Manual: configurar claves de acceso (passkeys) en Microsoft Entra ID

Antes de empezar

Este manual cubre la configuración completa de claves de acceso en Microsoft Entra ID, desde la directiva vacía hasta la verificación del despliegue. Está escrito con el portal en español; la primera vez que aparece una opción pongo también su nombre en inglés, porque la documentación oficial y buena parte de los foros la nombran así.

Hay tres conceptos que conviene tener claros antes de tocar nada, porque el resto del manual los da por sabidos.

Clave vinculada al dispositivo frente a clave sincronizada

Una clave de acceso vinculada al dispositivo (device-bound) genera la clave privada dentro de un dispositivo concreto y no sale nunca de ahí: una llave de seguridad FIDO2, o Microsoft Authenticator en un móvil. Si se pierde el dispositivo, se pierde la credencial.

Una clave de acceso sincronizada (synced) se cifra en el dispositivo y se sincroniza con el proveedor en la nube, de modo que está disponible en todos los equipos donde el usuario ha iniciado sesión con ese proveedor. Es lo que hacen el Llavero de iCloud, el Gestor de contraseñas de Google, Dashlane, 1Password o Bitwarden.

La diferencia práctica es de garantías: las claves sincronizadas no admiten atestación, así que Entra ID no puede verificar de qué fabricante vienen ni si están respaldadas por hardware. Microsoft las considera resistentes a phishing, pero con la misma postura de seguridad que cualquier autenticador sin atestar. Esto condiciona todo el paso 6.

Qué es un AAGUID

El AAGUID (Authenticator Attestation GUID) es un identificador de 128 bits que cada fabricante incluye durante el registro para declarar la marca y el modelo del autenticador. Es el único mecanismo que tienes para decir «en mi organización solo valen estas llaves y estos gestores».

Con la atestación activada, el AAGUID es una afirmación verificada. Con la atestación desactivada, es un dato que el autenticador declara sin que nadie lo compruebe: sirve como guía de directiva, no como control de seguridad. Microsoft lo advierte de forma explícita, y es la trampa más habitual de todo este despliegue.

Qué no cubre este manual

• Windows Hello para empresas, que se configura aparte aunque también sea una credencial resistente a phishing.
• El aprovisionamiento de llaves de seguridad por parte del administrador mediante Microsoft Graph, que sigue en versión preliminar.
• Usuarios invitados: Entra ID no admite el registro de claves de acceso para invitados, ni internos ni B2B en el inquilino de recursos. Si tu escenario es de colaboración externa, este camino no te sirve todavía.

Paso 1. Activar los perfiles de clave de acceso

Hasta 2025 la directiva FIDO2 era un único bloque global: una configuración de atestación y una lista de AAGUID para todo el inquilino. Los perfiles de clave de acceso sustituyen ese modelo por reglas por grupo, que es lo que permite tratar distinto a los administradores y al resto de la plantilla.

1. Inicia sesión en el centro de administración de Microsoft Entra con el rol de Administrador de directivas de autenticación.
2. Ve a Entra ID › Seguridad › Métodos de autenticación › Directivas.
3. Selecciona Clave de paso (FIDO2).
4. En el aviso de la parte superior de la hoja, pulsa el enlace para suscribirte a los perfiles de clave de acceso.

Dos límites que conviene conocer antes de diseñar nada:

• Se admiten hasta 10 perfiles, incluido el predeterminado. El portal lo indica en la propia pestaña Configurar; la documentación todavía habla de tres, así que fíate de lo que veas en pantalla.
• La directiva de clave de paso tiene un límite de tamaño de 20 KB. Como referencia: la directiva base sin cambios ocupa 1,44 KB, un perfil sin AAGUID unos 0,4 KB y un perfil con diez AAGUID unos 0,3 KB. Solo se llega al techo en inquilinos con listas de AAGUID muy largas.

Paso 2. Configurar el perfil predeterminado

Sigue en Clave de paso (FIDO2), pestaña Configurar (Configure).

1. Marca la casilla Permitir configuración de autoservicio (Allow self-service set up). Si la dejas sin marcar, los usuarios no pueden registrar una clave de paso desde Información de seguridad aunque el método esté habilitado. Este ajuste es global: no vive dentro del perfil.
2. Abre el Default passkey profile. Ese perfil no se puede eliminar ni cambiar de nombre: el campo del nombre aparece atenuado.
3. En Tipos de clave de paso (Passkey types), elige los tipos que quieras permitir. Ojo: aquí el portal en español deja los valores sin traducir, Device-bound y Synced.
4. Guarda.

Paso 3. Crear perfiles adicionales

Desde la misma pestaña Configurar, pulsa + Agregar perfil (+ Add passkey profile). Cada perfil tiene cuatro decisiones.

El propio diálogo avisa de algo que conviene leer despacio: ciertas combinaciones de estos ajustes pueden apuntar a claves de paso que no existen, y entonces los usuarios no pueden registrarse ni iniciar sesión. Un perfil de tipo Synced con la atestación exigida es justo ese caso. Cuando una combinación es sospechosa, el portal marca el perfil con un triángulo de aviso en la lista.

Un diseño de perfiles que funciona

Este reparto cubre la mayoría de organizaciones con tres perfiles, y deja margen de sobra dentro del límite de diez:

La lógica de fondo: cuanto más alto es el privilegio, más estrecha la lista de autenticadores admitidos. Para las cuentas que administran el inquilino, una clave sincronizada en un gestor comercial no es el sitio donde quieres que viva la credencial.

Paso 4. Habilitar y asignar destinatarios

Un perfil no hace nada hasta que se lo asignas a alguien. Ve a la pestaña Habilitar y establecer como destino (Enable and target).

1. Comprueba que Habilitar está en Activado.
2. En la pestaña Incluir, pulsa + Agregar destino y elige Todos los usuarios o un grupo concreto. La pestaña Excluir es para las exclusiones.
3. En la columna Perfiles de clave de paso de esa fila, despliega y marca los perfiles que quieras aplicar a ese destino. Se pueden marcar varios.
4. Guarda.

Paso 5. Claves de acceso en Microsoft Authenticator

Authenticator guarda claves vinculadas al dispositivo, y es la opción por defecto razonable para plantilla con móvil corporativo: no hay hardware que comprar ni gestor externo que contratar.

1. En Configurar, pulsa + Agregar perfil y llámalo, por ejemplo, Claves de paso en Authenticator.
2. Decide si marcas Exigir la atestación (más abajo hay un matiz importante).
3. En Tipos de clave de paso, elige Device-bound.
4. Marca AAGUID específicos de destino y pon el comportamiento en Permitir.
5. Pulsa + Agregar AAGUID y elige Microsoft Authenticator de la lista, o introduce los identificadores a mano.

Cómo lo registra el usuario

Hay dos caminos, y conviene decidir cuál se comunica a la plantilla para no mezclarlos.

Desde el navegador. En Información de seguridad, Agregar método de inicio de sesión y luego Clave de paso en Microsoft Authenticator. El asistente recuerda los requisitos —Android 14 o iOS 17 como mínimo y la aplicación actualizada— y ofrece un enlace para añadir antes la cuenta si aún no está.

Desde la propia aplicación. Se abre la cuenta en Authenticator y, en Other ways to sign in, se pulsa Create a passkey. Es el camino obligatorio cuando exiges atestación, porque entonces no hay registro entre dispositivos.

Al terminar, la aplicación confirma la creación y bautiza la clave con el nombre del dispositivo, del tipo Authenticator - iOS. En esa misma pantalla aparece un aviso que conviene no ignorar: hay que activar Authenticator como proveedor de claves de acceso del sistema. Si no se hace, la clave existe pero el sistema no la ofrece al iniciar sesión, y el usuario cree que no se ha registrado.

Requisitos de versión: Android 14 o superior, iOS 17 o superior. Si un perfil que permite los dos tipos de clave apunta a Authenticator, los usuarios necesitan además Authenticator para iOS 6.8.37 o Android 6.2507.4749 como mínimo.

Para el registro entre dispositivos hacen falta Bluetooth y conexión a internet en ambos equipos, y acceso a cable.ua5v.com en Android o a cable.auth.com y app-site-association.cdn-apple.com en iOS. En organizaciones que bloquean Bluetooth, se puede permitir el emparejamiento exclusivamente con autenticadores FIDO2.

Paso 6. Registrar gestores externos como Dashlane

Este es el apartado que más dudas genera, porque intervienen tres capas que hay que alinear: la directiva de Entra, el sistema operativo o el navegador, y la propia aplicación del gestor.

6.1. Configurar el perfil en Entra ID

Dashlane, 1Password y Bitwarden guardan claves sincronizadas. De ahí salen dos reglas que no admiten excepción:

• El perfil debe incluir Sincronizada en los tipos de clave de acceso.
• Exigir la atestación tiene que estar en No. Las claves sincronizadas no admiten atestación: con ella activada, el registro falla siempre y el mensaje que ve el usuario no explica por qué.

Si quieres admitir un gestor concreto y solo ese, activa las restricciones de clave, pon el comportamiento en Permitir y añade su AAGUID:

Los gestores de contraseñas y los proveedores del sistema son el caso fácil: cada uno declara un AAGUID y no cambia. Con las llaves de seguridad físicas la cosa se complica bastante, y conviene saberlo antes de montar una lista.

Para llaves físicas hay tres formas sensatas de construir la lista, de más a menos cómoda:

1. El selector del propio portal. En el perfil, + Agregar AAGUID ofrece los proveedores que Microsoft ya conoce. Es lo primero que hay que mirar.
2. Registrar una unidad de cada modelo que compras. Se registra con una cuenta de prueba y se lee el identificador en Información de seguridad o en la ficha del usuario. Es tedioso, pero es exacto y refleja tu parque real, no el catálogo mundial.
3. El servicio de metadatos de la Alianza FIDO. Publica el catálogo completo con el AAGUID y la descripción de cada autenticador certificado. Es la fuente de la que beben las demás listas, y la única que conviene citar si alguien discute un identificador.

Y una recomendación de gestión: pide al fabricante la lista de AAGUID de los modelos que te vende, por escrito, antes de firmar la compra. Es información que dan sin problema y ahorra el trabajo de descubrirla llave a llave.

Los identificadores de la tabla proceden de la lista comunitaria de AAGUID y de la documentación de Microsoft, verificados en agosto de 2026. Un fabricante puede añadir identificadores nuevos con el tiempo, así que conviene revisarlos cuando entre un proveedor nuevo en la organización.

6.2. Habilitar el gestor en el sistema o el navegador

Aquí es donde encalla la mayoría de las pruebas. Aunque la directiva de Entra sea correcta, el gestor no aparece como opción al crear la clave si el sistema operativo o el navegador no lo tienen registrado como proveedor de claves de acceso. Es un paso que hace el usuario en su equipo, no el administrador en el portal.

6.3. Registro por parte del usuario

Con la directiva y el proveedor listos, el usuario hace esto:

1. Entra en Información de seguridad.
2. Pulsa Agregar método de inicio de sesión.
3. Elige Clave de paso, la opción descrita como «Iniciar sesión con su cara, huella digital, PIN o clave de seguridad».
4. Completa la autenticación multifactor. Este punto es obligatorio: hay que haber pasado MFA en los últimos cinco minutos para poder registrar una clave de paso.
5. Microsoft muestra Configurando la clave de paso… y cede el turno al sistema. Dashlane se asoma entonces con su propia ventana, Crear una nueva clave de acceso, indicando la cuenta. Pulsa Confirmar ahí.
6. Vuelve al asistente de Microsoft, pulsa Siguiente y ponle a la clave un nombre reconocible.

6.4. Comprobar que ha quedado bien registrada

La propia página de Información de seguridad sirve de comprobación, y esta es la parte que conviene enseñar al usuario para que sepa distinguir lo que tiene:

• La entrada aparece como Clave de paso (Sincronizado) con el nombre del proveedor debajo: Dashlane. Si pusiera «Vinculado al dispositivo» estarías ante otra cosa.
• Al desplegar la fila con la flecha de la derecha se ve el AAGUID de la clave. Ahí es donde se confirma sin discusión qué proveedor la guardó: si empieza por 531126d6, es Dashlane.

Ese AAGUID visible es, además, la vía más rápida para obtener el identificador de cualquier proveedor nuevo: registras una clave con una cuenta de prueba, despliegas la fila y copias el valor.

6.5. Cómo se ve al iniciar sesión

Merece la pena conocer la pantalla, porque es la que va a generar preguntas en el servicio de asistencia. Microsoft muestra su diálogo Cara, huella digital, PIN o clave de seguridad y, sobre él, Dashlane abre Ingrese con Dashlane con la cuenta y un botón de confirmación. El usuario confirma en Dashlane y la sesión continúa.

Paso 7. Pase de acceso temporal para el arranque

Queda un problema de huevo y gallina: para registrar una clave de acceso hay que superar MFA, y el usuario que aún no tiene un método fuerte no puede hacerlo. El pase de acceso temporal (Temporary Access Pass, TAP) resuelve el arranque y también la recuperación cuando alguien pierde el móvil.

1. Ve a Entra ID › Métodos de autenticación › Directivas y selecciona Pase de acceso temporal.
2. Habilítalo y elige a qué usuarios o grupos aplica.
3. En Configurar, ajusta duración y formato si lo necesitas.

Para emitir uno: Entra ID › Usuarios, el usuario, Métodos de autenticación, Agregar método de autenticación, Pase de acceso temporal. El código se muestra una sola vez, así que hay que copiarlo antes de cerrar el aviso.

Cada usuario puede tener un único pase activo, y uno nuevo sustituye al anterior. En dominios federados, el pase tiene preferencia sobre la federación: el usuario completa la autenticación en Entra ID y no se le redirige a su proveedor de identidad.

Paso 8. Campaña de registro

La campaña de registro empuja a los usuarios a registrar una clave de acceso justo después de completar MFA, sin que tengan que buscar dónde se hace. No exige licencia de pago, pero sí que el MFA sea el de Microsoft Entra.

1. Ve a Entra ID › Métodos de autenticación › Campaña de registro y pulsa Editar.
2. En Estado, elige Habilitado para controlar tú los ajustes, o Administrado por Microsoft para dejar los valores recomendados.
3. En Método de autenticación, selecciona Clave de acceso.
4. Ajusta Días permitidos para posponer (0 a 14) y Número limitado de aplazamientos.
5. Incluye o excluye los grupos que correspondan y guarda.

Con Número limitado de aplazamientos habilitado, el usuario puede posponer tres veces y a la cuarta el registro es obligatorio. Deshabilitado, puede posponer de forma indefinida, que en la práctica significa que una parte de la plantilla no lo hará nunca. El contador de aplazamientos se guarda por usuario y sobrevive a los cambios de configuración de la campaña.

Una campaña solo puede apuntar a un método a la vez: o Authenticator o claves de acceso, nunca los dos en el mismo inquilino.

Otro detalle que descoloca en las pruebas: el aviso se evalúa por combinación de dispositivo y navegador, no por cuenta. Un usuario con Windows Hello para empresas no recibe el aviso en Windows, pero sí al entrar desde un Mac con Chrome, porque esa credencial no aplica en esa plataforma. En Linux no hay aviso, porque no hay claves de acceso FIDO2.

Paso 9. Exigir clave de acceso con acceso condicional

Habilitar el método permite usarlo; exigirlo es otra cosa, y es la parte que necesita Entra ID P1.

1. Ve a Entra ID › Métodos de autenticación › Niveles de intensidad de autenticación (Authentication strengths) con el rol de Administrador de acceso condicional.
2. Pulsa Nuevo nivel de intensidad de autenticación y ponle nombre.
3. Marca Claves de paso (FIDO2).
4. Si quieres restringirlo a un modelo concreto, entra en Opciones avanzadas › Agregar AAGUID e introduce el identificador.
5. Revisa y guarda; después referencia ese nivel desde la concesión de una directiva de acceso condicional.

Mismo cuidado con Requerir aplicación cliente aprobada y Requerir directiva de protección de aplicaciones: Authenticator no admite esos controles en iOS ni en Android, así que los usuarios afectados no pueden registrar claves. Y en cualquier caso, el usuario debe cumplir también las directivas que apliquen a Registrar información de seguridad, o el registro no se completa.

Paso 10. Verificar el despliegue

Tres comprobaciones, de más general a más concreta.

Informe de actividad

Entra ID › Métodos de autenticación › Actividad, con dos pestañas: Registro y Uso. La primera dice cuántos usuarios son capaces de autenticación sin contraseña y qué métodos tienen registrados; la segunda, con qué método se está entrando de verdad. Requiere Entra ID P1 o P2 y un rol con permisos de lectura de informes.

Dos límites del informe: los datos llevan un retraso de hasta 36 horas, y no aparecen los usuarios deshabilitados ni los eliminados de forma reversible.

Comprobación por usuario

Entra ID › Usuarios, el usuario, Métodos de autenticación. Ahí se ve cada clave registrada con su detalle, incluido el AAGUID, que es como se confirma si alguien registró la clave en el proveedor que tocaba. Para retirar una credencial, clic derecho sobre el método y Eliminar.

Prueba de inicio de sesión

Con una cuenta de prueba en cada perfil: registro de una clave permitida, registro de una que la directiva debería rechazar, e inicio de sesión con la permitida. Si el segundo caso no falla, la directiva no está haciendo lo que crees que hace.

Limitaciones y problemas conocidos

El orden que recomiendo

Si vas a desplegarlo en producción, este es el orden que menos incidencias genera:

Este manual encaja con la retirada del SMS y la llamada de voz en Entra ID: desde el 1 de febrero de 2027, quien tenga esos métodos como único MFA se encuentra un aviso bloqueante para registrar una clave de acceso. Todo lo de aquí arriba es lo que hay que tener hecho antes de esa fecha.

Si algún paso no se comporta como está descrito, escríbeme y lo reviso. Los manuales viven mejor corregidos que intactos.

Para relacionar estos controles con identidades, aplicaciones, datos y excepciones, consulta la guía de auditoría de seguridad de Microsoft 365. Explica qué evidencias revisar y cómo priorizar las mejoras.