El Dashlane Passkey Power 20 de 2026

Hace dos años, la pregunta sobre las claves de acceso era quién las adoptaría.¹ El año pasado, era a qué velocidad.² Este año, con suficientes datos para ver una tendencia en lugar de un momento aislado, la pregunta ha cambiado: ¿Hasta dónde ha llegado realmente la transición?

La respuesta es más compleja de lo que les gustaría a optimistas y escépticos. Las autenticaciones con clave de acceso casi se han duplicado en los últimos 12 meses. La adopción se está extendiendo a sectores que el año pasado no mostraban ninguna actividad. Y, sin embargo, en el dominio con el mayor porcentaje de uso de claves de acceso que medimos, aproximadamente siete de cada diez ingresos siguen sin usar una clave de acceso.

De eso trata este informe: de la brecha entre el progreso logrado en la adopción de claves de acceso y el enorme potencial que aún queda por aprovechar.

Lo que está en juego no ha cambiado. Según los datos de Dashlane, una persona promedio gestiona ahora más de 300 contraseñas, y el abuso de credenciales sigue siendo uno de los tres vectores de ataque inicial más comunes.³

Las claves de acceso siguen siendo la respuesta más sólida a este problema. Basadas en los estándares de FIDO Alliance y W3C y en la criptografía de clave pública, son resistentes al phishing por diseño, impermeables a los ataques de relleno de credenciales y no requieren memorización. Lo que hay de nuevo es que por fin podemos ver dónde esas ventajas se han traducido en uso real y dónde no.

El Dashlane Passkey Power 20 de 2026 se basa en un análisis de datos de Dashlane que abarca millones de autenticaciones web y móviles con clave de acceso, agregadas y anonimizadas a nivel mundial, desde julio de 2025 hasta junio de 2026, salvo que se indique lo contrario.

Dashlane fue el primer administrador de credenciales en admitir claves de acceso en todas las plataformas principales, lo que nos ofrece una perspectiva excepcionalmente clara del comportamiento de autenticación generalizado en entornos de consumo y empresariales.

El Power 20 de este año clasifica los dominios de forma diferente al del año pasado.

El ranking de 2025 medía la cuota de cada dominio en el total de autenticaciones con clave de acceso. Se trata de una métrica de volumen que responde a la pregunta «¿dónde se concentra la actividad de claves de acceso?». Está dominada por la escala, razón por la que un único minorista representó casi el 40 % de la lista del año pasado.

El ranking de 2026 mide la proporción de autenticaciones con clave de acceso respecto al total de autenticaciones en cada dominio. Se trata de una tasa de penetración que responde a una pregunta más útil para este año: ¿dónde han desplazado realmente las claves de acceso a las contraseñas?

La cuota de volumen mide en gran medida el tamaño de una compañía. La penetración mide si la transición sin contraseña está ocurriendo de verdad en un servicio determinado, que es precisamente la pregunta que necesitan responder los responsables de seguridad cuando evalúan sus propios programas.

Los dos rankings no son comparables y los porcentajes no deben cotejarse entre sí. Un dominio puede generar un volumen enorme de claves de acceso y, aun así, convertir solo una pequeña fracción de sus ingresos. Las cifras de este año son inferiores a las del año pasado porque miden algo diferente, no porque la adopción haya disminuido. No fue así.

Las autenticaciones con clave de acceso por parte de los usuarios de Dashlane casi se han duplicado año tras año, alcanzando los 2,5 millones mensuales. La adopción por parte de los usuarios ha seguido una línea notablemente constante: aproximadamente 20 puntos porcentuales al año, durante tres años consecutivos.

Si esa trayectoria se mantiene, cuatro de cada cinco usuarios de Dashlane almacenarán al menos una clave de acceso a mediados de 2027. Dado que el uso de Dashlane abarca a millones de personas en entornos de consumo y empresariales, en todas las plataformas y sistemas operativos principales, esto lo convierte en una de las ventanas más claras disponibles para observar cómo está cambiando realmente la autenticación generalizada.

El dato más revelador del ranking de este año se encuentra en la cima. Google lidera el Power 20 con un 28 %, lo que significa que incluso en el dominio principal con mayor éxito en claves de acceso que medimos, aproximadamente siete de cada diez ingresos siguen sin usar claves de acceso.

Ese es el estado de la autenticación sin contraseña en 2026. La adopción se está acelerando, pero está lejos de completarse.

Este ranking incluye únicamente dominios con al menos 400.000 autenticaciones totales gestionadas por Dashlane durante el último año, lo que representa una actividad de ingreso significativa. Los dominios relacionados se suman, es decir, Amazon.com y Amazon.fr. Microsoft incluye autenticaciones de Microsoft.com, Microsoft Online y Live.com.

Todos los dominios de esta lista son compatibles con claves de acceso. También lo son cientos de servicios que no lograron figurar en ella. Lo que distingue a los primeros puestos del ranking del resto son las decisiones de producto que se añaden sobre esa base.

Los líderes convirtieron las claves de acceso en la opción más visible, obvia y rápida. Google las posiciona como una alternativa más segura y sencilla a las contraseñas.⁴ Amazon ha comprobado que los mensajes centrados en la comodidad son más efectivos que los enfocados en la seguridad.⁵ HubSpot promueve las claves de acceso en la web, dispositivos móviles y su complemento Outlook Sales Add-In, destacando que el ingreso es cuatro veces más rápido que con contraseña más 2FA.⁶

Lo más llamativo de la cima de esta lista es que ninguno de los diez dominios líderes exige el uso de claves de acceso en la actualidad.

Al analizar sus implementaciones, se distinguen cuatro enfoques diferentes.

El ejemplo más claro del cuarto enfoque proviene de una entidad corporativa distinta a las propiedades de Yahoo en esta lista. LINE Yahoo, la compañía propiedad de SoftBank que opera Yahoo Japan, ha anunciado planes para poner fin al ingreso exclusivo con contraseña para los ID de Yahoo Japan en la primavera de 2027.¹³

Esa escasez explica el techo del 28%. El fomento funciona —ha generado todos los resultados de esta página—, pero tiene un límite, y los líderes parecen estar acercándose a él.

Las aplicaciones empresariales ya no están representadas únicamente por un puñado de casos atípicos orientados a la seguridad. HubSpot (n.º 3) y Cisco Duo (n.º 9) lideran como el año pasado, pero la categoría se ha ampliado considerablemente. isolved HCM (n.º 10) y BambooHR (n.º 15) incorporan por primera vez las plataformas de RRHH y nóminas a la lista, AWS (n.º 17) aporta la infraestructura en la nube y Dropbox (n.º 14) representa el intercambio de archivos.

El ámbito de RRHH y nóminas es una incorporación destacada. Estos sistemas almacenan datos de depósito directo, identificadores fiscales y registros personales de toda la plantilla, y son utilizados por empleados que no son especialistas en seguridad. isolved HCM convirtió las claves de acceso en una opción principal y destacada de MFA en el ingreso, mientras elimina progresivamente los métodos menos seguros.¹¹

Para las plataformas B2B, las claves de acceso resuelven dos problemas a la vez: proteger los datos críticos del negocio y reducir la carga de TI derivada de restablecimientos de contraseñas, bloqueos de cuentas y tickets de asistencia técnica relacionados con credenciales.

Dos incorporaciones en la lista de este año señalan hacia dónde se dirige la autenticación sin contraseña.

Login.gov (n.º 11) incorpora los servicios federales de EE. UU. al Power 20. Su posición podría volverse considerablemente más relevante, ya que la Oficina de Gestión y Presupuesto (OMB) de EE. UU. ha puesto en circulación un borrador de política que establecería Login.gov como el servicio de inicio de sesión único del gobierno federal para la mayoría de los servicios públicos que requieren autenticación.¹⁴ Una implementación de claves de acceso a esa escala pondría en contacto a una gran parte de la población estadounidense con la autenticación sin contraseña, de manera similar a lo que supuso la decisión de Google de activarlas por defecto en 2023 para los consumidores.

OpenAI (n.º 19) es la primera plataforma de IA en aparecer. OpenAI anunció la compatibilidad con claves de acceso en abril como parte de su programa Advanced Account Security, con claves de acceso requeridas por defecto para los miembros de su programa Trusted Access for Cyber.¹⁵ Así, el requisito más claro que encontramos en todo el conjunto de datos se aplica a un nivel de usuarios con acceso a información sensible en materia de seguridad, no a la población general.

El año pasado, excluimos a Google del ranking por completo. Su volumen de autenticación eclipsaba al de todos los demás, y su papel como proveedor del SSO hacía que la comparación directa resultara engañosa.

La métrica de este año elimina ese problema. Una tasa de penetración no premia la escala, por lo que Google compite en igualdad de condiciones con el resto y aun así termina primero. Su 28% es la evidencia más sólida disponible de que los valores predeterminados funcionan. Google estableció las claves de acceso como opción de ingreso predeterminada para las cuentas personales en octubre de 2023, y tres años después esa decisión sigue generando la tasa de conversión más alta que medimos.¹⁶

Microsoft apareció en el n.º 5 del ranking de mayor crecimiento del año pasado tras establecer las claves de acceso como método de ingreso predeterminado para todas las cuentas nuevas en mayo de 2025.¹⁷ Este año, se incorpora al ranking principal en el n.º 16.

Esta trayectoria vale la pena tenerla en cuenta para quienes evalúan su propia implementación. Las decisiones de activación predeterminada no generan una penetración significativa de inmediato. Primero se manifiestan como crecimiento y luego se convierten en una cuota sostenida a lo largo del año siguiente, a medida que la base instalada se renueva.

Históricamente, las claves de acceso de Apple no podían salir de su ecosistema, lo que dificultaba la gestión de credenciales independiente de la plataforma tanto para los consumidores como para los administradores de TI.

Con iOS 26, lanzado en septiembre de 2025, Apple introdujo compatibilidad con la portabilidad segura de credenciales, lo que permite a los usuarios mover claves de acceso y otras credenciales entre la aplicación Apple Passwords y proveedores externos como Dashlane mediante el Intercambio de credenciales. Google siguió su ejemplo. En 2026, Google agregó compatibilidad con el intercambio de credenciales para Google Password Manager en Android. 

El efecto práctico es que las claves de acceso están pasando a ser activos portátiles en lugar de compromisos con una plataforma determinada. Para las organizaciones que dudaban en adoptar el acceso sin contraseña por temor a quedar atadas a un proveedor, esa objeción ha quedado en gran medida resuelta.

El Power 20 mide hasta dónde ha llegado cada servicio. Este ranking mide la rapidez con la que avanza. Para este análisis, Dashlane examinó el crecimiento trimestral en autenticaciones con claves de acceso del primer al segundo trimestre de 2026.

El dominio de mayor crecimiento del año pasado, Roblox, creció un 856% en un trimestre. El líder de este año, BetMGM, alcanza un máximo del 391%.

Ese descenso es una señal de madurez, no de desaceleración. Los mayores números de crecimiento provienen de plataformas que realizan un único movimiento drástico: activar las claves de acceso donde no existían o imponerlas directamente. Esas victorias son finitas, y lo que las reemplaza es más amplio y sostenido. Incluso el número 20 de esta lista creció casi dos tercios en un solo trimestre.

El crecimiento ya no se concentra en unos pocos protagonistas destacados. Por el contrario, se distribuye en casi todos los sectores que analizamos.

Los juegos de azar ocupan el primer lugar por primera vez, y el crecimiento del 391% de BetMGM refleja un patrón visible a lo largo de esta lista. La adopción de claves de acceso avanza más rápido donde las cuentas contienen dinero, credenciales o datos personales regulados. Las cuentas de apuestas en línea incluyen métodos de pago y saldos, están bajo escrutinio regulatorio activo y son objetivos atractivos para el robo de cuentas.

El sector financiero es el ejemplo más claro de ese patrón, con cinco de los veinte puestos, más que cualquier otra categoría. Experian (383%), SBI Securities (114%), Principal (74%), PayPal (66%) y Klarna (64%) abarcan informes crediticios, corretaje, seguros, pagos y compra ahora, paga después.

El panorama del sector financiero ha cambiado desde el año pasado. En 2025, el crecimiento en este sector estuvo impulsado por mandatos drásticos, el más visible fue el de Gemini, que exigió claves de acceso o aplicaciones autenticadoras para todos sus usuarios. Gemini no figura entre los 20 principales dominios de la primera tabla de este informe. Este año no hay un titular equivalente. En cambio, el sector financiero aparece en cinco subsectores a la vez y, aunque esto es menos llamativo, es considerablemente más duradero.

«Confiar en un agente de inteligencia artificial con una transacción real implica saber quién está detrás y tener la certeza de que solo puede hacer lo que esa persona ha autorizado», afirma Andrew Shikiar, Director Ejecutivo y CEO de la FIDO Alliance. «Los estándares abiertos resistentes al phishing son la forma en que damos confianza a usuarios, comerciantes y bancos en las transacciones gestionadas por agentes.»

El sector de la salud y la farmacia gana protagonismo, con CVS (132%), MyChart (100%) y Caremark (71%) entre los quince primeros. Dos de esas tres empresas, CVS y Caremark, pertenecen a CVS Health, por lo que esto representa dos organizaciones y no tres movimientos independientes.

El momento es significativo. La actualización propuesta a la Regla de Seguridad de la HIPAA, que convertiría la autenticación multifactor en un requisito explícito en lugar de discrecional, sigue sin completarse a nivel federal.¹⁸ Las organizaciones sanitarias están adoptando la autenticación resistente al phishing antes de cualquier mandato al respecto, no en respuesta a uno.

Los portales de pacientes contienen historiales de recetas, detalles de seguros y métodos de pago, y son utilizados por una población con muy distintos niveles de familiaridad tecnológica. Esa combinación hace que las cifras de adopción aquí sean más impresionantes de lo que los porcentajes brutos sugieren.

El crecimiento del 354% de Gusto es la tercera cifra más alta de esta lista, y se hace eco de los buenos resultados de isolved HCM (n.º 10) y BambooHR (n.º 15) en la lista Power 20 anterior.

Las plataformas de RR. HH. y nóminas están convergiendo en las claves de acceso desde ambas direcciones a la vez, con un crecimiento rápido y una alta penetración. Estos sistemas almacenan datos de depósito directo, identificadores fiscales y registros completos del personal, y son accedidos por empleados que ingresan con poca frecuencia y que pueden no tener formación en seguridad. Las contraseñas funcionan mal precisamente bajo esas condiciones.

Meta (310%) y X (112%) registran cifras sólidas, pero ninguna lidera de la manera en que las plataformas sociales lo hacían en años anteriores. Los sectores que ahora marcan el ritmo son los que tienen exposición financiera o regulatoria directa, lo que sugiere que la adopción de claves de acceso está impulsada por el cálculo del riesgo y no por las tendencias de la tecnología de consumo.

Air France (69%), Mon Identifiant SNCF (68%), Ticketmaster (218%) y Petco (101%) muestran un impulso sostenido de los consumidores en Europa y América del Norte. Broadcom (80%) y Trimble (67%) incorporan por primera vez los semiconductores y la tecnología industrial a la lista.

La amplitud es precisamente el punto clave. En los dos rankings de este año aparecen diecinueve categorías distintas. La adopción de claves de acceso ya no es una historia en la que un sector lidera y los demás siguen su ejemplo.

Hace dos años, informamos sobre un impulso inicial. El año pasado, constatamos que ese impulso se había convertido en un mandato. Los datos de este año respaldan una conclusión más precisa, y también más exigente.

Las autenticaciones con clave de acceso casi se han duplicado. La adopción ha crecido aproximadamente veinte puntos por año durante dos años consecutivos. Diecinueve categorías están representadas en nuestros dos rankings, desde servicios de identidad federales hasta plataformas de nómina y portales para pacientes. Ningún observador serio puede afirmar hoy que las claves de acceso son una tecnología para pioneros.

Sin embargo, el dominio principal con mejor rendimiento que medimos tiene una tasa de ingreso con clave de acceso de apenas el 28%. Los líderes llegaron hasta allí mediante la persuasión: mejor posicionamiento, flujos más ágiles, ventajas más claras y la retirada gradual de alternativas menos seguras. Cada una de esas decisiones funcionó, pero ninguna completó el trabajo.

Las organizaciones que encabezan esta lista han demostrado que las claves de acceso pueden implementarse a escala en todo tipo de bases de usuarios sin obligar a nadie. También han demostrado el techo al que llega ese enfoque.

Para los responsables de TI y seguridad, la pregunta estratégica ha cambiado en consecuencia. Ya no se trata de si se deben admitir las claves de acceso, ni siquiera de si se deben promover. La cuestión ahora es hasta dónde está dispuesta a llegar una organización para retirar la contraseña junto con ellas, y en qué plazo. Los servicios que respondan primero a esa pregunta serán los que aparezcan en lo alto de estos rankings el próximo año.

Dado que el abuso de credenciales sigue siendo uno de los vectores de ataque inicial más frecuentes, el coste de quedarse a mitad de camino se mide en la superficie de ataque que permanece expuesta. Una clave de acceso ofrecida junto a una contraseña reduce muy poco el riesgo, pero una clave de acceso que la reemplaza lo reduce considerablemente.

En Dashlane, continuaremos monitoreando esta transición e informando sobre lo que muestran los datos, incluidas las partes menos cómodas. El Passkey Power 20 de 2026 refleja una industria que ha demostrado que la autenticación sin contraseña funciona. Lo que viene a continuación es la tarea más difícil: completarla.