Llaves de Seguridad NFC y FIDO2: Cómo Funciona Iniciar Sesión con un Toque

Qué es

Una llave de seguridad NFC es un pequeño dispositivo de hardware que inicia tu sesión cuando la tocas contra tu teléfono o laptop, en vez de escribir una contraseña. El toque en sí es solo el saludo inicial — la autenticación real corre sobre FIDO2, el estándar construido a partir de WebAuthn y CTAP2. NFC es una de las tres formas en que una llave FIDO2 puede comunicarse con tu dispositivo, junto a USB y Bluetooth. El modelo de seguridad no cambia según cuál elijas.

Esto no es un nicho pequeño. Para mayo de 2026, se habían desplegado alrededor de 5 mil millones de passkeys en todo el mundo, y NFC es la forma más rápida de usar una llave física en un teléfono sin puerto USB-C libre.

Cómo funciona realmente

Criptografía de clave pública, no una contraseña por el aire

Cuando registras una llave con un sitio, esta genera un par de claves y entrega solo la mitad pública. A partir de ahí, iniciar sesión significa que el sitio envía un reto y la llave lo firma con la clave privada — un valor que nunca sale del hardware. Nada parecido a una contraseña cruza el enlace NFC. Y como la clave privada vive en un dispositivo separado, el malware de tu computadora simplemente no puede alcanzarla.

Una llave, dos modos posibles

La misma llave física puede admitir dos flujos. CTAP2 permite el inicio de sesión totalmente sin contraseña con un passkey; CTAP1, antes llamado U2F, es un segundo factor que aún espera una contraseña primero. La llave no elige cuál se ejecuta — lo decide el sitio.

Por qué no es una etiqueta NDEF

Si has usado NFCore para leer etiquetas de Wi-Fi, tarjetas de presentación o disparadores de hogar inteligente, es tentador suponer que cualquier dispositivo NFC funciona igual. Una llave de seguridad no. NFCore y otros lectores de etiquetas interpretan el formato de registro NDEF — mira qué se almacena realmente en una etiqueta NFC — mientras que una llave FIDO2 habla CTAP2 sobre la misma capa de radio ISO 14443, pero con un conjunto de comandos completamente distinto. Toca una llave de seguridad con una app lectora de etiquetas y verás, correctamente, que no aparece nada útil. Eso no es un error de la app; los dos dispositivos simplemente no están teniendo la misma conversación.

Dónde lo verás

Android: el toque depende de la forma de la llave

Las instrucciones de Google varían según el hardware: disco dorado pide un toque simple, punta dorada pide toque y presión, las llaves con botón piden mantenerlo presionado durante el toque, y otros diseños hay que retirarlos y reinsertarlos entre usos. Si una llave registrada deja de funcionar, reinicia el teléfono, apaga y enciende el NFC, o actualiza los Servicios de Google Play.

Solo iPhone — no Mac, no iPad

El soporte no es parejo aquí. Como se explica en cómo iOS y Android manejan NFC de forma diferente, Apple limita las llaves NFC al iPhone: tócala contra el borde superior trasero — Mac y iPad no pueden leerla en absoluto. Apple también exige al menos dos llaves registradas como respaldo, ya que perder todas las llaves y dispositivos de confianza a la vez puede bloquear la cuenta para siempre.

Consejos, detalles a tener en cuenta, y un mini tutorial con NFCore

Una funda gruesa, una carcasa metálica o una pila de tarjetas contra el teléfono pueden debilitar un toque hasta que no se registre nada. Quita el obstáculo e intenta de nuevo más cerca de la antena. Las herramientas de lectura de etiquetas de NFCore confirman la recepción en tus propias etiquetas antes de culpar a la llave de seguridad.

Un hábito que vale la pena mantener: NFCore lee y escribe etiquetas NDEF que tú posees — tarjetas de Wi-Fi, vCards, disparadores de automatización — mientras que una llave FIDO2 ejecuta un protocolo de autenticación que nunca toca NDEF. Trabajo distinto, misma radio.

Preguntas Frecuentes

¿Puede mi teléfono actuar como llave de seguridad FIDO2 en vez de comprar una aparte?

En Android, muchos teléfonos pueden actuar como autenticador FIDO2 itinerante por Bluetooth, un flujo distinto al de tocar una llave NFC externa. En iPhone, los passkeys de Apple usan Face ID o Touch ID en vez de un toque externo, así que el teléfono mismo es el autenticador — por lo general no necesitas una llave física salvo que un sitio permita añadir una como respaldo.

¿Por qué NFCore no muestra nada al escanear mi llave de seguridad?

Porque NFCore lee registros NDEF, y una llave FIDO2 no almacena ninguno. Responde a comandos CTAP2 sobre la misma radio NFC, pero es un protocolo completamente distinto — un resultado vacío es lo esperado, no un escaneo fallido.

¿Afecta la funda de mi teléfono a que el toque funcione?

Sí. Las fundas gruesas, las carcasas metálicas y las tarjetas apiladas contra el teléfono pueden atenuar la señal lo suficiente como para impedir la lectura. Quita la funda y sostén la llave plana contra el área de la antena, y normalmente se resuelve solo.

¿Qué pasa si pierdo mi única llave de seguridad?

En cuentas como la de Apple, perder todas tus llaves y dispositivos de confianza a la vez puede bloquearte la cuenta de forma permanente. Por eso mantener al menos dos llaves, con una guardada como respaldo dedicado, es un requisito y no una simple sugerencia.

Conclusión

NFC en una llave de seguridad es solo el transporte basado en toques para el inicio de sesión de clave pública de FIDO2 — un trabajo distinto de las etiquetas NDEF que NFCore lee y escribe. A medida que los passkeys crecen hacia los miles de millones de dispositivos que ya los usan, es de esperar más sitios con llaves NFC junto a los códigos SMS y las apps de autenticación. Saber a qué protocolo le estás tocando facilita distinguir una configuración que funciona de una rota.