Acceder con una passkey: dónde se comprueba la huella o el rostro
En el diseño FIDO, la comprobación biométrica permanece en el dispositivo. Cómo distinguirla de la credencial criptográfica y de otros trámites de una aplicación.
Cuando un servicio permite entrar con una passkey y se utiliza la huella o el rostro para aprobar el acceso, la comprobación biométrica se realiza en el dispositivo. La explicación de FIDO Alliance indica que esa información y su procesamiento no se envían al servidor remoto. El servicio recibe una garantía de que la comprobación se ha superado.
La credencial de acceso utiliza criptografía de clave pública y está vinculada al dominio del servicio. El gesto de desbloqueo puede resultar familiar —biometría o un PIN, por ejemplo—, pero el mecanismo de autenticación no consiste en enviar una fotografía de la huella como contraseña. FIDO distingue además las passkeys sincronizadas de las ligadas a un dispositivo.
Imagine dos aplicaciones compatibles en las que una persona aprueba el acceso con el mismo gesto de su teléfono. Esa similitud visual no implica que las dos webs compartan una única credencial: la vinculación de la passkey al servicio forma parte del diseño descrito por FIDO. Para entender una pantalla de acceso interesa identificar tanto el servicio al que se entra como el mecanismo que se está aprobando.
Al leer las condiciones de una aplicación financiera, conviene separar el inicio de sesión con passkey de un eventual trámite distinto de alta o identificación. Una explicación sobre el desbloqueo biométrico local no describe automáticamente cualquier otra solicitud de información del proveedor. Si la pantalla pide otra acción, interesa comprobar qué procedimiento dice estar realizando.
La disponibilidad debe confirmarse en la documentación de cada entidad y en la configuración admitida por sus dispositivos. Esta pieza explica el mecanismo FIDO, sin atribuirlo a una entidad concreta ni certificar una prueba de su aplicación. La resistencia al phishing del acceso tampoco se convierte aquí en una garantía sobre cualquier operación posterior de la cuenta.