¿Vale la pena una YubiKey? Las llaves de seguridad explicadas

Una YubiKey vale la pena si quieres inicio de sesión resistente al phishing en tus cuentas importantes y estás dispuesto a registrar una llave de respaldo. Para la mayoría de los usuarios personales, una llave solo FIDO basta para passkeys (llaves de acceso) y MFA con llave de seguridad. Elige una YubiKey 5 cuando también necesites códigos de autenticador, contraseñas de un solo uso (OTP), inicio de sesión con tarjeta inteligente u OpenPGP.

Empieza por listar tu correo principal, tu gestor de contraseñas, tus cuentas financieras, tus cuentas de trabajo y tus servicios en la nube. Luego confirma cuáles admiten llaves de seguridad FIDO2 o passkeys, revisa el conector y la compatibilidad con NFC que necesitan tus dispositivos, y consulta las reglas de recuperación del servicio antes de pagar.

¿Vale la pena una YubiKey para uso personal?

Una YubiKey tiene más sentido cuando perder el acceso a una cuenta causaría problemas reales, como tu correo principal, tu gestor de contraseñas, tu almacenamiento en la nube, tu cuenta financiera o una cuenta de administrador. Protege el paso de autenticación en los servicios que admiten FIDO2 o passkeys. No protege las cuentas que no ofrecen esos métodos.

FIDO2 y WebAuthn usan criptografía de clave pública. En términos sencillos, la llave demuestra que tiene la credencial registrada en el sitio auténtico. Una página de inicio de sesión falsa no puede usar esa credencial en su propio dominio, y por eso este tipo de inicio de sesión resiste el phishing.

El inconveniente es práctico. Necesitas llevar o guardar la llave, registrarla en cada servicio y prever su pérdida. Una sola llave también puede provocar un problema de bloqueo de acceso si es el único autenticador de una cuenta. Un passkey en el teléfono puede ofrecer una resistencia similar al phishing con menos hardware, sobre todo si ya usas un teléfono bien protegido y quieres que las credenciales se sincronicen entre dispositivos.

Para uso personal, la respuesta directa depende de tu caso: cómprala si quieres un autenticador físico separado para tus cuentas importantes y vas a registrar una llave de respaldo. Si importan más la comodidad y la disponibilidad de tus dispositivos, los passkeys en el teléfono pueden encajar mejor.

¿Cómo protegen las llaves de seguridad y los passkeys las cuentas?

Una llave de seguridad crea una credencial para un sitio web o una app específicos. Durante el inicio de sesión, el servicio envía un desafío y la llave lo firma solo para el sitio registrado. La parte privada de la credencial permanece en la llave, mientras que el servicio guarda la parte pública.

Los passkeys usan el mismo modelo general de FIDO. La credencial puede guardarse en un teléfono, una computadora, un gestor de contraseñas o una llave de seguridad física. Normalmente, un passkey se aprueba con el PIN, el patrón, la huella digital o el escaneo facial del dispositivo. El dispositivo desbloquea la credencial localmente y después completa el inicio de sesión.

Esto cambia la decisión, porque una contraseña o un código del autenticador puede copiarse en un sitio falso muy convincente. Una credencial FIDO está ligada a la identidad real del sitio web, así que no se autentica en el dominio equivocado. CISA describe FIDO y WebAuthn como autenticación resistente al phishing, mientras que EFF dice que el inicio de sesión con llave de seguridad y con passkeys te protege frente a sitios de inicio de sesión falsos.

La protección tiene límites. Una llave no elimina el malware de una computadora que ya está comprometida, no protege una sesión activa ya iniciada, no detiene la ingeniería social ni impide que un servicio apruebe la recuperación de la cuenta por otro método. Tampoco reemplaza las actualizaciones de software, los bloqueos del dispositivo, un gestor de contraseñas ni los códigos de recuperación.

Una llave física mantiene la credencial separada de tu teléfono y de tu computadora. Un passkey sincronizado es más fácil de usar en varios dispositivos, pero su seguridad depende del dispositivo y de la cuenta del proveedor de sincronización. Elige la configuración que se ajuste a las cuentas que necesitas proteger y a los dispositivos que realmente tienes a mano.

¿Qué modelo de YubiKey se ajusta a tus dispositivos y cuentas?

La Security Key Series es la opción más directa si solo necesitas FIDO2, WebAuthn y FIDO U2F. Sirve para passkeys y para MFA con llave de seguridad, y cuesta menos que las líneas multiprotocolo. La serie viene en versiones USB-A y USB-C, con opciones NFC.

La YubiKey 5 Series admite FIDO2/WebAuthn y FIDO U2F, además de Yubico OTP, OATH-TOTP, OATH-HOTP, funciones de tarjeta inteligente PIV y OpenPGP. Elígela cuando una cuenta, un sistema de trabajo o un flujo técnico requiera alguno de esos protocolos adicionales. Sus funciones extra no hacen más fuerte el inicio de sesión FIDO, pero pueden evitarte comprar otro dispositivo para una tarea distinta.

Los modelos YubiKey Bio añaden autenticación por huella digital al inicio de sesión FIDO. Encajan con quienes prefieren una aprobación biométrica local y cuyos servicios admiten el flujo FIDO requerido. La línea Bio no es automáticamente la mejor opción para todas las cuentas, porque sus funciones compatibles son distintas de las de la YubiKey 5 Series.

El conector importa tanto como el protocolo. USB-A funciona con computadoras más antiguas, USB-C encaja en laptops y teléfonos más recientes, los modelos Lightning encajan con dispositivos Apple compatibles, y NFC permite que un teléfono compatible lea la llave sin insertarla. Los modelos Nano están pensados para uso semipermanente en la computadora, mientras que una llave estándar es más fácil de cambiar entre dispositivos.

Confirma el modelo exacto, la certificación FIDO, el conector, la compatibilidad con NFC y el precio actual en la página de producto del fabricante antes de comprar. Una llave solo FIDO no puede ofrecer Yubico OTP, OATH, PIV ni OpenPGP.

¿Cuánto cuesta una YubiKey y se renueva?

Una YubiKey personal es una compra única de hardware, no una suscripción. Los siguientes precios iniciales corresponden a la región de EE. UU. y se mostraban el 29 de octubre de 2026. La cifra mensual efectiva no aplica, porque no hay periodo de facturación, cargo mensual ni precio de renovación.

El monto final depende del modelo, la región, los impuestos, el envío y la moneda de facturación. Revisa el total de la compra y las condiciones de devolución aplicables antes de hacer el pedido. Yubico indica que las compras de consumidor elegibles hechas directamente en Yubico.com pueden devolverse dentro de los 45 días siguientes a la recepción. Las compras hechas con otro minorista se rigen por la política de ese minorista.

El paquete de OpenAI con Yubico incluye una YubiKey C Nano y una YubiKey C NFC. OpenAI indica que el paquete está configurado sin compatibilidad con OTP. Su precio, elegibilidad, impuestos, envío, inventario y condiciones de compra se muestran a los usuarios elegibles durante el proceso de pago, así que confirma esos datos antes de comprar.

¿Qué servicios y bancos admiten llaves de seguridad?

El soporte depende de la cuenta, el dispositivo, el navegador y la acción de inicio de sesión. Las cuentas de Google admiten llaves de seguridad y passkeys, y el Advanced Protection Program de Google tiene sus propias reglas de inscripción. Apple permite hasta seis llaves de seguridad para una Apple Account (ID de Apple) y exige al menos dos durante la configuración.

Las cuentas de trabajo o de escuela de Microsoft pueden admitir llaves FIDO2 cuando la organización activa la función. El flujo documentado por Microsoft permite hasta 10 llaves registradas y exige otro método de verificación antes de registrar una llave de trabajo o de escuela. Es posible que un administrador deba activar primero la función.

Las cuentas de OpenAI pueden admitir llaves de seguridad o passkeys cuando la cuenta tiene esas opciones. Bank of America documenta la compatibilidad con llaves de seguridad USB y permite hasta dos llaves por cuenta. Su compatibilidad puede variar entre el inicio de sesión web, las transferencias, las apps móviles y la recuperación.

Muchos otros servicios aceptan llaves de seguridad FIDO2, como Nextcloud, el inicio de sesión sin contraseña de Microsoft en Windows, las llaves SSH y Microsoft Entra ID.

Antes de comprar una llave para banca en línea, abre la configuración de seguridad del propio banco o comunícate con su soporte. Confirma si la llave funciona para iniciar sesión, hacer transferencias y recuperar la cuenta, y si la cuenta permite más de una llave. Sigue las condiciones oficiales y las instrucciones de recuperación del servicio, porque una llave puede funcionar para el inicio de sesión web pero no para todas las operaciones ni para todos los flujos móviles.

¿Cuántas llaves debes comprar y qué pasa si pierdes una?

En una cuenta importante, registra una llave principal y una llave de respaldo. El respaldo solo sirve después de que el servicio lo registre, así que añade ambas durante la configuración en lugar de guardar la segunda llave sin sacarla de su empaque. Guarda el respaldo en un lugar separado, pero accesible.

Guarda también los códigos de recuperación de la cuenta. Los códigos de recuperación no reemplazan a una llave de respaldo, pero pueden ayudarte a recuperar el acceso si pierdes la llave principal y el servicio los acepta. Prueba el inicio de sesión con el respaldo antes de confiar en la configuración.

Si pierdes la llave principal y el respaldo sigue funcionando, inicia sesión con el respaldo, quita la llave perdida de la cuenta y registra una de reemplazo. Si la llave perdida era el único autenticador registrado, usa los códigos de recuperación u otro método de recuperación aprobado. Luego elimina la llave extraviada y añade una nueva.

Una llave robada debe tratarse como una llave perdida. Un ladrón normalmente también necesita saber a qué cuenta pertenece la llave, y un PIN configurado añade otra barrera, pero aun así la llave debe revocarse de las cuentas importantes. Sigue el procedimiento de recuperación de cada servicio en lugar de intentar saltarte sus controles.

Apple requiere al menos dos llaves de seguridad para su función Apple Account y permite hasta seis. Google recomienda una llave principal y al menos una de respaldo. Microsoft exige un método de verificación adicional en su proceso documentado de registro para cuentas de trabajo o de escuela. Estas reglas son la razón por la que la planificación de la recuperación forma parte de la decisión de compra.

¿Cuáles son las desventajas, las alternativas y el veredicto práctico de la YubiKey?

La principal desventaja es la responsabilidad. Debes llevar o guardar un dispositivo pequeño, elegir un conector compatible, registrarlo en cada cuenta y mantener un plan de recuperación. Un conector incorrecto puede requerir un adaptador, y algunos servicios podrían admitir llaves solo en ciertas páginas de inicio de sesión, tipos de cuenta, navegadores o dispositivos.

También hay alternativas. Google Titan admite los estándares FIDO en versiones USB-A/NFC y USB-C/NFC. Nitrokey documenta la compatibilidad con FIDO2 en varios modelos Nitrokey 3. Otras llaves certificadas por FIDO, de proveedores como Feitian, Token2 y otros, pueden servir para el mismo caso de uso básico.

Los passkeys en el teléfono suelen ser la mejor opción cuando importan más la comodidad, la sincronización y el acceso desde muchos dispositivos. Google indica que los passkeys pueden guardarse en Google Password Manager y desbloquearse con un dato biométrico del dispositivo, un PIN o un patrón. Una llave física encaja mejor cuando quieres que la credencial esté separada del teléfono o de la computadora, o cuando quieres un respaldo dedicado que no dependa de la sincronización de la cuenta.

Las apps de autenticación siguen siendo útiles donde FIDO no está disponible. Google Authenticator es gratuita y ampliamente compatible, pero un código del autenticador todavía puede introducirse en una página de inicio de sesión falsa muy convincente. Los códigos por SMS tienen límites similares frente al phishing y a la interceptación. Una configuración práctica puede usar una llave de seguridad para los servicios importantes y una app de autenticación para las cuentas que no admiten FIDO.

Compra una llave solo FIDO si quieres un inicio de sesión resistente al phishing y passkeys al precio inicial más bajo. Compra una YubiKey 5 si necesitas sus protocolos adicionales. Elige passkeys en el teléfono si la comodidad importa más que tener hardware separado. En todos los casos, registra un respaldo, guarda los códigos de recuperación y confirma que los servicios admiten las acciones de cuenta que te importan.

Para contraseñas, códigos de recuperación y cuentas sin FIDO, usa un gestor de contraseñas. La guía Mejor gestor de contraseñas: Bitwarden, 1Password, Proton Pass y más es el siguiente paso útil, seguida de Bitwarden vs 1Password: precio, seguridad y cuál elegir si esos son los dos servicios que estás considerando.

Preguntas frecuentes

¿Cuáles son las desventajas de una YubiKey?

La llave cuesta dinero, debe estar disponible al iniciar sesión y puede causar problemas de bloqueo si es el único autenticador registrado. El soporte también varía según el servicio, el conector, el tipo de cuenta y el flujo de inicio de sesión.

¿Vale la pena una YubiKey para uso personal?

Sí, si quieres un autenticador separado y resistente al phishing para cuentas de alto valor, y vas a registrar un respaldo. Un passkey en el teléfono puede encajar mejor cuando importan más la comodidad y la sincronización que llevar hardware.

¿Se puede hackear una YubiKey?

Las credenciales FIDO están diseñadas para resistir el phishing remoto, los ataques de repetición de credenciales y los ataques con sitios de inicio de sesión falsos. Una YubiKey no protege de malware a un dispositivo que ya tiene una sesión iniciada, no detiene la ingeniería social ni reemplaza la planificación de recuperación de la cuenta.

¿Hay algo mejor que una YubiKey?

No existe una opción universalmente mejor. Una Google Titan, una Nitrokey, una Feitian, una Token2 u otra llave certificada por FIDO puede servir para el mismo caso de uso básico, mientras que un passkey en el teléfono puede ser más fácil de usar en varios dispositivos.

¿Cuánto dura una YubiKey?

Yubico indica que sus llaves están diseñadas para al menos 10,000 inserciones USB o Lightning y 500,000 ciclos de escritura y borrado. Yubico indica que el MTBF (tiempo medio entre fallos) de la YubiKey 5 Series es superior a 100 años en entornos de uso común, pero esas son especificaciones del fabricante, no una garantía para cada llave.

¿Qué bancos aceptan la YubiKey?

Bank of America documenta la compatibilidad con llaves de seguridad USB y permite hasta dos llaves por cuenta. El soporte de cada banco depende de la cuenta y de la función, así que confírmalo directamente en la configuración de seguridad o en el centro de ayuda del banco antes de comprar.

¿Son las YubiKeys más seguras que los passkeys?

Ambas usan autenticación FIDO resistente al phishing. Una llave de hardware permanece separada del teléfono o de la computadora, mientras que un passkey sincronizado suele ser más fácil de usar en varios dispositivos y depende de la seguridad y la recuperación de su proveedor de sincronización.

¿Qué es mejor, Google Authenticator o una YubiKey?

Una YubiKey ofrece más resistencia frente a sitios de inicio de sesión falsos que los códigos del autenticador. Google Authenticator es gratuita y útil para servicios sin FIDO, así que muchas personas pueden usar una llave de seguridad donde se admita y una app de autenticación en el resto de los casos.

¿Qué pasa si te roban la YubiKey?

Quita la llave robada de tus cuentas importantes lo antes posible y registra una de reemplazo. Si queda disponible otra llave o un método de recuperación, úsalo para iniciar sesión; si no, sigue el procedimiento oficial de recuperación del servicio.

¿Cómo uso una YubiKey si estoy empezando?

Elige una llave FIDO2 con un conector o modo NFC que coincida con tus dispositivos. Añádela en la configuración de seguridad de tu correo principal y de tu gestor de contraseñas, registra una segunda llave, guarda los códigos de recuperación y prueba el respaldo antes de depender de la configuración.

Glosario

Encuentra más guías de VPN en Tunnel Verdict. ¿Tienes una pregunta sobre tu configuración? Escríbenos e incluye tu dispositivo y la VPN que usas.