones y Passkey Intelligence convierten la ventaja de experiencia de usuario descrita en la sección 3.2 en una adopción de claves de acceso hasta 10 veces mayor, al controlar qué usuarios ven la oferta y cuándo.

6. Conclusión#

Tras analizar las contraseñas tradicionales, las claves de acceso, las opciones sin contraseña y la MFA resistente al phishing, es momento de resumir las conclusiones.

Cada método ofrece ventajas propias:

• Sin contraseña: supone una mejora importante frente a las contraseñas, reduce la fricción para el usuario y los costes de soporte, pero no siempre es inmune al phishing.
• MFA resistente al phishing: ofrece seguridad de alto nivel para entornos de alto riesgo e impide que los atacantes exploten errores humanos.
• Claves de acceso: logran un equilibrio ideal: son una MFA sin contraseña, resistente al phishing por naturaleza y respaldada por líderes del sector. Ofrecen seguridad de primer nivel sin sacrificar la experiencia de usuario.

Actualizar la autenticación ahora no solo mejora la seguridad: también posiciona a la empresa como una organización innovadora, centrada en el usuario y preparada para destacar en la economía digital.

Acerca de Corbado

Corbado es la Passkey Intelligence Platform para equipos de CIAM que gestionan autenticación de consumidores a gran escala. Te ayudamos a ver lo que los logs de tu IDP y las herramientas de analytics genéricas no muestran: qué dispositivos, versiones de SO, navegadores y gestores de credenciales soportan passkeys, por qué los registros no se convierten en inicios de sesión, dónde falla el flujo de WebAuthn y cuándo una actualización de SO o navegador rompe el login en silencio, todo sin reemplazar Okta, Auth0, Ping, Cognito o tu IDP propio. Dos productos: Corbado Observe aporta observabilidad para passkeys y cualquier otro método de login. Corbado Connect añade passkeys gestionados con analytics integrado (junto a tu IDP). VicRoads ejecuta passkeys para más de 5M de usuarios con Corbado (más del 80 % de tasa de activación de passkey). Habla con un experto en Passkeys →