Una passkey es una clave de acceso que vive en tu dispositivo y que solo funciona en tu web. Entras con tu huella, tu cara o el PIN del equipo, sin escribir contraseña y sin copiar ningún código.
Importa por una razón concreta: casi todos los accesos indebidos a un WordPress se hacen con una contraseña buena, no con una adivinada. Una passkey no se puede escribir en una página falsa ni reutilizar desde otra web. En este artículo te contamos qué dicen las fuentes de referencia, qué cambia respecto al doble factor con código y cómo activarlas en Wordfence.
Qué es una passkey, en una frase
Es un par de claves criptográficas: una pública, que se guarda en tu web, y una privada, que nunca sale de tu dispositivo.
Para entrar, tu web le hace una pregunta a tu dispositivo y este la responde firmándola con la clave privada. Antes de firmar, te pide tu huella, tu cara o tu PIN. La web comprueba la firma con la clave pública y te deja pasar.
Según la FIDO Alliance, la organización que define el estándar, el servicio nunca ve el secreto y no hay nada reutilizable que robar. Si alguien entra en la base de datos de tu web, solo se lleva claves públicas, que no sirven para nada.
Por qué importa: la contraseña es el punto débil
Las contraseñas fallan de tres maneras, y ninguna depende de lo lista que sea la tuya:
- Se filtran en otra web donde usaste la misma y alguien las prueba en la tuya.
- Se roban con un correo o una página que imita tu pantalla de acceso.
- Se reutilizan sin querer, entre el trabajo y lo personal, entre dos webs, entre dos personas del equipo.
El informe anual de Verizon sobre brechas de datos (el DBIR) lleva años poniendo el robo de credenciales en cabeza de los accesos iniciales. La propia FIDO cita a Verizon para decir que el 77 % de las brechas de hacking implican credenciales robadas. No hemos podido contrastar ese número con el informe original, así que tómalo como orden de magnitud y no como dato exacto.
Lo que sí hemos visto de cerca es el patrón. En una web que gestionamos, alguien entró varias veces en el panel de administración durante meses con la contraseña correcta, desde direcciones de proveedores de VPN y alojamiento de otros países, y dejó dos enlaces ocultos de spam en la portada. No hubo intentos fallidos antes de entrar. Nadie adivinó nada: tenían la contraseña. Un bloqueo de intentos no habría servido de nada, y un código del móvil sí.
Passkey frente a doble factor con código
Los dos añaden una barrera extra. No protegen igual.
| Contraseña sola | Contraseña y código del móvil | Passkey | |
|---|---|---|---|
| Si te roban la contraseña | Entran | No entran, les falta el móvil | No sirve de nada |
| Si te engañan con una página falsa | Roban la contraseña | Pueden robar contraseña y código a la vez | La passkey no funciona en la página falsa |
| Qué escribes al entrar | Contraseña | Contraseña y seis cifras | Nada, solo tu huella o PIN |
| Si pierdes el móvil | Sin problema | Necesitas los códigos de repuesto | Necesitas otra passkey o un administrador |
La diferencia clave está en la segunda fila. Un código de seis cifras lo puedes escribir tú en una página falsa y alguien lo puede usar al instante. Una passkey está atada al dominio de tu web: en una página que imita la tuya, el navegador no la ofrece y no hay nada que entregar. Por eso los expertos la llaman resistente al phishing.
Qué dicen las mejores fuentes
Hemos leído las fuentes de referencia y esto es lo que sostienen, con lo que está comprobado y lo que no.
- FIDO Alliance (el estándar). Define la passkey como una credencial basada en FIDO2, sin secretos compartidos. Distingue entre passkeys sincronizadas (se copian cifradas entre tus dispositivos a través de un gestor) y ligadas a un dispositivo (no salen de él, como una llave de seguridad física). Las segundas ofrecen la mayor garantía, y las primeras son más cómodas y más fáciles de recuperar.
- CISA, la agencia de ciberseguridad de Estados Unidos. En su guía sobre MFA resistente al phishing recomienda empezar por FIDO y WebAuthn, la tecnología sobre la que se construyen las passkeys. Su razonamiento: otros métodos de doble factor, como el SMS o el código, se pueden engañar con una página falsa.
- NIST, el organismo de estándares de Estados Unidos. En julio de 2025 publicó la versión final de la SP 800-63B-4, su guía de autenticación. Su suplemento de 2024 sobre autenticadores sincronizables abre la puerta a las passkeys sincronizadas en el segundo nivel de seguridad. Las que no salen de un dispositivo se admiten para los niveles más altos. Los detalles de cada nivel conviene leerlos en el documento oficial.
- W3C. El estándar de la web que lo hace funcionar en cualquier navegador es WebAuthn. No es una tecnología de una empresa: lo implementan Chrome, Safari, Firefox y Edge.
- Wordfence, el plugin de seguridad de WordPress más usado. Añadió soporte para passkeys en la versión 9.0.0, publicada el 10 de agosto de 2026, y está disponible en la versión gratuita. Su documentación explica el detalle de ajustes.
Una advertencia honesta: muchas de las cifras de adopción que circulan (por ejemplo, que las passkeys multiplican por cuatro los inicios de sesión con éxito) las publica el propio sector, sin metodología. Nosotros no las usamos como argumento. La razón para activarlas no es la comodidad: es que cierran la vía por la que de verdad entra la gente.
Cómo activarlas en Wordfence
Las passkeys funcionan desde la versión 9.0.0 de Wordfence. Los pasos, resumidos:
- Comprueba que tu web va por HTTPS. Wordfence no permite registrar una passkey en una web sin HTTPS.
- Entra en tu perfil de WordPress. Verás una sección llamada "Mis claves de acceso" con un botón para añadir una.
- Ponle un nombre que te ayude a reconocerla, como "Portátil de oficina" o "Móvil de Ana".
- Confirma con tu dispositivo. El navegador te pedirá tu huella, tu cara o tu PIN. Cuando lo apruebes, queda registrada.
- Prueba que funciona. Abre una ventana privada, entra con la passkey y comprueba que llegas al panel antes de cerrar tu sesión actual.
Registra al menos dos: una en tu portátil y otra en tu móvil, o una en un gestor de contraseñas que las sincronice. Con una sola, perder el dispositivo te deja fuera.
Cuando quieras exigirlas a todo el equipo
Wordfence permite configurar las passkeys por rol de usuario: desactivadas, opcionales o obligatorias. Cuando son obligatorias para un rol, y pasa el plazo de gracia, entrar con usuario y contraseña queda bloqueado para esas cuentas. Esa es la parte que más protege: aunque alguien tenga la contraseña, no le sirve.
Antes de exigirlas, ten en cuenta cinco cosas:
- Los administradores no tienen plazo de gracia por defecto. Hay que activarlo a mano para darles tiempo a registrar su passkey. Con el plazo a cero, quien no haya registrado una se queda fuera.
- Prueba antes de cerrar la sesión. Entra desde otro navegador o ventana privada con la passkey.
- Hay una opción por cuenta para permitir usuario y contraseña si la passkey falla. Si se desactiva, esa cuenta solo entra con passkey. Es lo más seguro, y también lo más delicado si pierdes el dispositivo.
- Las passkeys están atadas al dominio. Si cambias el dominio de la web, hay que registrarlas de nuevo.
- No se las exijas a los clientes de una tienda online. No todos tendrán un dispositivo compatible y perderías ventas. Resérvalas para el equipo.
Si alguien pierde todos sus dispositivos, un administrador puede eliminar su passkey desde los ajustes de Wordfence y darle un plazo nuevo para registrar otra. También hay órdenes de WP-CLI para hacerlo desde el servidor.
Lo que haríamos nosotros
Para una web con varias personas con acceso, este es el orden que seguimos:
- Activar el doble factor con código para todos los administradores. Es lo mínimo, y aquí tienes la guía paso a paso.
- Dar passkeys a quien gestiona la web a diario, en dos dispositivos cada uno.
- Exigir passkey solo a las cuentas del equipo técnico, cuando todas tengan al menos dos registradas.
- Dejar el código del móvil para quien no tenga un dispositivo compatible o no quiera cambiar de hábito. Es mejor que nada, y es más fácil de acompañar.
Una passkey no sustituye a mantener la web actualizada ni a vigilar lo que cambia. Lo que hace es cerrar la puerta más usada. Si quieres saber si alguien ya ha pasado por ella, tienes cómo saber si tu WordPress está hackeado, y si ya ha pasado, el proceso para limpiar el malware de un WordPress. La visión de conjunto está en la guía de seguridad y cumplimiento de WordPress.
Preguntas frecuentes
¿Qué pasa si pierdo el móvil donde tengo la passkey?
Si registraste otra en otro dispositivo, entras con esa y borras la perdida. Si no tienes otra, un administrador de la web puede quitarte la passkey y darte un plazo para registrar una nueva. Por eso conviene registrar siempre dos.
¿La passkey sustituye al doble factor con código?
Para entrar, sí: una passkey ya incluye dos pruebas, el dispositivo que tienes y la huella o PIN que conoces. Si las exiges a un rol, el código deja de hacer falta para esas cuentas. Mientras no las exijas, el doble factor con código sigue siendo tu protección.
¿Funcionan en cualquier móvil y navegador?
En los modernos, sí: Chrome, Safari, Firefox y Edge, en Android, iPhone, Windows y Mac. Si alguien del equipo usa un equipo muy antiguo, puede que no tenga soporte. Por eso conviene probarlo antes de exigirlas.
¿Y si cambio de móvil?
Si tu passkey se sincroniza con un gestor de contraseñas o con el sistema de tu móvil, aparece en el nuevo. Si no, registra una nueva en el dispositivo nuevo antes de deshacerte del viejo.
¿Esto hace más lenta mi web?
No. Solo actúa en la pantalla de acceso, que tus visitantes no ven.
¿Nos lo puedes activar vosotros?
Si tu WordPress lo llevamos nosotros dentro del WordPress gestionado, dínoslo y lo dejamos activado en las cuentas que quieras. Y si prefieres hacerlo tú, esta guía es todo lo que necesitas.
¿Y si tu WordPress lo lleváramos nosotros?
Actualizaciones, seguridad, copias vigiladas y rendimiento, gestionado de forma continua por una persona que responde, donde ya lo tengas o te lo montamos. Auditoría gratuita de tu web actual.
