Guía de compra vs. desarrollo de claves de acceso (passkeys)

Descargue la guía completa de Comprar vs. Desarrollar Claves de Acceso#

Descargue gratis la guía completa de Comprar vs. Desarrollar Claves de Acceso (Passkeys) y obtenga acceso a toda la información.

• ✅ Solicitado por equipos en Adidas, Woolworths y Mitsubishi
• ✅ Lista completa de componentes y modelo de costos para decidir entre comprar vs. desarrollar
• ✅ Marco de decisión práctico de 50 páginas

1. Motivación: ¿Debería comprar o desarrollar una solución de autenticación con claves de acceso?#

La idea de desarrollar su propia implementación de claves de acceso parece atractiva: control total, integraciones personalizadas y sin dependencia de un solo proveedor. Después de todo, FIDO2 se basa en estándares abiertos y escribir las primeras líneas de código de WebAuthn parece bastante fácil. ¿Qué tan difícil puede ser en realidad?

Pero aquí es donde a menudo comienza la complejidad, especialmente cuando planea desarrollar una solución para un escenario de implementación de consumidores a gran escala con millones de usuarios en una industria como:

• Banca y servicios financieros (p. ej., banca en línea, pagos, fintech)
• Gobierno y servicios públicos (p. ej., portales ciudadanos, plataformas de impuestos y seguridad social)
• Seguros y salud (p. ej., portales de pacientes, plataformas de seguros digitales)
• Comercio electrónico y minorista (p. ej., marketplaces, programas de lealtad)
• Telecomunicaciones y servicios públicos (p. ej., operadores móviles, proveedores de energía)
• Viajes y hostelería (p. ej., cuentas de aerolíneas, programas de lealtad de hoteles)

El verdadero desafío comienza más allá del primer inicio de sesión exitoso con una clave de acceso y, a menudo, solo se revela cuando ya está implementando su solución de claves de acceso. De repente, aparecen casos límite extraños, errores de usuario confusos y posibles bloqueos de usuarios debido a la falta de disponibilidad de las claves de acceso. Lo que parecía una integración sencilla se convierte en meses o incluso años de esfuerzo de desarrollo, costos de mantenimiento inesperados y un proyecto de claves de acceso potencialmente fallido.

Sin embargo, desarrollar su propia solución también puede ser la opción correcta para ciertas organizaciones y requisitos específicos. Hemos hablado con docenas de organizaciones sobre sus planes de implementación de claves de acceso y hemos acompañado a algunas en su viaje de manera práctica. Esta guía lo ayudará a determinar cuándo podría tener sentido un enfoque de claves de acceso propio (DIY) y cuándo elegir un proveedor de claves de acceso establecido es la decisión más inteligente.

Con nuestra Guía de comprar vs. desarrollar claves de acceso, queremos responder a las siguientes preguntas:

1. ¿Qué componentes se necesitan para implementar claves de acceso y eliminar las contraseñas?
2. ¿Debería implementar claves de acceso internamente o usar un proveedor externo de claves de acceso?
3. ¿Cuál es el beneficio de tener un proveedor de claves de acceso cuando existen bibliotecas de código abierto?
4. ¿Cuáles son los mayores desafíos al desarrollar una solución de claves de acceso?
5. ¿Cuáles son los riesgos de implementar claves de acceso internamente?

2. Requisitos previos: Por qué las claves de acceso son el nuevo estándar de inicio de sesión#

Las contraseñas están desactualizadas, son inseguras y frustrantes. Las claves de acceso eliminan los riesgos de phishing, mejoran la experiencia del usuario y simplifican la autenticación, lo que las convierte en el nuevo estándar de inicios de sesión seguros. Ya sea que desarrolle internamente o utilice una solución externa, la integración de claves de acceso es una mejora importante para la seguridad y la usabilidad.

Google descubrió que destacar la facilidad de uso o la velocidad resuena y funciona. En general, las personas se quejan de tener que iniciar sesión, por lo que cualquier cosa que haga que el proceso sea más fácil y rápido es una ventaja.

Además de estos beneficios de seguridad, existe un enorme potencial de ahorro de costos operativos con las claves de acceso. Puede reducir la cantidad de OTP por SMS enviadas a los usuarios, que pueden acumularse masivamente para grandes bases de usuarios. Además, la carga que la recuperación de contraseñas y MFA supone para sus equipos de atención al cliente también es un factor de costo que se puede eliminar.

Aparte de esto, las claves de acceso mejoran las tasas de éxito y los tiempos de inicio de sesión de los usuarios, lo que en última instancia resulta en mejores tasas de conversión, lo que es un gran impulsor del crecimiento de los ingresos en industrias como el comercio electrónico, el sector minorista o los viajes.

3. El viaje sin contraseñas: ¿Cómo entran en juego las claves de acceso?#

El objetivo final para muchas organizaciones que consideran la introducción de claves de acceso es eliminar por completo las contraseñas. Para alcanzar este objetivo, normalmente hay cuatro fases que deben completarse. La velocidad a la que avanzan estas fases depende en gran medida de las capacidades técnicas, los patrones de inicio de sesión y la base de usuarios de la organización. En algunos casos, factores externos como la presión pública para introducir una autenticación más segura o las limitaciones financieras también pueden influir.

Repasemos estas cuatro fases y describámoslas, ya que la implementación de claves de acceso es solo un paso para garantizar el éxito de un proyecto de claves de acceso.

3.1 Fase 1: Integrar claves de acceso#

El primer paso en la transición a un sistema totalmente sin contraseñas es integrar las claves de acceso como método de inicio de sesión. En esta etapa, las contraseñas y otros métodos de autenticación se mantienen como alternativas para garantizar que los usuarios aún puedan acceder a sus cuentas si aún no han adoptado las claves de acceso. Una integración exitosa requiere una compatibilidad perfecta con los flujos de inicio de sesión y las políticas de seguridad existentes. Las organizaciones deben centrarse en hacer que la creación de claves de acceso sea sencilla, asegurando que tanto los usuarios técnicos como los no técnicos puedan adoptar el nuevo método de autenticación sin fricciones.

3.2 Fase 2: Aumentar la adopción de claves de acceso#

Una vez integradas las claves de acceso, el siguiente desafío es impulsar la adopción de claves de acceso por parte de los usuarios. Muchas organizaciones subestiman la importancia de esta fase, pero sin una adopción generalizada por parte de los usuarios, es probable que un proyecto de claves de acceso fracase. El objetivo es alentar a la mayor cantidad de usuarios posible a crear y usar claves de acceso, idealmente convirtiéndolas en el método de inicio de sesión predeterminado.

Las tácticas clave para aumentar la adopción incluyen educación proactiva del usuario, incentivos en la interfaz de usuario (nudges) que promuevan la creación de claves de acceso y programas de incentivos que recompensen a los usuarios por cambiar. Las organizaciones deben establecer un umbral crítico de adopción, como que el 50 al 80 % de los usuarios activos utilicen claves de acceso, antes de pasar a la siguiente fase. Para una comprensión más profunda de por qué la adopción es crucial, consulte nuestro artículo dedicado sobre cómo las bajas tasas de adopción pueden poner en peligro su proyecto de claves de acceso.

3.3 Fase 3: Eliminar las contraseñas#

A medida que la adopción de claves de acceso alcanza una masa crítica, las organizaciones pueden comenzar a eliminar gradualmente las contraseñas. Sin embargo, eliminar las contraseñas demasiado pronto o sin una planificación cuidadosa puede provocar problemas de usabilidad y un aumento de las solicitudes de soporte. Se recomienda un enfoque por fases:

• Comience por eliminar las contraseñas de las cuentas donde los usuarios se autentican constantemente con claves de acceso.
• Ofrezca la eliminación de contraseñas como una opción en la configuración de la cuenta para los primeros usuarios.
• Utilice información basada en datos para identificar a los usuarios que están listos para pasar a ser totalmente sin contraseñas. Por ejemplo, los usuarios con múltiples claves de acceso registradas en diferentes dispositivos pueden ser priorizados para la eliminación de contraseñas.
• Comunique de manera proactiva los beneficios de la eliminación de contraseñas para generar confianza en el usuario.

Al guiar estratégicamente a los usuarios hacia una autenticación completa sin contraseñas, las organizaciones pueden maximizar la seguridad sin interrumpir la experiencia del usuario.

3.4 Fase 4: Automatizar la recuperación de cuentas#

Una vez que se eliminan las contraseñas, los mecanismos de recuperación de cuentas deben ser sólidos y seguros. Los métodos de recuperación tradicionales a menudo dependen de intervenciones manuales, como tickets de soporte o restablecimientos por correo electrónico, lo que puede introducir riesgos de seguridad y costos operativos. Las organizaciones deben implementar soluciones de recuperación de cuentas de autoservicio modernas que mantengan la seguridad al tiempo que mejoren la experiencia del usuario.

Los elementos clave de la recuperación automatizada de cuentas incluyen:

• Controles de prueba de vida (liveness checks): Evite las adquisiciones de cuentas no autorizadas asegurándose de que el usuario esté físicamente presente.
• Verificación de identidad: Aproveche las identificaciones emitidas por el gobierno y la verificación biométrica para confirmar la identidad.
• Claves de acceso de respaldo: Permita a los usuarios recuperar cuentas utilizando claves de acceso de respaldo almacenadas en otros dispositivos suyos.

Muchas organizaciones ya invierten en procesos de recuperación automatizados independientemente de su transición a un sistema sin contraseñas para reducir costos y mejorar la usabilidad. Sin embargo, en un ecosistema impulsado por claves de acceso, estos mecanismos se vuelven aún más críticos para mantener la seguridad y reducir la fricción.

Con base en estas cuatro fases, ahora intentaremos ayudarlo a evaluar la decisión de comprar vs. desarrollar. Por lo tanto, es muy importante para el éxito a largo plazo de su proyecto de claves de acceso tener en cuenta todas las fases y no solo integrar claves de acceso (esto todavía puede ser un objetivo, pero luego deja sin utilizar todo el potencial de las claves de acceso).

4. Cómo determinar el enfoque correcto de claves de acceso#

Elegir entre una solución de claves de acceso propia (DIY) y una externa depende de los recursos técnicos de su empresa, las prioridades de seguridad, el tamaño de la implementación y la estrategia de claves de acceso a largo plazo. En la siguiente sección, desglosaremos los aspectos clave para ayudarlo a tomar la mejor decisión.

La siguiente tabla muestra diferentes criterios de evaluación que debe evaluar. Según la afirmación hacia la que se incline más, se proporcionan diferentes cantidades de puntos.

Cómo usar la matriz de evaluación:

Para cada criterio, elija si su empresa necesita una solución más simple o más elaborada.

• Asigne 1 punto por cada respuesta en la que la complejidad en su caso sea la más baja y se alinee más con la descripción de la izquierda.
• Asigne 5 puntos por cada categoría donde su respuesta se alinee más con la descripción de mayor complejidad a la derecha.
• Si no está seguro, use 3 puntos como opción neutral.

Descargue la guía completa de Comprar vs. Desarrollar Claves de Acceso#

Descargue gratis la guía completa de Comprar vs. Desarrollar Claves de Acceso y obtenga acceso a todos los criterios de evaluación.

5. Cómo usar esta guía de manera efectiva#

Al decidir si desarrollar o comprar una solución de claves de acceso, es importante observar todo el proceso, no solo una fase del lanzamiento de las claves de acceso. Incluso si su prioridad a corto plazo es ofrecer claves de acceso como un MVP, debe anticipar las implicaciones a más largo plazo, especialmente impulsar la adopción. A continuación, le indicamos cómo recomendamos utilizar esta guía e interpretar sus resultados, con énfasis en por qué la adopción es más importante que casi cualquier otro factor.

5.1 Centrarse en la adopción como el factor de éxito número 1#

No importa cuán avanzada sea su solución de claves de acceso, si los usuarios no la adoptan creando claves de acceso y usándolas para iniciar sesión, todo el proyecto está en riesgo. En nuestra experiencia, las organizaciones a menudo subestiman el esfuerzo necesario para alejar a los usuarios de las contraseñas. Incluso si implementa claves de acceso sin problemas a nivel técnico, la baja adopción conducirá a:

• Dependencia persistente de las contraseñas, negando los beneficios de seguridad de las claves de acceso.
• ROI mínimo, ya que el ahorro de costos (menos restablecimientos de contraseñas, menos OTP por SMS) depende del uso significativo de claves de acceso para iniciar sesión.
• Experiencia de usuario fragmentada, si la mayoría de los inicios de sesión aún se realizan a través de métodos tradicionales y solo un pequeño subconjunto usa claves de acceso.

Por lo general, se requiere una alta adopción, a veces del 50 % o incluso más del 80 % de su base de usuarios, antes de que pueda lograr avances significativos hacia la reducción o eliminación total de las contraseñas. Organizaciones como Google y Amazon establecen objetivos explícitos de adopción y ejecutan sistemáticamente pruebas A/B, campañas de educación del usuario e incentivos en la interfaz de usuario para garantizar que las claves de acceso sean ampliamente aceptadas. Este esfuerzo concentrado en la adopción no es opcional; es lo que transforma el lanzamiento de sus claves de acceso de una característica a una ventaja competitiva tangible.

5.2 Utilice la guía de forma holística o en fases#

Esta guía está diseñada para ayudarlo a tomar decisiones informadas sobre implementaciones de claves de acceso en cada etapa del proceso:

1. Fase 1 (Integrar claves de acceso): Si simplemente está considerando si adoptar claves de acceso y cómo integrarlas, concéntrese en los criterios de Desarrollar vs. Comprar para la integración de claves de acceso.
2. Fase 2 (Aumentar la adopción): Si desea que las claves de acceso sean más que una característica, planifique desde el principio para impulsar la adopción del usuario, incluso para un MVP, ya que requiere una inversión tecnológica adicional, a menudo sustancialmente mayor que la implementación inicial.
3. Fase 3 (Eliminar contraseñas): Si eliminar las contraseñas es un objetivo estratégico a largo plazo, asegúrese de que su arquitectura y flujos de usuarios estén diseñados con ese eventual paso en mente.
4. Fase 4 (Automatizar la recuperación de cuentas): Incluso si no está listo para no usar contraseñas por completo hoy en día, asegúrese de que su enfoque de claves de acceso pueda evolucionar hacia una recuperación sólida y sin problemas para evitar obstáculos en el futuro.

De estas, la Fase 2 (Aumentar la adopción) es la más importante. Puede evaluar cada sección por separado, pero tenga en cuenta que su éxito a largo plazo y el ROI a menudo dependen de la seriedad con la que se tome la adopción desde el principio.

5.3 Involucrar a las partes interesadas clave y alinearse en los objetivos de adopción#

Si se encuentra en la etapa inicial de decidir implementar claves de acceso, comience con la primera sección de la matriz de evaluación (integración de claves de acceso) y complétela con la gerencia, TI, propietarios de productos y otros tomadores de decisiones clave. Pregúntense:

1. ¿Cuál es nuestra tasa deseada de inicio de sesión con claves de acceso? ¿El 5 % es suficiente para demostrar la viabilidad o necesitamos del 50 al 80 % antes de considerar que las claves de acceso son un éxito?
2. ¿Tenemos presupuesto y apoyo ejecutivo para realizar pruebas A/B durante meses, realizar campañas de optimización, crear materiales educativos y refinar continuamente los flujos de usuarios para que los usuarios comprendan y deseen cambiar a las claves de acceso? ¿Hay suficiente capacidad de ingeniería disponible para implementar todos los informes, análisis y pruebas necesarios? ¿Podemos realizar lanzamientos con la frecuencia suficiente para lograr esos objetivos?
3. ¿Cuál es la visión a largo plazo? ¿Buscamos eliminar las contraseñas o simplemente proporcionar una alternativa?

Responder a estas preguntas desde el principio garantiza que su proyecto de claves de acceso no se convierta en un callejón sin salida. Las organizaciones que no planifican la adopción a menudo se encuentran atrapadas con contraseñas en los próximos años, socavando toda la estrategia de seguridad y experiencia del usuario.

5.4 Cuanto más se aleja de la zona "neutral", más sentido tiene un proveedor#

A lo largo de la matriz, cada criterio de evaluación puede ubicarlo en cualquier lugar, desde la complejidad más baja (1) hasta la complejidad más alta (5). Cuantas más respuestas suyas se desplacen hacia la zona neutral (3) y más allá de ella, más sólido será el caso para usar un proveedor especializado de claves de acceso:

• Requisitos de alta complejidad: como métodos de respaldo avanzados, cumplimiento estricto, análisis profundo y UX en múltiples dispositivos, multiplican su carga de ingeniería y mantenimiento.
• Fuerte énfasis en la adopción: lograr una alta adopción de claves de acceso rápidamente o eliminar las contraseñas generalmente requiere flujos de usuarios bien probados, telemetría detallada e incentivos estructurados.

Estos factores pueden abrumar a los equipos internos, tanto técnica como organizativamente. Una solución de claves de acceso administrada a menudo puede ofrecer mejores prácticas comprobadas, actualizaciones rápidas y experiencia del mundo real para acelerar la adopción mucho más rápido que un enfoque de bricolaje (DIY).

5.5. La perspectiva de Corbado: Cuándo un proveedor es la mejor opción#

Como especialistas en claves de acceso, en Corbado tenemos un punto de vista firme. Si las claves de acceso están en su hoja de ruta y desea una implementación de vanguardia que impulse activamente la adopción, Corbado Connect puede ayudarlo a abordar las complejidades a escala. He aquí por qué:

La adopción está integrada en la solución: Nuestra plataforma está diseñada para maximizar la participación del usuario a través de incentivos inteligentes, análisis y pruebas A/B continuas que también impulsan el ahorro de costos.

Próximos pasos:

1. Complete cada sección relevante de la matriz de evaluación, considerando tanto los objetivos inmediatos como los a largo plazo.
2. Priorice la adopción en su toma de decisiones: alinéese con las partes interesadas sobre objetivos de adopción explícitos y recursos para lograrlos.
3. Compare el TCO de las soluciones internas con las de los proveedores una vez que comprenda su complejidad y ambiciones de adopción, y pase por su proceso interno para evaluar la construcción o compra.

4. Consulte a expertos en claves de acceso (como Corbado) si sus objetivos estratégicos apuntan hacia una plataforma totalmente administrada que maneje de manera efectiva los desafíos técnicos y de adopción.

Al abordar las claves de acceso de manera integral y hacer de la adopción uno de los objetivos clave, logrará los mejores resultados. Eso significa una seguridad más fuerte, inicios de sesión simplificados y un camino real hacia un futuro sin contraseñas. Si está interesado en obtener más información sobre Corbado Connect y cómo ayudamos a nuestros clientes a lograr una alta adopción de claves de acceso, estamos aquí para hablar.

6. ¿Cómo medir el éxito de una implementación de claves de acceso?#

Ahora que hemos ayudado a determinar el enfoque correcto para responder a la pregunta "¿Comprar vs. Desarrollar?", analizamos cómo evaluar el éxito de una implementación de claves de acceso. Por lo tanto, definimos los KPI de entrada y salida de un proyecto de claves de acceso.

6.1 ¿Cuáles son los KPI de entrada importantes para las claves de acceso?#

Los KPI de entrada ayudan a rastrear la adopción en etapa temprana de las claves de acceso y si se están estableciendo las condiciones necesarias para el uso generalizado. Estos indicadores preceden al comportamiento real de inicio de sesión, pero son cruciales para permitir una adopción significativa y optimizar la implementación.

Estos KPI de entrada sirven como indicadores principales de la futura adopción de claves de acceso y permiten a las organizaciones ajustar la educación del usuario, los flujos de UX y la implementación técnica.

6.2 ¿Cuáles son los KPI/OKR de salida importantes para las claves de acceso?#

Los KPI de salida (OKR) miden el éxito real de la adopción de claves de acceso evaluando el comportamiento del usuario, las mejoras operativas y el impacto comercial. Estos indicadores reflejan la eficacia en el mundo real de una implementación de claves de acceso. La Tasa de Inicio de Sesión con Claves de Acceso es un KPI de salida central porque refleja directamente la adopción y el uso reales de las claves de acceso. Una tasa creciente de inicio de sesión con claves de acceso indica una incorporación exitosa y la preferencia continua del usuario por las claves de acceso sobre los métodos de autenticación heredados.

Es importante optimizar principalmente para el éxito de inicio de sesión con claves de acceso y la tasa de inicio de sesión con claves de acceso para garantizar una experiencia de usuario sin fricciones, al tiempo que se trabaja simultáneamente para aumentar las tasas de activación de los usuarios, pero solo cuando la tasa de éxito de inicio de sesión sea lo suficientemente alta como para evitar introducir frustración en el usuario. Además, el seguimiento de estos KPI en diferentes segmentos (como sistema operativo, navegador y dispositivo) y casos de uso específicos (p. ej., inicios de sesión entre dispositivos) puede proporcionar una visión más profunda sobre los patrones de adopción y los posibles puntos de fricción.

6.3 Cómo registrar los eventos necesarios para las métricas de claves de acceso#

La medición precisa de los KPI de entrada (p. ej., aceptación, creación) y salida (p. ej., tasa de inicio de sesión, uso de alternativas) requiere la recopilación de datos de tres fuentes principales:

1. Datos de eventos de frontend
2. Almacén de claves de acceso / credenciales
3. Registros de autenticación y alternativas heredados

6.3.1 Datos de eventos de frontend#

Para calcular métricas como la Tasa de aceptación de claves de acceso o la Tasa de éxito de creación de claves de acceso, debe detectar cuántos usuarios ven un incentivo después de iniciar sesión, cuántos hacen clic en "Sí, crear una clave de acceso" y si realmente finalizan la creación de la clave de acceso. Esto requiere un seguimiento de eventos de JavaScript (o móvil nativo) para capturar:

• Cuándo y si se muestra el incentivo (la primera vez frente a las siguientes)
• Cuánto tiempo tardan en completar el incentivo
• Si cancelan la ceremonia de creación de claves de acceso una o varias veces

También necesitará análisis del agente de usuario (user agent) o sugerencias del cliente (client hints) para vincular las tasas de aceptación a versiones específicas de SO / navegador y poder detectar rutas rotas específicas.

6.3.2 Almacén de claves de acceso / credenciales#

Después de que un usuario inicie el registro en el frontend, el servidor debe confirmar si realmente se almacenó una nueva clave de acceso. Necesitará acceso a la base de datos o a la API de un proveedor de identidad externo que registre el evento de creación de cada credencial. Este repositorio le ayuda a contar cuántas claves de acceso existen por usuario y a realizar un seguimiento del resultado final (éxito o fracaso), lo que garantiza que sepa exactamente qué intentos terminaron en registros completados.

6.3.3 Registros de autenticación y alternativas heredados#

Para métricas como la Tasa de alternativa (Fallback Rate), debe observar sus registros y procesos de autenticación actuales. Al unificar estos registros con eventos de frontend, puede ver si un usuario inició un inicio de sesión con clave de acceso, obtuvo un error y cambió al inicio de sesión de respaldo (p. ej., SMS o contraseña).

Por último, medir los KPI basados en el tiempo, como el Tiempo de inicio de sesión con claves de acceso frente al tiempo de inicio de sesión heredado, depende de las marcas de tiempo del cliente y del servidor. Debido a que muchas organizaciones solo registran los inicios de sesión exitosos, debe agregar instrumentación para los flujos de claves de acceso parciales o fallidos para medir realmente la fricción y la alternativa. La integración de estas tres fuentes de datos, respetando la privacidad y las restricciones reglamentarias, a menudo es más compleja de lo previsto y es otro factor que lleva a algunos equipos a adoptar plataformas de claves de acceso especializadas que brindan análisis integrados y seguimiento de eventos.

6.3.4 El enfoque integrado de Corbado: minería de procesos de autenticación#

Los componentes de Corbado Connect recopilan implícitamente todos los puntos de datos descritos (cientos de ellos diferentes) al generar automáticamente un proceso único para cada usuario que inicia un proceso de autenticación. A través de una integración perfecta, Corbado también recopila métricas de autenticación de su solución existente. Esta vista integral señala de manera precisa las mejoras para los usuarios, proporcionando información completa sobre todos los KPI de claves de acceso esenciales sin ningún esfuerzo adicional de su parte.

6.4 ¿Cuáles son otros KPI/OKR de salida importantes que deberían verse afectados?#

Además, los siguientes efectos en los KPI de salida también deberían aparecer después de una implementación exitosa de claves de acceso y la mayor parte del tiempo ya se recopilan dentro de la empresa:

Métricas operativas y de reducción de costos

• Reducción en el uso de OTP por SMS: Número de OTP por SMS guardados debido a la autenticación con claves de acceso (ahorro de costos directo).
• Reducción en las solicitudes de restablecimiento de contraseña: Disminución de las interacciones del servicio de asistencia relacionadas con contraseñas olvidadas.
• Reducción en los tickets de soporte al cliente: Menor volumen de problemas de servicio al cliente relacionados con la autenticación.
• Reducción en el volumen de llamadas de soporte: Menos llamadas entrantes relacionadas con problemas de acceso a la cuenta.

Métricas de impacto empresarial y de UX

• Tasas de retención de usuarios: Porcentaje de usuarios que continúan autenticándose después del primer inicio de sesión.
• Tasa de conversión: Con qué frecuencia los usuarios completan transacciones después de la autenticación.
• Tasa de abandono en los embudos de inicio de sesión: Si las claves de acceso reducen la cantidad de usuarios que abandonan los intentos de inicio de sesión.

Al realizar un seguimiento específico de los KPI de entrada y salida de las claves de acceso y relacionarlos con otros datos, las organizaciones pueden cuantificar el impacto de su implementación de claves de acceso y realizar mejoras basadas en datos para maximizar la adopción, reducir los costos y mejorar la seguridad.

7. Recomendaciones#

Elegir la solución de claves de acceso adecuada depende de sus desafíos específicos, requisitos de seguridad y consideraciones de costos. A continuación, se presentan recomendaciones clave para las decisiones de comprar frente a desarrollar en diferentes sectores.

7.1 Recomendación para claves de acceso en Banca y Servicios Financieros#

Consideraciones clave:

• El cumplimiento normativo (p. ej., PSD2, SOC 2, ISO 27001, RGPD) exige medidas de seguridad estrictas en la autenticación con claves de acceso.
• La comparación de costos de las claves de acceso es crucial, ya que los bancos a menudo subestiman la complejidad y el mantenimiento a largo plazo de las soluciones internas.
• La autenticación segura es esencial para reducir el fraude por apropiación de cuentas y el phishing.

Recomendación:
La mayoría de los bancos y las instituciones financieras deberían confiar en la solución de claves de acceso de un proveedor en lugar de desarrollarla internamente, ya que la gestión de la infraestructura de claves de acceso internamente introduce complejidades ocultas que superan la experiencia en TI tradicional. La implementación de la autenticación con claves de acceso a escala requiere optimizaciones y actualizaciones continuas, gestión de la compatibilidad con WebAuthn e integración perfecta con los sistemas bancarios heredados, todo lo cual ya manejan los proveedores de claves de acceso.

Bancos como Ubank, Revolut y Finom están liderando el camino en la adopción de claves de acceso, reconociendo el potencial de la tecnología para mejorar la seguridad y, al mismo tiempo, mejorar la experiencia del usuario. El análisis del ROI de las claves de acceso suele favorecer la compra de una solución de claves de acceso en lugar de invertir en mantenimiento y actualizaciones continuos, con implementaciones que muestran reducciones significativas en los intentos de fraude y en los costos de soporte relacionados con la autenticación.

Ejemplos: Armstrong Bank, First Financial Bank, Ubank, Revolut, Finom, Neobank, Cathay Financial Holdings, Stripe, PayPal, Square

7.2 Recomendación para claves de acceso en el sector de la salud#

Consideraciones clave:

• El cumplimiento de HIPAA y el RGPD exige una estricta seguridad de autenticación en la adopción de claves de acceso.
• Los desafíos de la implementación de claves de acceso incluyen el equilibrio entre la seguridad y la facilidad de uso para los pacientes, el personal médico y los administradores de TI del hospital.
• Muchos sistemas de autenticación en el sector salud todavía se basan en infraestructura heredada, lo que hace que la integración de claves de acceso sea más compleja.

Recomendación:
La solución de un proveedor de claves de acceso es la forma más eficaz de cumplir los requisitos normativos a la vez que se simplifica la autenticación. Los proveedores de claves de acceso se encargan de los parches de seguridad, las actualizaciones de cumplimiento y la confiabilidad de la autenticación, lo que reduce la carga para los equipos de TI.

Ejemplos: CVS Health, Caremark, Helsana, NHS, Swica

7.3 Recomendación para claves de acceso en el comercio electrónico y minorista#

Consideraciones clave:

• La optimización de la tasa de conversión (CRO) es fundamental para el negocio: la fricción en la autenticación impacta directamente en los ingresos.
• Los escenarios con múltiples dispositivos deben funcionar a la perfección (los usuarios navegan en el móvil pero completan el pago en el escritorio).
• Los errores de autenticación aumentan directamente las tasas de abandono del carrito, lo que hace que los flujos de inicio de sesión optimizados para la experiencia de usuario sean esenciales.

Recomendación:
Las plataformas de comercio electrónico son las que más se benefician de un proveedor de implementación de claves de acceso que ofrezca altas tasas de adopción. Plataformas importantes como Amazon y Shopify han implementado la autenticación con claves de acceso, demostrando la creciente adopción de la tecnología en el comercio electrónico. Los datos del mundo real muestran que más del 27 % de los inicios de sesión con contraseña iniciales fallan, mientras que la autenticación basada en claves de acceso puede alcanzar tasas de inicio de sesión exitosas de hasta el 95 al 97 %, como se muestra en adopciones anteriores. El análisis del ROI de las claves de acceso muestra que tasas de conversión más altas y menores pérdidas por fraude justifican rápidamente la inversión.

Amazon dijo recientemente que establecieron un objetivo ambicioso del 100 % de adopción de claves de acceso y la eliminación completa de las contraseñas.

Google también descubrió que los usuarios de prueba que interactúan con las claves de acceso tienen un 20 % más de probabilidades de convertirse en clientes de pago que los que no lo hacen.

Ejemplos: KAYAK, Amazon, Mercari, Best Buy, eBay, Home Depot, Shopify, Target

7.4 Recomendación para claves de acceso en viajes y hostelería#

Consideraciones clave:

• La autenticación entre dispositivos es esencial, ya que los usuarios reservan viajes en un dispositivo y se registran (hacen check-in) en otro.
• Los proveedores especialistas en claves de acceso deben garantizar inicios de sesión rápidos y seguros para realizar reservas, check-ins y administrar cuentas de manera conveniente.
• La prevención del fraude es una prioridad, ya que las plataformas de viajes manejan transacciones de alto valor.

Recomendación:
La mayoría de las empresas de viajes deberían implementar soluciones de claves de acceso para mejorar la seguridad y la experiencia del usuario. Las principales empresas como Kayak y las principales aerolíneas ya están utilizando la autenticación con claves de acceso para mejorar su experiencia de usuario. Las soluciones preconstruidas proporcionan una mayor detección de fraudes, experiencias de inicio de sesión perfectas y soporte instantáneo para múltiples dispositivos. El sector de la hostelería se está beneficiando particularmente de la reducción de los tiempos de registro y de la mejora de la seguridad mediante la implementación de claves de acceso, lo que garantiza una autenticación fluida en todos los puntos de contacto (aplicaciones, quioscos, web y plataformas de socios).

Ejemplos: Air New Zealand, Bolt, Grab, Uber, Hyatt

7.5 Recomendación para claves de acceso en el sector de seguros#

Consideraciones clave:

• Los costos de implementación de claves de acceso deben alinearse con las necesidades de cumplimiento y las mejoras en la experiencia del usuario.
• Muchos clientes de seguros no son muy expertos en tecnología, por lo que la experiencia del usuario en todo tipo de dispositivos y navegadores es imprescindible.
• A menudo se requiere la integración de claves de acceso con la verificación de identidad para la gestión de pólizas y el procesamiento de reclamaciones.

Recomendación:
Una solución de claves de acceso externa es la más adecuada para una implementación rápida y el cumplimiento normativo. Los proveedores de seguros informan de una reducción significativa en los tickets de soporte relacionados con la autenticación después de implementar claves de acceso. Un proveedor de implementación de claves de acceso con flujos de autenticación personalizables y verificación de identidad integrada garantiza la seguridad y, al mismo tiempo, simplifica el inicio de sesión del cliente. El análisis del ROI de las claves de acceso sugiere que la reducción de los restablecimientos de contraseñas y las pérdidas por fraude compensa los costos del proveedor.

Ejemplos: Branch

7.6 Recomendación para claves de acceso en el Gobierno y los Servicios Públicos#

Consideraciones clave:

• Los más altos estándares de seguridad y requisitos de cumplimiento (p. ej., NIST, el marco Essential Eight requiere MFA resistente al phishing).
• Necesidades de implementación a gran escala en poblaciones de usuarios diversas con diferente competencia técnica.
• Requisitos de integración con los sistemas de verificación de identidad y la infraestructura heredada del gobierno.

Recomendación:
Para las agencias gubernamentales, una solución de claves de acceso especializada que cumpla con estrictos estándares de seguridad y, al mismo tiempo, garantice la accesibilidad es esencial. El éxito de la implementación en VicRoads demuestra que las organizaciones gubernamentales se benefician más de las soluciones de claves de acceso externas que gestionan los requisitos de cumplimiento y las actualizaciones de seguridad automáticamente. Por lo tanto, elija un proveedor de implementación de claves de acceso que ofrezca seguridad de nivel empresarial, sea compatible con la autenticación en múltiples dispositivos y proporcione flujos de autenticación adaptables para adaptarse a todos los ciudadanos.

Ejemplo: VicRoads, myGov, Estado de Michigan

7.7 Recomendación para claves de acceso en Telecomunicaciones y Servicios Públicos#

Consideraciones clave:

• La escalabilidad y la confiabilidad son fundamentales, ya que los proveedores de telecomunicaciones y servicios públicos a menudo gestionan millones de usuarios en varios segmentos de clientes, lo que requiere una autenticación de alta disponibilidad y tolerante a fallos.
• La compatibilidad con múltiples dispositivos y plataformas es esencial, ya que los usuarios acceden a las cuentas a través de aplicaciones móviles o portales web. La autenticación perfecta con claves de acceso debe funcionar en todos los puntos de contacto del cliente.
• A menudo es necesario admitir sistemas de autenticación heredados, ya que los proveedores de telecomunicaciones y servicios públicos pueden necesitar integrar claves de acceso en los sistemas IAM existentes y en las plataformas de identidad del cliente sin interrumpir los flujos de autenticación actuales.
• La prevención del fraude y la seguridad de la cuenta son las principales prioridades, en particular por el fraude de intercambio de SIM, el robo de identidad y el acceso no autorizado a la cuenta. Las claves de acceso pueden reducir significativamente los ataques de phishing y los riesgos de relleno de credenciales.

Recomendación:
Para los proveedores de telecomunicaciones y servicios públicos, el enfoque recomendado es adoptar una solución de claves de acceso externa. Dadas la escala, la complejidad y las demandas de seguridad de estas industrias, un proveedor administrado de claves de acceso garantiza el cumplimiento, la alta disponibilidad y la integración perfecta con la infraestructura de autenticación existente. Los gigantes de las telecomunicaciones y los proveedores de servicios públicos primero digitales (digital-first) ya están adoptando las claves de acceso como parte de sus esfuerzos de modernización de la seguridad para reducir el fraude y mejorar la experiencia del usuario. Además, la externalización de la implementación de claves de acceso reduce el costo total de propiedad (TCO) en comparación con el desarrollo interno, ya que el mantenimiento continuo, las actualizaciones de seguridad y el cumplimiento normativo están a cargo del proveedor.

Ejemplo: Deutsche Telekom, Telstra, SK Telecom

7.8 Recomendación para claves de acceso en B2B SaaS#

Consideraciones clave:

• La autenticación multiinquilino (multi-tenant) es esencial para el SaaS B2B, lo que requiere una integración escalable de claves de acceso en diferentes sistemas IAM.
• Las empresas esperan SSO (OIDC/SAML), por lo que una integración perfecta con los proveedores de identidad es crítica para el negocio.
• Los costos de implementación de las claves de acceso deben equilibrarse con otras inversiones de seguridad, como la autenticación multifactor (MFA) y los modelos de seguridad de confianza cero (zero-trust).

Recomendación:
Para la mayoría de los proveedores de SaaS B2B, una implementación de claves de acceso externa es la opción óptima. La implementación suele ser más rápida que el desarrollo interno. Las empresas digitales B2B como Notion, Hubspot o Vercel ya han adoptado las claves de acceso para mejorar su seguridad de autenticación. El costo total de propiedad es significativamente menor que el desarrollo interno, ya que el proveedor cubre el mantenimiento, las actualizaciones y los requisitos de cumplimiento.

Ejemplo: Canva, DocuSign, Notion

8. Conclusión#

Las claves de acceso se han convertido en el estándar global para la autenticación, simplificando los inicios de sesión para los usuarios finales al tiempo que mejoran la seguridad. A medida que las empresas evalúan cómo implementar claves de acceso, deben decidir si desarrollar una solución interna o aprovechar a un proveedor especializado de claves de acceso. Si bien las implementaciones propias (DIY) ofrecen un control total, requieren una gran experiencia técnica, recursos de desarrollo y mantenimiento continuo. Por el contrario, los proveedores de claves de acceso brindan un enfoque más rápido, escalable y rentable, asegurando altas tasas de adopción, una experiencia de usuario perfecta y el cumplimiento de los estándares de seguridad en evolución.

Esta guía abordó las siguientes preguntas clave:

• ¿Qué componentes se necesitan para implementar claves de acceso y eliminar las contraseñas?

  Una implementación exitosa de claves de acceso requiere infraestructura FIDO2/WebAuthn, flujos de UX perfectos, mecanismos de respaldo y opciones seguras de recuperación de cuentas. Las empresas también deben tener en cuenta la compatibilidad entre plataformas y el cumplimiento de la seguridad.

• ¿Debería implementar claves de acceso internamente o usar un proveedor externo?

  Si bien el desarrollo interno ofrece control, conlleva una alta complejidad, costos de mantenimiento continuos y responsabilidades de seguridad. La mayoría de las organizaciones orientadas al consumidor a gran escala se benefician de una solución de claves de acceso externa que proporciona una implementación rápida, menores costos operativos y una menor sobrecarga técnica.

• ¿Cuál es el beneficio de tener un proveedor de claves de acceso cuando existen bibliotecas de código abierto?

  Las bibliotecas WebAuthn de código abierto proporcionan un punto de partida, pero carecen de la seguridad de nivel empresarial, la experiencia de usuario optimizada para las claves de acceso y las funciones que mejoran la adopción. Un proveedor de claves de acceso garantiza una implementación perfecta, escalabilidad y estrategias optimizadas de adopción de usuarios que brindan un mejor ROI, lo que reduce la fricción tanto para los usuarios como para los desarrolladores.

• ¿Cuáles son los mayores desafíos al desarrollar una solución de claves de acceso?

  El desarrollo de un sistema interno de claves de acceso requiere una gran experiencia en WebAuthn, soporte multidispositivo y adopción de claves de acceso. El mantenimiento continuo de la complejidad de los dispositivos y navegadores y la garantía de altas tasas de adopción aumentan aún más la complejidad.

• ¿Cuáles son los riesgos de implementar claves de acceso internamente?

  Las empresas corren el riesgo de incurrir en altos costos de desarrollo, plazos de implementación prolongados y continuas cargas de mantenimiento de la seguridad. Las fallas de cumplimiento, las vulnerabilidades de seguridad y la escasa adopción por parte de los usuarios pueden descarrilar el éxito de la implementación de una clave de acceso. Una solución de claves de acceso gestionada por un proveedor mitiga estos riesgos al ofrecer una infraestructura de autenticación comprobada y escalable con seguridad y cumplimiento normativo integrados.

Acerca de Corbado

Corbado es la Passkey Intelligence Platform para equipos de CIAM que gestionan autenticación de consumidores a gran escala. Te ayudamos a ver lo que los logs de tu IDP y las herramientas de analytics genéricas no muestran: qué dispositivos, versiones de SO, navegadores y gestores de credenciales soportan passkeys, por qué los registros no se convierten en inicios de sesión, dónde falla el flujo de WebAuthn y cuándo una actualización de SO o navegador rompe el login en silencio — todo sin reemplazar Okta, Auth0, Ping, Cognito o tu IDP propio. Dos productos: Corbado Observe aporta observabilidad para passkeys y cualquier otro método de login. Corbado Connect añade passkeys gestionados con analytics integrado (junto a tu IDP). VicRoads ejecuta passkeys para más de 5M de usuarios con Corbado (+80 % de activación de passkey). Habla con un experto en Passkeys →

Preguntas frecuentes#

¿Cuáles son los principales riesgos de desarrollar una solución de claves de acceso internamente para una empresa?#

El desarrollo interno requiere una gran experiencia en WebAuthn, una gestión continua de la compatibilidad con navegadores y dispositivos, y un mantenimiento de seguridad dedicado. Las empresas se arriesgan a plazos de implementación prolongados, fallos de cumplimiento y una escasa adopción por parte de los usuarios. Para industrias reguladas como la banca y la salud, el cumplimiento de PSD2, HIPAA y NIST añade mayor complejidad que los proveedores de claves de acceso ya manejan continuamente.

¿Cuánta adopción de claves de acceso necesito antes de eliminar de forma segura las contraseñas?#

Las organizaciones necesitan que el 50-80 % de los usuarios activos se autentiquen con claves de acceso antes de eliminar las contraseñas. Eliminar las contraseñas demasiado pronto aumenta las solicitudes de soporte y los problemas de usabilidad. Un enfoque por fases comienza con las cuentas en las que los usuarios se autentican constantemente mediante claves de acceso, aprovecha los múltiples incentivos (las tasas de aceptación alcanzan hasta el 85 % en dispositivos móviles a lo largo de varias indicaciones) y se expande en función de información basada en datos.

¿Qué KPI debo monitorear para medir el éxito de una implementación de claves de acceso?#

Realice un seguimiento de los KPI de entrada, incluida la tasa de aceptación de las claves de acceso (punto de referencia: 50-75 % en el primer incentivo, hasta el 85 % en dispositivos móviles en varios incentivos) y la tasa de éxito de creación con el objetivo de alcanzar casi el 100 %. Para los KPI de salida, el objetivo es una tasa de inicio de sesión con claves de acceso superior al 20 % en semanas y superior al 50 % en 12 meses. Segmente todas las métricas por SO, navegador y dispositivo para identificar puntos de fricción.

¿Por qué fracasan los proyectos de claves de acceso incluso después de una implementación técnicamente exitosa?#

La mayoría de los proyectos de claves de acceso fracasan debido a la baja adopción por parte de los usuarios en lugar de a problemas técnicos. La dependencia persistente de las contraseñas niega los beneficios de seguridad, elimina el ahorro de costos por la reducción de las OTP por SMS y los restablecimientos de contraseñas, y crea una experiencia de usuario fracturada. Google y Amazon abordan esto a través de pruebas continuas A/B, incentivos en la interfaz de usuario y campañas estructuradas de educación del usuario dirigidas específicamente a la adopción.

¿Qué industrias se benefician más del uso de un proveedor de claves de acceso en lugar del desarrollo interno?#

Los sectores bancario, sanitario, gubernamental, de comercio electrónico, de telecomunicaciones y de seguros se benefician al máximo de las soluciones de los proveedores de claves de acceso debido a los requisitos normativos como PSD2, HIPAA y NIST, combinados con bases de usuarios a gran escala y una infraestructura heredada compleja. Amazon se ha fijado el objetivo del 100 % de adopción de claves de acceso y la eliminación total de las contraseñas, lo que ilustra el nivel de compromiso que requieren estas implementaciones.