- FIDO2 sustituye las contraseñas por claves criptográficas ligadas a dispositivos, usando el móvil o llaves físicas como autenticadores fuertes.
- Los autenticadores pueden ser de plataforma (integrados en el dispositivo) o multiplataforma (llaves USB, NFC, Bluetooth o smartphones usados como token externo).
- Google y Microsoft permiten registrar el teléfono y llaves FIDO2 para proteger cuentas, incluso como método principal de acceso sin contraseña.
- La adopción de FIDO2 mejora la seguridad y el cumplimiento normativo, pero convive con retos como sistemas heredados y gestión del PIN y dispositivos de respaldo.
Si estás harto de contraseñas imposibles y de depender siempre de apps tipo Authenticator, te interesa saber que la emulación de tokens FIDO2 en el móvil y las llaves de seguridad físicas permiten usar tu smartphone como llave y, si quieres, repartir pequeños tokens USB como si fueran “blister packs” sin tener que montar una infraestructura de gestión centralizada.
En los últimos años, la Alianza FIDO y grandes empresas tecnológicas han impulsado estándares que hacen posible que tu móvil, tu portátil o una llave USB actúen como autenticadores fuertes, resistentes al phishing y, en muchos casos, sin necesidad de contraseña. Vamos a ver cómo funciona exactamente FIDO2, qué tipos de autenticadores hay, cómo usar el teléfono como token y qué debes tener en cuenta al elegir llaves de seguridad con PIN robustos y sin demasiadas complicaciones de administración.
¿Qué es FIDO2 y por qué todo el mundo habla de ello?
El estándar FIDO2 (Fast Identity Online) está pensado para que los usuarios puedan identificarse en servicios online usando dispositivos propios como smartphones con biometría, portátiles con lector de huellas, llaves USB de seguridad o tokens NFC, tanto en entornos móviles como de escritorio.
La iniciativa nace de la FIDO Alliance, un consorcio de empresas tecnológicas, financieras y organismos públicos que se propuso acabar con la dependencia de las contraseñas tradicionales. El objetivo es mejorar la seguridad y, al mismo tiempo, simplificar la experiencia de autenticación en webs y aplicaciones.
FIDO2 es la evolución de estándares anteriores como U2F (enfocado en llaves físicas como segundo factor) y UAF (centrado en biometría en móviles). Hoy en día, todos estos esfuerzos convergen en FIDO2, que es el que hace posible las passkeys modernas y los inicios de sesión sin contraseña en la mayoría de plataformas actuales.
Además de aumentar la seguridad, FIDO2 reduce mucho el riesgo de fraude y de robo de credenciales, ya que elimina el uso de contraseñas estáticas y sustituye los códigos SMS o las OTP tradicionales por mecanismos criptográficos mucho más sólidos y difíciles de atacar.
¿Cómo funciona FIDO2 a nivel técnico (sin complicarte demasiado)?
La base de FIDO2 es la criptografía de clave pública. En lugar de una contraseña que se envía al servidor, el dispositivo del usuario genera un par de claves digitales: una clave privada (que nunca sale del dispositivo) y una clave pública (que se guarda en el servidor del servicio online).
Cuando te registras con un autenticador FIDO2 en un sitio compatible, el dispositivo crea ese par de claves único para la combinación usuario-servicio-dispositivo. La clave privada permanece protegida en el hardware del usuario (en un enclave seguro o en la propia llave), mientras que la clave pública se registra en el servidor junto con un identificador aleatorio de credencial.
En cada inicio de sesión posterior, el servicio web envía un desafío criptográfico único al dispositivo. El autenticador FIDO2 pide al usuario un gesto de verificación local (PIN, biometría, toque físico en la llave, etc.), y solo si el usuario lo realiza correctamente, la clave privada firma ese desafío.
El resultado de la firma vuelve al servidor, que lo valida usando la clave pública previamente registrada. Si todo encaja, se concede el acceso. El gran punto fuerte es que la clave privada nunca abandona el dispositivo del usuario, lo que hace que sea extremadamente complicado suplantarla o interceptarla.
Protocolos que componen FIDO2: WebAuthn y CTAP
La especificación FIDO2 no es un único protocolo, sino la combinación de dos piezas principales perfectamente engranadas para que navegador, servidor y autenticador se entiendan entre sí.
Por un lado está WebAuthn, un estándar del W3C que define cómo el navegador (o app cliente) se comunica con el servidor que quiere autenticar al usuario. Es la API web que hace posible que un sitio ofrezca opciones como “iniciar sesión con llave de seguridad” o “usar passkey”.
Por otro lado está CTAP (Client-to-Authenticator Protocol), definido por la FIDO Alliance, que describe cómo se comunican el navegador o el sistema operativo con el autenticador que realmente guarda las claves (ya sea una llave USB, un móvil, un TPM de portátil, etc.).
Dentro de CTAP conviven versiones y modos: CTAP1 equivale al antiguo U2F (permitiendo compatibilidad con llaves U2F como segundo factor) y CTAP2 habilita las capacidades completas de FIDO2, incluyendo el acceso sin contraseña. Una llave que soporte CTAP2 y CTAP1 puede funcionar como token U2F clásico y como autenticador FIDO2 moderno.
Tipos de autenticadores FIDO2: plataforma y roaming
Antes de que un dispositivo genere un conjunto de claves FIDO2 para una cuenta, tiene que comprobar que el usuario que está delante es legítimo. Esa comprobación la hace el autenticador, que puede pedir un PIN, una huella, reconocimiento facial u otro gesto.
En el ecosistema FIDO2 distinguimos dos categorías principales: autenticadores de plataforma y autenticadores de itinerancia o multiplataforma, cada uno con usos y ventajas distintas.
Autenticadores de plataforma (o enlazados)
Los autenticadores de plataforma son los que están integrados en el propio dispositivo cliente: un portátil, un sobremesa, una tablet o un smartphone. No se extraen ni se usan físicamente en otros equipos, sino que trabajan siempre en el mismo dispositivo donde se realiza el login.
Ejemplos claros de autenticadores de plataforma son Windows Hello, Touch ID y Face ID de Apple, o el sensor de huellas de Android. En todos estos casos, las claves privadas se guardan en un componente seguro del dispositivo y se desbloquean con biometría o un PIN local.
Con este modelo, el usuario entra en la web o app desde su dispositivo principal y se autentica en el mismo equipo con su método preferido. Es cómodo, rápido y no requiere llaves externas, pero está ligado al dispositivo concreto en el que se crean las credenciales.
Autenticadores de itinerancia (o multiplataforma)
Los autenticadores de itinerancia, también llamados multiplataforma, son dispositivos de hardware portátiles que se pueden usar en varios equipos distintos. Aquí entran en juego las llaves USB, NFC o Bluetooth, así como algunos móviles y wearables.
Estos autenticadores se conectan a ordenadores, tablets o móviles mediante USB, NFC o Bluetooth, y permiten al usuario autenticarse en múltiples dispositivos con el mismo token. Un ejemplo típico es una llave de seguridad que conectas por USB al PC de la oficina, al portátil de casa o al tablet, siempre con el mismo gesto de toque o PIN.
Registro y autenticación en servicios compatibles con FIDO2
Para aprovechar la mayor seguridad de FIDO2, es importante entender los dos grandes flujos de operación: el registro inicial y las autenticaciones posteriores. Aunque cada servicio tenga pantallas ligeramente distintas, el mecanismo de fondo es muy similar.
Operación de registro en FIDO2
En el proceso de alta, el usuario accede a la plataforma web o servicio desde su smartphone o portátil y se identifica inicialmente con el método clásico (usuario y contraseña, o credenciales corporativas) para que el sistema sepa quién es.
Dentro de la configuración de cuenta o del perfil suele aparecer una opción para habilitar el inicio de sesión con FIDO2 o login biométrico. Al activar esta opción en un dispositivo concreto, se desencadena un intercambio de información entre servidor y navegador para generar las nuevas claves.
En ese momento, el autenticador (ya sea una llave, el móvil o el propio portátil) crea un par de claves: privada y pública, únicas para esa cuenta y ese servicio. La clave privada se queda protegida localmente, mientras que la pública y un identificador de credencial aleatorio se envían al servidor y quedan registrados como nuevo método de autenticación.
Proceso de autenticación posterior
Cuando el usuario vuelve a acceder a la web o app, la página de login mostrará, además de la opción de usuario/contraseña, una opción para iniciar sesión con FIDO2 o passkey. Al elegirla, el servidor genera un reto criptográfico y se lo manda al dispositivo del usuario.
El navegador o la app llama al autenticador registrado, que puede estar en el mismo dispositivo (plataforma) o en un segundo dispositivo (llave física, móvil, etc.). El autenticador solicita un gesto del usuario: PIN, huella, rostro o toque físico en la llave para confirmar que la persona está presente.
Si el gesto es correcto, la clave privada que vive en el autenticador firma el desafío enviado por el servidor y devuelve la respuesta firmada. El servidor la verifica con la clave pública almacenada; si la firma es válida, se concede el acceso sin necesidad de introducir contraseñas ni códigos SMS.
Autenticación fuera de banda con FIDO2
Existe además la posibilidad de autenticación fuera de banda, donde la petición de acceso se completa en el propio dispositivo móvil aunque el usuario esté iniciando sesión desde otro equipo.
En este esquema, el usuario recibe una solicitud de autenticación en su smartphone mediante un enlace, notificación o incluso vía SMS, y verifica su identidad usando biometría o PIN local en el móvil. Así se puede sustituir el típico mensaje OTP de los bancos por un flujo basado en FIDO2, mucho más seguro y resistente a ataques de phishing y SIM swapping.
Usar el smartphone como llave de seguridad FIDO2
Uno de los casos más interesantes es cuando el propio teléfono Android actúa como llave de seguridad para proteger, por ejemplo, la cuenta de Google, sin necesidad de un token USB adicional.
Google permite desde Android 7 en adelante que el móvil funcione como token FIDO2 integrado. Una vez configurado, el usuario introduce su usuario y contraseña de Google en el ordenador y, a continuación, recibe una notificación en el teléfono pidiéndole que confirme si está intentando iniciar sesión.
El flujo se apoya en tecnologías como WebAuthn y CTAP, y en una comunicación segura vía Bluetooth entre el ordenador y el móvil. Esta comunicación, en algunos escenarios, puede asistirse con mecanismos como caBLE (cloud-assisted Bluetooth Low Energy), una aportación de Google para mejorar la experiencia de emparejamiento y robustez del canal.
Requisitos para usar tu móvil Android como token de seguridad
Para aprovechar esta función, el dispositivo debe cumplir una serie de condiciones básicas que garanticen tanto la seguridad como la compatibilidad con los navegadores y sistemas donde se va a usar.
En primer lugar, necesitas un teléfono Android con versión 7.x o superior, ya que las versiones antiguas no incorporan de forma nativa el soporte para FIDO2 y WebAuthn que Google añadió al sistema operativo.
Además, es obligatorio que el Bluetooth esté activado tanto en el móvil como en el ordenador, porque la verificación de proximidad y la autenticación entre ambos dispositivos se realiza mediante este canal inalámbrico. En cuanto al ordenador, debe ejecutar la última versión de Chrome sobre ChromeOS, macOS o Windows.
Activar el teléfono Android como llave de seguridad en Google
Para activar esta funcionalidad, primero hay que habilitar la verificación en dos pasos en la cuenta de Google y añadir el teléfono Android como llave de seguridad. El propio centro de ayuda de Google detalla los pasos necesarios desde la sección de seguridad de la cuenta.
Una vez añadida la llave de seguridad integrada del teléfono, el proceso de login cambia ligeramente: cuando introduces tus credenciales en el PC, el dispositivo detecta que tu cuenta tiene registrada una llave de seguridad y lanza un desafío. Entonces, aparece una notificación en tu móvil preguntando si estás intentando iniciar sesión; con confirmar en la notificación, se completa el acceso.
En caso de pérdida del teléfono o imposibilidad de usarlo, es fundamental tener configurados métodos de respaldo: app Authenticator, otra llave de seguridad física (como YubiKey o Titan), o códigos de seguridad de recuperación que Google permite descargar e imprimir.
Llaves de seguridad FIDO2 físicas: elección de tokens y complejidad del PIN
Más allá del móvil, muchas organizaciones quieren usar tokens USB FIDO2 para proteger accesos a Microsoft 365 y otros servicios, sobre todo para usuarios que no usan o no quieren usar apps tipo Authenticator. Aquí entran en juego detalles prácticos como la complejidad del PIN y la necesidad (o no) de gestión centralizada.
En el mercado existen llaves FIDO2 muy baratas que permiten configurar PINs triviales como 1111 o 1234, algo poco recomendable en entornos corporativos donde se exige un nivel mínimo de robustez. La pregunta habitual es qué modelos de token imponen políticas de PIN más estrictas sin necesidad de montar una plataforma de administración central.
La mayoría de los fabricantes de llaves FIDO2 de gama media y alta ofrecen opciones para reforzar la complejidad del PIN y bloquear la llave tras varios intentos fallidos. Aunque cada entorno es distinto, suele ser buena idea optar por llaves certificadas FIDO2 con soporte para PIN configurable, biometría opcional y posibilidad de uso multiplataforma (USB-A, USB-C, NFC, etc.).
Para organizaciones que quieren algo tan sencillo como comprar un “blister pack” de llaves y repartirlas a los usuarios, resulta práctico elegir dispositivos que no requieran software de gestión complejo y que permitan definir un PIN fuerte en la inicialización, idealmente con indicaciones claras para que el usuario elija una combinación difícil de adivinar.
Inicialización y registro de llaves FIDO2 en servicios
Antes de registrar una llave FIDO2 en un servicio concreto, conviene realizar una inicialización básica donde se establece el PIN y, si procede, se configura una llave de repuesto para emergencias.
Algunos fabricantes proporcionan utilidades específicas, como aplicaciones de gestión tipo SK Manager, que permiten preparar las llaves, asignarles un PIN y realizar la primera configuración desde un ordenador. Es recomendable inicializar tanto la llave principal como la de backup en la misma sesión.
Una vez listas, se accede al servicio deseado (por ejemplo, una cuenta corporativa, un proveedor de correo o un servicio en la nube) y, desde el apartado de Seguridad o autenticación multifactor (2FA/MFA), se busca la opción para añadir llaves de seguridad FIDO2. El flujo concreto varía de un servicio a otro, pero siempre termina quedando registrada la clave pública asociada a esa llave.
Es buena práctica registrar al menos dos llaves FIDO2 por usuario (principal y de repuesto), de modo que si una se pierde o se bloquea, no se pierda el acceso y se pueda revocar la llave comprometida desde la consola de seguridad del servicio.
Uso de FIDO2 y llaves en Google y Microsoft 365
Tanto Google como Microsoft ya permiten usar llaves FIDO2 como método preferente de inicio de sesión, incluso con passkeys que pueden llegar a sustituir la contraseña cuando el servicio está totalmente preparado para ello.
Llaves FIDO2 con cuentas de Google
En Google, cualquier llave de seguridad compatible con FIDO1 o FIDO2 puede utilizarse como segundo factor de verificación en la verificación en dos pasos. Para ir un paso más allá y crear passkeys que permitan logins sin contraseña, la llave debe soportar el protocolo FIDO2 plenamente.
Si ya tenías registrada una llave de seguridad en tu cuenta de Google antes de ciertas actualizaciones del sistema, puede que sea necesario eliminarla de la cuenta y volver a añadirla para crear una passkey moderna vinculada a esa misma llave. Todo esto se gestiona desde la configuración de seguridad de la cuenta.
El flujo de uso es sencillo: abres un navegador compatible (Chrome, Firefox, Safari, Edge, Opera, etc.), inicias sesión en tu cuenta de Google y, cuando el sistema detecta que hay una llave de seguridad asociada, solicita que la conectes al puerto USB (o la acerques si es NFC/Bluetooth) y la actives con un toque o pulsando su botón.
Dentro de la configuración de verificación en dos pasos, Google permite organizar varias llaves de seguridad, ver cuándo se añadieron, cuándo se usaron por última vez y cambiarles el nombre para identificarlas fácilmente. Desde ahí también se pueden eliminar llaves que ya no se utilicen.
Llaves FIDO2 con cuentas de Microsoft 365
En el entorno Microsoft, la autenticación mediante FIDO2 se configura normalmente a través de la página dedicada a métodos de inicio de sesión (por ejemplo, en la URL corporativa que dirija al asistente MFA de Microsoft).
Para añadir una llave de seguridad, se accede al portal, se elige “Agregar método de inicio de sesión” y se selecciona “Llave de seguridad”, indicando si es un dispositivo USB o NFC. El asistente del navegador guía al usuario por los pasos concretos, que pueden variar en función del sistema operativo (Windows, macOS, etc.) y del tipo de llave.
Al final del proceso, se pide dar un nombre identificativo a la llave para poder distinguirla de otras en el futuro. Una vez registrada, se podrá utilizar en los principales navegadores (Edge, Chrome, Firefox) e incluso para iniciar sesión en equipos Windows 10/11 gestionados por la organización, siempre que el área de TI haya habilitado esa funcionalidad.
Las llaves FIDO2 que tenga el usuario asociado a su cuenta de Microsoft aparecen listadas en el portal de “información de seguridad” de la identidad, donde se puede revisar, renombrar o revocar cualquiera de ellas si fuera necesario.
Ventajas de la autenticación FIDO2 y las passkeys
El éxito de FIDO2 se debe a que está diseñado para reforzar la seguridad y a la vez simplificar la vida al usuario, evitando muchas de las molestias habituales asociadas a las contraseñas y los segundos factores tradicionales.
Desde el punto de vista de seguridad, FIDO2 es especialmente efectivo frente a ataques basados en credenciales como el phishing, el password spraying o el robo de bases de datos de contraseñas. Al no existir una contraseña reutilizable en varios servicios, no hay nada que el atacante pueda interceptar o adivinar.
Además, si un atacante comprometiese el servidor de un proveedor, solo tendría acceso a claves públicas, que por sí mismas no permiten iniciar sesión sin el dispositivo físico que guarda la clave privada. Esto endurece de forma radical el impacto de cualquier filtración de datos.
En cuanto a la experiencia de usuario, eliminar contraseñas y códigos OTP suaviza mucho el proceso de login: basta un toque de dedo, una mirada o conectar una llave y tocarla. Al ser mecanismos resistentes al phishing por diseño, también se puede reducir la capa de parches y controles extra que hasta ahora se añadían para tapar carencias de seguridad.
Desde el ángulo normativo, la autenticación FIDO2 ayuda a cumplir requisitos de MFA fuerte y resistente al phishing que exigen normativas como GDPR, HIPAA, PSD2, NIS2, y las recomendaciones de NIST SP 800-63 y CISA. Por eso grandes organizaciones y administraciones públicas ya la incluyen como parte de sus estrategias de zero trust.
Limitaciones y retos prácticos al implantar FIDO2
No todo son ventajas, y es importante reconocer los retos reales al adoptar FIDO2, especialmente en entornos empresariales donde conviven aplicaciones modernas con sistemas heredados.
Uno de los principales problemas es el llamado “legado tecnológico”: no todas las aplicaciones soportan FIDO ni SSO moderno. Muchos sistemas on-premise, clientes VPN antiguos o pasarelas RDP siguen atados a usuarios/contraseñas y no contemplan WebAuthn.
En estos contextos híbridos, es habitual tener que mantener mecanismos basados en contraseñas en paralelo al despliegue de FIDO2. Algunas llaves de hardware mitigan esto actuando también como gestores de contraseñas cifrados, almacenando cientos de credenciales y rellenándolas automáticamente según el contexto, todo controlado y protegido por un PIN.
Otro aspecto algo paradójico es que, en muchos servicios, la contraseña no desaparece del todo cuando activamos passkeys; se mantiene como método de respaldo por si se pierde el dispositivo principal. Esto implica que sigue existiendo un “eslabón débil” y que hay que acompañar la transición con políticas para ir limitando, progresivamente, la dependencia de la contraseña.
Por último, conviene tener claro que no todas las passkeys funcionan igual: las sincronizadas entre dispositivos a través de la nube (por ejemplo, vía iCloud o cuenta de Google) son muy cómodas para el usuario final, mientras que las ligadas estrictamente a un dispositivo concreto o a una llave física ofrecen más control en entornos de alta seguridad donde no interesa que las credenciales viajen a dispositivos personales no gestionados.
Dónde puedes usar FIDO2 hoy: personal y empresa
Hoy en día, la compatibilidad con FIDO2 se ha extendido a la práctica totalidad de sistemas operativos modernos y navegadores principales, lo que facilita desplegarlo tanto en entornos personales como corporativos.
En el ámbito particular, los grandes proveedores (Apple, Google, Microsoft) ya permiten entrar en sus cuentas con passkeys sin pensar en la contraseña. Redes sociales, servicios financieros y un gran número de plataformas online también han empezado a ofrecer login con llaves de seguridad o autenticación biométrica basada en FIDO.
En el entorno profesional, donde muchas aplicaciones todavía no hablan FIDO de forma nativa, una solución habitual es recurrir a un proveedor de identidad (IdP) con soporte FIDO2 y SSO. De esta manera, el usuario se autentica una vez con un método resistente al phishing y el IdP emite los tokens de acceso necesarios para el resto de aplicaciones, incluidas muchas heredadas.
En cualquier caso, es recomendable no quedarse con un solo dispositivo: configurar varias passkeys o llaves por usuario (móvil, portátil, llave USB, etc.) reduce el riesgo de quedarse bloqueado por pérdida o avería, y permite una transición más suave hacia un modelo real sin contraseñas.
Con todo lo anterior, queda claro que la emulación de tokens FIDO2 usando el smartphone como llave de seguridad, combinada con llaves físicas bien elegidas (incluyendo requisitos de PIN robustos y sin gestión excesivamente compleja), ofrece una forma práctica y muy sólida de reforzar la autenticación tanto para cuentas personales como para entornos como Microsoft 365, alineando seguridad, usabilidad y cumplimiento normativo sin obligar a todo el mundo a depender de la misma app Authenticator. Comparte esta guía para que más personas conozcan del tema.