Passkeys son una implementación del estándar WebAuthn (Web Authentication API) del W3C, que forma parte de la iniciativa FIDO2. Técnicamente, una passkey es un par de claves criptográficas asimétricas: una clave privada almacenada de forma segura en el dispositivo del usuario (como un teléfono, computadora o gestor de contraseñas) y una clave pública registrada en el servidor de la aplicación o servicio. Durante la autenticación, el servidor envía un 'challenge' criptográfico que el dispositivo del usuario firma con su clave privada. La clave privada nunca abandona el dispositivo, y la autenticación se verifica en el servidor usando la clave pública correspondiente, eliminando la necesidad de contraseñas, códigos OTP o factores de segundo factor tradicionales.
La implementación de Passkeys está ganando tracción en el mundo real a través de los principales ecosistemas tecnológicos. Apple, Google y Microsoft han adoptado y están integrando Passkeys en sus plataformas y gestores de contraseñas, permitiendo la sincronización segura de passkeys entre dispositivos del mismo ecosistema (por ejemplo, iCloud Keychain, Google Password Manager, Microsoft Authenticator). Servicios como PayPal, eBay, Best Buy, y Shopify ya ofrecen soporte para Passkeys, permitiendo a sus usuarios iniciar sesión sin contraseña. Esto demuestra una adopción creciente tanto a nivel de proveedores de identidad como de servicios finales, facilitando una experiencia de usuario más fluida y segura.
Para un Arquitecto de Sistemas, la adopción de Passkeys es una decisión estratégica con implicaciones significativas. Ofrecen una mejora sustancial en la seguridad al eliminar vectores de ataque comunes asociados con contraseñas (phishing, reutilización, ataques de fuerza bruta) y al ser resistentes a ataques de 'man-in-the-middle'. La experiencia de usuario también mejora, eliminando la fricción de recordar y gestionar contraseñas complejas. Sin embargo, la implementación requiere una cuidadosa consideración de la compatibilidad con navegadores y dispositivos, la gestión de la recuperación de cuentas (account recovery) sin contraseñas, y la integración con sistemas de identidad existentes. Los arquitectos deben evaluar los trade-offs entre la seguridad mejorada y la complejidad de la integración, asegurando que la estrategia de identidad sea robusta y escalable, y que la migración de usuarios sea fluida, potencialmente coexistiendo con métodos de autenticación tradicionales durante una fase de transición.