as claves de acceso son credenciales WebAuthn/FIDO2 que reemplazan las contraseñas y los códigos de un solo uso con criptografía de clave pública vinculada al dispositivo, por lo que nunca se escribe ni se transmite información susceptible de phishing. En 2026, sustituirán a los códigos OTP por SMS para el inicio de sesión en cuentas, mientras que los SMS seguirán funcionando como un canal de respaldo y verificación cuando la cobertura de las claves de acceso, la recuperación de cuentas o el inicio de sesión entre dispositivos aún sean insuficientes.
Qué es realmente una clave de acceso
Una clave de acceso es una credencial definida por el estándar de autenticación web (WebAuthn) del W3C y las especificaciones FIDO2 de la Alianza FIDO. Cuando un usuario se registra, el dispositivo genera un par de claves pública/privada: la clave privada nunca sale del autenticador (un teléfono, una computadora portátil o una llave de hardware) y se desbloquea con un PIN o una clave biométrica local; la clave pública se almacena en el sitio web. El inicio de sesión es un proceso criptográfico de desafío-respuesta, por lo que no existe un secreto compartido que pueda ser robado, utilizado mediante phishing o replicado.
Existen dos variantes. Las claves de acceso sincronizadas se comparten entre los dispositivos del usuario mediante un llavero de plataforma, lo que soluciona el problema de pérdida y recuperación que limitaba las claves de hardware. Las claves de acceso vinculadas a un dispositivo permanecen en un único autenticador y son adecuadas para los casos de máxima seguridad. Ambas son resistentes al phishing, ya que la credencial está criptográficamente limitada al sitio web exacto para el que fue creada; no se liberará para un dominio similar.
Por qué la industria dejó de usar SMS OTP
Las contraseñas de un solo uso enviadas por SMS tienen un fallo estructural: el secreto es un código corto que una persona puede revelar mediante engaño, y el sistema de transmisión nunca se diseñó para ser resistente al phishing. Diversos factores convergieron para alejar los flujos de alta seguridad de este sistema.
- La norma NIST SP 800-63-4, finalizada en julio de 2025, clasifica los códigos de acceso de un solo uso enviados por SMS como un autenticador restringido que, por sí solo, no cumple con los requisitos de la autenticación AAL2 resistente al phishing.
- La Alianza FIDO considera que las claves de acceso son resistentes al phishing por diseño, ya que la credencial no puede ser revelada a una fuente fraudulenta.
- El fraude mediante el intercambio de tarjetas SIM y la interceptación de contraseñas de un solo uso (OTP) permite a los atacantes recibir códigos sin necesidad del dispositivo de la víctima, una amenaza que las claves de acceso eliminan estructuralmente.
- El bombeo de SMS (tráfico inflado artificialmente) convirtió cada envío de OTP en una superficie de ataque facturable, lo que añadió un incentivo de coste directo para reducir el volumen de OTP.
Contraseñas vs. OTP por SMS, una al lado de la otra.
| Dimensión | SMS OTP | Clave de acceso (WebAuthn/FIDO2) |
|---|---|---|
| Modelo secreto | Código compartido, introducido por humanos | Clave privada, nunca transmitida |
| Resistencia al phishing | Bajo: el código puede ser objeto de ingeniería social. | Alto — credencial vinculada al origen |
| Exposición al intercambio de SIM | Vulnerable | No aplica: no depende del número de teléfono. |
| fricción del usuario | Espera, lee y escribe un código. | Un gesto biométrico/PIN |
| Alcanzar | Universal: cualquier teléfono con señal | Requiere un dispositivo registrado y compatible. |
| Mejor papel | Reversión, recuperación y reverificación | Inicio de sesión de la cuenta principal |
La disyuntiva radica en el alcance frente a la resistencia. Una clave de acceso es más segura, pero requiere que el usuario haya registrado un dispositivo compatible y lo tenga a mano; los SMS llegan a cualquier teléfono con señal, pero presentan las mismas desventajas. Precisamente por esa diferencia, ambas tecnologías coexisten en lugar de que una simplemente reemplace a la otra.
Lo que los SMS aún hacen en un mundo de claves de acceso.
Eliminar la contraseña de un solo uso por SMS del inicio de sesión principal no elimina los SMS del sistema. Su función pasa de ser la credencial en sí a dar soporte al ciclo de vida de la credencial y cubrir los momentos en que las claves de acceso no pueden hacerlo.
- Recuperación de cuenta: cuando un usuario pierde todos los dispositivos que contienen una clave de acceso, un número de teléfono verificado es una vía de recuperación común y bien conocida para volver a acceder a la cuenta.
- El proceso de arranque entre dispositivos permite confirmar un número de teléfono para configurar un nuevo dispositivo antes de registrar una clave de acceso en él.
- Opción alternativa para los usuarios no registrados: aquellos que aún no han creado una clave de acceso o que utilizan un dispositivo prestado, también necesitan una forma de iniciar sesión que funcione.
- El proceso de intensificación y verificación posterior constituye una segunda señal para una acción arriesgada, que se superpone a la clave de acceso en lugar de sustituirla.
- Notificaciones y alertas transaccionales: actualizaciones de entrega, alertas de fraude y confirmaciones que, en realidad, nunca fueron autenticadas.
La pila OTP y verificación de BroadNet ejecuta primero la autenticación silenciosa de red con respaldo automático por SMS, de modo que donde aún necesite un factor de número de teléfono (recuperación, arranque o paso a paso), obtendrá una verificación de red resistente al phishing donde los operadores lo admitan y alcance de SMS garantizado en cualquier otro lugar, desde una sola integración.
Cómo secuenciar la migración
Clasifique primero los flujos según la necesidad de seguridad. Mueva el inicio de sesión principal para cuentas confidenciales a claves de acceso, mantenga un factor de número de teléfono para la recuperación y los usuarios no registrados, y trate los SMS como el rol de menor seguridad que describen ahora los estándares, en lugar de la puerta de entrada. Si aún está diseñando la capa de números de teléfono, nuestra respuesta sobre qué es OTP presenta las opciones, la verificación de números explica la alternativa basada en la red a los códigos, y la verificación llave en mano MyOTP de BroadNet gestiona la entrega de respaldo para que pueda concentrarse en el despliegue de la clave de acceso.
Preguntas frecuentes
¿Las claves de acceso reemplazan por completo las contraseñas de un solo uso enviadas por SMS?
No del todo. Las claves de acceso reemplazan a los códigos OTP por SMS para el inicio de sesión principal, pero los SMS siguen siendo útiles para la recuperación de cuentas, el arranque entre dispositivos, la verificación adicional y para contactar a usuarios que no han registrado una clave de acceso. En 2026, lo más probable es que la autenticación se base primero en la clave de acceso, manteniendo el número de teléfono como un factor de seguridad menor en lugar de la credencial principal.
¿Las claves de acceso son resistentes al phishing?
Sí. Una clave de acceso está vinculada criptográficamente al origen exacto para el que fue creada, por lo que no revelará su firma a un dominio falso o fraudulento; se elimina el mecanismo que permite los ataques de phishing y de intermediario. La Alianza FIDO y W3C WebAuthn diseñan claves de acceso resistentes al phishing por diseño, algo que no ocurre con las contraseñas de un solo uso por SMS.
¿Qué sucede con el código OTP enviado por SMS para la recuperación de la cuenta?
Generalmente se mantiene. Cuando un usuario pierde todos los dispositivos que contienen sus contraseñas, un número de teléfono previamente verificado es una vía de recuperación muy utilizada. El cambio clave radica en el alcance: los SMS se utilizan para restablecer el acceso tras controles adicionales, no como factor de inicio de sesión habitual, por lo que su exposición al phishing y al tráfico ilícito se limita a un flujo restringido y supervisado.
¿El NIST sigue permitiendo el uso de SMS para la autenticación?
El uso de SMS está permitido, pero restringido. La norma NIST SP 800-63-4 (finalizada en julio de 2025) considera los códigos de acceso de un solo uso enviados por SMS como un autenticador restringido que, por sí solo, no cumple con el estándar AAL2 de resistencia al phishing. Aun así, puede servir como un factor de seguridad menor o de respaldo, función que conserva junto con las claves de acceso.
Referencias
- FIDO Alliance — Descripción general de las claves de acceso: fidoalliance.org
- W3C — Autenticación web (WebAuthn) Nivel 3: w3.org
- NIST — Directrices SP 800-63-4 sobre identidad digital (versión final, julio de 2025): csrc.nist.gov
- IETF — RFC 6238, TOTP: Algoritmo de contraseña de un solo uso basado en el tiempo: datatracker.ietf.org