Passkeys en la empresa: cómo proteger los accesos sin perder el control de las cuentas

Un empleado cambia de móvil, otro trabaja desde un equipo compartido y una tercera persona deja la empresa. Si el acceso al correo o a una aplicación depende de una credencial que nadie sabe dónde se guarda, una mejora de seguridad puede acabar convertida en una incidencia.

Las passkeys para empresas permiten avanzar hacia una autenticación resistente al phishing. Pero implantarlas exige algo más que activar una opción: hay que decidir quién puede registrarlas, en qué dispositivos y cómo se recupera o retira el acceso.

Qué aportan las passkeys a la seguridad empresarial

Una passkey utiliza una credencial criptográfica vinculada al servicio legítimo. El usuario autoriza su uso mediante el PIN o la biometría del dispositivo, sin tener que entregar una contraseña a la página. Un dominio fraudulento parecido al original no puede utilizar esa clave como si perteneciera al servicio auténtico.

Esta resistencia al phishing es especialmente útil para proteger identidades que dan acceso al correo, documentos o herramientas de gestión. Según la documentación de Microsoft Entra sobre passkeys FIDO2, pueden proporcionar autenticación multifactor cuando se combinan con el PIN o la biometría del dispositivo.

No sustituyen todas las demás defensas. Un equipo infectado, permisos excesivos o una sesión ya robada siguen requiriendo controles específicos. La protección del dispositivo, las actualizaciones y la revisión de accesos continúan siendo necesarias.

Primera decisión: quién controla la credencial

El punto de partida debe ser una política de almacenamiento. Conviene evitar que el acceso corporativo dependa, sin supervisión, del gestor personal de un trabajador y de una recuperación que la empresa no puede gestionar.

Eso no significa que todas las claves sincronizadas sean inadecuadas. Significa que la organización debe comprobar qué proveedor las custodia, cómo se protege su recuperación y qué capacidad tiene para imponer sus reglas. Las credenciales ligadas a un dispositivo ofrecen otro modelo, pero obligan a preparar un respaldo cuando ese dispositivo se pierde.

La guía de FIDO para entornos empresariales de alta garantía analiza estos compromisos. No existe una única elección correcta para todos los puestos.

Un criterio diferente para cada perfil

• Personal con equipo corporativo individual: valorar el autenticador del equipo o un gestor permitido por la organización, comprobando compatibilidad y recuperación.
• Puestos compartidos o por turnos: estudiar llaves físicas asignadas a cada persona, evitando guardar credenciales personales en un perfil común.
• Administradores y accesos sensibles: definir requisitos más estrictos, credenciales de respaldo y un procedimiento de emergencia controlado.
• Dispositivos personales: acordar previamente qué se permite y cómo se retira el acceso corporativo sin intervenir innecesariamente en los datos privados.

Equipos compartidos: el ordenador puede ser común, la identidad no

Un puesto de recepción o un terminal de almacén puede utilizarse por varias personas. Eso no obliga a que todas entren con el mismo usuario. Siempre que la aplicación lo permita, las cuentas individuales y los permisos por función facilitan saber quién ha realizado cada acción y retirar únicamente el acceso de quien corresponda.

Compartir una cuenta y registrar varias passkeys no resuelve por sí solo la trazabilidad. Tampoco conviene guardar la credencial de una persona en un perfil que los demás pueden desbloquear.

FIDO señala que las credenciales de plataforma o de un gestor no encajan bien cuando se comparte un único perfil o cuenta de dispositivo en su análisis de sustitución de contraseñas en empresas. La elección debe partir de cómo se trabaja realmente, no de la opción más cómoda durante una demostración.

Cómo organizar un piloto sin bloquear a la plantilla

Antes de imponer el cambio, resulta más útil probar unos pocos escenarios representativos que activar la misma política para toda la organización. Un piloto puede incluir un usuario de oficina, otro con movilidad y alguien que utilice un puesto compartido.

1. Inventariar las aplicaciones: correo, almacenamiento, aplicaciones de negocio y accesos administrativos. Comprobar qué métodos admite cada una y cuáles dependen del proveedor de identidad.
2. Definir los medios permitidos: equipos, navegadores, llaves y gestores aprobados. Revisar las licencias y funciones necesarias antes de diseñar la política.
3. Probar el alta: cómo recibe acceso un empleado nuevo y quién verifica su identidad antes de registrar la primera clave.
4. Probar las incidencias: pérdida del móvil, llave averiada, cambio de ordenador y acceso desde otro puesto.
5. Revisar las alternativas: comprobar si una contraseña o un código siguen permitiendo eludir el nivel de autenticación que se pretendía exigir.
6. Ampliar por grupos: documentar lo aprendido, formar al soporte y extender el despliegue cuando el proceso funcione.

Las recomendaciones de despliegue de FIDO incluyen probar el registro, la autenticación y la recuperación con grupos piloto. Medir solo cuántas personas han registrado una clave ofrece una imagen incompleta.

La recuperación debe ser tan seria como el acceso diario

Si para entrar se exige una credencial fuerte, pero para sustituirla basta con llamar al soporte y decir «soy el director», el punto débil se ha trasladado al procedimiento de recuperación.

El proceso debería establecer quién autoriza el restablecimiento, cómo se verifica la identidad por una vía fiable y qué queda registrado. También debe indicar cuándo revocar la credencial perdida, qué sesiones revisar y cómo comprobar el nuevo acceso.

En Microsoft Entra, por ejemplo, el Temporary Access Pass permite proporcionar un acceso temporal con el que registrar métodos de autenticación. Tiene una vigencia limitada y puede configurarse para uno o varios usos. Requiere habilitación y gestión administrativa; no debe entregarse sin verificar antes a la persona.

Es un ejemplo de mecanismo de incorporación o recuperación, no una instrucción para desactivar controles de seguridad. Cada organización debe comprobar su configuración, permisos y políticas antes de utilizarlo.

Qué hacer cuando una persona deja la empresa

Recoger el portátil o la llave física es solo una parte de la baja. El procedimiento debe actuar sobre la identidad y sobre las aplicaciones a las que esa persona tenía acceso.

• Deshabilitar la cuenta o retirar los permisos que correspondan al finalizar la relación.
• Revocar sesiones y tokens mediante las opciones disponibles en cada servicio, teniendo en cuenta que el efecto puede no ser inmediato en todos ellos.
• Revisar aplicaciones que no estén integradas con el proveedor de identidad principal.
• Retirar las credenciales asociadas y recuperar el material corporativo cuando proceda.
• Transferir la propiedad de documentos y recursos mediante mecanismos administrativos, sin conservar accesos personales por comodidad.

La guía de Microsoft para revocar el acceso de usuarios explica por qué hay que considerar tanto las sesiones del proveedor de identidad como las de las aplicaciones. Eliminar una passkey no garantiza por sí solo que todas las sesiones abiertas desaparezcan.

Cómo saber si la implantación está funcionando

Además del porcentaje de usuarios registrados, conviene seguir las incidencias de acceso, el tiempo de recuperación, los métodos alternativos que todavía se utilizan y las aplicaciones que han quedado fuera. También es útil comprobar que una baja de prueba retira realmente los accesos previstos.

Para una pyme, el objetivo no tiene por qué ser eliminar todas las contraseñas de una vez. Puede empezar por proteger mejor el correo y las cuentas administrativas, con un respaldo que el equipo de soporte entienda y pueda ejecutar.

Una buena implantación de passkeys combina autenticación resistente al phishing con control del ciclo de vida de las cuentas. La mejora se nota cuando un empleado entra con facilidad, un dispositivo perdido no paraliza el trabajo y una baja no deja accesos olvidados.