Todos los métodos de confirmación habituales comparten una debilidad: se te pueden sacar hablando. Un código SMS se dicta por teléfono; un código de aplicación se teclea en una página falsa. Una llave física es la única que no se engaña así, y la razón no es la vigilancia del usuario sino el diseño del protocolo.
No porque su dueño sea más atento. Porque la llave no puede responder físicamente a un sitio falso: comprueba la dirección ella misma antes de firmar nada.
Por qué el phishing no funciona
Esto es lo que conviene entender, y se explica en tres pasos.
-
La llave está ligada a la dirección del sitio
Al registrarse memoriza no el nombre del servicio, sino el dominio exacto. Para un dominio falso simplemente no tiene registro que corresponda.
-
El navegador informa de la dirección con honestidad
La dirección se la pasa a la llave el navegador, no la página. Una página no puede falsificarla: no tiene forma de decir «en realidad soy el banco».
-
Si no coincide, no hay firma
La llave no produce un código que puedas teclear en otro sitio. Firma una petición concreta de un dominio concreto. No hay nada que interceptar: la firma no vale en otra web.
Comparación de métodos
| Método | Resistencia al phishing | Si pierdes el móvil | Coste |
|---|---|---|---|
| Código por SMS | No | Se pierde con el número | Gratis |
| Código de aplicación | No — el código se teclea donde sea | Se pierde sin códigos de recuperación | Gratis |
| Confirmación en la app del banco | En parte — ves qué se confirma | Se pierde | Gratis |
| Passkey | Sí — el mismo protocolo | Se traslada con la cuenta | Gratis |
| Llave física | Sí | No depende del móvil en absoluto | El precio del aparato |
A quién le compensa
- El correo por el que se recupera todo lo demás
- El acceso al dinero y a criptoactivos
- Personas públicas y periodistas
- Administradores de sitios y sistemas
- Quien ya ha caído alguna vez en phishing
- Foros y tiendas con una compra puntual
- Servicios sin dinero ni datos personales
- Si tus cuentas principales aún no tienen segundo factor
El último punto es el más importante: empieza no por una llave, sino por conseguir que haya segundo factor en todas partes. Una llave en una cuenta mientras las demás quedan abiertas aporta poco.
Elegirla y configurarla
- Compra dos a la vez. Una la llevas encima, la otra queda en casa como repuesto. Las llaves se pierden como las de casa, y la recuperación sin una segunda es cuestión de semanas.
- Un conector que encaje con tus aparatos. USB-A, USB-C, inalámbrica: mira qué admiten tu móvil y tu ordenador.
- Registra ambas llaves desde el principio. En cada servicio donde la actives. Añadir la segunda después exige acceso, y si tuvieras acceso no la necesitarías.
- Guarda igualmente los códigos de recuperación. Una llave no es motivo para renunciar a una vía alternativa.