FIDO2 vs contrasenya + MFA: per què les empreses haurien d'apostar per les Passkeys

Quant de temps fa que no canvies la teva manera d’iniciar sessió? Les contrasenyes ens acompanyen des dels primers sistemes informàtics i, tot i que durant dècades han estat el mètode estàndard d’autenticació, també representen un dels punts febles més grans de la seguretat digital.

Les empreses inverteixen en antivirus, tallafocs i còpies de seguretat, però un simple correu de phishing continua sent suficient per comprometre un compte si un usuari introdueix les seves credencials en una pàgina fraudulenta. Per reduir aquest risc es va popularitzar l’autenticació multifactor (MFA), que afegeix un segon element de verificació a més de la contrasenya. Tot i que suposa una millora important, no elimina del tot els atacs més sofisticats.

En els darrers anys ha sorgit una alternativa molt més segura: FIDO2 i les Passkeys, un sistema dissenyat per eliminar les contrasenyes tradicionals i reduir dràsticament el risc de robatori de credencials.

Què és FIDO2?

FIDO2 és un estàndard obert desenvolupat per la FIDO Alliance juntament amb el World Wide Web Consortium (W3C). El seu objectiu és substituir les contrasenyes per un sistema basat en criptografia de clau pública.

Quan un usuari registra una Passkey, el dispositiu genera automàticament dues claus: una clau privada, que roman emmagatzemada de manera segura al dispositiu i mai no es comparteix, i una clau pública, que es registra al servei (per exemple, Microsoft 365 o Google). Durant l’inici de sessió, el servidor envia un desafiament criptogràfic que únicament pot respondre el dispositiu que posseeix la clau privada. En cap moment no es transmet una contrasenya.

Què és una Passkey?

Una Passkey és una credencial basada en FIDO2 que permet iniciar sessió utilitzant l’empremta dactilar, el reconeixement facial o el PIN del dispositiu. Per a l’usuari, l’experiència resulta molt més senzilla que recordar contrasenyes complexes; per a l’empresa, suposa un salt important en seguretat.

Contrasenya, contrasenya + MFA i Passkeys, cara a cara

Tot i que el MFA continua sent recomanable quan no és possible utilitzar Passkeys, els tres models presenten diferències importants:

Les Passkeys eliminen alguns dels atacs més habituals relacionats amb les credencials.

Per què les Passkeys són resistents al phishing?

Un dels beneficis més grans de FIDO2 és que l’autenticació està vinculada al domini legítim del servei. Si un usuari visita una pàgina falsa que imita Microsoft 365, Google o qualsevol altra plataforma, la Passkey no respondrà perquè el domini no coincideix amb el registrat. Això significa que, fins i tot si l’usuari és enganyat per una pàgina molt convincent, l’atacant no podrà completar l’autenticació utilitzant una Passkey.

Això no obstant, convé recordar que cap sistema no elimina tots els riscos. Un dispositiu compromès o una enginyeria social avançada poden continuar representant amenaces, per la qual cosa les Passkeys han de formar part d’una estratègia de seguretat més àmplia.

On es poden utilitzar?

Cada vegada més plataformes incorporen suport per a Passkeys. Entre les que ofereixen suport ple destaquen Microsoft 365, Google Workspace, Apple, Amazon, GitHub, LinkedIn, eBay, Shopify i Adobe, i d’altres com PayPal les admeten de moment només a les seves aplicacions mòbils. El nombre de serveis compatibles continua creixent: el 2026 ja ho fa al voltant d’una quarta part dels mil llocs web més visitats.

Avantatges per a les empreses

Adoptar Passkeys no només millora la seguretat; també redueix costos operatius.

Menys incidències

Una part important de les consultes al servei tècnic està relacionada amb contrasenyes oblidades o bloquejades. Les Passkeys disminueixen considerablement aquest tipus d’incidències.

Més productivitat

L’inici de sessió és més ràpid. Els usuaris no necessiten recordar credencials complexes ni esperar codis enviats per SMS o aplicacions d’autenticació.

Millor experiència d’usuari

L’autenticació mitjançant empremta o reconeixement facial resulta més còmoda i redueix la fricció durant l’accés a les aplicacions.

Menys risc de compromís

Eliminar la contrasenya elimina també un dels principals objectius dels atacants.

Vol dir això que el MFA ha desaparegut?

No. Moltes aplicacions encara no suporten Passkeys. En aquests casos continua sent recomanable utilitzar MFA, preferiblement mitjançant aplicacions autenticadores o claus de seguretat físiques, evitant l’SMS sempre que sigui possible a causa de riscos com l’intercanvi fraudulent de la targeta SIM (SIM swapping).

La tendència actual consisteix a avançar cap a un model passwordless, mantenint MFA allà on encara sigui necessari.

Com començar a implantar Passkeys en una empresa?

Una estratègia progressiva sol oferir millors resultats:

1. Inventariar les aplicacions utilitzades per l’empresa.
2. Identificar quines ja suporten Passkeys.
3. Activar-les per a administradors i usuaris amb privilegis.
4. Formar els empleats sobre el nou mètode d’autenticació.
5. Mantenir MFA als serveis que encara no siguin compatibles.
6. Revisar periòdicament la política d’accés i identitat.

Bones pràctiques

• Utilitzar gestors d’identitat compatibles amb Passkeys.
• Mantenir actualitzat el sistema operatiu dels dispositius.
• Activar la protecció biomètrica sempre que sigui possible.
• Conservar mètodes de recuperació segurs per evitar bloquejos.
• Revisar regularment els comptes amb privilegis elevats.

Errors habituals

Pensar que les Passkeys són simplement una altra contrasenya

No ho són. Es basen en criptografia asimètrica i mai no transmeten un secret compartit al servidor.

Confiar únicament en l’SMS com a segon factor

Sempre que sigui possible, és preferible utilitzar aplicacions autenticadores, claus de seguretat compatibles amb FIDO2 o Passkeys.

No formar els usuaris

La tecnologia millora la seguretat, però els empleats han de comprendre com utilitzar-la correctament i com identificar intents d’enginyeria social.

Preguntes freqüents

Necessito comprar una clau física?

No necessàriament. Molts dispositius moderns permeten utilitzar Passkeys mitjançant el sensor d’empremtes, el reconeixement facial o el PIN del mateix equip. Les claus físiques FIDO2 continuen sent una excel·lent opció per a administradors i entorns d’alta seguretat.

Què passa si canvio de mòbil?

Els principals ecosistemes permeten sincronitzar Passkeys entre dispositius associats al mateix compte o registrar noves credencials. A més, és recomanable disposar de mètodes de recuperació prèviament configurats.

Les Passkeys substitueixen completament el MFA?

Als serveis compatibles poden substituir la combinació tradicional de contrasenya i segon factor. Tanmateix, moltes organitzacions conviuran durant un temps amb tots dos sistemes mentre totes les seves aplicacions adopten FIDO2.

Són compatibles amb Microsoft 365?

Sí. Microsoft ofereix suport per a autenticació mitjançant Passkeys i FIDO2 a Microsoft Entra ID (anteriorment Azure Active Directory), a més d’altres mètodes d’autenticació moderns.

Conclusió

Les contrasenyes han protegit els nostres comptes durant dècades, però també s’han convertit en un dels principals objectius dels ciberdelinqüents. Les Passkeys i l’estàndard FIDO2 representen un canvi de paradigma: eliminen la necessitat de compartir contrasenyes, redueixen el risc de phishing i simplifiquen l’experiència d’inici de sessió.

Per a moltes empreses la transició no serà immediata, però començar a implantar autenticació sense contrasenya als serveis compatibles és un pas important cap a una estratègia d’identitat més segura i preparada per al futur.

Lectures relacionades

• Com preparar la teva empresa davant d’un atac de ransomware
• L’estratègia de còpies de seguretat 3-2-1-1-0
• Microsoft 365: configuracions de seguretat que tota empresa hauria de revisar

La teva empresa està preparada per a una autenticació sense contrasenyes?

A TecnoSolucions ajudem a implantar solucions d’identitat modernes basades en Microsoft Entra ID, Microsoft 365 i estàndards com FIDO2. Analitzem la teva infraestructura, definim una estratègia de transició i reforcem la seguretat dels accessos sense complicar l’experiència dels usuaris. Sol·licita un assessorament i descobreix com reduir el risc de robatori de credencials a la teva organització.