FIDO2 / passkey
El estándar abierto detrás del inicio de sesión sin contraseña y resistente al phishing. Al registrarse se crea un par de claves criptográficas: la privada se queda en el dispositivo, la pública se guarda en el servicio. Una «passkey» es una credencial FIDO2 pensada para el usuario. Impulsado por la FIDO Alliance.
Mecánica: en lugar de un secreto compartido (una contraseña que conocen ambas partes y que puede filtrarse), demuestras tu identidad firmando un desafío con tu clave privada; el servicio lo verifica con tu clave pública. La clave privada nunca sale del dispositivo y se desbloquea localmente con biometría o PIN. Es resistente al phishing porque la clave está vinculada al dominio del servicio — un sitio falso no puede sonsacarte una firma válida (a diferencia de una contraseña, que se puede teclear engañado en cualquier sitio). FIDO2 = WebAuthn (la API del navegador) + CTAP (el protocolo hacia las claves de seguridad). Las «passkeys» son credenciales FIDO2 sincronizadas que te siguen entre dispositivos (vía una cuenta de iCloud/Google), lo que resolvió el viejo problema de que perder una clave de hardware te dejara fuera. El fundamento técnico de la autenticación sin contraseña. Relacionado con WebAuthn.