General
¿Quién admite llaves de acceso?
Dado que las llaves de acceso se basan en estándares FIDO, funcionan en Android y Chrome, junto con muchos otros ecosistemas y navegadores populares, como Microsoft Windows, Microsoft Edge, macOS, iOS y Safari.
Consulta Entornos compatibles para verificar el estado de compatibilidad en Chrome y Android.
¿Las llaves de acceso funcionan en dispositivos que no tienen configurado un método de bloqueo de pantalla?
Depende de la implementación del administrador de contraseñas, de si un proveedor de credenciales permite la creación o autenticación de una clave de acceso sin un desafío de factor de conocimiento del usuario. Los proveedores pueden solicitar a los usuarios que configuren un PIN o un bloqueo de pantalla biométrico antes de crear una llave de acceso.
¿Cómo se pueden usar las claves de acceso registradas en una plataforma (como Android) para acceder en otras plataformas (como la Web o iOS)?
Por ejemplo, una clave de acceso registrada en Android se puede usar para acceder en otras plataformas si conectas el teléfono Android con otro dispositivo. Para establecer una conexión entre los dos dispositivos que los usuarios necesitan para abrir el sitio al que están intentando acceder en un dispositivo que no tiene una clave de acceso registrada, escanear un código QR y, luego, confirmar el acceso en el dispositivo en el que crearon la clave de acceso (en este caso, en el dispositivo Android). La llave de acceso nunca sale del dispositivo Android, por lo que las apps suelen sugerir que se cree una nueva en el otro dispositivo para facilitar el acceso la próxima vez. Este flujo también funcionará de manera similar para otras plataformas.
¿Puedo mover claves de acceso sincronizadas de un proveedor de plataforma a otro?
Las claves de acceso se guardan en el proveedor de credenciales definido por la plataforma. Algunas plataformas, como Android, permiten que los usuarios elijan el proveedor que deseen (un sistema o un administrador de contraseñas de terceros) a partir de Android 14, el cual puede sincronizar claves de acceso en diferentes plataformas. En este momento, no se admite la transferencia de claves de acceso directamente de un proveedor de plataforma a otro.
¿Un usuario puede sincronizar sus claves de acceso en dispositivos Android que no son de Google?
Las claves de acceso solo se sincronizan dentro del ecosistema del dispositivo (es decir, de Android a Android con el Administrador de contraseñas de Google de forma predeterminada), pero no en todo el ecosistema.
Android abrirá la plataforma (a partir de Android 14) para permitir que los usuarios seleccionen qué proveedor de credenciales quieren usar (como un administrador de contraseñas de terceros). Eso permitirá casos de uso como la sincronización de claves de acceso entre diferentes ecosistemas (según la apertura de otras plataformas).
¿Qué deben hacer los desarrolladores con respecto a los dispositivos y las plataformas que no admiten claves de acceso?
Por el momento, se recomienda a los desarrolladores que mantengan las opciones de acceso existentes en su app a fin de que puedan seguir estando disponibles para dispositivos y plataformas que no admitan llaves de acceso.
¿Puede vencer una llave de acceso?
No. Esto depende de que el proveedor almacene las claves de acceso y el RP (parte de confianza), pero no existe una práctica común para hacer que venzan las claves de acceso.
¿Un RP puede especificar una cuenta para que el usuario acceda?
Las partes de confianza (apps de terceros) pueden propagar “allowCredentials” con una lista de ID de credenciales enviados desde el backend de la app, que indica qué claves de acceso se deben usar para autenticar al usuario.
Claves de acceso en Android y Chrome
¿Las apps para Android pueden usar claves de acceso creadas en Chrome para la autenticación?
Para las claves de acceso creadas en Chrome para Android:
Sí, las claves de acceso creadas en Chrome se guardan en el Administrador de contraseñas de Google y están disponibles en Android, y viceversa, cuando los usuarios acceden a la misma Cuenta de Google.
Para las claves de acceso creadas en Chrome en otras plataformas:
Si la clave de acceso se crea en Chrome en otras plataformas (Mac, iOS, y Windows), no. Consulta los entornos compatibles para obtener más información. Mientras tanto, los usuarios pueden usar el teléfono en el que crearon la llave de acceso para acceder.
¿Qué sucede con las credenciales creadas antes de la introducción de las claves de acceso? ¿Podemos seguir usándolos?
Sí. En Chrome y Android, están disponibles las credenciales vinculadas al dispositivo que se crearon antes de habilitar la sincronización, por lo que aún puedes usarlas para la autenticación.
¿Qué sucede si un usuario pierde su dispositivo?
Se crean copias de seguridad de las claves de acceso creadas en Android y se sincronizan con dispositivos Android que accedieron a la misma Cuenta de Google, de la misma manera que se crean copias de seguridad de las contraseñas en el administrador de contraseñas.
Eso significa que las llaves de acceso del usuario las llevan cuando reemplazan sus dispositivos. Para acceder a las apps en un teléfono nuevo, todo lo que el usuario debe hacer es verificarse con el bloqueo de pantalla del dispositivo existente.
¿El bloqueo biométrico y de PIN o patrón de bloqueo de pantalla son necesarios en el dispositivo para acceder con llaves de acceso o es suficiente?
Un método de bloqueo de pantalla es suficiente.
¿Está vinculada a un método de bloqueo de pantalla específico, como una huella dactilar, un PIN o un patrón?
Depende de la plataforma del dispositivo y la forma en que ejecutan la verificación del usuario. En el caso del Administrador de contraseñas de Google, las claves de acceso no están vinculadas a ningún método de autenticación específico y se pueden usar con cualquier factor de bloqueo de pantalla disponible (biométrico, PIN o patrón).
¿Un RP puede seguir creando credenciales vinculadas al dispositivo que no estén sincronizadas?
Por el momento, las credenciales no detectables creadas en Chrome para Android o en una app para Android que usa las APIs de Servicios de Play mantienen su comportamiento existente y, por lo tanto, siguen vinculados al dispositivo.
Cuando se usan claves de acceso, la extensión de clave pública del dispositivo que está en desarrollo es una segunda clave vinculada al dispositivo que no se sincronizará y que se puede usar para el análisis de riesgos. Sin embargo, aún no es compatible con ningún proveedor de credenciales.
¿Cómo funciona la sincronización de llaves de acceso con un dispositivo nuevo? ¿Los usuarios deben tener acceso al dispositivo en el que crearon una llave de acceso?
En Android:
Si se guardaron las claves de acceso en el Administrador de contraseñas de Google, todo lo que el usuario debe hacer es acceder al dispositivo nuevo con la misma Cuenta de Google y verificar su identidad con el bloqueo de pantalla del dispositivo anterior (PIN, patrón o contraseña). El dispositivo anterior no es necesario para que el usuario acceda a otros dispositivos.
Si las claves de acceso se guardaron en un proveedor de credenciales diferente, esto dependerá de los flujos de acceso de los dispositivos nuevos de ese proveedor. La mayoría de los proveedores de credenciales sincronizan las credenciales con la nube y ofrecen a los usuarios formas de acceder a ellas en dispositivos nuevos después de autenticarse.
Privacidad y seguridad
¿La información biométrica del usuario es segura?
Sí, los datos biométricos del usuario nunca salen del dispositivo ni se almacenan en un servidor central en el que podrían robarse en una violación.
¿Un usuario puede acceder al dispositivo de un amigo usando una llave de acceso en su teléfono?
Sí. Los usuarios pueden configurar un "vínculo único" entre su teléfono y el dispositivo de otra persona para que puedan acceder.
¿Las claves de acceso se almacenan en el Administrador de contraseñas de Google si se vulnera una Cuenta de Google de un usuario?
Sí, los secretos de la clave de acceso están encriptados de extremo a extremo. Una Cuenta de Google hackeada no expone las llaves de acceso, ya que los usuarios también deben desbloquear la pantalla de su dispositivo Android para desencriptar las llaves de acceso.
Temas relacionados
¿Cómo se comparan las claves de acceso con la federación de identidades?
La federación de identidades es excelente para registrarse en un servicio, ya que muestra la información básica del perfil del usuario, como el nombre, y la dirección de correo electrónico verificada, que ayudan a iniciar nuevas cuentas. Las claves de acceso son excelentes para optimizar la reautenticación de los usuarios.