El atestado de passkeys: el argumento que no resiste el escrutinio
Un artículo titulado "Passkeys are a trap. Do not use them." escaló posiciones en Hacker News en los últimos días y llegó repetidas veces a la bandeja de entrada de Scott Helme, ingeniero de seguridad y autor de una librería de passkeys de código abierto. Su respuesta, publicada en su blog, desarma el argumento punto por punto.
La tesis viral es directa: las passkeys soportan attestation, un mecanismo que permite a un sitio web pedir prueba criptográfica de qué generó la credencial. El autor lo describe como un "dial oculto" que los sitios irán subiendo hasta que solo puedas iniciar sesión con software aprobado sobre un sistema operativo aprobado, sin modificaciones y sin compartir la contraseña de Netflix.
Es una historia atractiva. No coincide con cómo funciona la tecnología.
¿Y esto cómo se aplica en tu negocio?
En CAR, dueños de empresa de Latinoamérica y España usan la tecnología para ser más rentables. Empiezas con una ruta de 7 días y terminas con un sistema funcionando en tu negocio.
👥 Probar 7 díasLas passkeys que usa tu equipo no envían atestado
La mayoría de las passkeys en circulación son passkeys sincronizadas: viven en iCloud Keychain, Google Password Manager, 1Password o Bitwarden. Según Helme, esas credenciales no entregan ninguna declaración de atestado. Un sitio puede pedirla, pero lo que vuelve es "ninguno".
El autor de la librería lo plantea sin rodeos: si un sitio de consumo decidiera mañana aceptar solo passkeys con atestado, dejaría fuera a casi todos sus usuarios de golpe. Y la recomendación para sitios de consumo es, desde hace años, no pedirlo siquiera.
Qué dice realmente el atestado (y qué no)
El post viral afirma que el atestado prueba "que se está usando un gestor de passkeys, un sistema operativo y un firmware aprobados". Eso no es así.
Cuando existe, el atestado de WebAuthn comunica al sitio la marca y el modelo del autenticador, identificado por su AAGUID, con una cadena de certificados del fabricante que lo respalda. No dice nada sobre tu sistema operativo, tu navegador, tus extensiones, si tu teléfono tiene root o jailbreak, ni sobre la versión de firmware.
La recomendación que se contradice sola
Aquí está el punto más llamativo del texto viral. Para quienes quieren más seguridad, recomienda una llave de hardware como YubiKey, argumentando que "evita el atestado a nivel de sistema operativo".
Las YubiKey son, precisamente, los autenticadores que sí attestan. Cada una se envía con un certificado de atestado emitido por Yubico, y el atestado empresarial existe justamente para que las organizaciones puedan exigir llaves de hardware aprobadas. Helme lo resume con precisión: si el atestado es lo que te preocupa, la recomendación del propio artículo te empuja hacia el atestado, no al revés.
TOTP no es un refugio: es un paso atrás
El post viral presenta los códigos TOTP como una solución "ya existente" y suficiente. Son mejores que una contraseña sola, pero arrastran una debilidad estructural: puedes escribir el código en el sitio equivocado.
Los kits de phishing como Evilginx se colocan en el medio, retransmiten tu contraseña y tu código al sitio real en tiempo real y se quedan con la sesión. Según el compilado de estadísticas de phishing 2026 de Stingrai, que cita el Digital Defense Report 2025 de Microsoft, el 80% de las brechas que lograron evadir MFA se apoyaron en el robo de tokens de sesión, casi siempre a través de kits de este tipo. El mismo relevamiento indica que esos kits se alquilan por entre US$120 y US$350 al mes.
Ese es exactamente el problema que resuelven las passkeys: están atadas al dominio para el que se crearon. Tu navegador no va a usar la passkey de tu banco en un dominio que solo se le parece. No hay código que leer ni nada que el usuario pueda hacer mal. El propio autor del post viral lo concede en un addendum y, aun así, recomienda evitarlas.
¿Cuánto se están usando realmente las passkeys?
El debate ocurre sobre un terreno que se mueve rápido. Según el tercer informe anual Passkey Power 20 de Dashlane, que analizó millones de autenticaciones anonimizadas entre julio de 2025 y junio de 2026 y que recoge Infosecurity Magazine, las autenticaciones con passkey de sus usuarios casi se duplicaron año contra año y alcanzaron 2,5 millones por mes en 2026. El 57% de sus usuarios ya guarda al menos una passkey, frente al 40% del año anterior.
La adopción, sin embargo, sigue siendo minoritaria donde más importa: las passkeys representan el 28% de los inicios de sesión en Google, el 18% en PayPal, el 17% en Amazon y apenas el 8% en eBay, según el mismo informe.
En el mundo empresarial el patrón se repite. Una encuesta de Yubico y Okta a 1.890 profesionales de tecnología y seguridad en nueve países, difundida por Biometric Update, encontró que el 43% sigue usando usuario y contraseña para sus cuentas de trabajo. Las aplicaciones de autenticación móvil las usa el 32%, las passkeys sincronizadas el 27% y las llaves de hardware el 25%. El dato que explica el resto: el 52% recibió credenciales de usuario y contraseña el primer día en su puesto.
¿Qué significa esto para tu startup?
Para un founder, la discusión no es filosófica: es una decisión de riesgo operativo con impacto directo en la caja.
- Activa passkeys en tus cuentas críticas. Google Workspace, GitHub, AWS, tu proveedor de nube y tu banca son los puntos donde un token robado se convierte en una factura. Exige llave de hardware para los roles con acceso a producción, finanzas y administración de identidades.
- Revisa tu onboarding. Si entregas usuario y contraseña el primer día, estás fijando el hábito por defecto. Emitir credenciales resistentes a phishing desde el día uno es más barato que cualquier campaña de concientización posterior.
- No escondas la opción en los ajustes. Si tu producto tiene login, ofrece passkey como método por defecto y no como una alternativa secundaria enterrada en la configuración.
- Trata el atestado como una señal de alerta. Si un proveedor te exige atestado para un login de consumidor, vale preguntar por qué. Hoy casi nadie lo hace y hacerlo te dejaría fuera de buena parte de tu propia base de usuarios.
Conclusión
El post viral acierta en una cosa: el atestado merece vigilancia. Pero la conclusión de abandonar las passkeys no se sostiene. Las credenciales que usa la mayoría no attestan, las que sí lo hacen son las llaves de hardware que el propio texto recomienda, y volver a TOTP significa cambiar una credencial resistente al phishing por una que se puede robar en tiempo real.
Helme, que construyó WhyNoPasskeys.com para rastrear la disponibilidad de passkeys en la web y liberó su librería como código abierto, lo dice sin ambigüedad: las usa en todos los sitios donde puede porque hoy son lo mejor disponible. No son una trampa.
Fuentes
- Passkeys Are Not a Trap (fuente original)
- Passkey Authentications Double but Adoption Remains Slow
- Passkey adoption rises, but passwords persist in enterprise authentication
- Phishing Statistics 2026
¿Y esto cómo se aplica en tu negocio?
En CAR, dueños de empresa de Latinoamérica y España usan la tecnología para ser más rentables. Empiezas con una ruta de 7 días y terminas con un sistema funcionando en tu negocio.
👥 Probar 7 días
