Si haces una sola cosa en todo este sitio, haz esta. Todas las demás medidas aquí reducen el riesgo al margen; esta elimina toda una categoría de ataque, y es la categoría que realmente les ocurre a las personas que hacen este trabajo. Cuesta menos que un par de zapatos y lleva una tarde.
01Por qué un código puede ser robado y una clave no
Has visto el ataque aunque no haya funcionado contigo. Un correo o mensaje dice que hay un problema con tu cuenta. El enlace lleva a una página que es una copia idéntica al píxel del inicio de sesión real. Introduces tu contraseña. Pide tu código de autenticación. También lo introduces.
Entre bastidores, el servidor del atacante está iniciando sesión en el sitio real en ese mismo momento, retransmitiendo todo lo que escribes, en tiempo real. Tu código era genuino. Era válido durante treinta segundos. Simplemente lo escribiste en la ventana equivocada, y treinta segundos son suficientes.
Una aplicación genera un número a partir de un secreto compartido y un reloj. No tiene idea de qué sitio estás viendo, así que no puede distinguir una página de inicio de sesión real de una copia. El código no es la debilidad, el ojo humano lo es. Cualquier defensa que dependa de que detectes un dominio falso acabará fallando, porque las falsificaciones son muy buenas y estarás cansado.
Una llave de seguridad funciona de manera diferente. Cuando la registras con un sitio, almacena un secreto vinculado al dominio real de ese sitio. Al iniciar sesión, el sitio envía un desafío; la llave lo firma, pero solo después de verificar que el dominio que lo solicita coincida con el dominio con el que se registró. Un dominio similar lo solicita, y la llave simplemente no responde. No hay nada que retransmitir, nada que escribir y nada que puedas hacer mal.
Google trasladó a toda su plantilla — decenas de miles de personas, a llaves de seguridad y reportó cero tomas de control exitosas por phishing de cuentas de empleados después. Esa es la evidencia más sólida en seguridad del consumidor para cualquier medida individual, y es por eso que esta guía es la primera en lugar de la quinta.
02Qué hay en la llave
Una YubiKey 5 no es una sola cosa. Son varios dispositivos de seguridad independientes en la misma pieza de plástico, y la mayoría de las personas usa uno de ellos y nunca sabe que los demás están ahí. Aquí está todo, en términos sencillos.
| Función | ¿Usarla? | Para qué sirve |
|---|---|---|
| FIDO2 / WebAuthn | Sí, esta es la indicada | El estándar moderno. Inicio de sesión a prueba de phishing, y la base de las passkeys. Esto es lo que usarás en Google, Microsoft, GitHub, Cloudflare, Proton y la mayoría de las cosas que importan. |
| Passkeys (llaves residentes) | Sí | Lo mismo, pero la clave también almacena la identidad de la cuenta, así que puedes iniciar sesión sin escribir un nombre de usuario ni una contraseña. El almacenamiento es limitado — consulta la nota a continuación. |
| U2F | Automático | La versión antigua de la misma idea. Todavía la usan algunos sitios; la clave la maneja sin que tú elijas. |
| OATH-TOTP | Según el caso | Almacena tus códigos ordinarios de seis dígitos en la clave en lugar de en una aplicación de teléfono, y se leen a través de Yubico Authenticator. Útil para sitios que no admiten FIDO2. Sigue siendo un código y sigue siendo vulnerable al phishing, protege el secreto, no el inicio de sesión. |
| Desafío-respuesta (HMAC-SHA1) | Sí, con KeePassXC | Hace que tu base de datos de contraseñas requiera la clave física para abrirse. Cubierto en la guía de KeePassXC, este es el emparejamiento que hace que ambas herramientas sean sustancialmente más fuertes. |
| PIV / tarjeta inteligente | Avanzado | Contiene certificados. Se usa para claves SSH que no se pueden copiar del dispositivo, y para algunos sistemas corporativos y gubernamentales. |
| OpenPGP | Avanzado | Almacena claves GPG en el hardware, por lo que la firma y el descifrado ocurren en la clave y la clave privada nunca toca tu computadora. |
| Yubico OTP | Rara vez | Un esquema de contraseña de un solo uso heredado que precede a FIDO. Algunos servicios más antiguos lo usan. Déjalo en paz a menos que algo lo solicite. |
| Contraseña estática | No | Escribe una cadena fija cuando tocas la clave. Una función de conveniencia de otra era. No la uses para nada que importe. |
Las claves residentes, las que te permiten iniciar sesión sin nombre de usuario, ocupan espacios permanentes en el dispositivo, y hay un número fijo de ellas. El firmware más antiguo del YubiKey 5 almacena alrededor de 25; el firmware reciente almacena considerablemente más. Los registros ordinarios de segundo factor FIDO2 no están limitados de esta manera, así que puedes agregar una clave a cientos de sitios sin llenar nada. Si te quedas sin espacio, será por las passkeys, no por el 2FA.
03Cuál comprar
La decisión se trata principalmente del conector en el extremo y de si quieres las funciones adicionales. Haz coincidir el conector con tu teléfono y tu computadora, y si difieren, compra uno de cada uno en lugar de cargar un adaptador que vas a perder.
| Modelo | Ideal para | Notas |
|---|---|---|
| Serie Security Key (las azules) | La mayoría de las personas | Solo FIDO2 y U2F, que es la parte que necesitas. Aproximadamente la mitad del precio de un YubiKey 5. Si no vas a usar PGP, PIV ni el emparejamiento con KeePassXC, esta es la recomendación honesta. |
| YubiKey 5 NFC | Computadora con USB-A + cualquier teléfono | La llave con todas las funciones. Acércala a un teléfono para NFC, conéctala a una laptop para USB. La opción predeterminada si quieres todo lo de la tabla anterior. |
| YubiKey 5C NFC | Computadora con USB-C + cualquier teléfono | Idéntica, con conector USB-C. Lo más probable es que sea la correcta si tu laptop es reciente. |
| YubiKey 5Ci | iPhone con Lightning | Tiene tanto USB-C como Lightning. Solo es relevante para iPhones antiguos; los más nuevos son USB-C y de todos modos pueden usar NFC. |
| YubiKey 5 Nano | Dejar-en-la-laptop | Diminuto, se asienta al ras en el puerto de forma permanente. Es cómodo, pero elimina el beneficio de la separación física: si se llevan la laptop, se llevan la llave con ella. |
| Serie Bio | Espacios compartidos | Huella digital en lugar de un PIN. Realmente agradable; más caro; considera cuidadosamente si un dato biométrico es el desbloqueo adecuado donde vives, ya que en muchas jurisdicciones se te puede obligar a proporcionar una huella digital más fácilmente que un PIN. |
Una sola llave es un único punto de falla: piérdela y puedes quedar bloqueado de tus propias cuentas de forma permanente, lo cual es un desastre en sí mismo. Registra ambas llaves en cada cuenta, lleva una contigo y guarda la segunda en un lugar físicamente separado: un cajón en casa, una caja fuerte, alguien de confianza. La segunda llave es el plan de respaldo, y cuesta menos que la recuperación.
No una publicación de marketplace, no de segunda mano, no un regalo de alguien que no conoces bien. Una llave de seguridad es un dispositivo al que confiarás todo; la cadena de suministro es parte del producto. El firmware de Yubico deliberadamente no es actualizable, lo cual es bueno para la resistencia a la manipulación y significa que una llave comprometida nunca puede arreglarse, solo reemplazarse.
04Configurarlo, en el orden correcto
El orden importa. Empieza con la cuenta que puede restablecer todas las demás, y asegúrate de no bloquearte a ti mismo en el proceso.
-
Empieza con tu correo electrónico
Todas las demás cuentas que tienes se recuperan a través de él, lo que lo convierte en el verdadero objetivo. Ve a la configuración de seguridad de tu proveedor de correo electrónico y añade ambas llaves antes de tocar cualquier otra cosa. Si tu proveedor de correo electrónico no admite llaves de seguridad, eso es una razón para cambiar de proveedor, no una razón para omitir esto.
-
Registra ambas llaves al mismo tiempo
Hazlo de una sola vez, en cada cuenta. El modo de fallo con el que la gente tropieza es registrar una llave ahora y "añadir la de repuesto más tarde" — ese más tarde nunca llega, y entonces la primera llave pasa por una lavadora.
-
Guarda los códigos de recuperación correctamente
Cada sitio te da un conjunto de códigos de recuperación de un solo uso. Estos son un bypass completo de tu llave, así que merecen el mismo cuidado que la llave misma. Ponlos en tu gestor de contraseñas, o imprímelos y guárdalos en algún lugar físicamente seguro. No los fotografíes, y no los dejes en una carpeta de descargas.
-
Ahora revisa los métodos más débiles
Si los códigos por SMS siguen siendo un respaldo, un SIM swap puede eludir la llave. Una vez que ambas llaves funcionen, desactiva el SMS dondequiera que el servicio te lo permita. Conserva un código de autenticador solo donde lo necesites como vía de recuperación, protege su semilla y sus códigos de recuperación en tu gestor de contraseñas, y nunca elimines un método hasta que hayas probado las vías de acceso restantes.
-
Avanza por la lista
Después del correo electrónico: tu gestor de contraseñas si admite llaves, luego el almacenamiento en la nube, luego las cuentas sociales desde las que publicas, luego cualquier cosa con un método de pago asociado, luego el alojamiento de código. Todo lo que quede puede esperar a una noche tranquila.
-
Prueba la de repuesto antes de guardarla
Cierra sesión y vuelve a iniciarla usando específicamente la llave de respaldo. Un respaldo no probado es una suposición.
05De lo que no te protege
Una llave de seguridad es el control único más fuerte disponible para una persona común, y aun así es limitado. Derrota el phishing. No derrota esto.
- Páginas de phishing, por convincentes que sean, incluidos los ataques de retransmisión en tiempo real.
- Relleno de credenciales, tu contraseña de la filtración de otro sitio ahora es inútil por sí sola.
- Adivinación y pulverización de contraseñas.
- La mayoría de los ataques de intercambio de SIM, una vez que se elimina el SMS como método de respaldo.
- Malware que ya está en tu computadora. Si algo está vigilando tu sesión después de que inicias sesión, la clave ya hizo su trabajo y fue eludida.
- Robo de cookies de sesión. Un atacante que roba un token de sesión activo no necesita iniciar sesión en absoluto.
- La vía de recuperación. Si se puede convencer al personal de soporte para que restablezca tu cuenta, tu clave es irrelevante. Esta es ahora la forma más común en que caen las cuentas protegidas con clave.
- Incautación física de ti y la clave juntos.
- Cuentas que olvidaste proteger, que es hacia donde irán los atacantes a continuación.
Cierra la puerta principal por completo, y el atacante se pasa a las ventanas. Eso sigue siendo una mejora enorme, la puerta principal es donde estaba casi todo el tráfico, pero es una razón para seguir leyendo el resto de este sitio en lugar de detenerte aquí.
06Si no quieres un YubiKey
YubiKey es la opción predeterminada porque es la más ampliamente compatible y la más exhaustivamente auditada, no porque sea la única opción. No recibimos dinero de ninguno de estos.
Nitrokey
Alemán, con firmware y diseños de hardware de código abierto, la elección si "quiero poder inspeccionarlo" te importa más que la máxima compatibilidad. Cubierto como alternativa en la sección de llaves de seguridad de la guía.
nitrokey.com ↗Token2
Suizo, económico, enfocado en FIDO2. Una forma razonable de comprar dos llaves con un presupuesto ajustado sin recurrir a una marca desconocida.
token2.com ↗Tu teléfono como passkey
Los teléfonos modernos pueden actuar como autenticador FIDO2, lo que te brinda la misma resistencia al phishing gratis. Más débil en un aspecto específico: el teléfono es el dispositivo con más probabilidades de ser sustraído, desbloqueado o comprometido. Bueno como segundo factor, no como tu único factor.
07Preguntas que la gente realmente hace
¿Qué pasa si pierdo la llave?
Nada, si hiciste esto correctamente: usas la segunda llave y luego eliminas la perdida de cada cuenta y registras un reemplazo. Esto es precisamente por lo que la guía insiste en comprar dos. Si no lo hiciste, recurres a tus códigos de recuperación, y si tampoco los tienes, dependes del proceso de recuperación de cuenta del proveedor, que puede tardar semanas y a veces falla.
¿Puede alguien que roba mi llave entrar en mis cuentas?
Por sí sola, no. La llave es un segundo factor, todavía necesitan tu contraseña y, en la mayoría de las configuraciones, también necesitan el PIN de la llave, que bloquea el dispositivo tras un pequeño número de intentos fallidos. Una llave robada es un inconveniente para ti, no una brecha. Elimínala de tus cuentas de todos modos.
¿Tengo que llevarla a todas partes?
Solo cuando inicies sesión en un lugar nuevo. La mayoría de los sitios te permiten marcar un dispositivo como de confianza, así que en el día a día tocarás la llave rara vez — normalmente al configurar una máquina nueva o después de borrar tus cookies. Los modelos NFC funcionan acercándola a un teléfono, lo que elimina la mayor parte de la fricción que la gente imagina.
¿Una passkey es lo mismo?
Una passkey es la misma criptografía con la misma resistencia al phishing. La diferencia es dónde vive. Una passkey en tu teléfono o en una cuenta de navegador se sincroniza a través de la nube de una empresa, lo cual es cómodo y significa que la fortaleza de esa cuenta se convierte en la fortaleza de tu passkey. Una passkey en una llave de hardware no se puede sincronizar, copiar ni extraer. Para las cuentas que importan, ponla en hardware.
¿Qué cuentas deberían tener una primero?
El correo electrónico, siempre. Luego tu gestor de contraseñas, después cualquier cosa desde la que publiques, y luego cualquier cosa que contenga dinero. Si documentas o informas sobre este tema, la cuenta desde la que publicas vale más para un adversario que tu banco — perderla significa que alguien más hable en tu nombre, lo cual no se puede deshacer con un contracargo.
08Fuentes y lecturas adicionales
- Yubico — sitio oficial y comparación de modelos yubico.com
- FIDO Alliance, el estándar FIDO2 / WebAuthn fidoalliance.org
- Nitrokey — alternativa de hardware y firmware de código abierto nitrokey.com
- EFF Surveillance Self-Defense — seguridad de cuentas ssd.eff.org
- Privacy Guides — autenticación multifactor privacyguides.org
Última revisión: 25 de septiembre de 2026