Entrar al correo de tu negocio con la huella del móvil, sin contraseña: cómo funciona y qué límites tiene

Imagina entrar en el correo de tu negocio sin escribir ninguna contraseña. Pones el dedo en el móvil, o la cara, y ya estás dentro. Eso se llama llave de acceso (en inglés, passkey). La asociación del sector que la impulsa calculó en mayo de 2026 que ya hay unas 5.000 millones en uso en el mundo. Para un autónomo o una pyme lo práctico es sencillo: menos claves que recordar, repetir o perder.

Cómo funciona, sin tecnicismos

Según INCIBE, una llave de acceso son dos claves unidas. Una privada, que se queda en tu móvil. Y una pública, que guarda el servicio al que entras. Piensa en una cerradura que todo el mundo puede ver (la pública) y una llave que nunca sale de tu bolsillo (la privada).

De ahí salen dos ventajas. Si alguien entra en los servidores del servicio, solo se lleva la clave pública, que no sirve por sí sola. Y una web falsa tiene menos que robar: no se envía ningún secreto. Google la presenta como la mejor protección contra el phishing, que son los correos o webs que imitan a otros para quedarse con tus claves.

Lo que dice el sondeo y lo que no

La asociación encargó en abril de 2026 un sondeo a 11.000 adultos de diez países. Tres de cada cuatro habían activado una llave en alguna cuenta, y casi la mitad las usa de forma habitual cuando puede.

Pero conviene saber tres cosas. El sondeo lo encarga una asociación que defiende estas llaves. No incluye a España. Y la parte de empresas solo cuenta organizaciones de 500 empleados o más. No hay datos de cuántos negocios pequeños españoles las usan.

Cómo activarlas en un negocio

Si tu correo es de Google Workspace, el administrador entra en la consola, va a Seguridad, Autenticación, Sin contraseña, y marca la opción de omitir la contraseña. Después, cada persona añade su propia llave. Activar la opción no borra la contraseña anterior.

Si usas Microsoft 365, las llaves están disponibles en todas las ediciones de su sistema de identidades, sin licencias extra. Admite llaves guardadas por Apple o Google, y llaves ligadas a un solo aparato, como una llave física. En cuentas personales, Apple las sincroniza con el llavero de iCloud y Google con su gestor de contraseñas.

Los límites que conviene conocer

No todos los servicios las admiten todavía, y hacen falta dispositivos al día: iOS 16 o superior, Android 9 o superior, Windows 10 u 11 y macOS Ventura o posterior.

Y la gran pregunta: ¿qué pasa si pierdes el móvil? Apple recupera las llaves desde iCloud en tres pasos. Con otros proveedores, el procedimiento depende de cada uno y aquí no se ha podido comprobar. La consecuencia práctica es que tu cuenta de Apple, de Google o del gestor pasa a ser la llave maestra, y conviene protegerla con especial cuidado.

Qué hacer hoy (media hora)

1. Elige las cuentas que más daño harían si cayeran: correo, banco, gestor del dominio y de la web.
2. Actualiza el móvil y el navegador.
3. Crea la llave en cada servicio que la ofrezca y comprueba que entras con ella desde otro aparato.
4. Apunta cómo recuperarías el acceso si pierdes el móvil.
5. Mientras la contraseña siga existiendo, que sea larga y única.

Para dudas concretas, INCIBE atiende en el teléfono 017.

Fuentes

• FIDO Alliance, Five Billion Passkeys: FIDO Alliance Reports Mainstream Global Usage on World Passkey Day 2026, 7 de mayo de 2026.
• FIDO Alliance, The State of Passkeys 2026: Global Consumer and Workforce Report, 7 de mayo de 2026.
• INCIBE, Passkeys: inicia sesión sin contraseñas de forma segura, 30 de septiembre de 2026.
• Google, Passkeys, una alternativa más fácil y segura a las contraseñas, consultada el 7 de octubre de 2026.
• Apple, Sobre las passkeys, consultada el 7 de octubre de 2026.
• Google Workspace, Allow users to skip passwords at sign-in, consultada el 7 de octubre de 2026.
• Microsoft Learn, How to enable passkeys (FIDO2) in Microsoft Entra ID, actualizada el 15 de junio de 2026.