Qué es FIDO2 (y U2F)
FIDO2 es el estándar abierto que hace posible entrar en una web con una llave de seguridad, una passkey o tu huella, sin que viaje ninguna contraseña. No lo configuras tú: lo usas sin darte cuenta.
- Qué es
- Estándar sin contraseña
- Desde
- 2014 (U2F), 2018-2019 (FIDO2)
- Veredicto
- Sí
Qué es
FIDO2 es el conjunto de reglas técnicas que permite que una web compruebe quién eres usando criptografía en lugar de una contraseña. Tiene dos piezas: WebAuthn, la parte que habla el navegador, y CTAP2, la parte que habla tu llave de seguridad o tu móvil. Cuando usas una passkey o conectas una llave de seguridad, por debajo está funcionando FIDO2.
Su antecesor fue U2F («Universal 2nd Factor»): un protocolo más limitado, pensado solo como segundo factor junto a una contraseña, no para sustituirla. FIDO2 amplía esa idea para que la credencial pueda sustituir a la contraseña por completo, no solo acompañarla.
Cuándo se introdujo
U2F se creó en 2014, cuando Google y Yubico lanzaron el primer soporte conjunto en Gmail, Chrome y la llave de seguridad de Yubico. En abril de 2018, la FIDO Alliance y el W3C anunciaron el hito conjunto que dio forma a FIDO2, avanzando WebAuthn a la fase de Candidate Recommendation. WebAuthn se convirtió en Recomendación oficial del W3C el 4 de marzo de 2019.
Por qué se usa
Al ser un estándar abierto, una misma llave o una misma passkey funciona igual en Gmail, en GitHub o en tu banco, sin que cada uno tenga que inventar su propio sistema. Y como comprueba el dominio real de la web antes de responder, no se puede engañar con una copia falsa.
Hay otra ventaja menos visible: como no hay una contraseña que guardar en el servidor, una fuga de datos en la web no sirve para entrar en otras cuentas tuyas con la misma clave reutilizada. Es un problema que FIDO2 elimina de raíz, no que mitiga.
No es algo que tengas que revisar tú directamente: el riesgo no está en el estándar, sino en dónde guarda cada servicio la llave o la passkey que lo usa (en un solo dispositivo o en un llavero sincronizado). Eso ya depende de cada caso concreto.
¿Lo usamos?
Sí, sin tener que decidir nada. Lo usas en cuanto activas una passkey o conectas una llave de seguridad; no hay una casilla de «activar FIDO2».
Comprueba esto
- ¿El servicio que usas ofrece «llave de seguridad» o «passkey» entre sus opciones de entrada?
- ¿Sabes si esa opción concreta está sincronizada o atada a un solo dispositivo?
Fuentes oficiales: FIDO Alliance · W3C