Passkeys en Chile: login sin contraseña para empresas

Esta semana, quien entra a ClaveÚnica se encontró con un paso nuevo: además del RUT y la contraseña, ahora puede pedir un código temporal de 6 dígitos desde una app de autenticación (BioBioChile, julio 2026). En paralelo, los bancos volvieron a alertar por el vishing, esas llamadas en que alguien se hace pasar por tu ejecutivo para sacarte las claves (El Mostrador, julio 2026). Las dos noticias apuntan al mismo problema de fondo: la contraseña es el eslabón débil, y todo lo que construimos encima —códigos por SMS, apps de token— sigue dependiendo de ella. La alternativa que ya adoptan Apple, Google y Microsoft son las passkeys: un login sin contraseña.

La idea es atacar el problema por la raíz: en vez de reforzar la contraseña, la eliminan. Este artículo explica qué es una passkey, por qué el login sin contraseña frena el phishing donde el 2FA no llega, cómo se ve esto hoy en Chile y qué implica sumarlo a la web, la app o el portal de clientes de tu empresa.

Qué es una passkey (y por qué “login sin contraseña”)

Una passkey es una credencial para iniciar sesión que reemplaza a la contraseña. En vez de un secreto que memorizas y escribes, tu dispositivo genera un par de llaves criptográficas: una privada, que nunca sale del teléfono o computador, y una pública, que se guarda en el sitio o la app. Para entrar, desbloqueas la llave con lo mismo que usas para abrir el teléfono: huella, rostro o PIN. La FIDO Alliance —el consorcio detrás del estándar, con Apple, Google y Microsoft entre sus miembros— la define justamente así: un inicio de sesión sin contraseña y resistente al phishing (FIDO Alliance).

La diferencia con la clave de toda la vida es de fondo. Cuando un sitio usa contraseñas, guarda un secreto tuyo que, si se filtra o te lo sacan con engaños, sirve para suplantarte. Con una passkey, el sitio guarda solo la llave pública, que por sí sola no sirve para nada: no permite entrar ni se puede “revertir” para descubrir la privada. Aunque filtren la base de datos, no hay contraseñas que robar. De ahí el nombre login sin contraseña: no hay nada que un atacante pueda copiar, adivinar o phishear.

Passkey, contraseña y 2FA: por qué el phishing deja de funcionar

El 2FA que acaba de sumar ClaveÚnica —un código de 6 dígitos que dura 30 segundos— es un avance real: aunque alguien sepa tu clave, sin el segundo factor no entra. Pero comparte una grieta con la contraseña: es información que el usuario puede entregar sin darse cuenta en un sitio falso o por teléfono. El vishing y las páginas clonadas viven de eso.

Una passkey cierra esa grieta porque está ligada al dominio real del sitio donde la creaste. Si un atacante te lleva a una página parecida pero con otra dirección, la passkey simplemente no aparece: no hay código que dictar ni clave que pegar. Esta tabla resume la diferencia:

El punto no es que el 2FA por código esté mal —es mucho mejor que nada—, sino que sigue apoyado en un secreto que una persona puede ceder bajo engaño. La passkey une identidad y verificación en un solo gesto y no deja nada que interceptar.

Cómo funciona por dentro (WebAuthn), para tu web o app

Debajo de la palabra “passkey” hay un estándar abierto llamado WebAuthn / FIDO2, soportado por los navegadores modernos y por los tres grandes sistemas operativos. El flujo tiene dos momentos:

• Registro: el dispositivo crea el par de llaves para ese sitio, guarda la privada de forma segura y le entrega la pública al servidor. Una sola vez.
• Inicio de sesión: el servidor manda un desafío, el dispositivo lo firma con la llave privada tras el desbloqueo biométrico, y el servidor lo valida con la pública. Sin contraseñas viajando por la red.

Técnicamente, esto se implementa contra una API de autenticación que ya viene en la plataforma; no hay que inventar criptografía. Hay dos sabores según el nivel de riesgo: las passkeys sincronizadas, que se respaldan en el llavero de la cuenta (iCloud, Google, Microsoft) y siguen al usuario entre sus dispositivos, y las passkeys ligadas al dispositivo o las llaves físicas (tipo YubiKey), más apropiadas para operaciones sensibles como banca, onboarding de fintech o accesos de administrador.

Passkeys en Chile: dónde estamos parados

Chile va llegando al segundo factor: ClaveÚnica lo acaba de habilitar y la banca hace rato pide token o código para transferir. Es el piso correcto, pero es piso. El estándar global ya se movió al login sin contraseña, y los portales chilenos —de clientes, de pacientes, de proveedores— todavía casi no lo ofrecen.

Ahí hay una oportunidad concreta. La empresa que suma passkeys a su portal se diferencia por dos vías al mismo tiempo: baja el fraude (menos cuentas tomadas por phishing) y mejora la experiencia (entrar con la huella en vez de recordar y escribir clave más código). En un país donde las alertas por vishing y suplantación son parte del paisaje, ofrecer un login que no se puede phishear es un argumento de confianza, no solo de tecnología. Y conecta de forma natural con el resto de tu postura de ciberseguridad: la autenticación deja de ser el flanco más fácil.

Qué gana tu empresa (y dónde aplica)

Sumar passkeys no es un lujo técnico; mueve números que a una pyme le importan.

Menos cuentas robadas. Al eliminar el secreto compartido, desaparece la vía de ataque más común: el phishing de credenciales. Es especialmente relevante en portales de clientes, tiendas online y servicios financieros, donde una cuenta tomada se traduce en plata y en reclamos.

Menos tickets de soporte. El clásico “olvidé mi contraseña” se evapora cuando no hay contraseña que olvidar. Cada reseteo que no ocurre es tiempo que tu equipo no gasta.

Mejor conversión en el login y el checkout. Un gesto biométrico es más rápido que escribir correo, clave y después un código. Menos fricción en la puerta de entrada significa menos gente que abandona antes de comprar o de completar un trámite.

Menos datos sensibles que custodiar. Sin una base de contraseñas, hay un secreto menos que proteger y que podría filtrarse —algo que juega a favor bajo la Ley 21.719 de protección de datos, que exige medidas de seguridad razonables sobre los datos personales.

Conviene una distinción para no confundir conceptos: las passkeys autentican —verifican que quien vuelve es el dueño de la cuenta—, mientras que el onboarding digital con KYC verifica la identidad de una persona nueva al momento de darla de alta. Son capas distintas y complementarias: primero pruebas quién eres, después entras con tu passkey.

Cómo implementarlas sin rehacer tu sistema

La buena noticia es que passkeys se suma; no obliga a partir de cero. Un camino ordenado:

1. Mapea dónde hay login. Web, app, portal de clientes, panel interno. No todos necesitan lo mismo.
2. Agrega passkeys como método adicional. Se integra vía WebAuthn conviviendo con tu clave y tu 2FA actuales. Nadie queda afuera el primer día.
3. Migra de a poco. Invita a los usuarios a crear su passkey después de un login exitoso; deja la contraseña como respaldo mientras la adopción sube.
4. Sube el estándar donde hay riesgo. Para operaciones sensibles, exige passkey o llave física en vez de código.
5. Mídelo. Sigue tres números: reseteos de clave, intentos de fraude y conversión en el login. Ahí se ve el retorno.

Para el “cómo”, hay dos rutas: apoyarse en un proveedor de identidad que ya trae passkeys, o construir la integración a tu medida contra tu propio backend cuando el flujo es particular o quieres dueñía total del código. En Softdigital lo abordamos como cualquier proyecto: con 8+ años de experiencia del equipo, propuesta en menos de 24 horas y precio fijo, sin sorpresas, con el código quedando siempre en tu poder. Un desarrollo a medida parte desde $890.000 según el alcance, y una web profesional con buenas prácticas desde $490.000, referenciales.

El estándar ya se movió

La contraseña tuvo décadas de servicio, pero su problema es estructural: es un secreto que se puede robar, y ningún parche encima lo cambia del todo. Las passkeys no son una moda; son hacia dónde empujan Apple, Google, Microsoft y la industria de seguridad. Chile recién está adoptando el 2FA de forma masiva, así que quien dé el paso siguiente hoy llega temprano y con ventaja.

No hace falta un gran proyecto para empezar: basta elegir un punto de login y probar. Cuéntanos cómo entran hoy tus usuarios y te decimos qué se puede pasar a passkeys y en qué orden: agenda un diagnóstico gratuito de 15 minutos o escríbenos y recibe una propuesta en menos de 24 horas, a precio fijo.