La transición al passwordless: Passkeys en PYMEs españolas en 2026

El panorama de la ciberseguridad para las pequeñas y medianas empresas españolas ha cambiado drásticamente en este 2026. La sofisticación de los ataques de phishing e ingeniería social, ahora potenciados por herramientas de Inteligencia Artificial generativa capaces de clonar identidades y redactar correos fraudulentos hiperpersonalizados, ha dejado obsoleta la clásica barrera de la contraseña. Las credenciales tradicionales ya no son seguras, independientemente de su longitud o complejidad.

Según los últimos informes del sector y los datos consolidados del Instituto Nacional de Ciberseguridad (INCIBE), más del 82% de las brechas de seguridad sufridas por las PYMEs en el último año tuvieron su origen en credenciales robadas o débiles. Ante esta realidad, y con la plena aplicación de normativas europeas exigentes como la Directiva NIS2 —que afecta de forma directa o indirecta a miles de empresas de la cadena de suministro en España—, la transición hacia entornos passwordless (sin contraseñas) ha dejado de ser una tendencia tecnológica de futuro para convertirse en una necesidad operativa crítica para la supervivencia del negocio.

La solución tecnológica definitiva a este problema ya está aquí y es plenamente madura: las Passkeys (o llaves de paso). Basadas en los estándares abiertos FIDO2 y WebAuthn, y respaldadas por gigantes como Microsoft, Google y Apple, las Passkeys permiten a las PYMEs eliminar de raíz el riesgo del robo de credenciales corporativas.

¿Qué son las Passkeys y por qué son inmunes al phishing?

A diferencia de una contraseña tradicional, que es un fragmento de texto compartido que un usuario memoriza (y que puede ser interceptado, adivinado o filtrado en una brecha de datos), una Passkey se basa en la criptografía de clave pública.

Al registrar una Passkey, se genera un par de claves criptográficas únicas para ese servicio:

• La clave pública: Se almacena en el servidor de la aplicación (por ejemplo, su CRM o su ERP Dolibarr). No es secreta y no sirve para suplantar al usuario.
• La clave privada: Permanece guardada de forma segura en el chip de seguridad del dispositivo del empleado (su ordenador, móvil o una llave de seguridad física FIDO2 como YubiKey). Esta clave nunca se comparte con la red.

Para iniciar sesión, el empleado solo tiene que desbloquear su dispositivo utilizando su biometría habitual (huella dactilar con Touch ID / Windows Hello o reconocimiento facial con Face ID) o un código PIN local. El dispositivo firma digitalmente un desafío del servidor para demostrar la posesión de la clave privada.

Las tres grandes ventajas de seguridad frente al phishing

1. Vinculación al dominio (Domain Bound): Una Passkey solo funciona en el dominio web exacto para el que fue creada. Si un empleado es víctima de un engaño y accede a una web de phishing idéntica a su banca online o a su correo de Microsoft 365, el navegador web sabrá que no es el dominio legítimo y se negará a presentar la clave. El phishing se vuelve técnicamente imposible.
2. No hay datos que robar en los servidores: Incluso si los servidores de su proveedor de software sufren una intrusión, los atacantes solo encontrarán claves públicas, las cuales son inútiles sin el dispositivo físico del usuario.
3. Adiós al factor humano: Ya no dependemos de que el empleado recuerde cambiar la contraseña, no la reutilice en servicios personales o no la apunte en un post-it.

El impacto económico de eliminar las contraseñas en su PYME

Adoptar una estrategia passwordless no solo protege sus activos digitales; también optimiza la cuenta de resultados de su empresa. En la gestión diaria de cualquier PYME, el soporte técnico interno o externalizado consume valiosos recursos en tareas de bajo valor.

• Reducción del coste de soporte: Diversos estudios de consultoría tecnológica en 2026 estiman que hasta un 35% de los tickets de soporte de TI en las PYMEs están relacionados con el restablecimiento de contraseñas olvidadas o el desbloqueo de cuentas.
• Incremento de la productividad: El tiempo que los empleados pierden lidiando con gestores de contraseñas, cambios periódicos obligatorios y la introducción manual de credenciales se reduce a cero. El acceso es instantáneo y fluido.
• Continuidad de negocio: Evitar una sola infección por ransomware derivada de un acceso no autorizado ahorra costes directos de recuperación que, en el tejido empresarial español actual, superan de media los 75.000 € por incidente.

Hoja de ruta para implantar las Passkeys en su PYME en 2026

La transición a un entorno sin contraseñas debe realizarse de manera estructurada para garantizar la compatibilidad tecnológica y una adopción exitosa por parte del equipo humano. Desde nuestra experiencia de más de dos décadas en consultoría tecnológica en EXE Informática, recomendamos seguir estos cuatro pasos:

1. Auditoría de compatibilidad de la infraestructura

El primer paso es evaluar el ecosistema de aplicaciones que utiliza su negocio. A día de hoy, en 2026, la compatibilidad es masiva:

• Proveedores de Identidad (IdP): Si su empresa utiliza Microsoft Entra ID (antiguo Azure AD) o Google Workspace, la activación de Passkeys e inicio de sesión passwordless se puede configurar de forma centralizada a nivel de tenant de administración.
• Gestores de Contraseñas y ERPs: Soluciones de gestión de código abierto de referencia como Dolibarr y gestores corporativos ya soportan la autenticación WebAuthn/FIDO2 de forma nativa o mediante módulos especializados.

2. Definición de la política de dispositivos y backups

Dado que la clave privada reside en el hardware del usuario, es fundamental definir cómo accederán los empleados a los sistemas.

• Dispositivos corporativos modernos: Configurar Windows Hello corporativo o Apple Keychain de manera que la biometría integrada sea el método principal.
• Llaves de seguridad físicas (Tokens USB/NFC): Es altamente recomendable dotar al personal clave (administradores de sistemas, dirección, departamento financiero) de llaves FIDO2 físicas de respaldo.
• Protocolo de recuperación: Definir un canal seguro de soporte para dar de alta un nuevo dispositivo en caso de pérdida, robo o rotura del equipo habitual del empleado.

3. Fase piloto y despliegue progresivo

No intente migrar a toda la organización en un solo día. Seleccione un departamento técnico o de gestión para realizar un piloto durante dos semanas. Esto permitirá ajustar las directivas de seguridad, probar los escenarios de pérdida de dispositivos y asegurar que el procedimiento de soporte técnico es ágil. Una vez pulido el proceso, se puede escalar al resto de los departamentos.

4. Formación y concienciación del usuario

A pesar de que las Passkeys facilitan enormemente la vida del usuario final, el cambio puede generar dudas iniciales. Es necesario realizar breves sesiones informativas para explicar que los datos biométricos (como la huella o el rostro) nunca salen de su dispositivo personal ni son visibles para la empresa, garantizando así su total privacidad bajo el RGPD.

Recomendación del Consultor: El éxito de la transición al passwordless no reside en la complejidad de la tecnología, sino en la correcta orquestación de la identidad. Centralizar los accesos bajo un único Proveedor de Identidad (Single Sign-On) compatible con FIDO2 es el cimiento indispensable para que el despliegue de Passkeys sea rápido, seguro y transparente para la plantilla.

El momento de actuar es ahora

La eliminación de las contraseñas en el entorno corporativo ya no es un privilegio de las grandes corporaciones con presupuestos de seguridad ilimitados. En 2026, la tecnología Passkey está al alcance de cualquier PYME española que busque blindar sus operaciones, mejorar la experiencia de sus trabajadores y cumplir con las directrices de seguridad exigidas por clientes y reguladores.

En EXE Informática llevamos más de 20 años ayudando a las PYMEs a dar el salto tecnológico adecuado en cada momento. Si quiere dejar atrás la vulnerabilidad de las contraseñas y diseñar un plan personalizado de transición passwordless adaptado a sus sistemas actuales (incluyendo su infraestructura Microsoft, Google o su ERP Dolibarr), póngase en contacto con nuestro equipo de consultores de ciberseguridad. Analizaremos su infraestructura y le ayudaremos a implantar una protección robusta, moderna y sin fricciones.