MFA y passkeys: proteger las cuentas que controlan tu infraestructura

Una cuenta de administración permite cambiar mucho más que una contraseña: puede crear usuarios, desactivar controles o acceder a copias de seguridad. Proteger esas cuentas es una prioridad razonable para cualquier empresa que dependa de servicios digitales. En abril de 2025, la conversación sobre passkeys ofrece una oportunidad para revisar cómo se inicia sesión, pero también cómo se recupera el acceso y durante cuánto tiempo se conservan los privilegios.

Elegir el factor según el riesgo

La autenticación multifactor combina pruebas de distinta naturaleza. Añadir un código o una confirmación mejora muchos escenarios frente a una contraseña aislada, aunque existen diferencias importantes entre métodos. Un código introducido en una web fraudulenta puede ser retransmitido por un atacante. Por eso interesa evaluar opciones resistentes al phishing para las cuentas cuyo compromiso tendría un impacto más alto en la organización.

FIDO explica que las passkeys utilizan criptografía de clave pública y vinculan la autenticación al servicio legítimo. Esto dificulta que una página de suplantación obtenga una credencial reutilizable del mismo modo que roba una contraseña. No convierte el dispositivo ni la sesión en invulnerables. La seguridad del equipo, la gestión de recuperación y los permisos asignados siguen siendo partes necesarias del diseño.

Empezar por un grupo manejable

Selecciona administradores del directorio, correo corporativo, plataformas cloud y acceso remoto. Antes del despliegue, confirma la compatibilidad de navegadores, dispositivos y aplicaciones. Una prueba con unas pocas personas permite detectar bloqueos cotidianos, como trabajar desde un equipo compartido o acceder durante una intervención urgente. Documenta esos casos y decide cómo resolverlos antes de convertirlos en excepciones permanentes.

Separa la cuenta administrativa de la utilizada para correo y navegación diaria. El objetivo es reducir la exposición de la identidad más poderosa y facilitar la interpretación de sus acciones. Si alguien necesita elevar permisos para una tarea concreta, estudia activarlos durante un periodo limitado. La autenticación fuerte pierde parte de su utilidad cuando cualquier cuenta conserva privilegios excesivos durante meses.

Diseñar la recuperación antes del primer bloqueo

La pérdida de una llave o de un teléfono no puede llevar a desactivar todos los controles por una llamada apresurada. Define qué evidencias verificará soporte, quién puede autorizar un cambio y qué notificaciones recibirá el titular. El procedimiento debe funcionar también cuando la persona está fuera de la oficina y no tiene acceso a su correo habitual.

• Registra un método alternativo aprobado y custódialo conforme al nivel de riesgo de la cuenta.
• Verifica la identidad mediante un canal independiente antes de restablecer factores.
• Notifica altas y cambios de métodos para que el usuario pueda detectar modificaciones inesperadas.
• Prueba las cuentas de emergencia y genera una alerta cada vez que se utilicen.

Tratar las sesiones como credenciales

Una autenticación correcta inicia una sesión que también debe protegerse. Un equipo comprometido puede exponer tokens o permitir acciones en nombre del usuario. Revisa duración de sesiones, condiciones de acceso y mecanismos de revocación. No es necesario imponer el mismo comportamiento a todas las aplicaciones: una consola administrativa merece restricciones distintas a un portal con información pública o de bajo impacto.

Cuando exista sospecha de compromiso, cambiar la contraseña puede no cerrar todas las sesiones ni retirar autorizaciones concedidas previamente. La respuesta debe contemplar revocar tokens según las capacidades de la plataforma, revisar aplicaciones autorizadas y comprobar métodos de autenticación añadidos. Esta revisión requiere coordinación con operaciones para evitar bloqueos indiscriminados y conservar la información necesaria para investigar qué ocurrió.

No olvidar las identidades sin usuario

Una aplicación que sincroniza datos o realiza copias puede autenticarse con una clave de larga duración. No se resuelve ese acceso enviando una notificación al móvil de un administrador. Identifica cuentas de servicio, limita permisos y utiliza identidades de carga de trabajo o credenciales temporales cuando la plataforma lo permita. Cada identidad necesita un propietario que pueda explicar su finalidad y revisar su uso.

Saber cuándo la implantación está terminada

El porcentaje de usuarios inscritos es un indicador útil, pero no suficiente. Comprueba que las cuentas prioritarias no disponen de rutas alternativas débiles, que las excepciones tienen vencimiento y que soporte puede recuperar accesos sin improvisar. Incluye una prueba de baja: retirar una persona debe cerrar sus permisos y sesiones asociados. Una mejora sostenible combina tecnología, procedimientos comprensibles y una revisión periódica de lo que realmente sigue activo.