Passkey Index 2026: un tercio de los inicios de sesión sin contraseña, y una guía para lograrlo

El 15 de octubre de 2026, en la apertura de su conferencia Authenticate, la FIDO Alliance publicó la segunda edición de su Passkey Index y revisó su estimación mundial: unos 7000 millones de passkeys están ya en uso, frente a los 5000 millones anunciados en mayo. Detrás de la cifra espectacular, el interés del informe está en otra parte: quince grandes servicios de consumo, entre ellos bancos, aplicaciones de mensajería, operadores de telecomunicaciones y plataformas de pago, han compartido sus datos reales de inicio de sesión. Para un equipo de producto, es la primera vez que se puede comparar lo que las passkeys prometen con lo que entregan a gran escala.

Qué dicen las cifras

• Más de uno de cada tres inicios de sesión correctos pasa por una passkey: el 36 % de media entre los participantes, frente al 26 % de la edición de 2025.
• Las passkeys funcionan más a menudo: el 93 % de los intentos tiene éxito, frente al 78 % de las contraseñas y la autenticación multifactor tradicional, códigos SMS incluidos. Son casi tres veces más rápidas y ahorran de media 27 segundos por inicio de sesión.
• La elegibilidad es casi total: el 90 % de las cuentas activas puede crear una passkey, y el 42 % de las cuentas elegibles ya tiene una, es decir, alrededor del 38 % de todas las cuentas.
• La brecha entre alta y uso se cierra: 38 % de cuentas equipadas para el 36 % de los inicios de sesión, frente al 34 % y el 26 % del año pasado.
• El beneficio de seguridad por fin se mide: los ocho participantes que siguen el phishing registran menos ataques exitosos desde el despliegue, y los cuatro que compartieron costes ven bajar su factura de códigos SMS.
• El siguiente paso ya está escrito: nueve participantes de trece prevén ofrecer cuentas sin ninguna contraseña en los próximos doce meses.

La propia FIDO Alliance señala los límites: las medias no están ponderadas, así que un servicio pequeño pesa tanto como una plataforma global, y el panel ha pasado de nueve a quince participantes, lo que hace que la comparación con 2025 sea orientativa más que estricta. Los órdenes de magnitud, sin embargo, convergen.

El verdadero freno ya no es técnico

El informe señala una causa precisa del desfase entre cuentas equipadas e inicios de sesión efectivos: dos participantes reconocen que su flujo sigue proponiendo la contraseña o un código antes de la passkey, incluso a los usuarios que ya tienen una. Dicho de otro modo, la tecnología está lista, los navegadores y los sistemas la soportan, pero la pantalla de inicio de sesión sigue empujando el método antiguo. Y la ganancia de seguridad de una passkey desaparece mientras una contraseña vulnerable al phishing siga aceptándose en la misma cuenta. Es una cuestión de diseño del flujo, por tanto una decisión de producto, no una obra de infraestructura.

La guía FIDO: cuatro niveles para autoevaluarte

Para ayudar a los equipos a dar ese paso, la FIDO Alliance publica en Passkey Central una guía de evaluación en cuatro niveles acumulativos. Es una herramienta de autodiagnóstico, no una certificación.

• Bronce, la base funcional: varias passkeys permitidas por cuenta para evitar bloqueos, una pantalla de gestión visible, alternativas de respaldo explícitas y un vocabulario coherente.
• Plata, el objetivo recomendado en el lanzamiento: autocompletado en el campo de inicio de sesión, invitación a crear una passkey en el momento oportuno, gestión de errores y accesibilidad.
• Oro: conversión automática de una contraseña guardada en passkey tras un inicio de sesión correcto, con notificación, integración de la Signal API para retirar passkeys que ya no son válidas, y recuperación de cuenta proporcional al riesgo.
• Platino: retirada de los factores vulnerables al phishing, contraseñas y códigos SMS, y alineación entre los distintos dominios de una misma marca.

La guía enumera también los errores frecuentes: la ventana bloqueante que fuerza la creación de una passkey, el límite de una sola passkey por cuenta, o la conversión silenciosa sin avisar al usuario.

A quién afecta

A cualquier servicio que autentica personas: portal de clientes, área de socios, aplicación de negocio interna, herramienta SaaS. Los responsables encuentran aquí un argumento cuantificado sobre costes de SMS y fraude; los equipos de producto, una hoja de ruta legible; los equipos de seguridad, una prueba de campo de la resistencia al phishing. Las organizaciones que despliegan passkeys para sus empleados cuentan ahora con una sección dedicada en Passkey Central, con una guía de despliegue y casos documentados.

Por dónde empezar

1. Mide tres indicadores: proporción de cuentas elegibles, proporción de cuentas equipadas, proporción de inicios de sesión correctos por passkey. Sin estas cifras, ninguna decisión es defendible.
2. Sitúate en la guía. Las dos carencias que la propia guía señala como más comunes son el límite de una sola passkey por cuenta y la ausencia de una pantalla de gestión.
3. Haz de la passkey el camino por defecto para quienes ya tienen una, con el autocompletado del navegador. Ahí se juega la brecha entre el 38 % y el 36 %.
4. Prepara la cuenta sin contraseña para los públicos que estén listos, empezando por las cuentas de alto riesgo, y define la recuperación antes de retirar el respaldo.
5. Presupuesta la reducción de SMS: suele ser la partida que financia el proyecto.

Acompañamos a los equipos de producto y técnicos en este diagnóstico y en el diseño del flujo, desde la base bronce hasta la cuenta sin contraseña. Hablemos de tu flujo de inicio de sesión.