Estrategia de claves de acceso: Por qué fallará su implementación de claves de acceso

1. Introducción#

Las claves de acceso se están convirtiendo en el nuevo estándar de inicio de sesión, ofreciendo una experiencia de usuario sin fricciones y mayor seguridad que las contraseñas. Las empresas adoptan las claves de acceso por tres razones principales:

• Mejorar la experiencia de usuario y los ingresos (empresas de comercio electrónico y orientadas a transacciones): Las claves de acceso crean una experiencia de inicio de sesión fluida, minimizando la fricción en el momento de la compra, aumentando las tasas de conversión, impulsando la retención de clientes y reduciendo los restablecimientos de contraseñas. Para las plataformas de comercio electrónico y los mercados en línea, la autenticación está directamente vinculada a los ingresos: cada barrera de inicio de sesión que se elimina se traduce en una mayor retención de clientes y más transacciones completadas.

• Mejorar la seguridad mientras se reducen los costes (grandes empresas y sectores centrados en la 2FA): Las claves de acceso ayudan a reducir la dependencia de los costosos SMS OTP, disminuyendo significativamente los gastos de autenticación. Las grandes empresas, las agencias gubernamentales y las industrias con una gran carga de cumplimiento normativo que actualmente utilizan la autenticación de dos factores (2FA) tradicional están recurriendo a las claves de acceso como una alternativa segura y rentable.

• Eliminar por completo las contraseñas (instituciones financieras y empresas objetivo de fraude): Los bancos, las plataformas fintech y las empresas de alto riesgo están adoptando las claves de acceso para eliminar las contraseñas por completo y pasar a un modelo de autenticación resistente al phishing. Las claves de acceso son inmunes al relleno de credenciales (credential stuffing), ataques de repetición y tácticas de ingeniería social: beneficios fundamentales para las industrias frecuentemente atacadas por el fraude.

Sin embargo, el simple hecho de implementar y habilitar las claves de acceso no garantiza el éxito para los despliegues a gran escala: los proyectos a menudo fallan. La adopción, el despliegue estratégico, la alineación de las partes interesadas, las pruebas exhaustivas y la integración de la pila en toda la empresa son fundamentales para el éxito del proyecto. El desafío no es solo ofrecer claves de acceso, sino impulsar su adopción. Este artículo describe una estrategia de cuatro fases para implementar claves de acceso, impulsar la adopción, hacer la transición hacia una autenticación sin contraseñas y automatizar la recuperación:

También explora cómo Corbado aprovecha la información basada en datos para maximizar el ROI, reducir los costes de autenticación, disminuir significativamente el gasto en SMS, eliminar las contraseñas y reforzar la seguridad.

2. Fase I: Adición de claves de acceso – Fase de implementación#

La introducción de claves de acceso como opción de inicio de sesión es el primer paso hacia un sistema de autenticación más seguro y fácil de usar. Sin embargo, la implementación de claves de acceso no es un proceso único para todos: la forma de añadir claves de acceso depende de su configuración de autenticación actual. Ya hemos cubierto mucho la complejidad de la implementación en nuestro blog y explicado cómo hacer bien la implementación.

2.1 Los CIAM existentes y su impacto en la implementación de las claves de acceso#

Al iniciar la implementación, las empresas suelen dividirse en una de tres categorías con respecto a su configuración de autenticación actual:

La implementación de claves de acceso requiere navegar por un ecosistema altamente complejo. El desafío no es solo añadir compatibilidad con WebAuthn, sino garantizar una compatibilidad perfecta en miles de combinaciones de SO/navegador/proveedor de claves de acceso:

2.1.1 Adopción de usuarios y barreras de comportamiento#

• Las claves de acceso representan un gran cambio en la experiencia del usuario, provocando confusión inicial debido a la falta de familiaridad y los comportamientos inconsistentes entre navegadores y dispositivos.

• Los usuarios a menudo se enfrentan a mensajes poco claros y casos extremos desconocidos, lo que reduce significativamente la confianza y las tasas de adopción.

• Las empresas subestiman lo profundamente arraigados que están los hábitos de las contraseñas, por lo que la educación proactiva de los usuarios, la guía clara de la experiencia del usuario y la incorporación sin fricciones son cruciales.

2.1.2 Implementación técnica compleja#

• Las implementaciones de claves de acceso exigen importantes esfuerzos iniciales de ingeniería debido a la complejidad de los protocolos WebAuthn y la diversidad de interacciones entre dispositivos y navegadores.

• La integración con los proveedores de identidad (IdP) existentes o los sistemas de gestión de identidad y acceso de los clientes (CIAM) introduce retos técnicos adicionales, a menudo subestimados hasta que la implementación está en marcha.

• Las actualizaciones continuas de las especificaciones de WebAuthn requieren un mantenimiento continuo y la experiencia de desarrolladores especializados, lo que aumenta el coste y la complejidad a largo plazo.

2.1.3 Incertidumbre del ROI y gestión de costes#

• Las empresas a menudo tienen dificultades para justificar las inversiones en claves de acceso sin pruebas claras de ahorro inmediato en costes operativos, como la reducción del gasto en SMS OTP y la disminución de los tickets de asistencia.

• La fricción inicial en la experiencia de usuario puede aumentar inadvertidamente las solicitudes de asistencia al cliente, contrarrestando los ahorros previstos a menos que se gestione cuidadosamente mediante una orientación proactiva al usuario y procesos alternativos bien diseñados.

• Sin un enfoque estratégico para impulsar la adopción, las empresas se arriesgan a no lograr la reducción prevista del fraude, los ataques de phishing y las pérdidas financieras asociadas.

2.1.4 Riesgos de cumplimiento y seguridad#

• La incertidumbre regulatoria (por ejemplo, PSD2 y otros marcos de cumplimiento normativo) añade complejidad, y las empresas a menudo no tienen claro cómo encajan las claves de acceso en los panoramas regulatorios existentes.

• Surgen nuevos riesgos de seguridad en torno al uso compartido de dispositivos y la sincronización de claves de acceso, creando posibles vulnerabilidades si no se gestionan adecuadamente.

• Las empresas deben establecer proactivamente sólidas capacidades de monitorización y auditoría para detectar y mitigar las amenazas de seguridad emergentes, enfatizando el papel crítico de la observabilidad en tiempo real y la gestión del cumplimiento normativo.

Para superar con éxito estas complejidades, las empresas deben ir más allá de la simple implementación, aprovechando soluciones integrales como las de Corbado que combinan una integración perfecta, una guía de adopción estratégica, información basada en el análisis y una gestión proactiva del cumplimiento de la seguridad.

2.2 Cómo Corbado ayuda a implementar claves de acceso en todos los casos#

Corbado proporciona una solución integral de claves de acceso que elimina la complejidad de la implementación de WebAuthn en diferentes configuraciones de autenticación. Ya sea que sea propietario de su sistema de autenticación, gestione un frontend personalizado con un backend IDP o dependa de una solución IDP totalmente gestionada, Corbado garantiza una integración, implementación y seguimiento de la adopción perfectos de las claves de acceso.

2.2.1 Integración e implementación perfecta de claves de acceso#

• SDKs de backend y servidor WebAuthn: Gestiona todos los registros de WebAuthn, la autenticación y los flujos criptográficos, eliminando la necesidad de crear una infraestructura WebAuthn interna.

• SDKs de frontend y componentes de interfaz de usuario: Proporciona elementos de interfaz de usuario preconstruidos y personalizables para el inicio de sesión, el registro y la gestión de claves de acceso, simplificando la implementación en diferentes navegadores y dispositivos.

• Compatibilidad con IDP y agnóstico de proveedores: Funciona junto con los IDP existentes como Okta, Auth0, IBM, Cognito y otros, ampliando el soporte de claves de acceso incluso cuando falta el soporte nativo del proveedor.

2.2.2 Experiencia de usuario y adopción optimizadas#

• Compatibilidad entre navegadores y sistemas operativos: Probado previamente y validado en miles de combinaciones de navegadores, sistemas operativos y proveedores de claves de acceso, reduciendo los gastos generales de pruebas.

• Gestión de alternativas y flujos de inicio de sesión fluidos: Garantiza transiciones fluidas de los inicios de sesión basados en contraseñas a las claves de acceso, evitando bloqueos y fricciones en la adopción. Además, los dispositivos se detectan automáticamente y se ofrecen claves de acceso en función del dispositivo detectado.

• Experiencia de usuario centrada en las claves de acceso y aceleración de la inscripción: Incita a los usuarios a adoptar las claves de acceso guiándolos a través de la creación automatizada de claves de acceso y flujos de reserva seguros. Además, los componentes de la interfaz de usuario están optimizados para las claves de acceso.

2.2.3 Pasado por alto pero esencial: monitorización, cumplimiento normativo y actualizaciones#

Las implementaciones realizadas por cuenta propia a menudo descuidan la monitorización en tiempo real y el cumplimiento normativo en materia de seguridad, que se vuelven fundamentales a gran escala. Sin ellos, los despliegues de claves de acceso se enfrentan a riesgos de seguridad, puntos ciegos operativos y altos costes de mantenimiento. Corbado elimina estos problemas proporcionando:

2.2.4 Monitorización y observabilidad automatizadas#

• Registro y depuración de autenticación: Realiza un seguimiento de cada evento de clave de acceso para obtener información sobre seguridad y solucionar problemas.

• Análisis de adopción y rendimiento: Monitoriza el uso de claves de acceso, las tasas de reserva y los cuellos de botella de la experiencia del usuario para optimizarlos. Consulte la analítica de claves de acceso para conocer los KPI detallados y nuestro manual de analítica de autenticación para conocer el marco de medición más amplio.

• Despliegue gradual: Permite la implementación por fases para una adopción controlada por navegador o en diferentes aplicaciones.

2.2.5 Seguridad y cumplimiento normativo continuo#

• Automatización de la seguridad de WebAuthn: Descarga la aplicación de medidas criptográficas y el manejo de riesgos.

• SDKs y APIs siempre actualizados: Mantiene la compatibilidad en todos los navegadores y dispositivos.

2.2.6 La parte más importante viene después de la implementación#

La mayoría de las empresas se centran únicamente en el despliegue inicial, descuidando la escalabilidad, la seguridad, la observabilidad y la adopción hasta que surgen problemas. Corbado garantiza que su despliegue de claves de acceso se mantenga seguro, optimizado y construido para escalar. Pero, de manera más crítica, la adopción de claves de acceso a menudo se pasa por alto por completo y se deja sin medir y sin gestionar. En Corbado, la adopción es la única métrica que define el éxito. Todo lo que hacemos está diseñado para garantizar una alta adopción y, por lo tanto, una alta tasa de inicio de sesión con claves de acceso.

3. Fase II: De la implementación a la adopción: el principal desafío empresarial#

Como hemos descrito anteriormente, la mayoría de las empresas se centran en implementar claves de acceso a escala, pero el verdadero desafío no es el despliegue, es la adopción. En esta sección, echaremos un vistazo a por qué la baja adopción acaba con su proyecto de claves de acceso.

3.1 Fracaso del proyecto: cómo una adopción baja acaba con su proyecto de claves de acceso#

Si los usuarios no cambian a las claves de acceso y la tasa de inicio de sesión con claves de acceso no aumenta, el proyecto ya ha fracasado: los usuarios no se acostumbran a las claves de acceso, los riesgos de seguridad permanecen, los costes no disminuyen y las contraseñas siguen dominando. Gestionar esta transición es la parte más crítica del viaje. La siguiente tabla resume por qué esto es tan importante.

3.2 Cómo Corbado Connect garantiza la adopción de claves de acceso#

Esta fase es donde el software de Corbado ayuda en cada paso de la transición. Hemos descrito las estrategias exactas en nuestra Guía para Empresas y hemos construido nuestro software en torno a ellas. Aumentar la adopción de claves de acceso a escala y crear análisis para garantizar que los usuarios hagan el cambio es el núcleo de nuestra solución.

Para enfatizar la importancia de la adopción, dedicaremos un artículo entero a ella porque, sin adopción, todo el proyecto de claves de acceso fracasa.

Gestionar el comportamiento del usuario, medir el progreso y guiar a los usuarios para que hagan el cambio es donde ocurre el verdadero éxito. La adopción de claves de acceso es el punto de inflexión: sin ella, las empresas no reducen costes, no mejoran la seguridad y no eliminan las contraseñas. Es por esto que la gestión de la transición es la fase más importante de cualquier proyecto de claves de acceso.

4. Fase III: Desactivar las contraseñas: el siguiente paso crítico#

Pasar a la autenticación sin contraseñas y dejar solo las claves de acceso como autenticación resistente al phishing es el objetivo final de una estrategia de claves de acceso. Este paso implica desactivar las contraseñas.

4.1 Cómo desactivar las contraseñas y asegurar a los clientes#

El momento y la estrategia dependen de la industria, las necesidades de seguridad y la preparación del usuario. Esta fase suele ser el siguiente paso después de que la adopción de las claves de acceso alcanza una tasa crítica de inicio de sesión, pero en algunos casos, especialmente en sectores de alta seguridad como el de las finanzas, las organizaciones deben prescindir de las contraseñas inmediatamente para eliminar los riesgos de phishing.

¿Cómo pasar a un sistema sin contraseñas con las claves de acceso?

Dado que esta transición es crucial y requiere una estrategia basada en datos, le dedicaremos un artículo completo, donde describiremos las mejores prácticas y las estrategias de despliegue al apostar todo por las claves de acceso.

4.2 Cómo Corbado permite una estrategia y un despliegue sin contraseñas basados en datos#

El sistema de análisis de Corbado desempeña un papel clave a la hora de determinar cuándo un usuario está preparado para desactivar su contraseña. Al rastrear los puntos de contacto importantes en el recorrido de inicio de sesión y posterior al inicio de sesión, nuestro sistema transfiere gradualmente a los clientes que tienen experiencia en el uso de claves de acceso primero hacia un futuro sin contraseñas.

Esta transición casi nunca forma parte de la implementación inicial de las claves de acceso, ya que requiere datos de adopción reales y un seguimiento progresivo de la preparación del usuario. Con Corbado Connect, la eliminación de la contraseña es una capa adicional que se puede activar en una etapa posterior, asegurando una transición fluida y controlada a un modelo de autenticación totalmente sin contraseñas dentro del mismo marco empresarial de claves de acceso.

5. Fase IV: Automatizar la recuperación#

Incluso con una sólida adopción de claves de acceso y un entorno casi o totalmente sin contraseñas, los usuarios ocasionalmente perderán el acceso a sus claves de acceso o a sus dispositivos principales, aunque esto suceda con mucha menos frecuencia que en el caso de las contraseñas o los números de teléfono móvil. Esto hace que los métodos alternativos y de recuperación bien diseñados sean esenciales.

5.1 ¿Por qué la recuperación optimizada es esencial para una estrategia sin contraseñas con claves de acceso?#

Un proceso de recuperación estratégico y automatizado no solo preserva los logros de seguridad obtenidos con esfuerzo, sino que también evita costosos cuellos de botella en el servicio de soporte. El objetivo es garantizar que, incluso en el peor de los casos (como la pérdida de un dispositivo o la revocación de una clave de acceso), los usuarios puedan recuperar el acceso de forma fiable sin comprometer el nivel de seguridad general del sistema.

5.1.1 Recuperación de MFA inteligente: digitalice los costes de recuperación de MFA#

Para casos de uso de mayor seguridad o regulados, las soluciones de recuperación avanzadas ("inteligentes") van más allá de una simple OTP enviada por correo electrónico o teléfono. A menudo involucran verificación de identidad digital (IDV), verificación de identificación con foto y comprobaciones de actividad en tiempo real. Así es como estos métodos mejoran tanto la seguridad como la experiencia del usuario:

• Selfie + Verificación de actividad en tiempo real: Los usuarios pueden recuperar su cuenta de forma segura tomándose un selfie en directo junto con su identificación con foto. Los proveedores modernos de verificación de identidad realizan comprobaciones biométricas en tiempo real para confirmar que (1) la identificación es válida y (2) el selfie es de una persona real y viva que coincide con esa identificación. Esto ayuda a prevenir el fraude y las situaciones de robo de identidad, convirtiéndolo en una poderosa alternativa a los procesos manuales de KYC (Conozca a su cliente).

• Reserva en dispositivos cruzados y entornos conocidos: Si un usuario todavía tiene acceso a otro dispositivo de confianza con una clave de acceso válida, puede recuperarla escaneando un código QR seguro. Esta solución alternativa optimizada aprovecha las claves de acceso existentes del usuario y la confianza del dispositivo para restaurar el acceso al instante.

• Reducción del soporte manual: Al digitalizar la verificación, las empresas pueden reducir drásticamente los gastos generales del soporte manual, algo que resulta especialmente costoso para los despliegues de MFA a gran escala. Los flujos automatizados guían a los usuarios paso a paso, reduciendo el volumen de tickets y llamadas al centro de asistencia.

Además, es importante monitorear los desarrollos en torno a la API de Credenciales Digitales (Digital Credentials API), ya que probablemente se convertirá en un método importante para la configuración y recuperación de cuentas en el futuro, especialmente con el despliegue de iniciativas como la Cartera de Identidad Digital de la UE (EU Digital Identity Wallet) y otras implementaciones similares.

5.1.2 Consideraciones sobre la frecuencia de recuperación#

Los eventos de recuperación de claves de acceso ocurren con menos frecuencia, especialmente en el caso de los consumidores, porque la mayoría de las claves de acceso ahora están sincronizadas con cuentas en la nube (por ejemplo, Apple iCloud Keychain, Google Password Manager). Un usuario que cambie de dispositivo dentro del mismo ecosistema tiene acceso automáticamente a sus claves de acceso sincronizadas. Sin embargo, en movimientos entre ecosistemas (como de iOS a Android) o si un usuario pierde el acceso al número de teléfono utilizado como alternativa, un flujo de recuperación sólido y automatizado se vuelve crítico. Se recomienda establecer al menos una clave de acceso sincronizada antes de desactivar las contraseñas.

5.2 Cómo Corbado permite la recuperación automatizada#

Al igual que Corbado ayuda en las fases anteriores con la implementación de las claves de acceso, las métricas de adopción en tiempo real y la eliminación gradual de las contraseñas, también proporciona flujos de recuperación listos para usar y análisis para mantener el acceso de los usuarios de forma segura con un flujo de recuperación adaptativo. Además, Corbado tiene previsto admitir la recuperación a través de la API de Credenciales Digitales (Digital Credentials API) una vez que su adopción sea lo suficientemente alta.

• Verificación de identidad: Corbado primero confirma el correo electrónico o número de teléfono verificado del usuario para establecer un canal de contacto seguro.

• Opciones de MFA inteligente: Si los requisitos de seguridad lo exigen, Corbado puede iniciar una comprobación automática de vida o una verificación de identidad, asegurando que el usuario realmente sea quien dice ser.

• Entorno de sesión conocido: Los sistemas pueden tener en cuenta la ubicación, la huella dactilar del dispositivo o inicios de sesión exitosos anteriores para agilizar una recuperación sin fricciones si el nivel de riesgo es bajo.

La automatización de la recuperación es la pieza final que completa el rompecabezas sin contraseñas. Al garantizar métodos alternativos de alta seguridad (ya sean sencillos o "inteligentes"), se preservan los beneficios de las claves de acceso y se mantiene una experiencia de usuario sin fricciones. Una recuperación bien planificada es esencial para generar confianza en un mundo sin contraseñas. Garantiza que los grandes beneficios de seguridad y experiencia de usuario que ha cultivado en las fases I a III permanezcan intactos, incluso cuando los usuarios pierdan su clave de acceso principal.

6. Conclusión#

Las claves de acceso suponen un gran cambio en la autenticación, y prometen mayor seguridad, una experiencia de usuario sin fricciones y ahorro de costes. Sin embargo, como hemos destacado, no basta con habilitar las claves de acceso. La adopción, la implementación estratégica y la integración en toda la empresa son las claves del éxito. En la introducción, identificamos tres motivaciones principales de las empresas que adoptan las claves de acceso, cada una de las cuales se ve directamente influida por los retos y las estrategias que se abordan en las cuatro fases de la implementación de las claves de acceso.

• ¿Cómo mejorar la experiencia del usuario y los ingresos con las claves de acceso? Las claves de acceso mejoran significativamente la experiencia del usuario al eliminar la fricción que causan las contraseñas, lo que se traduce en mayores tasas de retención y conversión. Sin embargo, como se vio en la Fase II (Adopción), el simple hecho de ofrecer las claves de acceso no es suficiente: se debe orientar activamente a los usuarios para que hagan el cambio. El problema de la adopción es especialmente grave en las empresas con sistemas de autenticación personalizados o backends IDP/CIAM con un frontend personalizado, en los que las decisiones sobre la experiencia del usuario influyen en gran medida en que los usuarios adopten las claves de acceso o no. Los mensajes claros, la inscripción progresiva a las claves de acceso y las sugerencias estratégicas son fundamentales para garantizar que las claves de acceso no solo sean una opción, sino el método de autenticación preferido. Las empresas también deben realizar un seguimiento de las tasas de adopción, perfeccionar los flujos de incorporación y proporcionar mecanismos alternativos fluidos para eliminar cualquier fricción.

• ¿Cómo mejorar la seguridad y reducir los costes con las claves de acceso? Las claves de acceso eliminan los riesgos de phishing y reducen la dependencia de los costosos SMS OTP, pero estos beneficios solo se materializan cuando la adopción es alta. Como se indica en la Fase III (Transición sin contraseñas), reducir los costes de autenticación requiere un enfoque estructurado y basado en datos que vaya más allá de la simple habilitación de las claves de acceso para convertirlas de forma activa en el método de autenticación dominante. Las empresas que cuentan con soluciones IDP/CIAM totalmente gestionadas se enfrentan aquí a un reto particular, ya que tienen un control limitado. Sin embargo, Corbado proporciona herramientas para hacer un seguimiento del uso de las claves de acceso, imponer el uso de claves de acceso de forma prioritaria en los inicios de sesión y eliminar gradualmente las contraseñas para cumplir los objetivos de seguridad y cumplimiento normativo. Además, las organizaciones con sistemas de autenticación personalizados deben asegurarse de que sus políticas de seguridad y las opciones de reserva no mantengan las contraseñas en uso inadvertidamente.

• ¿Cómo pasar a un sistema sin contraseñas con claves de acceso?: Un ecosistema de autenticación verdaderamente seguro y sin contraseñas es el objetivo final, pero para alcanzarlo se requiere una planificación cuidadosa. Una estrategia bien pensada en cuanto a adopción y recuperación automatizada garantiza que la eliminación de contraseñas no genere mayores costes de soporte o vulnerabilidades de seguridad. Las empresas deben implementar soluciones alternativas que no reintroduzcan métodos de autenticación débiles, como restablecimientos basados en el correo electrónico o flujos de recuperación de dispositivos inseguros. Los sistemas de autenticación personalizados deben crear y mantener sus propios mecanismos de recuperación, mientras que las empresas que utilicen backends IDP/CIAM deben integrar opciones de reserva que estén en consonancia con las capacidades de los proveedores. Corbado automatiza este proceso con recuperación inteligente de MFA, autenticación cruzada de dispositivos y estrategias de reserva adaptativas, garantizando que los usuarios se mantengan seguros y operativos incluso en el peor de los escenarios.

Independientemente de la arquitectura de autenticación de una empresa, el éxito de las claves de acceso depende no solo de la implementación, sino también de la gestión de la adopción, la transición y la seguridad. Las empresas que no consiguen impulsar la adopción se arriesgan a mantener las mismas vulnerabilidades de seguridad y los mismos costes, incluso después de implementar las claves de acceso. Corbado garantiza que las empresas no solo puedan implementar claves de acceso, sino también impulsar la adopción por parte de los usuarios, aplicar políticas sin contraseñas y gestionar una recuperación segura sin comprometer la experiencia del usuario.

Acerca de Corbado

Corbado es la Passkey Intelligence Platform para equipos de CIAM que gestionan autenticación de consumidores a gran escala. Te ayudamos a ver lo que los logs de tu IDP y las herramientas de analytics genéricas no muestran: qué dispositivos, versiones de SO, navegadores y gestores de credenciales soportan passkeys, por qué los registros no se convierten en inicios de sesión, dónde falla el flujo de WebAuthn y cuándo una actualización de SO o navegador rompe el login en silencio — todo sin reemplazar Okta, Auth0, Ping, Cognito o tu IDP propio. Dos productos: Corbado Observe aporta observabilidad para passkeys y cualquier otro método de login. Corbado Connect añade passkeys gestionados con analytics integrado (junto a tu IDP). VicRoads ejecuta passkeys para más de 5M de usuarios con Corbado (+80 % de activación de passkey). Habla con un experto en Passkeys →

Preguntas frecuentes#

¿Cómo pueden las empresas impulsar realmente la adopción de claves de acceso tras la implementación técnica?#

Impulsar la adopción requiere incitar activamente a los usuarios mediante una inscripción progresiva, flujos de creación de claves de acceso automatizados y mensajes claros en la interfaz de usuario, y no solo ofrecer las claves de acceso como opción. La analítica que hace un seguimiento de las tasas de inicio de sesión con claves de acceso, las tasas de uso de alternativas y los cuellos de botella en la experiencia del usuario es esencial para identificar las fricciones. Sin esta capa de gestión de la adopción, las empresas no pueden reducir los costes de los SMS OTP, eliminar los riesgos de phishing o prescindir de las contraseñas.

¿Cuándo es el momento adecuado para desactivar las contraseñas tras implementar las claves de acceso?#

En la mayoría de los sectores, como el SaaS o el comercio electrónico, las contraseñas deben eliminarse gradualmente cuando la adopción de claves de acceso alcance un umbral crítico de tasa de inicio de sesión, confirmado mediante análisis en tiempo real de la preparación de los usuarios. El sector financiero y las empresas de alto riesgo deberían eliminar las contraseñas de inmediato porque la resistencia al phishing no se puede retrasar a la espera de los plazos de adopción. Se recomienda establecer al menos una clave de acceso sincronizada por usuario antes de desactivar las contraseñas.

¿Cómo afecta a la complejidad de implementación de las claves de acceso la configuración del CIAM o el IDP existente de una empresa?#

Las empresas se pueden clasificar en tres categorías: sistemas de autenticación completamente personalizados, interfaces de usuario personalizadas con backends IDP y sistemas completamente gestionados como Okta o Auth0. Los sistemas IDP completamente gestionados tienen la menor flexibilidad y requieren la ayuda de un especialista para ampliar la funcionalidad nativa de las claves de acceso. Los sistemas de autenticación personalizados conllevan la mayor carga de ingeniería debido a la complejidad del protocolo WebAuthn y a los miles de combinaciones de sistemas operativos, navegadores y proveedores de claves de acceso.

¿Qué opciones de recuperación de cuentas funcionan en un entorno de claves de acceso totalmente sin contraseñas?#

Entre las opciones de recuperación se incluyen la verificación de identidad (selfie y reconocimiento de vitalidad) comparada con un documento de identidad con fotografía, la recuperación entre dispositivos basada en códigos QR usando una clave de acceso existente y de confianza, y la opción alternativa de sesión adaptativa según la huella digital del dispositivo y su ubicación. La API de Credenciales Digitales (Digital Credentials API) es una vía de recuperación incipiente en línea con iniciativas como la Cartera de Identidad Digital de la UE. La automatización de estos flujos reduce la carga que recae sobre el equipo de asistencia manual, lo que resulta especialmente costoso en los despliegues a gran escala.