Llave de seguridad física

Protección

El único segundo factor que no se puede sacar con phishing. Cómo lo consigue y a quién le compensa.

Todos los métodos de confirmación habituales comparten una debilidad: se te pueden sacar hablando. Un código SMS se dicta por teléfono; un código de aplicación se teclea en una página falsa. Una llave física es la única que no se engaña así, y la razón no es la vigilancia del usuario sino el diseño del protocolo.

0casos
Ataques de phishing con éxito contra una llave física bien configurada

No porque su dueño sea más atento. Porque la llave no puede responder físicamente a un sitio falso: comprueba la dirección ella misma antes de firmar nada.

Por qué el phishing no funciona

Esto es lo que conviene entender, y se explica en tres pasos.

  1. La llave está ligada a la dirección del sitio

    Al registrarse memoriza no el nombre del servicio, sino el dominio exacto. Para un dominio falso simplemente no tiene registro que corresponda.

  2. El navegador informa de la dirección con honestidad

    La dirección se la pasa a la llave el navegador, no la página. Una página no puede falsificarla: no tiene forma de decir «en realidad soy el banco».

  3. Si no coincide, no hay firma

    La llave no produce un código que puedas teclear en otro sitio. Firma una petición concreta de un dominio concreto. No hay nada que interceptar: la firma no vale en otra web.

Comparación de métodos

MétodoResistencia al phishingSi pierdes el móvilCoste
Código por SMSNoSe pierde con el númeroGratis
Código de aplicaciónNo — el código se teclea donde seaSe pierde sin códigos de recuperaciónGratis
Confirmación en la app del bancoEn parte — ves qué se confirmaSe pierdeGratis
Passkey — el mismo protocoloSe traslada con la cuentaGratis
Llave físicaNo depende del móvil en absolutoEl precio del aparato
Un passkey usa el mismo protocolo y da la misma resistencia — explicado aparte. La diferencia está en dónde vive la clave: en un ecosistema o en tu bolsillo.

A quién le compensa

Compensa
  • El correo por el que se recupera todo lo demás
  • El acceso al dinero y a criptoactivos
  • Personas públicas y periodistas
  • Administradores de sitios y sistemas
  • Quien ya ha caído alguna vez en phishing
Excesivo
  • Foros y tiendas con una compra puntual
  • Servicios sin dinero ni datos personales
  • Si tus cuentas principales aún no tienen segundo factor

El último punto es el más importante: empieza no por una llave, sino por conseguir que haya segundo factor en todas partes. Una llave en una cuenta mientras las demás quedan abiertas aporta poco.

Elegirla y configurarla

  • Compra dos a la vez. Una la llevas encima, la otra queda en casa como repuesto. Las llaves se pierden como las de casa, y la recuperación sin una segunda es cuestión de semanas.
  • Un conector que encaje con tus aparatos. USB-A, USB-C, inalámbrica: mira qué admiten tu móvil y tu ordenador.
  • Registra ambas llaves desde el principio. En cada servicio donde la actives. Añadir la segunda después exige acceso, y si tuvieras acceso no la necesitarías.
  • Guarda igualmente los códigos de recuperación. Una llave no es motivo para renunciar a una vía alternativa.
Copiado