Passkeys en WordPress: entrar sin contraseña y sin miedo al phishing

Una contraseña se puede adivinar, reutilizar, filtrar en una base de datos robada o escribir en una página falsa que imita tu login. Las passkeys (llaves de acceso) eliminan esos cuatro problemas de una vez.

Google, Apple, Microsoft, bancos y tiendas ya las ofrecen. En WordPress todavía no vienen incluidas, pero se agregan con un plugin en pocos minutos.

Qué es una passkey, en simple

En vez de una contraseña que tú recuerdas, tu dispositivo (teléfono, computador o llave física) guarda una llave secreta que nunca sale de ahí. Para entrar, el sitio le pide al dispositivo que demuestre que tiene esa llave, y tú lo autorizas con tu huella, tu cara o el PIN del equipo.

• No hay nada que robar en el servidor: WordPress solo guarda la parte pública de la llave.
• No sirve en un sitio falso: la passkey está atada a tu dominio. Si una página de phishing imita tu login en otro dominio, la llave simplemente no responde.
• No hay nada que recordar ni que reutilizar.

Las passkeys se sincronizan entre tus dispositivos a través de tu cuenta de Apple, Google o tu gestor de contraseñas (1Password, Bitwarden y otros). Si cambias de teléfono, no las pierdes.

Cómo agregarlas a WordPress

Necesitas un plugin que implemente el estándar WebAuthn. Hay varias opciones: plugins de seguridad que lo incluyen, plugins dedicados solo a passkeys y extensiones del plugin oficial Two Factor. Al elegir, revisa que:

• Esté actualizado y tenga buenas valoraciones.
• Permita usar la passkey como primer factor (entrar sin contraseña) o como segundo factor (después de la contraseña). Lo ideal es poder elegir.
• Tenga códigos de respaldo.

El proceso típico:

1. Instala y activa el plugin.
2. Ve a Usuarios → Perfil y busca la sección de passkeys o llaves de seguridad.
3. Pulsa Registrar y confirma con tu huella, tu cara o el PIN.
4. Genera y guarda los códigos de respaldo en un lugar seguro.
5. Cierra sesión y prueba a entrar con la passkey.

¿Passkey o doble factor?

Las dos cosas juntas son lo más seguro, pero si tienes que elegir:

• Contraseña + código de app (2FA clásico): mucho mejor que solo contraseña, pero un phishing bien hecho puede pedirte también el código.
• Passkey: resistente al phishing por diseño. Es el método más seguro disponible hoy para entrar a un sitio.

Para administradores, lo recomendable es exigir passkey o 2FA. Para clientes de una tienda, ofrecerlo como opción.

El plan B: si pierdes el dispositivo

1. Si la passkey estaba sincronizada, entra desde otro dispositivo con la misma cuenta.
2. Si no, usa un código de respaldo.
3. Si tampoco tienes eso, otro administrador puede quitar tus passkeys desde tu perfil.
4. Como último recurso, por SSH puedes desactivar el plugin y entrar con tu contraseña:

wp plugin deactivate nombre-del-plugin-de-passkeys

Registra al menos dos passkeys por administrador: por ejemplo, la del teléfono y la del computador, o una llave física guardada aparte. Es la forma más simple de no quedarte afuera.

Lo que las passkeys no protegen

Una vez que entras, WordPress te da una cookie de sesión. Si un malware en tu computador roba esa cookie, el atacante entra sin necesitar tu passkey. Por eso siguen siendo importantes un equipo limpio, sesiones que no duren meses y revisar de vez en cuando las sesiones abiertas.

¿Ya usas passkeys en tu WordPress? Cuéntanos en el foro qué plugin elegiste y cómo te ha ido con tus usuarios.