La autenticación sin contraseña es cualquier método de autenticación que no utilice contraseñas tradicionales, preguntas de seguridad u otros factores de conocimiento para comprobar la identidad del usuario. En su lugar, los métodos de autenticación sin contraseña utilizan cosas más difíciles de robar o falsificar, como llaves de acceso, Physical Security y biometría.
Las contraseñas son quizás el método más común de autenticación de usuarios. Y también el más débil. Las contraseñas pueden ser robadas mediante ataques de phishing y malware de robo de información, adivinadas mediante ataques de fuerza bruta o compradas en la dark web, donde los hackers las venden por unos pocos dólares cada una.
Armados con credenciales robadas, los actores de amenazas pueden apoderarse de cuentas legítimas, abusar de sus privilegios válidos y evadir la detección, porque su actividad se parece a la de un usuario autorizado. Según el índice IBM X-Force Threat Intelligence Index 2025, el robo de cuentas válidas es uno de los vectores de acceso inicial más comunes, presente en el 32 % de los ciberataques que X-Force analizó.
Otros factores de conocimiento, es decir, cualquier factor de autenticación que se base en un secreto que el usuario conoce, sufren las mismas debilidades. Las respuestas a las preguntas de seguridad más comunes, como el nombre de la mascota o del mejor amigo de la infancia, se pueden encontrar fácilmente mediante la ingeniería social o el simple espionaje en las redes sociales.
Aunque "contraseña" está en el nombre, la autenticación sin contraseña elimina todos los factores de conocimiento, incluidas las preguntas de seguridad. Los métodos sin contraseña sustituyen estos factores de conocimiento por tokens de hardware, claves de acceso criptográficas, huellas dactilares, escaneos faciales, aplicaciones de autenticación y más.
Estos factores de autenticación sin contraseña se consideran mucho más seguros que los factores de conocimiento. No se pueden robar ni falsificar fácilmente, lo que los hace resistentes a algunas de las ciberamenazas más generalizadas de la actualidad. Por ejemplo, los ciberdelincuentes no pueden robar una clave de acceso a través de un enlace de phishing, ni pueden crear huellas dactilares falsas sin una tecnología altamente sofisticada.
Únase a los líderes de seguridad que confían en el boletín Think para obtener noticias seleccionadas sobre IA, ciberseguridad, datos y automatización. Aprenda rápidamente de tutoriales de expertos y artículos explicativos, directamente en su bandeja de entrada. Consulte la Declaración de privacidad de IBM.
La autenticación sin contraseña funciona sustituyendo los factores de conocimiento en el proceso de autenticación por alternativas no basadas en el conocimiento. Así que, en lugar de pedir una contraseña, un proceso de inicio de sesión sin contraseña podría pedirle al usuario que haga clic en un enlace mágico o toque una notificación push.
Para entender perfectamente la lógica de la autenticación sin contraseña, puede ayudar analizar primero cómo funciona la autenticación en general.
En un proceso de autenticación típico, los usuarios prueban su identidad ofreciendo pruebas de que son quienes dicen ser. Esta evidencia se denomina "factor de autenticación" y suele pertenecer a una de estas cuatro categorías:
Factores de conocimiento: Algo que el usuario sabe, como una contraseña o la respuesta a una pregunta de seguridad.
Factores de posesión: algo que tiene el usuario, como una contraseña de un solo uso generada por un smartphone personal o una clave criptográfica privada.
Factores inherentes: Algo que define al usuario, generalmente datos biométricos como huellas dactilares, escaneo facial y de retina.
Factores de comportamiento: algo que hace el usuario, como patrones de escritura únicos o gestos con el ratón.
Las soluciones de autenticación sin contraseña utilizan únicamente factores de posesión, inherencia y comportamiento. Más concretamente, las alternativas de contraseña más comunes incluyen:
Las claves de acceso se basan en la criptografía de clave pública y, por lo general, se implementan según un conjunto de estándares conocidos como FIDO o FIDO2.
Las claves de acceso funcionan generando un par de claves criptográficas: una clave pública compartida con el servicio en el que se registre el usuario y una clave privada guardada en el dispositivo del usuario, como su smartphone personal. La clave privada nunca se comparte con el servicio. Además, la clave privada está bloqueada detrás de un PIN o un desafío biométrico.
(El estándar FIDO también admite claves de seguridad de hardware. Para obtener más información, consulte "token de hardware").
Con una clave de acceso, el flujo de autenticación funciona así:
Las claves de acceso se consideran mucho más seguras que las contraseñas por varias razones. La clave privada nunca sale del dispositivo del usuario, por lo que no puede interceptarse. Si un atacante roba el dispositivo que contiene la clave privada, aún tendrá que introducir un PIN o superar un desafío biométrico para usar la clave.
Como dijo Jeff Crume, maestro inventor y distinguido ingeniero de IBM, en un episodio del podcast de Security Intelligence de IBM:
El vector número uno de las infracciones [en el Informe "Cost of a Data Breach" de IBM de 2025] es el phishing. Y el phishing, ¿qué buscan? Buscan sus credenciales. Bueno, ¿sabe qué? Si no tiene una contraseña, nadie puede robársela. Si tiene una clave de acceso, es mucho más difícil.
La autenticación biométrica se basa en las características físicas del usuario. Los escaneos de retina, la tecnología de reconocimiento facial y el escaneo de huellas dactilares son algunas de las formas más comunes de biometría.
Los factores biométricos se consideran seguros porque no se pueden robar ni falsificar con facilidad. También se consideran fáciles de usar porque los usuarios no necesitan hacer nada especial para introducir las credenciales biométricas, basta con mirar a la cámara o pulsar con el pulgar contra una pantalla.
La desventaja es que, si bien es extremadamente raro, se pueden robar datos biométricos. En 2024, por ejemplo, hackers robaron datos de reconocimiento facial a una empresa australiana llamada Outabox. Y cuando se roban los datos biométricos, no se pueden restablecer como una contraseña. No se pueden cambiar sus huellas dactilares ni los patrones de la retina.
Como su nombre indica, las contraseñas de un solo uso (OTP) son contraseñas de un solo uso, generalmente válidas solo por un breve período, que reemplazan las credenciales permanentes. Cada vez que un usuario necesita iniciar sesión en un servicio, genera una nueva OTP.
Las OTP se pueden generar de múltiples maneras. Los métodos más comunes incluyen:
Las OTP no se consideran factores de conocimiento porque no son secretos de larga duración. Las OTP son factores de posesión. No es el conocimiento del OTP lo que verifica a una persona, sino la posesión de la aplicación de autenticación registrada, el número de teléfono o la clave de seguridad que generó el OTP.
Las OTP suelen caducar tras un uso o un período de tiempo determinado, lo que limita su valor en caso de robo o interceptación. Pero pueden ser robados mediante ciertas medidas ingeniosas, como robos de información o ataques de intermediario (man-in-the-middle).
También denominadas claves de seguridad, los token de hardware son dispositivos dedicado, a menudo en forma de llaves USB, que contienen o generan información de autenticación.
Algunos tokens de hardware utilizan OTP. O crean nuevas OTP con regularidad, como una aplicación de autenticación, o generan OTP bajo demanda cuando el usuario pulsa un botón. Otros tokens transmiten automáticamente información de autenticación a un servicio cuando se conectan a un dispositivo.
Los token de hardware se consideran fuertes porque a menudo no están conectados a Internet y una persona debe poseer físicamente el token para usarlo.
Dicho esto, las llaves de seguridad se pueden perder o robar. Puede resultar caro (y prohibitivo desde el punto de vista logístico) emitir una clave a cada empleado o usuario de un servicio.
Los enlaces mágicos son enlaces especiales que contienen tokens de autenticación.
En primer lugar, el usuario registra su cuenta de correo electrónico o número de teléfono en un servicio. Luego, cuando quieren iniciar sesión, solicitan un enlace mágico. El servicio envía el enlace al correo electrónico o dispositivo móvil registrado. Cuando el usuario hace clic en él, pasa al servicio al que quiere acceder, se autentica completamente e inicia sesión.
Los enlaces mágicos son una especie de factor de posesión, pero no es la posesión del enlace en sí lo que demuestra la identidad del usuario. Más bien, es posesión de la cuenta de correo electrónico o número de teléfono previamente registrados.
Al igual que las OTP, los enlaces mágicos solo son válidos durante un breve periodo de tiempo y caducan automáticamente después de un uso.
Sin embargo, si un atacante obtiene acceso a la bandeja de entrada de correo electrónico o al número de teléfono de un usuario, se puede abusar fácilmente de los enlaces mágicos. El atacante simplemente tiene que ir al servicio que quiere descifrar, solicitar un enlace y ya está.
Funcionando como los enlaces mágicos, este método envía notificaciones push al dispositivo móvil previamente registrado del usuario cuando intenta iniciar sesión en un servicio. El usuario debe tocar "aprobar" (o algún equivalente) en la notificación push para obtener acceso.
Las notificaciones push son otro factor de posesión. El acto de intervenir confirma que el usuario posee el dispositivo registrado, verificando su identidad.
Las notificaciones push son cómodas y en gran medida seguras, pero son susceptibles a ataques conocidos como "inundaciones de notificaciones push" (también llamadas "fatiga de MFA", "bombardeo de MFA" o "spam de instrucciones").
En este ataque, un actor de amenazas navega hasta el servicio que quiere infringir, introduce el seudónimo de su objetivo y solicita repetidamente la autenticación mediante una notificación push. La repentina avalancha de notificaciones al dispositivo del objetivo tiene como objetivo abrumar, de modo que la víctima aprueba una por accidente o simplemente para hacer que se detenga. Con esa aprobación, el hacker puede acceder a la cuenta del usuario.
Los inicios de sesión basados en códigos QR muestran un código QR. El usuario escanea el código, normalmente con una aplicación de autenticación o una aplicación específica del servicio al que está accediendo, y así inicia sesión.
El mecanismo básico aquí es la transferencia de sesión. Por ejemplo, supongamos que un usuario quiere iniciar sesión en un sitio web desde su ordenador portátil con un código QR:
Incluso si un atacante obtiene el código QR, no puede hacer mucho sin el dispositivo preautenticado del usuario. Dicho esto, un atacante podría hipotéticamente secuestrar la sesión telefónica del usuario y acceder a una cuenta de esa manera.
La autenticación basada en QR también es susceptible de quishing, también conocido como QR phishing o QR jacking. Los atacantes presentan a las víctimas códigos QR falsos que, cuando se escanean, aprueban las sesiones controladas por el atacante en lugar de las legítimas.
Los factores de comportamiento son artefactos digitales que verifican la identidad de un usuario en base a patrones conductuales, como el rango típico de direcciones IP del usuario, la ubicación y la velocidad media de escritura.
Estos factores rara vez se utilizan como prueba suficiente de identidad por sí solos. Por lo general, forman parte de un esquema de autenticación basado en el riesgo que evalúa continuamente la posición de seguridad del usuario para determinar de forma dinámica los requisitos de autenticación en función del nivel de riesgo.
Por ejemplo, un usuario que inicie sesión desde su dispositivo normal en su hora habitual podría necesitar proporcionar solo un factor de autenticación. Ese mismo usuario, si información de registro desde un dispositivo nuevo o una ubicación desconocida, es posible que deba proporcionar un factor adicional.
Impulsado en gran medida por el auge de servicios en la nube, la inteligencia artificial y el machine learning, el número de identidades no humanas (NHI) activas en la red corporativa promedio ha aumentado drásticamente en los últimos años. Y a medida que los agentes de IA permiten automatizaciones cada vez más sofisticadas, gestionar los permisos del NHI y garantizar sus credenciales se convierten en preocupaciones principales de los equipos de ciberseguridad.
Las cuentas no humanas pueden ser pirateadas al igual que las de un ser humano. A menudo tienen privilegios elevados (piensa en un proceso de copia de seguridad que puede leer las bases de datos empresariales más sensibles) y dependen de una única credencial para la autenticación, lo que los convierte en objetivos atractivos y potencialmente débiles.
Aunque los NHI no usan las contraseñas de la misma manera que los humanos, a menudo dependen de certificados y tokens que pueden ser robados, falsificados o descifrados, igual que las contraseñas.
La autenticación sin contraseña para usuarios humanos consiste en eliminar las credenciales a largo plazo que se roban o falsifican fácilmente. Las organizaciones pueden obtener beneficios similares para los NHI utilizando una combinación de acceso justo a tiempo y almacenamiento de credenciales, como se ve en el proceso de gestión del ciclo de vida de la seguridad.
La Security Lifecycle Management automatiza la creación, la rotación y el almacenamiento seguro de las credenciales, sustituyendo los secretos persistentes y codificados por credenciales efímeras o justo a tiempo almacenadas en una Vault central y segura. Los Vault están, a su vez, protegidos mediante cifrado y medidas de autenticación sólidas para ayudar a garantizar que solo los usuarios autorizados puedan acceder a estas credenciales cuando sea necesario.
Jake Lundberg, director de tecnología de campo de HashiCorp, expuso una visión para credenciales NHI hiperefímeras en un episodio de Security Intelligence:
El mejor escenario posible es que estés migrando a credenciales basadas en sesiones. Cuando se inicia mi sesión, tengo credenciales justo a tiempo. Y en cuanto se interrumpa la sesión, me deshago de esas credenciales. Así que cuando termina mi sesión, aunque solo haya durado cinco minutos, eliminamos esas credenciales de esos sistemas.
Las especificaciones de identidad de la carga de trabajo , como SPIFFE/SPIRE, pueden vincular las identidades del NHI a atributos de tiempo de ejecución verificables criptográficamente. Estos marcos permiten verificar una carga de trabajo en función de dónde y cómo se ejecuta, lo que permite a los NHI autenticarse sin utilizar contraseñas ni claves de API.
Los inicios de sesión sin contraseña se pueden implementar como autenticación de factor único (que requiere un factor de desconocimiento) o autenticación multifactor (MFA) (que requiere dos o más factores de desconocimiento). Las implementaciones de MFA sin contraseña se consideran más seguras que la MFA estándar o la autenticación de dos factores (2FA), que normalmente utiliza una contraseña como primer factor.
(Una implementación de MFA que pida tanto una contraseña como algún otro factor de no conocimiento no es sin contraseña, ya que sigue implicando una contraseña. Todos los factores implicados tienen que ser factores de falta de conocimiento para un inicio de sesión verdaderamente sin contraseña.)
No todas las aplicaciones admiten de forma nativa opciones que prescindan totalmente de la contraseña. Para implementar la autenticación sin contraseña en toda la red empresarial, las organizaciones suelen utilizar plataformas de orquestación de identidades. Estas herramientas conectan y coordinan distintos sistemas de gestión de identidades y accesos (IAM) de varios proveedores de identidad en un identity fabric holístico con un flujo de trabajo de identidad único y fluido. La orquestación de identidades es la tecnología detrás de muchos sistemas de inicio de sesión único (SSO).
Básicamente, la orquestación de identidades consiste en redirigir las solicitudes de inicio de sesión de los distintos servicios a través de un proceso centralizado, y muchas plataformas de orquestación de identidades admiten un proceso de autenticación centralizado sin contraseña. De este modo, toda la empresa puede funcionar sin contraseña, incluso si las aplicaciones y los servicios individuales de la pila tecnológica no lo permiten.
La autenticación basada en contraseña ha sido durante mucho tiempo el método predeterminado para verificar las identidades de los usuarios. Desafortunadamente, también es la menos segura. Los métodos sin contraseña pueden eliminar uno de los eslabones más débiles de las redes modernas y cerrar una brecha muy explotada en la superficie de ataque empresarial.
Las contraseñas se roban fácilmente mediante ataques de ingeniería social como el phishing y malware como el spyware y los infostealers. Son particularmente vulnerables a los ataques al help desk, a las estafas de ingeniería social en las que actores malintencionados llaman al help desk fingiendo ser un usuario o un empleado que necesita restablecer la contraseña. Estos ataques son cada vez más comunes porque son devastadoramente efectivos. Como dijo una vez Stephanie Carruthers, ex jefa de hackers de IBM X-Force:
Realizamos campañas de ingeniería social para nuestros clientes, donde el objetivo es llamar a su centro de servicio y ver si podemos suplantar a un empleado para restablecer su contraseña. Hasta la fecha, hemos tenido éxito cada vez que lo hemos hecho.
La gente suele utilizar contraseñas débiles que los atacantes pueden descifrar mediante ataques de fuerza bruta y de diccionario, es decir, probar contraseñas comunes hasta que una funcione. La gente también reutiliza las contraseñas en varios servicios, lo que permite rellenar las credenciales. Cuando los atacantes tienen una contraseña para un servicio, también pueden probarla para muchos otros.
Incluso cuando las personas siguen las mejores prácticas de contraseñas (utilizan una contraseña diferente y difícil de adivinar para cada servicio), tienen problemas. Teniendo en cuenta el número de cuentas que tienen las personas, es fácil olvidar estas contraseñas. En el caso de las credenciales NHI, como las claves API, pueden quedar codificadas en aplicaciones o no protegidas como texto plano en discos compartidos.
Las herramientas de gestión de contraseñas surgieron para resolver estos problemas de higiene de las contraseñas, pero tienen sus propias vulnerabilidades peculiares. En concreto: la mayoría de los gestores de contraseñas están protegidos por contraseñas maestras, que a su vez pueden ser robadas. Así que sí, los hackers pueden robar contraseñas guardadas con las maniobras adecuadas.
La proliferación de los NHI también ha contribuido a que la autenticación sin contraseña sea una prioridad.
Las aplicaciones, los procesos del sistema y otros usuarios no humanos no tienen contraseñas clásicas, pero sí utilizan tokens OAuth, claves API, certificados y otros secretos para autenticarse. Los agentes de IA, que se sitúan en la línea entre las capacidades tradicionalmente humanas y no humanas, podrían incluso "tomar prestadas" las credenciales de sus usuarios humanos para ejecutar tareas automatizadas. Todos estos secretos se pueden robar y usar indebidamente de la misma manera que las contraseñas.
Los sistemas de IAM tradicionales no se diseñaron para la gestión de secretos del NHI, lo que creó una brecha de seguridad de identidad.
Los profesionales de la identidad y la seguridad han reconocido estas presiones durante bastante tiempo. Pero los enfoques sin contraseñas están ganando fuerza porque la tecnología por fin se está poniendo al día. Los teléfonos inteligentes permiten a los usuarios comunes adoptar contraseñas biométricas y de un solo uso basadas en el tiempo. El desarrollo de los estándares FIDO y los protocolos subyacentes WebAuthn y CTAP2 ha hecho que la autenticación basada en claves de acceso esté ampliamente disponible para sitios web y aplicaciones web. Y las nuevas herramientas de gestión del ciclo de vida permiten a las organizaciones automatizar la creación, la rotación, el almacenamiento y la gestión del acceso de las credenciales para los NHI.
La autenticación sin contraseña se considera en general más segura y práctica que los enfoques basados en contraseñas. Las desventajas están relacionadas principalmente con la posible complejidad y el coste que supone, en primer lugar, prescindir de contraseñas.
El phishing es una de las principales causas de filtraciones de datos, representando el 16 % de las brechas analizadas en el informe "Cost of a Data Breach" de IBM. El objetivo de la mayoría de los ataques de suplantación de identidad es robar las credenciales del usuario, normalmente una contraseña.
La autenticación sin contraseña sustituye las contraseñas por credenciales resistentes al phishing que no pueden ser robadas fácil ni factible, frustrando así una de las mayores amenazas para la seguridad de los datos.
Las credenciales sin contraseña también pueden reforzar las defensas contra ciertas cepas de malware comunes, como infostealers o spyware. Por ejemplo, las claves de acceso nunca se transmiten ni se escriben en ningún lado y, aunque las OTP se pueden leer, no sirven para nada después de una sola entrada.
Una de las razones por las que las contraseñas representan una vulnerabilidad tan importante en la ciberseguridad es que muchos usuarios no siguen las buenas prácticas establecidas para la higiene de las contraseñas. Uno de los casos de uso más convincentes de la autenticación sin contraseña es que elimina por completo el problema de higiene.
Los usuarios no necesitan crear contraseñas únicas y complejas para cada servicio porque no necesitan crear ninguna contraseña. La eliminación de las contraseñas también puede mejorar la experiencia del usuario, ya que convierte la autenticación sin contraseña en uno de los pocos casos en los que la seguridad y la usabilidad están sincronizadas.
En la mayoría de las organizaciones, olvidar la contraseña significa llamar al help desk de TI. Estas llamadas cuestan dinero, alejan a los trabajadores de TI de trabajos más valiosos y alteran el flujo de trabajo de los empleados. Y las llamadas al help desk, como se ha mencionado anteriormente, dan a los actores de amenazas una potente vía de ataque.
La autenticación sin contraseña significa que ya no hay que restablecer contraseñas, lo que puede reducir las llamadas al help desk, disminuir los costes de soporte informático y mitigar un vector de amenaza peligroso.
Además de ser uno de los principales vectores de entrada en las redes, las credenciales robadas también son uno de los principales objetivos de los hackers cuando están dentro. El robo de credenciales fue el impacto más común de los ataques analizados en el Threat Intelligence Index más reciente, presente en el 26 % de los casos.
Cuando los atacantes disponen de estas credenciales, las utilizan para el movimiento lateral y la escalada de privilegios, o las venden en la dark web a otros atacantes. De cualquier manera, las contraseñas robadas provocan daños importantes.
Las credenciales sin contraseña no solo son más difíciles de robar en primer lugar, sino que las credenciales que se roban son de uso limitado o no se pueden vender en absoluto. Por ejemplo, no puede robar claves de acceso irrumpiendo en un servicio porque el servicio no almacena ninguna de ellas. Cada clave de acceso se guarda en el dispositivo del usuario individual. Y nadie va a pagar por códigos OTP que ya hayan caducado.
A pesar de todas estas ventajas, la autenticación sin contraseña tiene sus desventajas, como las implementaciones complejas, la dificultad para restablecer las credenciales perdidas o robadas y los ciberataques únicos a los que son susceptibles los inicios de sesión sin contraseña.
La red empresarial promedio contiene una combinación de aplicaciones y activos en las instalaciones y basados en la nube, de una combinación de proveedores, con sistemas de gestión de acceso ligeramente diferentes que no siempre admiten la autenticación sin contraseña.
Y algunos expertos predijeron que el software efímero codificado por vibraciones pronto se hará más común en redes empresariales, introduciendo una variedad aún más variada de sistemas IAM en la competencia.
Antes de poder adoptar la autenticación sin contraseña, muchas organizaciones se ven obligadas a construir primero un identity fabric que una todos los recursos en un flujo de trabajo de identidad común. Si bien hoy en día se considera que un identity fabric es una buena práctica para la seguridad de la identidad, crear uno requiere tiempo, dinero, herramientas y experiencia.
Inscribir a los usuarios en el proceso de autenticación sin contraseña también puede suponer un desafío, según los tipos de credenciales que la organización quiera admitir. Las claves de acceso y las aplicaciones de autenticación son relativamente sencillas, pero las claves de seguridad del hardware y la biometría pueden resultar más complicadas.
Es menos probable que los factores de autenticación sin contraseña necesiten restablecerse. Pero cuando lo hacen, el proceso puede ser difícil.
Por ejemplo, reemplazar una clave de hardware perdida cuesta dinero y debe distribuirse físicamente al usuario. Los datos biométricos robados no se pueden cambiar. Un smartphone perdido o robado que contenga una aplicación de autenticación puede dar a un actor de amenazas acceso a toda la vida digital del usuario.
Si bien los métodos de autenticación sin contraseña son más difíciles de descifrar, son vulnerables a ciertos ataques sofisticados.
Por ejemplo, los ataques de intermediario (man-in-the-middle) suficientemente avanzados pueden interceptar OTPs antes de que se introduzcan en la web real —y antes de que caduquen—, permitiendo a los hackers usarlos antes que los usuarios legítimos. Los esquemas de intercambio de SIM —donde estafadores se hacen pasar por víctimas y convencen a su operador de telecomunicaciones para transferir su número a un teléfono controlado por los estafadores— también pueden ofrecer a los atacantes una forma de interceptar OTPs, notificaciones push, enlaces mágicos y otros factores comunes de autenticación.