Llaves de seguridad FIDO U2F: qué son y cómo protegen tus cuentas

Las contraseñas llevan décadas siendo el eslabón más débil de la cadena de seguridad digital. El phishing, el robo de credenciales y los ataques de fuerza bruta siguen siendo las técnicas más efectivas para comprometer cuentas, precisamente porque la mayoría de usuarios depende de una única capa de protección basada en algo que se puede adivinar o robar. Las llaves de seguridad físicas FIDO resuelven este problema de forma estructural: sin la llave en tu mano, no hay acceso posible.

En 2026, la proliferación de passkeys (contraseñas de acceso basadas en FIDO2) en plataformas como Google, Apple, Microsoft y GitHub ha acelerado la adopción del estándar. Pero las llaves físicas siguen siendo la opción de mayor seguridad para quien gestiona cuentas críticas: repositorios de código, cuentas corporativas, carteras de criptomonedas o correo personal con información sensible.

¿Qué es una llave de seguridad FIDO y cómo funciona?

Una llave de seguridad FIDO es un dispositivo físico —del tamaño de un USB o una tarjeta SIM— que funciona como segundo factor de autenticación. El flujo es sencillo: introduces tu nombre de usuario y contraseña en el servicio, y cuando éste solicita el segundo factor, tocas o acercas la llave al dispositivo. La llave genera una firma criptográfica única para ese servicio y ese momento, que el servidor verifica. Sin la llave, la contraseña sola no sirve.

Lo que hace esto especialmente robusto es que la llave nunca envía la misma información dos veces y nunca revela su clave privada. Aunque alguien interceptara el tráfico de red o instalara malware en tu ordenador, no podría replicar la respuesta de la llave. David Carrero, cofundador de Stackscale, empresa de infraestructura cloud, recomienda las llaves YubiKey precisamente por este motivo: las utilizan internamente los empleados de Apple, Meta, Google y Amazon como medida de seguridad corporativa.

FIDO U2F, FIDO2 y Passkeys: cómo ha evolucionado el estándar

La FIDO Alliance ha publicado tres generaciones del estándar:

• FIDO U2F (Universal 2nd Factor): el estándar original, que añade la llave física como segundo factor manteniendo la contraseña. Compatible con la Yubico Security Key NFC (B0BVNPWPCN).
• FIDO2 / WebAuthn: ampliación que permite autenticación sin contraseña (passwordless). La llave sustituye a la contraseña completamente. Compatible con las llaves YubiKey 5 y con biometría integrada en dispositivos (Windows Hello, Touch ID, Face ID).
• Passkeys: la última implementación de FIDO2 adoptada por Apple, Google y Microsoft en 2022-2023. Los passkeys se almacenan en el dispositivo (móvil, ordenador) y se sincronizan en la nube. Más cómodos que una llave física para el usuario medio, pero la llave física sigue siendo más segura para perfiles de alto riesgo.

Llave de seguridad vs 2FA por SMS o app: cuál es más seguro

El 2FA por SMS es el método más extendido pero también el más vulnerable: los ataques SIM swapping (suplantar al operador para redirigir tu número) permiten interceptar los códigos. Las apps como Google Authenticator o Authy son más seguras que el SMS, pero siguen siendo vulnerables si el dispositivo está comprometido.

Una llave física FIDO elimina ambos vectores de ataque:

• Resistente al phishing: la llave verifica que el dominio de la web coincide con el esperado. Si te llevan a una web falsa de Google, la llave no responde.
• Sin SIM swapping posible: no usa la red telefónica.
• Funciona offline: no depende de conexión a internet para generar la respuesta criptográfica.
• Sin batería: las llaves USB-A/USB-C/NFC se activan con el contacto físico, sin necesidad de carga.

Servicios compatibles con llaves FIDO en 2026

La compatibilidad ha crecido enormemente. Hoy puedes usar una llave FIDO con:

• Cuentas de Google y Gmail: soporte completo FIDO2 y passkeys.
• Microsoft y Windows 11: Windows Hello for Business usa FIDO2 en entornos corporativos.
• GitHub: uno de los primeros servicios en adoptar llaves físicas para desarrolladores.
• 1Password, Bitwarden, Dashlane: gestores de contraseñas compatibles con llave física como master key.
• Exchanges de criptomonedas: Coinbase, Kraken y Binance soportan llaves FIDO.
• Redes sociales: X (Twitter), Facebook e Instagram admiten llaves de seguridad.

¿Para quién tiene sentido una llave física?

No es para todo el mundo. Para el usuario que solo protege sus redes sociales, una app 2FA como Google Authenticator es suficiente. La llave física tiene sentido cuando el coste de perder acceso a una cuenta es alto:

• Desarrolladores con acceso a repositorios de código privado.
• Administradores de sistemas con acceso a servidores (VPS, SSH, panel de control).
• Usuarios con más de 1.000 € en criptomonedas en custodios online.
• Profesionales con correo corporativo que maneja información confidencial.
• Empresas en sectores regulados (finanzas, salud, legal) con auditorías de seguridad.

Para este tipo de perfil, la inversión en una llave como la Yubico Security Key NFC ronda los 25-40 euros —y se compra una llave de reserva—, lo que supone un coste mínimo frente al riesgo que previene. Para contexto sobre infraestructura de empresa con requisitos de seguridad avanzados, puedes revisar nuestro análisis de los servidores Lenovo ThinkSystem para IA híbrida; y si buscas ordenadores portátiles con las mejores credenciales de seguridad para trabajo remoto, el Dell XPS 13 (2023) es una referencia habitual en entornos corporativos.

Preguntas frecuentes sobre llaves de seguridad FIDO

¿Qué pasa si pierdo la llave FIDO?

La práctica estándar es registrar dos llaves por cuenta: una principal y una de respaldo guardada en lugar seguro (caja fuerte, cajero del trabajo). Si pierdes la principal, usas la de respaldo para revocar la llave perdida y registrar una nueva. Los servicios también suelen ofrecer códigos de recuperación de un solo uso que conviene guardar impresos.

¿Una llave FIDO funciona en el móvil?

Sí. Los modelos con NFC (como la Yubico Security Key NFC) se acercan al móvil como una tarjeta de transporte. Los modelos con conector USB-C funcionan directamente en móviles con ese puerto. Para iPhones, se requiere Lightning o NFC (desde iOS 13.3).

¿Cuál es la diferencia entre Yubico Security Key y YubiKey 5?

La Security Key (más económica) soporta FIDO U2F y FIDO2/WebAuthn, suficiente para la mayoría de usos. La serie YubiKey 5 añade soporte para protocolos adicionales (OTP, OpenPGP, PIV/Smart Card) pensados para entornos corporativos y desarrolladores con necesidades más avanzadas.

¿Las llaves FIDO funcionan con contraseñas del gestor 1Password o Bitwarden?

Sí. Tanto 1Password como Bitwarden permiten usar una llave física FIDO como factor adicional para abrir el vault. Esto protege tus contraseñas incluso si alguien conoce tu master password.

Aviso de afiliación: como medio adscrito al programa de afiliados de Amazon, este artículo puede contener enlaces que generan una pequeña comisión para componentes.es cuando se completa una compra. El precio para el comprador no varía.