El final de las contraseñas en Internet

Durante años, la rutina fue tan familiar como frustrante: crear contraseñas, olvidarlas, restablecerlas y, en más de una ocasión, reutilizarlas donde no correspondía. Era un sistema que exigía disciplina constante y ofrecía poca recompensa. Aun así, persistía. No por eficiencia, sino por inercia. Así estaba construido el ecosistema digital.

Ese patrón comienza a cambiar con la adopción de estándares como WebAuthn y el uso creciente de las llamadas passkeys.

La primera experiencia sin contraseña puede resultar desconcertante. El acceso ocurre casi sin fricción: una verificación biométrica, una confirmación en el dispositivo, y la sesión queda abierta. No hay campos que completar ni cadenas de texto que memorizar. Desaparece, también, la inquietud persistente de haber reutilizado una clave en múltiples servicios.

Más allá de la comodidad, el cambio es conceptual. Durante décadas, la seguridad digital se apoyó en secretos que los usuarios debían recordar y proteger. Era una carga cognitiva constante, y a menudo insostenible. Con WebAuthn, ese modelo se invierte. La autenticación deja de depender de algo que se sabe y pasa a basarse en algo que se posee, complementado en muchos casos por algo que se es.

El sistema funciona mediante criptografía de clave pública. Cada servicio genera un par único: una clave pública que permanece en el servidor y una clave privada que nunca abandona el dispositivo del usuario. Esto reduce drásticamente la superficie de ataque. No hay bases de datos llenas de contraseñas que puedan ser filtradas, ni hashes que puedan ser descifrados. Incluso el phishing pierde efectividad, al no existir un secreto reutilizable que entregar.

Con el tiempo, esta arquitectura revela algo más incómodo: muchas de las prácticas consideradas “mejores” durante años eran, en realidad, soluciones provisionales. Reglas como crear contraseñas largas y complejas, evitar reutilizarlas o cambiarlas periódicamente no resolvían el problema de fondo. Lo contenían. Las passkeys no refinan ese sistema; lo sustituyen.

La transición, sin embargo, no está exenta de tensiones. Las credenciales suelen sincronizarse entre dispositivos a través de plataformas como Apple, Google y Microsoft, lo que simplifica su uso cotidiano, pero también introduce nuevas dependencias. Persisten preguntas legítimas sobre la recuperación de acceso, la interoperabilidad entre ecosistemas y el grado de control que conservan los usuarios.

Por ahora, ambos mundos coexisten. El antiguo, basado en contraseñas, sigue siendo dominante. El nuevo, sustentado en identidad criptográfica, avanza de forma desigual. Algunos servicios han adoptado plenamente este enfoque; otros apenas comienzan; muchos permanecen anclados en sistemas heredados.

Aun así, la dirección parece definida.

Tras un periodo de uso, regresar a las contraseñas tradicionales produce una sensación de retroceso. Funcionan, pero evocan otra era de la computación: una en la que la seguridad dependía menos de la arquitectura y más de la memoria humana.

No es, todavía, el fin de las contraseñas. Pero sí empieza a perfilarse como su declive. Y para muchos usuarios, ese cambio no llega demasiado pronto.