La autenticación sin contraseña es cualquier método de autenticación que no utiliza contraseñas tradicionales, preguntas de seguridad u otros factores de conocimiento para verificar la identidad de un usuario. En cambio, los métodos de autenticación sin contraseña utilizan cosas que son más difíciles de robar o falsificar, como claves de acceso, seguridad física y datos biométricos.
Las contraseñas son quizás el método más común de autenticación de usuarios. También son las más débiles. Las contraseñas pueden ser objeto de robo a través de ataques de phishing y malware infostealer, adivinarse a través de ataques de fuerza bruta o comprarse en la dark web, donde los hackers las venden por unos pocos dólares cada una.
Dotados con credenciales robadas, los actores de amenazas pueden hacerse cargo de cuentas legítimas, abusar de sus privilegios válidos y evadir la detección, porque su actividad se parece a la de un usuario autorizado. Según el IBM X-Force Threat Intelligence Index 2025, el robo de cuentas válidas es uno de los vectores de acceso inicial más comunes, presente en el 32 % de los ciberataques que X-Force analizó.
Otros factores de conocimiento, es decir, cualquier factor de autenticación que se base en un secreto que el usuario conoce, tienen las mismas debilidades. Las respuestas a preguntas comunes de seguridad, como el nombre de una primera mascota o del mejor amigo de la infancia, pueden descubrirse fácilmente mediante ingeniería social o espionaje en redes sociales.
Si bien “contraseña” está en el nombre, la autenticación sin contraseña elimina todos los factores de conocimiento, incluidas las preguntas de seguridad. Los métodos sin contraseña reemplazan estos factores de conocimiento con token de hardware, claves de acceso criptográficas, huellas digitales, escaneos faciales, aplicación de autenticación, entre otros.
Estos factores de autenticación sin contraseña se consideran mucho más seguros que los factores de conocimiento. No se pueden robar ni falsificar fácilmente, lo que los hace resistentes a algunas de las amenazas cibernéticas más generalizadas en la actualidad. Por ejemplo, los delincuentes cibernéticos no pueden robar una clave de acceso a través de un enlace de phishing, ni pueden crear huellas dactilares falsas sin tecnología altamente sofisticada.
Únase a los líderes de seguridad que confían en el boletín Think para obtener noticias seleccionadas sobre IA, ciberseguridad, datos y automatización. Aprende rápido con tutoriales de expertos y documentos explicativos, que se envían directamente a su bandeja de entrada. Consulte la Declaración de privacidad de IBM.
La autenticación sin contraseña funciona reemplazando los factores de conocimiento en el proceso de autenticación con alternativas no basadas en el conocimiento. Entonces, en lugar de pedir una contraseña, un proceso de inicio de sesión sin contraseña podría pedirle a un usuario que haga clic en un enlace mágico o toque una notificación push.
Para comprender completamente la lógica de la autenticación sin contraseña, puede ser útil desglosar primero cómo funciona la autenticación en general.
En un proceso de autenticación típico, los usuarios prueban su identidad ofreciendo evidencia de que son quienes dicen ser. Esta evidencia se denomina “factor de autenticación” y generalmente se encuentra en una de cuatro categorías:
Factores de conocimiento: algo que el usuario sabe, como una contraseña o la respuesta a una pregunta de seguridad.
Factores de posesión: algo que tiene el usuario, como una contraseña de un solo uso generada por un teléfono inteligente personal o una clave criptográfica privada.
Factores inherentes: algo que define al usuario, generalmente datos biométricos como huellas dactilares, escaneo facial y de retina.
Factores de comportamiento: algo que hace el usuario, como patrones de escritura o gestos con el mouse específicos.
Las soluciones de autenticación sin contraseña utilizan solo factores de posesión, herencia y comportamiento. Más concretamente, las alternativas de contraseña más comunes incluyen:
Las claves de acceso se basan en criptografía de clave pública, generalmente implementada de acuerdo con un conjunto de estándares conocidos como FIDO o FIDO2.
Las claves de acceso funcionan generando un par de claves criptográficas: una clave pública compartida con el servicio al que el usuario se está registrando y una clave privada que se almacena en el dispositivo del usuario, como su teléfono inteligente personal. La clave privada nunca se comparte con el servicio. Además, la clave privada está protegida mediante un PIN o un método de verificación biométrica.
(El estándar FIDO también admite claves de seguridad de hardware. Para obtener más información, consulte “Tokens de hardware”).
Con una clave de acceso, el flujo de autenticación funciona así:
Las claves de acceso se consideran mucho más seguras que las contraseñas por varias razones. La clave privada nunca sale del dispositivo del usuario, por lo que no puede ser interceptada. Si un atacante roba el dispositivo que contiene la clave privada, aún necesita ingresar un PIN o superar un desafío biométrico para usar la clave.
Como dijo Jeff Crume, inventor maestro e ingeniero distinguido de IBM, en un episodio del podcast Security Intelligence de IBM:
El vector número uno para las filtraciones [en el Informe del costo de una filtración de datos de IBM de 2025] es el phishing. Y con el phishing, ¿qué buscan? Buscan sus credenciales. Bueno, ¿adivinen qué? Si no usted tiene una contraseña, nadie puede robársela. Si tiene una clave de acceso, entonces es mucho más difícil.
La autenticación biométrica se basa en las características físicas del usuario. Los escaneos de retina, la tecnología de reconocimiento facial y el escaneo de huellas dactilares son algunas de las formas más comunes de biometría.
Los factores biométricos se consideran seguros porque no se pueden robar ni falsificar con facilidad. También se consideran fáciles de usar porque los usuarios no necesitan hacer nada especial para ingresar credenciales biométricas: simplemente mirar una cámara o presionar el pulgar hacia una pantalla.
La desventaja es que, si bien es extremadamente raro, los datos biométricos pueden ser objeto de robo. En 2024, por ejemplo, unos hackers robaron datos de reconocimiento facial a una empresa australiana llamada Outabox. Y cuando se roban datos biométricos, no se pueden restablecer como una contraseña. Uno no puede cambiar sus huellas dactilares o patrones de retina.
Como su nombre indica, las contraseñas de un solo uso (OTP) son generalmente válidas solo por un breve período, que reemplazan las credenciales permanentes. Cada vez que un usuario necesita iniciar sesión en un servicio, genera una nueva OTP.
Las OTP se pueden generar de múltiples maneras. Los métodos más comunes incluyen:
Las OTP no se consideran factores de conocimiento porque no son secretos de larga duración. Las OTP son factores de posesión. No es el conocimiento de la OTP lo que verifica a una persona, sino la posesión de la aplicación de autenticación registrada, el número de teléfono o la clave de seguridad que generó la OTP.
Las OTP generalmente caducan después de un uso o un período determinado, lo que limita su valor si son robadas o interceptadas. Pero pueden ser robados a través de ciertas medidas astutas, como infostealers o ataques de intermediario (MitM).
También llamados claves de seguridad, los tokens de hardware son dispositivos dedicados, a menudo en forma de dongles USB, que contienen o generan información de autenticación.
Algunos token de hardware utilizan OTP. O crean nuevas OTP regularmente, como una aplicación de autenticación, o generan OTP bajo demanda cuando el usuario presiona un botón. Otros tokens transmiten automáticamente la información de autenticación a un servicio cuando se conecta a un dispositivo.
Los tokens de hardware se consideran seguros porque a menudo no están conectados a Internet en absoluto, y una persona debe poseer físicamente el token para usarlo.
Dicho esto, las claves de seguridad se pueden perder o robar. Puede ser costoso (y logísticamente prohibitivo) emitir una clave para cada empleado o usuario de un servicio.
Los enlaces mágicos son enlaces especiales que contienen tokens de autenticación.
Primero, el usuario registra su cuenta de correo electrónico o número de teléfono con un servicio. Luego, cuando quieren iniciar sesión, solicita un enlace mágico. El servicio envía el enlace al correo electrónico o dispositivo móvil registrado. Cuando el usuario hace clic, es redirigido al servicio al que desea acceder, donde se autentica completamente y se inicia sesión.
Los enlaces mágicos son una especie de factor de posesión, pero no es la posesión del enlace en sí lo que prueba la identidad del usuario. Más bien, es la posesión de la cuenta de correo electrónico o número de teléfono previamente registrados.
Al igual que las OTP, los enlaces mágicos son válidos solo por un corto período y caducan automáticamente después de un uso.
Sin embargo, si un atacante obtiene acceso a la bandeja de entrada de correo electrónico o al número de teléfono de un usuario, se puede abusar fácilmente de los enlaces mágicos. El atacante simplemente tiene que navegar hasta el servicio que quiere descifrar, solicitar un enlace y ya está.
Este método, que funciona de forma similar a los enlaces mágicos, envía notificaciones push al dispositivo móvil previamente registrado del usuario cuando intenta iniciar sesión en un servicio. El usuario debe tocar “aprobar” (o algún equivalente) en la notificación push para obtener acceso.
Las notificaciones push son otro factor de posesión. El acto de tocar confirma que el usuario posee el dispositivo registrado, verificando su identidad.
Las notificaciones push son convenientes y en gran medida seguras, pero son susceptibles a ataques conocidos como “avalanchas de notificaciones push” (también llamadas “fatiga MFA”, “bombardeo MFA” o “spam de instrucciones”).
En este ataque, un actor de amenazas navega hasta el servicio que quiere vulnerar, ingresa el ID de usuario de su objetivo y solicita repetidamente autenticación mediante la notificación push. El objetivo es abrumar al dispositivo de la víctima con una avalancha repentina de notificaciones, de modo que esta apruebe alguna por accidente o simplemente para que dejen de llegar. Con esa aprobación, el hacker puede acceder a la cuenta del usuario.
Los inicios de sesión basados en códigos QR muestran un código QR. El usuario escanea el código, generalmente con una aplicación de autenticación o una aplicación específica del servicio al que está accediendo, y esto lo registra.
El mecanismo básico aquí es una transferencia de sesión. Por ejemplo, supongamos que un usuario quiere iniciar sesión en un sitio web en su computadora portátil mediante un código QR:
Aunque un atacante consiga el código QR, no podrá hacer mucho sin el dispositivo previamente autenticado del usuario. Dicho esto, un atacante podría hipotéticamente secuestrar la sesión telefónica del usuario y acceder a una cuenta de esa manera.
La autenticación basada en QR también es susceptible al quishing, también conocido como phishing QR o jacking QR. Los atacantes presentan a las víctimas códigos QR falsos que, cuando se escanean, aprueban las sesiones controladas por el atacante en lugar de las legítimas.
Los factores de comportamiento son artefactos digitales que verifican la identidad de un usuario en función de patrones de comportamiento, como el rango de direcciones IP típico del usuario, la ubicación y la velocidad promedio de escritura.
Estos factores rara vez se utilizan como prueba suficiente de identidad por sí solos. Por lo general, forman parte de un esquema de autenticación basado en riesgos que evalúa continuamente la postura de seguridad de un usuario para determinar dinámicamente los requisitos de autenticación basados en el nivel de riesgo.
Por ejemplo, un usuario que inicie sesión desde su dispositivo normal en su hora habitual podría necesitar proporcionar solo un factor de autenticación. Ese mismo usuario que inicia sesión desde un dispositivo nuevo o una ubicación desconocida puede necesitar aportar un factor adicional.
Impulsado en gran medida por el auge de los servicios en la nube, la inteligencia artificial y el machine learning, el número de identidades no humanas (NHI) activas en la red corporativa promedio ha aumentado significativamente en los últimos años. Y a medida que los agentes de IA permiten automatizaciones cada vez más sofisticadas, la gestión de los permisos de las NHI y la protección de sus credenciales se convierten en preocupaciones centrales para los equipos de ciberseguridad.
Las cuentas no humanas pueden ser secuestradas como las de un humano. A menudo tienen privilegios elevados (pensemos en un proceso de respaldo que puede leer las bases de datos empresariales más sensibles) y dependen de una única credencial para la autenticación, lo que los convierte en objetivos atractivos y potencialmente débiles.
Si bien las NHI no usan contraseñas de la misma manera que los humanos, a menudo dependen de certificados y tokens que pueden ser robados, falsificados o descifrados al igual que las contraseñas.
La autenticación sin contraseña para usuarios humanos consiste en eliminar las credenciales a largo plazo que se pueden robar o falsificar fácilmente. Las organizaciones pueden obtener beneficios similares para las NHI mediante el uso de una combinación de acceso justo a tiempo y almacenamiento de credenciales, como se ve en el proceso de gestión del ciclo de vida de seguridad.
La gestión del ciclo de vida de seguridad automatiza la creación, rotación y almacenamiento seguro de credenciales, reemplazando secretos persistentes y codificados por credenciales efímeras o justo a tiempo almacenadas en una bóveda central y segura. Las bóvedas, a su vez, están protegidas mediante cifrado y medidas de autenticación sólidas para garantizar que solo los usuarios autorizados puedan acceder a estas credenciales cuando sea necesario.
Jake Lundberg, director de tecnología de campo de HashiCorp, expuso una visión para credenciales de NHI hiperefímeras en un episodio de Security Intelligence:
El mejor escenario posible es migrar a credenciales basadas en sesiones. Cuando se inicia mi sesión, tengo una credencial justo a tiempo. Y en cuanto se cierra la sesión, elimino esas credenciales. Entonces, cuando termina mi sesión, incluso si solo duró cinco minutos, eliminamos esas credenciales de esos sistemas.
Las especificaciones de identidad de carga de trabajo, como SPIFFE/SPIRE, pueden vincular las identidades NHI con atributos de tiempo de ejecución verificables criptográficamente. Estos marcos permiten verificar una carga de trabajo según dónde y cómo se ejecuta, permitiendo a las NHI autenticarse sin usar contraseñas ni claves de API.
Los inicios de sesión sin contraseña se pueden implementarse como autenticación de un solo factor (que requiere un factor de no conocimiento) o autenticación multifactor (MFA) (que requiere dos o más factores de no de conocimiento). Las implementaciones de MFA sin contraseña se consideran más seguras que la MFA estándar o la autenticación de dos factores (2FA), que generalmente usan una contraseña como primer factor.
(Una implementación de MFA que solicita tanto una contraseña como algún otro factor de no conocimiento no está sin contraseña porque todavía implica una contraseña. Todos los factores involucrados deben ser factores de no conocimiento para un inicio de sesión verdaderamente sin contraseña).
No todas las aplicaciones admiten de forma nativa opciones totalmente sin contraseña. Para implementar la autenticación sin contraseña en toda la red empresarial, las organizaciones suelen usar plataformas de orquestación de identidad. Estas herramientas conectan y coordinan sistemas de de gestión de identidad y acceso (IAM) de múltiples proveedores de identidad en una estructura de tejido de identidad holística con un único flujo de trabajo de identidad sin fricciones. La orquestación de identidades es la tecnología detrás de muchos sistemas de de inicio de sesión único.
Esencialmente, la orquestación de identidades funciona enrutando las solicitudes de inicio de sesión para servicios individuales a través de un proceso centralizado, y muchas plataformas de orquestación de identidades admiten un proceso de autenticación centralizado sin contraseña. De este modo, toda la empresa puede funcionar sin contraseña, incluso si las aplicaciones y los servicios individuales de la pila no lo permiten.
La autenticación con contraseña ha sido durante mucho tiempo el método predeterminado para verificar las identidades de los usuarios. Desafortunadamente, también es la menos segura. Los métodos sin contraseña pueden eliminar uno de los eslabones más débiles en las redes modernas, cerrando una brecha ampliamente explotada en la superficie de ataque empresarial.
Las contraseñas se roban fácilmente a través de ataques de ingeniería social, como phishing, y malware, como spyware e infostealers. Son particularmente vulnerables a ataques de help desk, estafas de ingeniería social en las que actores malintencionados llaman a un help desk fingiendo ser un usuario o empleado que necesita un restablecimiento de contraseña. Estos ataques son cada vez más comunes porque son devastadoramente efectivos. Como Stephanie Carruthers, ex jefa de hackers de IBM X-Force dijo una vez:
Realizamos campañas de ingeniería social para nuestros clientes cuyo objetivo es llamar a su help desk y ver si podemos suplantar a un empleado para restablecer su contraseña. Hasta la fecha, hemos tenido éxito cada vez que lo hemos hecho.
Las personas a menudo usan contraseñas débiles que los atacantes pueden descifrar mediante ataques de fuerza bruta y diccionario, es decir, probando contraseñas comunes hasta que una funcione. Las personas también reutilizan contraseñas en múltiples servicios, lo que permite el relleno de credenciales. Cuando los atacantes tienen una contraseña para un servicio, también pueden probarla para muchos otros.
Incluso cuando las personas siguen las mejores prácticas de contraseñas (usando una contraseña diferente y difícil de adivinar para cada servicio) se encuentran con problemas. Dada la cantidad de cuentas que tienen las personas, es fácil olvidar estas contraseñas. En el caso de las credenciales de NHI, como las claves de API, es posible que se dejen codificadas en aplicaciones o desprotegidas como texto sin formato en unidades compartidas.
Las herramientas de gestión de contraseñas surgieron para resolver estos retos de higiene de contraseñas, pero tienen sus propias vulnerabilidades peculiares. A saber: la mayoría de los administradores de contraseñas están protegidos por contraseñas maestras, que a su vez pueden ser robadas. Así que sí, los hackers pueden robar contraseñas almacenadas con las maniobras adecuadas.
La proliferación de NHI también ha influido en hacer de la autenticación sin contraseña una prioridad.
Las aplicaciones, los procesos del sistema y otros usuarios no humanos no tienen contraseñas clásicas, pero sí utilizan tokens OAuth, claves de API, certificados y otros secretos para autenticarse. Los agentes de IA, que se sitúan en la línea entre las capacidades tradicionalmente humanas y no humanas, podrían incluso “tomar prestadas” las credenciales de sus usuarios humanos para ejecutar tareas automatizadas. Todos estos secretos pueden ser robados y utilizados indebidamente de la misma manera que las contraseñas.
Los sistemas tradicionales de IAM no se diseñaron para la gestión de secretos de NHI, lo que creó una brecha de seguridad de identidad.
Los profesionales de identidad y seguridad han reconocido estas presiones durante bastante tiempo. Pero los enfoques sin contraseña ahora están ganando fuerza porque la tecnología finalmente se está poniendo al día. Los teléfonos inteligentes hacen posible que los usuarios cotidianos adopten la biometría y las contraseñas de un solo uso basadas en el tiempo. El desarrollo de los estándares FIDO y los protocolos subyacentes WebAuthn y CTAP2 ha hecho que la autenticación basada en claves de acceso esté ampliamente disponible para sitios y aplicaciones web. Y las nuevas herramientas de gestión del ciclo de vida de seguridad permiten a las organizaciones automatizar la creación de credenciales, rotación, almacenamiento y gestión de acceso para NHI.
La autenticación sin contraseña se considera más segura y conveniente que los enfoques basados en contraseñas. Las desventajas están relacionadas principalmente con la posible complejidad y el costo que supone, en primer lugar, prescindir de contraseñas.
El phishing es una de las principales causas de filtraciones de datos, ya que representa el 16 % de las filtraciones analizadas en el Informe del costo de una filtración de datos de IBM. El objetivo de la mayoría de los ataques de phishing es robar las credenciales de un usuario, generalmente una contraseña.
La autenticación sin contraseña sustituye las contraseñas por credenciales resistentes al phishing que no pueden ser robadas ni de manera fácil ni factible, frustrando así una de las mayores amenazas para la seguridad de los datos.
Las credenciales sin contraseña también pueden fortalecer las defensas contra ciertas cepas comunes de malware, como infostealers o spyware. Por ejemplo, las claves de acceso nunca se transmiten ni se escriben en ningún lugar, y aunque las OTP se pueden leer, son inservibles después de una sola entrada.
Una de las razones por las que las contraseñas son una debilidad de ciberseguridad tan importante es que muchos usuarios no siguen las mejores prácticas establecidas para la higiene de contraseñas. Uno de los casos de uso más convincentes para la autenticación sin contraseña es que elimina por completo el problema de higiene.
Los usuarios no necesitan crear contraseñas únicas y complejas para cada servicio porque no necesitan crear ninguna contraseña en absoluto. La eliminación de contraseñas también puede mejorar la experiencia del usuario, haciendo de la autenticación sin contraseña una de las raras instancias en las que la seguridad y la usabilidad están sincronizadas.
En la mayoría de las organizaciones, una contraseña olvidada significa una llamada al help desk. Estas llamadas cuestan dinero, alejan a los trabajadores de TI de trabajos más valiosos y alteran el flujo de trabajo de los empleados. Y las llamadas al help desk, como se mencionó anteriormente, brindan a los actores de amenazas una potente vía para los ataques.
La autenticación sin contraseña significa que no se restablecen más contraseñas, lo que puede reducir las llamadas al help desk, reducir los gastos de soporte de TI y mitigar un vector de amenaza peligroso.
Además de ser uno de los vectores primarios en las redes, las credenciales robadas también son un objetivo principal para los hackers cuando están dentro. El robo de credenciales fue el impacto más común de los ataques analizados en el Threat Intelligence Index más reciente, presente en el 26 % de los casos.
Cuando los atacantes tienen estas credenciales, las usan para el movimiento lateral y la escalada de privilegios, o las venden en la dark web a otros atacantes. De cualquier manera, las contraseñas robadas provocan daños importantes.
Las credenciales sin contraseña no solo son más difíciles de robar, sino que además, las credenciales robadas tienen una utilidad limitada o son totalmente imposibles de vender. Por ejemplo, no se pueden robar claves de acceso irrumpiendo en un servicio porque el servicio no almacena ninguna de ellas. Cada clave de acceso se mantiene en el dispositivo del usuario individual. Y nadie va a pagar por las OTP que ya caducaron.
A pesar de todos estos pros, la autenticación sin contraseña tiene sus desventajas, incluyendo implementaciones complejas, dificultad para restablecer credenciales perdidas o robadas y los ciberataques únicos a los que son susceptibles los inicios de sesión sin contraseña.
La red empresarial promedio contiene una combinación de aplicaciones y activos on premises y basada en la nube, de una combinación de proveedores, con sistemas de gestión de acceso ligeramente diferentes que no siempre admiten la autenticación sin contraseña.
Y algunos expertos predijeron que el software efímero con vibe code pronto se volverá más común en las redes empresariales, introduciendo una variedad aún más amplia de sistemas de IAM a la competencia.
Antes de poder adoptar la autenticación sin contraseña, muchas organizaciones descubren que primero deben crear un tejido de identidad integrado que una todos los recursos en un flujo de trabajo de identidad común. Si bien un tejido de identidad holístico se considera una de las mejores prácticas para la seguridad de la identidad en la actualidad, construir uno requiere tiempo, dinero, herramientas y experiencia.
La inscripción de usuarios en el proceso de autenticación sin contraseña también puede plantear desafíos, dependiendo de los tipos de credenciales que la organización quiera admitir. Las claves de acceso y las aplicaciones de autenticación son relativamente simples, pero las claves de seguridad de hardware y la biometría pueden ser más complicadas.
Es menos probable que los factores de autenticación sin contraseña necesiten un restablecimiento. Pero cuando sí, el proceso puede ser difícil.
Por ejemplo, una clave de hardware perdida cuesta dinero para reemplazarse y debe distribuirse físicamente al usuario. Los datos biométricos robados no se pueden cambiar. Un teléfono inteligente perdido o robado que contiene una aplicación de autenticación puede dar a un actor de amenazas acceso a toda la vida digital de un usuario.
Si bien los métodos de autenticación sin contraseña son más difíciles de descifrar, son vulnerables a ciertos ataques sofisticados.
Por ejemplo, los ataques de intermediario suficientemente avanzados pueden interceptar las OTP antes de que se introduzcan en el sitio web real, y antes de que caduquen, permitiendo a los hackers usarlos antes que los usuarios legítimos. Los esquemas de intercambio de SIM, donde los estafadores se hacen pasar por una víctima y convencen a su proveedor de telecomunicaciones de transferir su número a un teléfono que los estafadores controlen, también pueden brindar a los atacantes una forma de interceptar las OTP, notificaciones push, enlaces mágicos y otros factores de autenticación comunes.