Passkeys para empresas: inicio de sesión resistente al phishing en Microsoft 365 y Google Workspace

Las passkeys (llaves de acceso) permiten iniciar sesión con la huella digital, el reconocimiento facial o el PIN del dispositivo en lugar de una contraseña más un código, y son la forma más práctica de autenticación multifactor resistente al phishing que tienen hoy las pequeñas empresas. A diferencia de los códigos por mensaje de texto o de una aplicación de autenticación, una passkey solo funciona en el sitio web real para el que se creó, así que una página de inicio de sesión falsa no puede capturarla. Microsoft 365 (Microsoft Entra ID) y Google Workspace ya las admiten. La mejor implementación empieza por los administradores y el personal de finanzas, decide entre passkeys sincronizadas y vinculadas al dispositivo, y planifica la pérdida de teléfonos antes de que alguien lo necesite.

Por qué importa el MFA resistente al phishing

Cualquier MFA es mucho mejor que una contraseña sola, y si todavía no lo ha activado, empiece con nuestra guía de autenticación multifactor para empresas. Pero no todos los MFA son iguales. CISA describe la autenticación FIDO/WebAuthn como la única opción resistente al phishing ampliamente disponible y recomienda que las organizaciones se preparen para adoptarla.

La razón está en cómo funciona el phishing moderno. Una página falsa de Microsoft 365 puede pasar su contraseña y su código de seis dígitos al sitio real en tiempo real y luego quedarse con la sesión iniciada. Los mensajes de texto añaden otra debilidad: CISA señala que los atacantes pueden convencer a un operador móvil de transferir un número de teléfono a su propia SIM. Las aprobaciones por notificación push pueden abusarse enviando una solicitud tras otra hasta que alguien toque "aprobar", y por eso CISA considera la coincidencia de números un buen paso intermedio para las organizaciones que todavía no pueden implementar MFA resistente al phishing.

Método	¿Resistente al phishing?	Notas
Código por SMS o llamada	No	Vulnerable al phishing y al cambio fraudulento de SIM
Código de aplicación de autenticación	No	Se puede escribir en una página falsa
Push con coincidencia de números	No, pero es mejor	Buen paso intermedio contra el bombardeo de solicitudes
Passkey (sincronizada o vinculada al dispositivo)	Sí	Vinculada al sitio web real
Llave de seguridad física FIDO2	Sí	Passkey vinculada a un dispositivo físico

Cómo funcionan las passkeys, en palabras sencillas

Una passkey es un par de claves criptográficas. El sitio web guarda la mitad pública; la mitad privada se queda en su dispositivo o en su proveedor de passkeys y se desbloquea con su huella, su rostro o su PIN. Según la FIDO Alliance, cada passkey está vinculada al sitio o aplicación específico para el que se creó, no hay un secreto compartido que se pueda escribir en un formulario y el servidor no guarda nada que permita a un ladrón iniciar sesión después de una filtración de datos.

Para los empleados la experiencia es sencilla: eligen la cuenta, tocan el sensor o escriben el PIN del dispositivo, y listo.

Passkeys sincronizadas frente a vinculadas al dispositivo

Esta es la decisión principal para una empresa:

• Las passkeys sincronizadas se respaldan y se comparten entre los dispositivos del usuario mediante un proveedor de passkeys, como Apple Passwords (Llavero de iCloud), el Administrador de contraseñas de Google o un administrador de contraseñas empresarial. Son fáciles de usar y sobreviven a la pérdida de un teléfono, porque la passkey se restaura en el dispositivo nuevo.
• Las passkeys vinculadas al dispositivo nunca salen del dispositivo donde se crearon. Ejemplos: las llaves de seguridad físicas FIDO2 y las passkeys guardadas en Microsoft Authenticator. Dan más control a la organización, pero si se pierde el dispositivo hay que registrar uno nuevo.

La guía de Microsoft indica que las passkeys sincronizadas deben tratarse como resistentes al phishing, pero con el mismo nivel de confianza que otros autenticadores sin atestación, porque la organización no puede verificar qué dispositivo o proveedor las guarda. Una división práctica para la mayoría de las pequeñas empresas:

• Administradores, dueños y personal de finanzas: passkeys vinculadas al dispositivo, idealmente dos llaves de seguridad físicas por persona (una que se lleva encima y otra guardada en un lugar seguro).
• El resto del personal: passkeys sincronizadas o passkeys en Microsoft Authenticator, mucho mejores que los códigos y fáciles de adoptar.

Si su equipo ya usa un administrador de contraseñas, verifique si puede guardar passkeys; muchos pueden, y así todo queda en un solo lugar administrado.

Cómo activar passkeys en Microsoft 365 (Entra ID)

Microsoft indica que las passkeys (FIDO2) están disponibles en todas las ediciones de Microsoft Entra ID, incluida la gratuita, sin licencias adicionales. Los pasos generales:

1. Inicie sesión en el centro de administración de Microsoft Entra con al menos el rol de Authentication Policy Administrator.
2. Vaya a Entra ID > Security > Authentication methods > Policies y seleccione Passkey (FIDO2).
3. Active los passkey profiles (perfiles de passkey) cuando se le indique. Los perfiles permiten fijar reglas distintas por grupo; Microsoft admite por ahora hasta tres, incluido el predeterminado. Tenga en cuenta que esta activación no se puede revertir.
4. En la pestaña Configure, ponga Allow self-service set up en Yes.
5. Cree los perfiles, por ejemplo "Administradores: vinculadas al dispositivo, con atestación obligatoria" y "Personal: vinculadas al dispositivo y sincronizadas".
6. En Enable and Target, asigne cada perfil al grupo correspondiente, empezando por un piloto.
7. Los usuarios se registran en Security info (mysignins.microsoft.com). Deben haber completado el MFA en los últimos cinco minutos para agregar una passkey.
8. Cuando el personal esté inscrito, use Conditional Access con la authentication strength (nivel de autenticación) integrada resistente al phishing para exigir passkeys en los roles de administrador y en las aplicaciones sensibles.

Dos detalles de la documentación de Microsoft que conviene conocer: las passkeys sincronizadas no admiten atestación y los usuarios invitados no pueden registrar passkeys en su tenant.

Cómo activar passkeys en Google Workspace

Los usuarios de Google Workspace ya pueden agregar passkeys para la verificación en 2 pasos. Para permitir que inicien sesión con una passkey en lugar de la contraseña:

1. En la Consola del administrador, vaya a Menú > Seguridad > Autenticación > Sin contraseña (Passwordless).
2. Abra Omitir contraseñas (Skip passwords), elija una unidad organizativa si quiere hacer un piloto y marque la opción que permite a los usuarios omitir la contraseña y autenticarse con una passkey.
3. Cada usuario agrega luego una passkey a su propia cuenta.

Activar esta opción no elimina las contraseñas existentes. Google también ofrece una restricción para permitir passkeys solo en llaves de seguridad físicas. Tenga cuidado: los usuarios cuyas passkeys estén en teléfonos o computadoras perderían ese método de inicio de sesión, así que revise primero la columna "Llaves de seguridad registradas" del informe de seguridad de usuarios.

Planifique la pérdida de dispositivos antes de necesitarlo

La recuperación es donde una implementación de passkeys triunfa o fracasa. Decida de antemano:

• Dos métodos por persona. Cada usuario debe tener al menos dos formas de iniciar sesión, por ejemplo una passkey en el teléfono y otra en la laptop, o dos llaves de seguridad.
• Verificación de identidad para los restablecimientos. Los restablecimientos de la mesa de ayuda deben exigir confirmar la identidad por un canal conocido (llamar al número registrado o una videollamada), nunca solo una solicitud por correo o mensaje de texto.
• Temporary Access Pass en Microsoft 365. Un Temporary Access Pass (pase de acceso temporal) es un código con tiempo limitado que emite un administrador para que el usuario inicie sesión y registre una passkey nueva. Los valores predeterminados de Microsoft son una vigencia de una hora y un código de ocho caracteres, y se puede exigir que sea de un solo uso.
• Elimine el método anterior. Cuando se pierde un dispositivo, borre su passkey de los métodos de autenticación del usuario, e incluya las passkeys y llaves de seguridad en su lista de verificación de incorporación y salida de empleados.
• Cuentas de emergencia. Mantenga cuentas de administrador de emergencia con credenciales sólidas guardadas por separado y excluidas de las políticas que podrían dejar a todos sin acceso.

Un plan de implementación que funciona

1. Semana 1: active las passkeys, configure los perfiles e inscriba al equipo de IT y a los administradores.
2. Semanas 2 y 3: haga un piloto con los dueños, finanzas y quien maneje pagos o datos sensibles. Recoja las preguntas.
3. Semanas 4 a 6: abra la inscripción a todo el personal con una guía corta (en inglés y en español), una demostración de 10 minutos y la mesa de ayuda disponible.
4. Después de la inscripción: exija autenticación resistente al phishing para los roles de administrador, luego para las aplicaciones sensibles, y retire los SMS donde pueda.

Las passkeys eliminan la forma más común en que se roban las cuentas: una página de inicio de sesión falsa y convincente. Si desea ayuda para planificar la implementación en Microsoft 365 o Google Workspace, incluidas la recuperación y las políticas de dispositivos con Microsoft Intune, solicite una evaluación de IT gratuita. Core Florida IT trabaja con empresas en todo Miami-Dade y el sur de Florida.

Fuentes

• More than a Password: autenticación multifactor (CISA)
• Implementing Phishing-Resistant MFA (hoja informativa de CISA)
• Passkeys (FIDO Alliance)
• How to enable passkeys (FIDO2) in Microsoft Entra ID (Microsoft Learn)
• Configure a Temporary Access Pass in Microsoft Entra ID (Microsoft Learn)
• Allow users to skip passwords at sign-in (ayuda de administración de Google Workspace)