Llaves de seguridad: YubiKey o Nitrokey para tus cuentas importantes
Una llave física es la protección más fuerte contra el phishing que puede tener una cuenta normal. La idea es tener dos.
Índice de Contraseñas
Índice
ConsiguesTus cuentas importantes protegidas con dos llaves físicas: la defensa más fuerte contra el phishing.
Tiempo30 minDificultadFácil
NecesitasDos llaves FIDO2 (principal y respaldo) · Los códigos de recuperación de cada cuenta
- Comprar dos
- PIN
- Registrar
- Usar
Elige la llave
Para Proton, Bitwarden, Google o Ente basta con una compatible con FIDO2/WebAuthn. Compra dos: una para el día a día y otra de respaldo. Nuevas, del fabricante o de un distribuidor autorizado.
YubiKeySecurity Key C NFC (solo FIDO2) o YubiKey 5C NFC (la más versátil).
- Security Key C NFC: USB-C y NFC, solo FIDO2. Buena si solo quieres proteger cuentas y usar passkeys.
- YubiKey 5C NFC: USB-C y NFC; además de FIDO2, OTP, OATH, PIV y OpenPGP.
Con USB-A: Security Key NFC y YubiKey 5 NFC. En la tienda de Yubico.
NitrokeyNitrokey 3C NFC, con software y firmware abiertos.
Nitrokey 3C NFC: USB-C y NFC, con FIDO2, OTP, OpenPGP y más. Con USB-A, Nitrokey 3A NFC. En la tienda de Nitrokey.
Instalar
En Windows
La llave no necesita instalación
Para entrar en webs con la llave no hace falta instalar nada: la conectas y el navegador la usa. El programa de abajo es para gestionarla: ver qué tiene dentro, cambiar el PIN o guardar códigos de dos pasos.
Yubico Authenticator, con WinGet
winget install --id Yubico.AuthenticatorNitrokey App 2
De su página de versiones.
En Linux
Con Flatpak
flatpak install flathub com.yubico.yubioath
flatpak install flathub com.nitrokey.nitrokey-app2Reglas udev, si la llave no aparece
En Linux, acceder a un dispositivo USB de este tipo necesita permisos. Si el programa no ve la llave, faltan las reglas udev:
ls -l /dev/hidraw*
sudo udevadm control --reload-rules
sudo udevadm triggerDespués, desconecta y vuelve a conectar la llave.
En macOS
Con Homebrew
brew install --cask yubico-authenticator
Primer uso y PIN
Para el uso normal no hacen falta drivers: conecta la llave por USB o acércala por NFC y sigue lo que te diga el navegador o el sistema.
Algunos servicios te pedirán un PIN FIDO2. Ese PIN protege la llave, no es la contraseña de Proton, Google ni Bitwarden.
No escribas el PIN en la llave. Si lo olvidas y tienes que restablecer FIDO2, se borran las passkeys guardadas en ella.
Después de registrar una llave, prueba a iniciar sesión con ella antes de cerrar la sesión en la que estás.
Regístrala en tus cuentas
Las dos llaves en cada cuenta, antes de necesitar la de respaldo, y guarda los códigos de recuperación de cada servicio.
Proton
En Configuración → Todos los ajustes → Cuenta y contraseña → Autenticación en dos pasos → Llave de seguridad. Conecta la llave, tócala cuando te lo pida el navegador y ponle un nombre. Repite con la de respaldo.
Si aparece la opción de permitir llaves de la plataforma, déjala desmarcada: así registras la llave física y no Windows Hello, Touch ID o Face ID.
Bitwarden
En Ajustes → Seguridad → Inicio de sesión en dos pasos → FIDO2 WebAuthn → Gestionar. Introduce la contraseña maestra, nombra la llave, conéctala, pulsa Leer llave, tócala y guarda. Repite con la de respaldo y guarda el código de recuperación del inicio en dos pasos fuera de Bitwarden.
En Cuenta de Google → Seguridad → Verificación en dos pasosAdemás de la contraseña, un segundo paso para entrar: un código de una app, una llave física o una passkey. Si te roban la contraseña, sin ese segundo paso no entran.. Google permite usar la llave como segundo factor y también guardar en ella una passkeyUna clave que sustituye a la contraseña: confirmas con tu dispositivo (huella, cara o PIN) y solo funciona en la web auténtica, así que una web falsa no te la puede robar.. Registra las dos llaves y, para empezar, mantén otros métodos de recuperación.
Ente
Las cuentas de Ente admiten llaves de seguridad en los ajustes de seguridad o de autenticación en dos pasos. Si usas Ente Auth en modo sin copia y sin cuenta, no hay cuenta online que proteger: los códigos están solo en tu dispositivo.
En el día a día: usuario y contraseña, conectas o acercas la llave, el PIN si lo pide y la tocas. No hay que copiar códigos, y la llave solo responde a la web auténtica: una web falsa no puede usarla.
No guardes las dos llaves juntas y no se la prestes a nadie para que la configure.
Si pierdes una llave
- Entra con la de respaldo o con otro método.
- Quita la llave perdida de cada cuenta.
- Registra una nueva de respaldo.
- Revisa tus cuentas importantes.
No elimines los otros métodos de recuperación hasta comprobar que las dos llaves funcionan.
Si algo falla
- La web registra Windows Hello, Touch ID o Face ID en vez de la llave: desmarca la opción de llaves de la plataforma y repite.
- Has olvidado el PIN FIDO2: restablecer FIDO2 borra las passkeys de la llave; entra antes con la de respaldo u otro método y vuelve a registrarla.
- La llave no responde por NFC: conéctala por USB.
Qué ha cambiado
- Imagen oficial de los modelos de YubiKey 5.
- Imágenes de la documentación oficial en cada paso.
- Publicada.
