Una persona de administración recibe un mensaje que parece venir de un proveedor habitual. El enlace lleva a una página de acceso convincente. Una mañana de trabajo, una factura esperada y una petición verosímil pueden bastar para que alguien introduzca datos que normalmente cuestionaría. La formación importa, pero la atención individual no debería ser la única barrera de protección de una empresa.
Las passkeys ofrecen otra forma de plantear la seguridad del acceso. La conversación útil va más allá de eliminar contraseñas: consiste en introducir una autenticación más fuerte sin bloquear al equipo, crear recuperaciones débiles o perder el control de las cuentas cuando cambian los dispositivos y las personas.
Entiende qué protección estás incorporando
Microsoft describe las passkeys como credenciales basadas en criptografía de clave pública y vinculadas al servicio correspondiente. Esto ayuda frente al phishing que intenta recoger contraseñas o códigos reutilizables en páginas de acceso falsas. La documentación de Entra contempla opciones vinculadas al dispositivo y opciones sincronizadas; hay que revisar disponibilidad y políticas para el entorno elegido. Consulta la introducción oficial a passkeys.
Esta protección no vuelve inmune una cuenta. Un dispositivo comprometido, una sesión insegura o una recuperación mal controlada siguen pudiendo causar problemas. El despliegue debe contemplar el recorrido completo: qué ocurre después de acceder, cómo se investigan situaciones extrañas y quién puede intervenir.
CISA recomienda autenticación multifactor y avanzar hacia métodos resistentes al phishing. Utiliza esa orientación para mejorar el acceso, eligiendo una secuencia viable para tu empresa. Instalar una función solo ayuda si las personas y aplicaciones importantes la utilizan realmente. Consulta la guía de CISA para empresas.
Empieza por las cuentas que pueden cambiar el negocio
Prepara un inventario de accesos importantes: dominios, infraestructura cloud, correo, finanzas, código y herramientas de despliegue. Identifica quién utiliza cada cuenta y qué ocurriría si se perdiera o utilizara indebidamente. Incluye proveedores externos y personas que administran sistemas solo de forma ocasional.
Separa el trabajo cotidiano de la administración privilegiada cuando la plataforma lo permita. Quien responde correos no debería navegar habitualmente con la misma sesión que administra producción. Decide qué cuentas necesitan requisitos más fuertes de dispositivo o autenticación y cómo obtiene acceso la persona cuando necesita administrar.
Revisa también las cuentas compartidas. Un acceso genérico usado por varios empleados dificulta saber quién actuó y quién conserva permisos. Cuando existan cuentas individuales, utilízalas con el rol adecuado. Si un sistema antiguo impone restricciones, registra la excepción y su responsable en lugar de ignorar la limitación.
Prueba los dispositivos y lugares de trabajo reales
El piloto debe representar cómo trabaja la empresa. Incluye a alguien con portátil corporativo, a una persona que utiliza un puesto compartido y a un proveedor que solo entra en una aplicación. Comprueba navegadores, sistemas operativos y tipos de cuenta antes de anunciar un cambio general.
Verifica la tarea completa. Es posible que el empleado tenga que pasar de un portal a un escritorio remoto y después a una aplicación antigua. Una primera pantalla sencilla puede esconder un segundo acceso que continúa dependiendo de un método débil o no admitido.
Considera accesibilidad y uso cotidiano. Las personas tienen necesidades diferentes respecto a dispositivos, biometría o llaves físicas. Ofrece una alternativa aprobada que mantenga la protección prevista. Cuando un despliegue ignora las dificultades prácticas, aparecen atajos informales más difíciles de mantener y revisar.
Diseña la recuperación antes de retirar el método anterior
Ensaya un teléfono perdido, un portátil averiado y una persona que llega a las instalaciones de un cliente sin su dispositivo habitual. ¿Quién comprueba su identidad? ¿Qué acceso temporal se permite? ¿Cómo se retira la credencial anterior y qué registro demuestra que se ha completado la recuperación?
El equipo de soporte necesita un procedimiento utilizable y resistente a la suplantación. Una llamada urgente no debería anular automáticamente las protecciones recién implantadas. Acuerda qué evidencias y aprobaciones exige la recuperación de cuentas sensibles, especialmente administradores y personas que pueden modificar datos de pago.
Prepara la administración de emergencia por separado. La empresa necesita una forma adecuada de recuperar el control cuando su acceso habitual no funciona. Protégela, documéntala y pruébala en condiciones controladas. Su existencia no debería convertirla en una cuenta compartida cómoda para el trabajo diario.
Despliega primero con un grupo pequeño
Elige un grupo con distintos perfiles y pídeles que registren interrupciones. Observa accesos completados, problemas de alta, solicitudes de recuperación y tiempo de soporte. Compara con el procedimiento anterior para distinguir una mejora real de un simple traslado del trabajo a otra parte del equipo.
Prepara instrucciones breves utilizando las pantallas que verá el personal. Explica cómo reconocer una solicitud legítima y dónde pedir ayuda. Nadie debería buscar soluciones en foros mientras espera para entrar en una reunión porque una política nueva le ha sorprendido.
Amplía cuando estén comprobadas las aplicaciones principales y las recuperaciones más importantes. Conserva una lista de excepciones con fecha de revisión. Una excepción temporal sin responsable puede convertirse en la vía permanente de acceso precisamente para la cuenta que más protección necesitaba.
También conviene comprobar cómo se atiende una incidencia fuera del horario del equipo que hizo el despliegue. La persona que recibe el aviso debe encontrar la guía y saber hasta dónde puede actuar. Resolver todo mediante mensajes al desarrollador original indica que el proceso todavía no está preparado para funcionar con autonomía.
Relaciona los accesos con los cambios de personal
Cuando alguien entra, cambia de función o se marcha, revisa sus permisos junto con el método de autenticación. Un acceso más fuerte no justifica conservar autorizaciones que ya no necesita. Registra qué cuentas y autenticadores deben retirarse o transferirse según el procedimiento de la empresa.
Los proveedores necesitan el mismo cuidado. Asigna un responsable interno y acuerda cuándo termina su acceso. Define cómo revocarlo si cambia su contacto o finaliza el proyecto. Una cuenta externa no debería continuar indefinidamente solo porque nadie ha pedido expresamente su eliminación.
Vuelve a comprobar el acceso después de cambios importantes en las aplicaciones. Nuevos portales e integraciones pueden introducir requisitos diferentes. Incluye estas pruebas en las entregas para evitar que el equipo comercial descubra una incompatibilidad al comenzar su jornada.
Convierte la revisión en un plan realizable
En Worktechlabs podemos revisar la autenticación de tus aplicaciones de negocio, identificar limitaciones de integración y planificar cambios compatibles con los sistemas existentes. El punto de partida es un inventario de aplicaciones y cuentas, incidencias recientes y las personas responsables del soporte.
Relaciona la implementación con el mantenimiento de aplicaciones, incluyendo recuperación y traspaso al equipo. El resultado debería ser una gestión más clara: menos cuentas ambiguas, una respuesta conocida ante dispositivos perdidos y mayor protección de los servicios esenciales. Son mejoras concretas que la empresa puede comprobar y mantener después del despliegue inicial.
Fuentes revisadas el 7 de octubre de 2026. Confirma compatibilidad de dispositivos, disponibilidad de la plataforma y políticas aplicables antes del despliegue.
