Reutilizar contraseñas o depender de códigos de autenticación enviados por SMS puede parecer lo suficientemente seguro, pero estos métodos siguen teniendo debilidades. Incluso las formas comunes de autenticación de doble factor pueden ser vulnerables a ataques de phishing.
Una forma de abordar este problema es mediante una llave de seguridad física como YubiKey. Las llaves de seguridad de hardware son ampliamente utilizadas por particulares y organizaciones que desean una protección más sólida contra el phishing y el robo de cuentas.
Pero si solo has oído el nombre de YubiKey antes, es posible que no te resulte evidente de inmediato qué hace, en qué se diferencia de una aplicación de autenticación o qué modelo debes elegir.
En esta guía, explicaremos cómo funciona YubiKey, los diferentes tipos disponibles, cómo configurarla, sus ventajas y desventajas, y lo que debes preparar antes de depender de ella para cuentas importantes.
¿Qué es una YubiKey?
YubiKey es una llave de seguridad de hardware fabricada por Yubico, una empresa de seguridad fundada en Estocolmo, Suecia.
Dependiendo del modelo y del dispositivo, puedes autenticarte insertando la llave en un puerto USB y tocando su área de contacto, o bien acercándola a un smartphone compatible con NFC.
Algunas de las características principales de YubiKey incluyen:
- No requiere batería.
- No requiere conexión de red.
- Muchos usos comunes no necesitan controladores dedicados.
- Se puede usar una sola llave con múltiples servicios y dispositivos.
- Hay modelos disponibles para USB-A, USB-C, Lightning y NFC.
- Funciona en varias plataformas, incluyendo Windows, macOS, Linux, iOS y Android.
Una YubiKey es esencialmente algo que posees físicamente y que puede utilizarse como parte del proceso de autenticación.
¿Por qué usar una llave de seguridad de hardware?
Las contraseñas por sí solas no bastan
Las contraseñas se pueden adivinar, robar mediante phishing, exponer en filtraciones de datos o reutilizar en múltiples servicios.
Si se utiliza la misma contraseña en varios sitios web, una brecha en un servicio puede poner potencialmente en riesgo otras cuentas.
Esta es una de las razones por las cuales la autenticación de doble factor (2FA) se ha vuelto cada vez más común.
La autenticación de doble factor tradicional sigue teniendo debilidades
La autenticación de doble factor añade un paso de verificación adicional además de la contraseña. Sin embargo, no todos los métodos de autenticación ofrecen el mismo nivel de protección.
| Método de autenticación | Ventaja | Debilidad potencial |
|---|---|---|
| Código por SMS o correo electrónico | Fácil de configurar | Puede ser vulnerable a la clonación de SIM (SIM swapping), interceptación o phishing |
| Aplicación de autenticación (TOTP) | Más segura que los SMS | Los códigos aún se pueden introducir en un sitio web de phishing |
| Notificación push | Conveniente | Puede ser vulnerable a solicitudes de aprobación repetidas o ataques de fatiga de MFA |
| Llave de seguridad de hardware como YubiKey | Utiliza un dispositivo físico | Requiere planificación en caso de pérdida o reemplazo |
Con los códigos por SMS y las contraseñas de un solo uso, un atacante puede crear una página de inicio de sesión falsa que sea casi idéntica al sitio web real.
Si una víctima introduce tanto su contraseña como su código de verificación en esa página, es posible que el atacante reenvíe esas credenciales al servicio legítimo e inicie sesión.
YubiKey está diseñada para resistir el phishing
Una de las mayores ventajas de YubiKey es su compatibilidad con estándares como FIDO2 y WebAuthn.
Con la autenticación basada en WebAuthn, las credenciales están vinculadas al sitio web o servicio legítimo. Un dominio falso no puede simplemente solicitar la misma autenticación y reutilizarla en otro lugar.
Como resultado, incluso si visitas por accidente una página de phishing convincente, la llave de seguridad está diseñada para no autenticarla como si fuera el servicio legítimo.
Esto hace que las llaves de seguridad de hardware sean especialmente útiles para proteger cuentas de alto valor.
¿Cómo funciona una YubiKey?
Criptografía de clave pública
Para la autenticación basada en FIDO, YubiKey utiliza criptografía de clave pública.
Cuando registras una llave de seguridad en un servicio:
- La llave crea un par de claves criptográficas.
- La clave pública se registra en el servicio.
- La clave privada correspondiente permanece en la llave de seguridad.
Cuando inicias sesión más tarde:
- El servicio envía un desafío criptográfico.
- La YubiKey firma ese desafío utilizando la clave privada.
- El servicio verifica la firma utilizando la clave pública previamente registrada.
La clave privada no necesita ser enviada a través de internet.
Los diferentes servicios también pueden utilizar credenciales separadas, lo que reduce el riesgo de que un servicio comprometido afecte a otro.
YubiKey es compatible con múltiples protocolos de autenticación
Una de las razones por las que la serie YubiKey 5 es popular es que admite tecnologías de autenticación tanto modernas como heredadas.
Dependiendo del modelo, los protocolos compatibles pueden incluir:
- FIDO2 / WebAuthn: Autenticación moderna utilizada para inicios de sesión sin contraseña y passkeys.
- FIDO U2F: Un estándar FIDO anterior diseñado principalmente para la autenticación de doble factor.
- OTP: Contraseñas de un solo uso que se pueden introducir como entrada de teclado.
- Tarjeta inteligente PIV: Autenticación basada en certificados utilizada a menudo en entornos empresariales.
- OpenPGP: Se utiliza para la firma y el cifrado criptográficos.
- OATH TOTP/HOTP: Permite almacenar credenciales para códigos de autenticación en la llave y utilizarlas con Yubico Authenticator.
Esto hace que algunos modelos de YubiKey sean útiles no solo para cuentas web modernas, sino también para sistemas empresariales y entornos de autenticación más antiguos.
¿Qué pasa si alguien te roba la YubiKey?
Una preocupación común es si alguien podría simplemente tomar una YubiKey perdida y acceder de inmediato a tus cuentas.
En la mayoría de las configuraciones, la llave por sí sola no es suficiente.
Por ejemplo:
- En la autenticación de doble factor tradicional, el atacante aún necesitaría tu nombre de usuario y contraseña.
- La autenticación sin contraseña puede requerir el PIN de la YubiKey.
- Los modelos YubiKey Bio pueden usar verificación por huella dactilar.
- Los intentos repetidos de introducir un PIN incorrecto pueden bloquear la función de autenticación correspondiente.
- La llave física en sí no indica a qué cuentas en línea pertenece.
Sin embargo, el nivel exacto de seguridad depende de cómo se haya configurado la llave.
Algunas funciones de YubiKey pueden operar sin un PIN. La funcionalidad de contraseña estática, por ejemplo, requiere un cuidado adicional.
Para cuentas importantes, utiliza la protección con PIN adecuada y mantén otro método de recuperación seguro.
Modelos y líneas de productos de YubiKey
Yubico ofrece varias familias de YubiKeys. Las principales diferencias incluyen los protocolos compatibles, el tipo de conector, la compatibilidad con NFC y la autenticación biométrica.
Serie YubiKey 5
La serie YubiKey 5 es la línea multipropósito de uso general.
Es compatible con tecnologías como FIDO2, U2F, OTP, PIV y OpenPGP.
| Modelo | Conector | NFC | Uso principal |
|---|---|---|---|
| YubiKey 5 NFC | USB-A | Sí | Modelo de uso general para ordenadores con USB-A y teléfonos con NFC |
| YubiKey 5C NFC | USB-C | Sí | Opción versátil para ordenadores y smartphones modernos |
| YubiKey 5Ci | USB-C / Lightning | No | Diseñada para dispositivos que usan USB-C o Lightning |
| YubiKey 5C | USB-C | No | Modelo básico USB-C |
| YubiKey 5 Nano | USB-A | No | Modelo compacto diseñado para permanecer conectado |
| YubiKey 5C Nano | USB-C | No | Modelo compacto USB-C diseñado para permanecer conectado |
La disponibilidad de productos y las especificaciones pueden cambiar, así que consulta la información actual de los productos de Yubico antes de realizar una compra.
Serie YubiKey Bio
La serie YubiKey Bio añade autenticación por huella dactilar.
Los datos de la huella dactilar se almacenan dentro de la llave de seguridad en lugar de enviarse a un ordenador o servicio en la nube.
La serie Bio es compatible con FIDO2/WebAuthn y FIDO U2F, y está diseñada principalmente para la autenticación moderna y el inicio de sesión sin contraseña.
Hay versiones disponibles con USB-A y USB-C.
Serie Security Key
La serie Security Key se centra en FIDO2 y U2F.
No ofrece toda la funcionalidad adicional que se encuentra en la serie YubiKey 5, como OTP, PIV y OpenPGP.
Sin embargo, si tu objetivo principal es proteger cuentas en línea populares con autenticación de doble factor basada en FIDO o passkeys, la serie Security Key puede ser suficiente.
Hay modelos disponibles con USB-A/NFC y USB-C/NFC.
Serie YubiKey 5 FIPS
La serie YubiKey 5 FIPS está diseñada para organizaciones con requisitos específicos de cumplimiento y seguridad gubernamental.
Estos modelos están dirigidos principalmente a agencias gubernamentales, industrias reguladas y entornos empresariales, más que al uso personal general.
¿Qué YubiKey debes elegir?
Una forma sencilla de elegir es empezar por tus dispositivos y luego considerar qué protocolos de autenticación necesitas realmente.
| Casos de uso | Opción recomendada |
|---|---|
| Uso general en ordenadores y smartphones | YubiKey 5C NFC o YubiKey 5 NFC |
| Autenticación basada exclusivamente en FIDO | Serie Security Key |
| Autenticación por huella dactilar | Serie YubiKey Bio |
| Mantener la llave conectada permanentemente a un portátil o sobremesa | YubiKey 5C Nano o YubiKey 5 Nano |
| Necesidad de conectividad directa Lightning | YubiKey 5Ci |
| Necesidad de PIV, OpenPGP, OTP o mayor compatibilidad empresarial | Serie YubiKey 5 |
Primero comprueba si tus dispositivos utilizan principalmente USB-A o USB-C.
Luego decide si necesitas NFC para la autenticación en smartphones.
Para muchos usuarios con hardware moderno, la YubiKey 5C NFC es una de las opciones más flexibles porque combina la conectividad USB-C con NFC.
¿Qué puedes hacer con una YubiKey?
Autenticación de doble factor
Uno de los usos más comunes es añadir YubiKey como un segundo factor de autenticación.
En lugar de introducir un código de SMS o de una aplicación de autenticación, insertas o acercas la llave y confirmas la solicitud de autenticación.
Autenticación sin contraseña
Los servicios compatibles con FIDO2 pueden permitir la autenticación sin necesidad de introducir una contraseña tradicional.
Dependiendo de la configuración, puedes autenticarte con:
- Un PIN y un toque físico.
- Una huella dactilar en una YubiKey Bio.
- Una credencial FIDO almacenada en la llave de seguridad.
Eliminar las contraseñas tradicionales puede reducir los riesgos asociados con la reutilización y la filtración de contraseñas.
Autenticación de ordenadores y entornos empresariales
YubiKey también se puede utilizar en entornos de autenticación empresarial, incluyendo el acceso a ordenadores, autenticación basada en certificados y sistemas de inicio de sesión único (SSO).
La funcionalidad exacta depende del sistema operativo, el protocolo de autenticación y la configuración de la organización.
Cifrado y firmas digitales
Los modelos compatibles con OpenPGP pueden almacenar claves criptográficas utilizadas para el cifrado y las firmas digitales.
YubiKey también se puede utilizar en ciertas configuraciones de autenticación SSH.
Servicios populares compatibles con YubiKey
YubiKey se puede utilizar con muchos servicios importantes, entre ellos:
- Google y Google Workspace
- Microsoft
- GitHub
- Dropbox
- Salesforce
- X
La compatibilidad varía según el servicio y el método de autenticación.
Yubico mantiene un catálogo llamado Works with YubiKey que se puede utilizar para comprobar la compatibilidad actual.
Ventajas de YubiKey
Gran resistencia al phishing
La autenticación FIDO2/WebAuthn está diseñada para evitar que las credenciales se utilicen en un dominio no autorizado.
Esto proporciona una protección mucho más sólida contra el phishing de credenciales que introducir códigos de autenticación manualmente.
Autenticación rápida
No es necesario abrir una aplicación, esperar un mensaje de texto o teclear manualmente un código de seis dígitos.
En muchos casos, la autenticación solo requiere insertar o acercar la llave y tocarla.
Sin batería ni carga
YubiKey no requiere carga, lo que la hace muy práctica como dispositivo de autenticación a largo plazo.
Diseño físico duradero
Las YubiKeys están diseñadas para el uso diario y se pueden llevar en un llavero.
Las claves privadas permanecen en el dispositivo
Para la autenticación de clave pública, las claves privadas se quedan en la llave de seguridad en lugar de transmitirse al servicio.
Funciona en múltiples dispositivos
La misma llave física se puede utilizar en múltiples ordenadores, teléfonos y servicios compatibles.
Esto puede ser especialmente útil si cambias de dispositivo con regularidad.
Desventajas y cosas a tener en cuenta
YubiKey no es la mejor solución para todas las situaciones.
Antes de adoptar una, considera las siguientes limitaciones.
Coste inicial
A diferencia de muchas aplicaciones de autenticación, las llaves de seguridad de hardware deben comprarse.
Lo ideal es que también tengas una segunda llave disponible como repuesto.
Pérdida física
Como YubiKey es un dispositivo físico, se puede perder.
Si una llave es tu único método de autenticación, perderla puede dificultar la recuperación de la cuenta.
Se recomienda encarecidamente tener una llave de repuesto y códigos de recuperación.
No todos los servicios admiten llaves de seguridad
La compatibilidad con FIDO2 y WebAuthn se ha expandido significativamente, pero la compatibilidad sigue variando según el sitio web, la aplicación y la organización.
Algunas cuentas pueden seguir requiriendo otros métodos de autenticación.
Cada servicio debe registrarse de forma individual
Por lo general, hay que añadir una nueva YubiKey de manera independiente a cada servicio que quieras proteger.
Tu llave principal y tu llave de repuesto no se sincronizan automáticamente.
Tienes que llevarla encima
Dependiendo de tu configuración, es posible que tengas que llevar la llave en un llavero o dejar un modelo Nano conectado a un ordenador.
Introducción accidental de OTP en modelos Nano
Si un modelo Nano permanece conectado a un ordenador, tocar el contacto por accidente puede activar la salida de OTP y escribir una cadena larga de caracteres en la aplicación activa.
Este comportamiento se puede ajustar en la configuración de OTP de la llave.
Antes de empezar: prepara una llave de repuesto y un método de recuperación
Una de las partes más importantes de usar una llave de seguridad de hardware es planificar en caso de pérdida o fallo.
Registra una llave de seguridad de repuesto
Yubico recomienda tener una llave de respaldo, al igual que guardar una llave de casa o del coche de repuesto.
Registra la segunda llave en cada servicio importante.
La YubiKey principal y la de respaldo no comparten registros automáticamente, por lo que normalmente cada llave debe registrarse por separado.
Guarda el repuesto en un lugar seguro
No lleves tu llave principal y tu llave de repuesto juntas.
Guarda la de repuesto en otro lugar seguro.
Guarda los códigos de recuperación
Muchos servicios generan códigos de recuperación de emergencia cuando se activa la autenticación de doble factor.
Guárdalos en un lugar seguro, preferiblemente separados de tus dispositivos principales.
Considera un método de autenticación adicional
Cuando proceda, también puedes conservar otra opción de recuperación, como una aplicación de autenticación.
La YubiKey de repuesto no tiene por qué ser exactamente el mismo modelo que tu llave principal. Solo necesita admitir el protocolo de autenticación requerido por los servicios que utilizas.
Cómo configurar una YubiKey
Los pasos exactos varían según el servicio, pero el proceso general es similar.
1. Conecta la llave
Inserta la YubiKey en el puerto USB de tu ordenador.
Para los smartphones compatibles y los modelos de YubiKey, también puedes utilizar NFC.
2. Configura un PIN cuando sea necesario
FIDO2 puede utilizar un PIN para la autenticación sin contraseña y otros escenarios de verificación de usuario.
YubiKey admite PINs separados para diferentes funciones, tales como:
- FIDO2
- PIV
- OpenPGP
Estas credenciales se gestionan de forma independiente.
El software de gestión de Yubico se puede utilizar para configurar las funciones compatibles.
Si utilizas PIV o OpenPGP, asegúrate de cambiar cualquier credencial predeterminada antes de confiar en ellas para aplicaciones sensibles.
3. Registra la llave de seguridad en un servicio
Por ejemplo, con una cuenta de Google, el proceso general es:
- Abre la configuración de seguridad de tu cuenta de Google.
- Abre la configuración de verificación en dos pasos o de passkeys/llaves de seguridad.
- Elige la opción para añadir una llave de seguridad o passkey.
- Inserta o acerca tu YubiKey cuando se te solicite.
- Toca la llave si se te pide.
- Dale a la llave un nombre reconocible.
La interfaz exacta puede cambiar con el tiempo.
4. Registra tu llave de repuesto
Repite el proceso de registro con tu YubiKey de repuesto.
Este también es un buen momento para guardar los códigos de recuperación que ofrezca el servicio.
Cómo evitar la introducción accidental de OTP en modelos Nano
Si un modelo Nano se queda conectado a tu ordenador y escribe con frecuencia una cadena larga de OTP tras toques accidentales, puedes ajustar las ranuras de OTP.
Utilizando el software de gestión de YubiKey:
- Abre la configuración de OTP.
- Localiza la ranura 1 (Slot 1) y la ranura 2 (Slot 2).
- Configura el comportamiento de OTP deseado para toques cortos y largos.
Por ejemplo, mover la salida de OTP a la ranura de toque largo puede reducir las activaciones accidentales.
Si ya utilizas ambas ranuras para otros fines, revisa tu configuración antes de hacer cambios.
¿Qué debes hacer si pierdes tu YubiKey?
Si pierdes tu llave, toma medidas lo antes posible.
- Inicia sesión utilizando tu llave de repuesto, tu código de recuperación u otro método de autenticación registrado.
- Abre la configuración de seguridad de cada cuenta importante.
- Elimina la llave de seguridad perdida.
- Registra una llave de reemplazo.
Si no tienes una llave de repuesto, un código de recuperación o un método de autenticación alternativo, es posible que tengas que utilizar el proceso de recuperación de cuentas del servicio.
La recuperación puede llevar tiempo y no siempre está garantizada una recuperación exitosa de la cuenta.
Por lo general, una YubiKey no contiene una lista visible de tus nombres de usuario y contraseñas, por lo que el simple hecho de encontrar la llave no le indica automáticamente a nadie qué cuentas protege.
Sin embargo, una llave perdida debe eliminarse de tus cuentas tan pronto como sea práctico.
Preguntas frecuentes
¿Puede cualquiera usar mi YubiKey si la encuentra?
Poseer la llave por sí sola normalmente no es suficiente para acceder a tus cuentas.
La autenticación de doble factor tradicional sigue requiriendo la contraseña de la cuenta, mientras que algunas configuraciones de FIDO2 requieren un PIN u otra verificación de usuario.
Sin embargo, la protección exacta depende de cómo se hayan configurado la llave y la cuenta.
¿Con cuántas cuentas se puede usar una YubiKey?
Para la autenticación de segundo factor tradicional al estilo FIDO/U2F, se puede registrar una YubiKey en muchos servicios.
Las credenciales detectables, a veces denominadas credenciales residentes o passkeys almacenadas directamente en el dispositivo, tienen una capacidad de almacenamiento finita.
La capacidad exacta depende del modelo de YubiKey y de su firmware.
¿El contacto metálico es un lector de huellas dactilares?
No en los modelos estándar YubiKey 5 o Security Key.
El contacto sensible al tacto detecta la interacción física, pero no escanea tu huella dactilar.
Si deseas autenticación biométrica, elige un modelo YubiKey Bio.
¿Sigo necesitando una YubiKey si ya uso passkeys en mi teléfono?
Para muchas personas, un passkey basado en un smartphone puede ofrecer suficiente seguridad y comodidad.
Una llave de seguridad física sigue siendo útil cuando quieres:
- Evitar depender exclusivamente de Apple, Google u otro ecosistema de sincronización en la nube.
- Autenticarte en entornos donde los smartphones están restringidos.
- Añadir una protección más sólida a cuentas especialmente importantes.
- Utilizar el mismo dispositivo de autenticación en múltiples ordenadores y plataformas.
- Mantener las credenciales de autenticación en un dispositivo físico dedicado.
YubiKey y los passkeys basados en smartphones no compiten necesariamente entre sí. También se pueden utilizar juntos como parte de una estrategia más amplia de recuperación y autenticación.
¿Qué debo comprobar si mi YubiKey no funciona?
Comprueba lo siguiente:
- Asegúrate de que el dispositivo esté bien conectado.
- Confirma que el sistema operativo reconoce el dispositivo USB.
- Verifica que la interfaz necesaria (como FIDO, OTP o CCID) esté habilitada.
- Asegúrate de que el servicio que estás utilizando admita tu método de autenticación elegido.
- Si usas NFC, confirma que tanto el teléfono como la YubiKey son compatibles.
- Al tocar la llave, asegúrate de que tu dedo contacte correctamente con el área sensible al tacto.
¿Dónde puedo comprar una YubiKey?
Las YubiKeys están disponibles a través de Yubico y distribuidores autorizados en muchas regiones.
La disponibilidad, los precios, la selección de productos, los impuestos y los envíos varían según el país, así que consulta el sitio web oficial de Yubico o a un distribuidor local autorizado para conocer las opciones de compra actuales.
Uso de YubiKey en empresas y organizaciones
YubiKey también se utiliza habitualmente en entornos empresariales y corporativos.
Los casos de uso potenciales incluyen:
- Empleados que no pueden utilizar smartphones proporcionados por la empresa.
- Contratistas y colaboradores externos.
- Centros de datos, fábricas y otros lugares donde los teléfonos pueden estar restringidos.
- Puestos de trabajo compartidos.
- Cuentas de administrador con privilegios.
- Sistemas de identidad empresarial y de inicio de sesión único (SSO).
Los despliegues a gran escala requieren una planificación adicional.
Las organizaciones deben tener en cuenta cuestiones tales como:
- Configuración inicial del PIN.
- Distribución de llaves.
- Procedimientos de reemplazo.
- Formación de los empleados.
- Políticas de recuperación.
- Coste inicial del hardware.
Yubico también ofrece opciones de suscripción y despliegue orientadas a empresas para organizaciones que gestionan llaves de seguridad a gran escala.
Conclusión
Aquí tienes los puntos principales que debes recordar:
- YubiKey es una llave de seguridad física diseñada para proporcionar una autenticación sólida y resistencia frente al phishing.
- La autenticación basada en FIDO utiliza criptografía de clave pública, y las claves privadas permanecen en la llave de seguridad.
- La serie YubiKey 5 admite múltiples tecnologías, incluyendo FIDO2, U2F, OTP, PIV y OpenPGP.
- Para un uso general, la YubiKey 5C NFC es una opción versátil para dispositivos USB-C, mientras que la YubiKey 5 NFC es adecuada para entornos USB-A.
- La serie Security Key es adecuada si necesitas principalmente autenticación basada en FIDO.
- La serie YubiKey Bio añade verificación por huella dactilar.
- Se recomienda encarecidamente contar con una llave de respaldo y un método de recuperación.
No necesitas proteger necesariamente todas tus cuentas con una YubiKey desde el primer día.
Un enfoque práctico es empezar por aquellas cuentas que causarían más daños si se vieran comprometidas, como tu cuenta de correo electrónico principal, el almacenamiento en la nube, el gestor de contraseñas, las cuentas de desarrollador, los sistemas financieros o empresariales y otros servicios que controlan el acceso a datos importantes.
