Autenticación con Passkey vs OTP: Guía de migración para aplicaciones de EE. UU. (2026)

Las passkeys son el autenticador de grado de consumo más robusto disponible en 2026: resistente al phishing, gratuito por uso y compatible con todas las principales plataformas de EE. UU. (Apple, Google, Microsoft, todos los navegadores principales). Son mejores que el SMS OTP en todas las dimensiones excepto en una: la adopción. La mayoría de los usuarios de consumo en EE. UU. aún no han registrado passkeys, y forzarlos a hacerlo durante un flujo crítico de adquisición de usuarios reduce drásticamente la conversión. Esta guía detalla cuándo las passkeys son la mejor opción, cuándo lo es el SMS OTP, la arquitectura de migración adecuada y cómo superponer ambos en una única pila de verificación.

¿Qué es una Passkey?

Una passkey es una credencial de autenticación resistente al phishing basada en el estándar FIDO2/WebAuthn, almacenada en el hardware del dispositivo de un usuario (Llavero de Apple, Administrador de contraseñas de Google, Microsoft Hello, clave de seguridad de hardware) y utilizada para autenticarse sin contraseña. La criptografía subyacente es asimétrica de clave pública; su servicio almacena la clave pública; el dispositivo del usuario guarda la clave privada en un hardware seguro que nunca se expone.

La experiencia del usuario: tocar un botón, autenticarse con datos biométricos (Face ID, Touch ID, huella dactilar) o PIN del dispositivo, sesión iniciada. Sin código que introducir. Sin contraseña que recordar. Sin SMS que esperar.

La FIDO Alliance publica la guía y los estándares de adopción canónicos. Las principales plataformas de EE. UU. (Apple, Google, Microsoft) respaldaron las passkeys con el anuncio conjunto de mayo de 2022; el soporte generalizado para el consumidor se lanzó entre 2023 y 2025.

Passkeys vs SMS OTP: Comparativa

DimensiónSMS OTPPasskeysResistencia al phishingVulnerable (los usuarios pueden ser engañados para leer códigos)Resistente (vinculación criptográfica al origen)Riesgo de SS7/intercambio de SIMSíNoFricción del usuario al usarLeer código, introducir (10-30s)Toque biométrico (menos de un segundo)Fricción de configuraciónNinguna (ya se tiene un teléfono)Registro único (15-60 segundos)Costo por verificación$0.01-0.04 en EE. UU.$0 (no se envía mensaje)Cobertura~99% (cada usuario móvil)~40% en 2026 (en aumento; depende de la plataforma)Recuperación de cuenta por pérdida de dispositivoFácil (aún se tiene el número de teléfono)Más difícil (depende de la sincronización en la nube; códigos de recuperación)Clasificación NIST SP 800-63BRestringidoPreferidoAdopción por el usuario (EE. UU.)~99% (universal)~25-35% en 2026 (en aumento)

Las passkeys ganan en todas las dimensiones de seguridad y UX. El SMS OTP gana en cobertura y adopción. La estrategia correcta en 2026 no es elegir uno, sino soportar ambos y migrar usuarios de SMS a passkeys a medida que crece la adopción.

Cuándo usar cada uno

Usa SMS OTP cuando:

• Estés verificando un usuario completamente nuevo al registrarse. Forzar el registro de passkeys al registrarse reduce drásticamente la conversión (la mayoría de los usuarios no tienen passkeys configuradas y la configuración añade de 30 a 60 segundos en el peor momento posible).
• Necesites cobertura universal. El SMS llega a todos los usuarios móviles de EE. UU.; las passkeys solo llegan a aquellos que se han registrado.
• Estés operando en contextos de bajo riesgo (aplicaciones de consumo sin dinero o datos sensibles) donde la seguridad a nivel de SMS OTP es adecuada.

Usa passkeys cuando:

• El usuario ya ha registrado una passkey en tu servicio (ofrécela como su factor predeterminado).
• Estés autorizando acciones de alto riesgo (transacciones grandes, cambios en la configuración de seguridad, acciones de administrador).
• El usuario esté en un dispositivo y plataforma que admita passkeys (aproximadamente el 95% de los dispositivos de EE. UU. en 2026 — Chrome en Windows, Safari en Apple, etc.).
• Quieras resistencia al phishing para cuentas que tienen un valor significativo.

Usa ambos de forma superpuesta:

• SMS OTP al registrarse para verificación de cobertura universal.
• Solicita el registro de passkeys durante los primeros 30-90 días en momentos de alta interacción.
• Una vez que se registra una passkey, establece la passkey como predeterminada para ese usuario; recurre al SMS OTP solo en dispositivos donde la passkey no esté disponible.
• Pasa a usar passkey para acciones de alto riesgo, incluso si el usuario inició sesión con SMS.

El patrón de migración

Migrar una base de consumidores de EE. UU. de SMS OTP a passkeys es un proceso de varios años, no un evento de un día para otro. La implementación por fases adecuada:

Fase 1 (meses 1-6): Añadir soporte para passkeys junto con SMS

‍Ningún usuario es forzado a registrarse. Los usuarios que habilitan proactivamente las passkeys en la configuración de la cuenta obtienen una mejor experiencia de usuario (UX) de inmediato. Monitorizar la tasa de registro.

Fase 2 (meses 6-12): Solicitar el registro de passkeys de forma oportuna

‍Después de una verificación exitosa de SMS OTP, muestra un mensaje de una línea: "Omite futuros códigos — habilita passkey." Preséntalo como una mejora de seguridad y comodidad. Monitorizar la conversión del mensaje.

Fase 3 (meses 12-18): Establecer la passkey como predeterminada para nuevos registros

‍Los nuevos usuarios obtienen un flujo de registro con passkey como prioridad, con SMS como opción de respaldo. Los usuarios existentes siguen usando SMS por defecto.

Fase 4 (meses 18-24+): Establecer la passkey como predeterminada para todos los usuarios que hayan registrado una

‍El SMS se convierte en la alternativa para los usuarios que aún no se han registrado y para escenarios de passkey entre dispositivos.

No acortes este cronograma. Forzar el registro de passkeys en usuarios existentes reduce drásticamente el éxito de inicio de sesión mientras los usuarios se familiarizan con el nuevo flujo. La paciencia da sus frutos.

Conceptos erróneos comunes

"Las passkeys eliminan la necesidad de SMS OTP."‍

No en 2026. La adopción de passkeys está aumentando rápidamente, pero no es universal. El SMS OTP sigue siendo esencial como alternativa universal para usuarios sin passkeys, para escenarios entre dispositivos donde la passkey no está disponible y para la recuperación de cuentas por pérdida de dispositivo.

"Las passkeys son lo mismo que el inicio de sesión biométrico."

No exactamente. Las passkeys utilizan datos biométricos o el PIN del dispositivo como mecanismo de desbloqueo local, pero la credencial criptográfica es la passkey en sí. Los datos biométricos nunca salen del dispositivo; solo la firma criptográfica se envía a su servicio.

"Las passkeys están vinculadas a un dispositivo específico."‍

Originalmente sí; ahora, en su mayoría, no. Apple sincroniza las passkeys a través del Llavero de iCloud en los dispositivos Apple del usuario; Google sincroniza a través del Administrador de contraseñas de Google; Microsoft a través de Windows Hello. La sincronización multiplataforma (por ejemplo, Apple → Android) está en progreso a través del estándar de Autenticación entre Dispositivos de la Alianza FIDO, pero aún no es fluida.

"Las passkeys dificultan la recuperación de la cuenta."‍

Pueden hacerlo, si no planificas flujos de recuperación. Ofrece siempre códigos de recuperación al registrar una passkey (8-10 códigos de un solo uso que el usuario guarda). Sin ellos, los usuarios que pierden todos sus dispositivos quedan bloqueados.

Implementación: Añadir Passkeys junto con SMS OTP

Si su pila ya es compatible con SMS OTP a través de una API de verificación, añadir passkeys es una vía paralela:

1. Biblioteca WebAuthn en el cliente: Usa SimpleWebAuthn (navegador/Node) o APIs nativas de la plataforma (iOS AuthenticationServices, Android Credential Manager). El cliente gestiona la ceremonia criptográfica.
2. Biblioteca WebAuthn en el servidor: Verifica las firmas criptográficas del cliente durante el registro y la autenticación. Opciones de biblioteca: SimpleWebAuthn (Node), webauthn-rs (Rust), python-webauthn (Python), java-webauthn-server (Java).
3. Almacenamiento de credenciales: Almacena la clave pública del usuario, el ID de la credencial y los metadatos en su registro de usuario. Mantén la clave privada en el dispositivo del usuario (nunca la verás).
4. Flujo de UX: Registro: el usuario verifica a través de un factor existente (contraseña o SMS OTP) → mensaje "habilitar passkey" → toque biométrico → passkey creada. Autenticación: el usuario introduce el nombre de usuario → "usar passkey" → toque biométrico → sesión iniciada.
5. Ruta de respaldo: Si la passkey falla o el dispositivo no la admite, recurre al SMS OTP a través de su API de verificación existente.

Implementaciones de referencia de webauthn.guide y el sitio para desarrolladores passkeys.dev cubren los patrones estándar de principio a fin.

Preguntas frecuentes

¿Deberían las aplicaciones de consumo de EE. UU. añadir soporte para passkeys en 2026?‍

Sí, como una actualización opcional junto con SMS OTP. No lo hagas obligatorio todavía. La adopción de passkeys está aumentando, pero no es universal; el SMS sigue siendo la opción predeterminada adecuada para nuevos registros. Añadir passkeys como un registro opcional aprovecha las ventajas de seguridad y UX para los primeros adoptantes y posiciona su pila para la migración a largo plazo.

¿Cómo se comparan las passkeys con el TOTP de aplicación de autenticación?‍

Las passkeys son más robustas que TOTP en todas las dimensiones excepto en la adopción. El TOTP tiene una adopción algo más amplia entre los usuarios preocupados por la seguridad (personas que ya usan Google Authenticator o Authy), pero las passkeys son más fáciles de registrar y más rápidas de usar. El patrón correcto es ofrecer los tres: SMS OTP (universal), TOTP (usuarios preocupados por la seguridad), passkey (opción predeterminada de alta seguridad para los usuarios que se han registrado).

¿Qué sucede con mi integración de SMS OTP una vez que la adopción de passkeys alcance el 50%?‍

Nada inmediato. El SMS OTP sigue siendo esencial para el 50% restante, para la recuperación de cuentas y para los usuarios que no han registrado passkeys en el dispositivo que están usando en este momento. Planifica que el SMS OTP siga siendo relevante durante al menos la próxima década. No elimines la integración; simplemente cámbiala de principal a respaldo con el tiempo.

Construye la pila que abarque de 2026 a 2030

La arquitectura de verificación adecuada en 2026 no es solo passkey o solo SMS; son ambos, en capas, con la passkey como la opción predeterminada robusta para los usuarios que se han registrado y el SMS OTP como la alternativa universal. VerifyNow for USA gestiona el lado de SMS + WhatsApp con rutas 10DLC e IDs de remitente preaprobados (empieza a enviar en menos de 5 minutos), se integra perfectamente con cualquier biblioteca WebAuthn en el lado de las passkeys y le proporciona la base para la migración de varios años. Créditos de prueba gratuitos, no se requiere tarjeta de crédito.