Microsoft Entra Passkeys llega a Windows: autenticación sin contraseñas, phishing-resistente y gobernanza para dispositivos administrados, personales y no registrados

Microsoft ha anunciado que, a partir de finales de abril y con disponibilidad general prevista para mediados de junio de 2026, desplegará soporte de passkeys para autenticación sin contraseñas y resistente al phishing en recursos protegidos por Microsoft Entra desde dispositivos Windows. Esta medida extiende la autenticación passwordless no solo a dispositivos administrados, sino también a dispositivos personales y compartidos no registrados o no unidos a Entra, lo que supone un cambio importante en la estrategia de acceso de la plataforma empresarial de Microsoft.

La implementación utiliza credenciales FIDO2 vinculadas al dispositivo y almacenadas en el contenedor seguro de Windows Hello; los usuarios autentican con métodos locales como reconocimiento facial, huella o PIN. Según Microsoft, estas credenciales nunca salen del dispositivo, por lo que no pueden ser interceptadas durante ataques de phishing o mediante técnicas tradicionales de robo de credenciales, lo que eleva la barrera frente a olas recientes de campañas que apuntaron a cuentas SSO de Entra con credenciales robadas.

Desde el punto de vista de administración y gobernanza, Entra permitirá controlar el despliegue mediante las políticas de Authentication Methods y Conditional Access; es decir, los administradores podrán decidir en qué escenarios y para qué grupos se habilita el uso de passkeys, y aplicar excepciones o restricciones según el estado del dispositivo y el riesgo del acceso. Esto facilita adoptar la tecnología de forma incremental y dirigida sin exponer indiscriminadamente todos los accesos.

La principal ganancia técnica es la reducción de la dependencia de contraseñas y MFA tradicionales que se basan en factores reusables o susceptibles a phishing. Sin embargo, implantar passkeys no elimina todos los riesgos: la seguridad ahora depende también de la integridad del dispositivo local, de las políticas de recuperación de cuentas y de cómo se gestionan los flujos de inscripción y restablecimiento. Las empresas deben evaluar los vectores complementarios de ataque, como el compromiso del dispositivo por malware o ingeniería social dirigida durante la inscripción de un passkey.

Recomiendo a los responsables de seguridad y TI que incluyan este cambio en su hoja de ruta de identidad: habilitar y probar Entra passkeys en un grupo piloto, actualizar o crear políticas de Conditional Access que contemplen dispositivos personales y compartidos, exigir inscripción de MFA cuando proceda, y documentar flujos de recuperación que no vuelvan a confiar exclusivamente en contraseñas. Es clave instrumentar monitorización de autenticaciones y alertas para detectar intentos anómalos durante y después del despliegue.

Igualmente importante es la formación a usuarios: explicar qué es un passkey, cómo se usa Windows Hello para autenticar y cuál es el procedimiento en caso de pérdida o robo del dispositivo. Desde la perspectiva de continuidad, conviene ofrecer alternativas autorizadas (por ejemplo, claves hardware administradas o Microsoft Authenticator) y pruebas de restauración para evitar bloqueos masivos.

La llegada de Entra passkeys en Windows es coherente con iniciativas más amplias del sector para abandonar las contraseñas: organismos y estándares como la FIDO Alliance promueven el uso de claves públicas y dispositivos seguros, y proveedores y guías técnicas explican los beneficios prácticos de los passkeys (por ejemplo, esta introducción técnica de Cloudflare: Passkeys — Cloudflare). Microsoft también ha enmarcado acciones similares dentro de su Secure Future Initiative, que busca impulsar medidas como MFA obligatoria en ciertos escenarios y la transición a cuentas sin contraseña.

En conclusión, la extensión de passkeys a dispositivos Windows no administrados cierra una brecha operativa importante y reduce la superficie de ataque ligada a contraseñas, pero no es una panacea. La adopción segura exige planificación, controles de acceso basados en riesgo, preparación de los procesos de recuperación y vigilancia continua. Las organizaciones que aborden estos puntos podrán mejorar significativamente su postura de identidad mientras migran de manera controlada hacia un modelo passwordless resistente al phishing.