PlayStation permite proteger el inicio de sesión con una clave de acceso —también llamada passkey— o con verificación en dos pasos. Los nombres pueden sugerir que una opción es simplemente una versión más moderna de la otra, pero no funcionan igual. La primera sustituye la contraseña en los dispositivos compatibles; la segunda conserva la contraseña y añade un código recibido por SMS o generado por una aplicación autenticadora.
La decisión no debería tomarse solo por comodidad. En una familia importa quién controla el teléfono donde se guarda el acceso, qué ocurre si ese dispositivo se pierde y cómo podrá recuperarse una cuenta infantil. Una protección que nadie sabe recuperar puede acabar bloqueando al propietario; una protección cómoda pero compartida sin criterio puede dejar de ser protección.
La diferencia en una frase
Una clave de acceso reemplaza la contraseña por una credencial criptográfica vinculada al servicio y protegida por el desbloqueo del móvil u ordenador. La verificación en dos pasos pide primero el correo y la contraseña y, después, un código temporal de una aplicación autenticadora o de un SMS.
Por tanto, la passkey no es un código adicional que se añade después de la contraseña. Es otra forma de iniciar sesión. PlayStation la describe como sustituto de la contraseña y, en su guía de verificación en dos pasos, invita a cambiar a clave de acceso cuando el dispositivo la admite.
¿Qué ocurre al iniciar sesión con una passkey?
Al crear una clave de acceso se genera un par criptográfico. El servicio conserva la parte pública y la parte privada permanece protegida por el sistema o gestor elegido. Cuando se inicia sesión, el dispositivo demuestra que posee esa credencial y pide autorizarla mediante huella, rostro o PIN de bloqueo. La biometría no se envía a PlayStation: sirve para desbloquear localmente la credencial.
La ventaja frente al phishing es importante. Una passkey está vinculada al sitio o aplicación para el que se creó. Google y FIDO Alliance explican que el navegador y el sistema operativo no la presentan a una web impostora. El usuario ya no tiene una contraseña de PlayStation que pueda escribir en un formulario falso ni un código temporal que pueda entregar bajo presión.
Eso no vuelve invulnerable la cuenta. Si otra persona conoce el PIN del móvil, controla la cuenta Apple o Google que sincroniza las claves, o consigue desbloquear un dispositivo autorizado, puede existir riesgo. También siguen importando el correo asociado y el procedimiento de recuperación. La passkey reduce ataques concretos; no sustituye la seguridad del dispositivo ni el acompañamiento familiar.
¿Cómo funciona la verificación en dos pasos de PlayStation?
Con la 2SV, el inicio comienza con el identificador de correo y la contraseña. Después se solicita un código temporal. PlayStation admite dos vías:
- Aplicación autenticadora: genera el código en el teléfono o tableta, sin depender de que llegue un mensaje.
- SMS: envía el código al número registrado.
La aplicación autenticadora evita depender de la cobertura y de la entrega de SMS. El SMS puede resultar más sencillo para algunas familias, pero está unido al número de teléfono y a la línea móvil. En ambos casos, el código no debe compartirse. Un atacante que ya conoce la contraseña puede crear una pantalla falsa que pida también el código y utilizarlo mientras siga vigente.
Al activar la 2SV, PlayStation indica que hay que anotar los códigos de seguridad. No son un detalle opcional. Permiten entrar cuando se pierde el acceso al móvil; si no se guardaron y ya no se puede iniciar sesión, la recuperación exigirá verificar la identidad mediante la asistencia de PlayStation.
Comparación práctica para una familia
¿Qué opción elegir?
En un teléfono u ordenador compatible, personal y bien protegido, la clave de acceso ofrece una ventaja clara frente a los formularios de phishing: elimina la contraseña reutilizable y no entrega la credencial a un dominio falso. Para muchas familias será la opción preferible siempre que entiendan dónde se guarda y cómo se recupera.
La verificación en dos pasos sigue siendo una mejora importante frente a usar solo una contraseña, especialmente cuando el dispositivo no admite passkeys. Si se elige, una aplicación autenticadora evita depender de la línea móvil. El SMS puede ser una alternativa razonable cuando la aplicación complicaría tanto el uso que acabaría desactivándose, pero no debe presentarse como equivalente a una passkey frente al phishing.
La peor elección no es necesariamente una tecnología concreta, sino activar algo sin preparar el día en que falte el móvil. Antes de terminar la configuración, la familia debe saber quién custodia el dispositivo, dónde están los códigos o la segunda vía y qué cuenta de correo permite iniciar la recuperación.
¿Cómo organizarlo si la cuenta es de un menor?
No es buena idea instalar la passkey del menor en todos los móviles de la familia ni compartir el PIN del dispositivo. Cuantas más copias y personas puedan autorizarla, más difícil será saber quién entró. Es preferible elegir uno o dos dispositivos de confianza y documentar qué adulto puede intervenir si hay un problema.
PlayStation permite añadir varias claves de acceso y utilizar una passkey sincronizada en otros dispositivos del mismo ecosistema o gestor. Esa comodidad exige proteger la cuenta que realiza la sincronización. Si el menor conoce el código de desbloqueo del teléfono adulto o el adulto utiliza el dispositivo del menor sin separación, la frontera de responsabilidades queda borrosa.
Para 2SV, los códigos de seguridad no deberían vivir solo como una captura dentro del mismo móvil que recibe o genera los códigos. Guárdalos en un gestor seguro o en una copia física protegida que pueda localizar la persona responsable. No los envíes por WhatsApp ni los dejes visibles junto a la consola.
¿Qué hacer antes de cambiar de método?
- Protege el correo. Debe tener contraseña única y un método de recuperación actualizado.
- Actualiza los dispositivos. PlayStation advierte de que navegadores o sistemas antiguos pueden no admitir bien las claves de acceso.
- Comprueba el desbloqueo. El móvil no debe usar un PIN conocido por amigos o familiares ajenos a la gestión.
- Decide la recuperación. Añade otra passkey de confianza cuando proceda o guarda los códigos de seguridad de 2SV fuera del teléfono.
- Prueba una vez. Cierra una sesión controlada e inicia de nuevo antes de dar el cambio por terminado.
- Registra quién custodia qué. No anotes secretos; basta con indicar el dispositivo o lugar seguro responsable.
Si la cuenta ya ha sido comprometida, cambiar el método sin asegurar primero el correo puede dejar abierta la recuperación al atacante. En ese caso conviene seguir el protocolo de nuestra guía sobre qué hacer cuando roban una cuenta de PlayStation de un menor. Para decidir qué otros servicios familiares merecen prioridad, puede consultarse también la guía publicada sobre doble factor y recuperación en familia.
Errores que anulan parte de la ventaja
- Configurar una passkey en un dispositivo compartido cuyo PIN conoce mucha gente.
- Creer que la biometría se envía a PlayStation o que la foto del rostro es la clave.
- Guardar los códigos de seguridad de 2SV únicamente en el teléfono que puede perderse.
- Leer un código de verificación a quien llama diciendo que es soporte.
- Desproteger el correo porque la cuenta principal ya tiene un método fuerte.
- Crear varias passkeys sin revisar después qué dispositivos siguen bajo control.
- Confundir comodidad con ausencia de recuperación: la cuenta seguirá necesitando una vía legítima si todos los dispositivos se pierden.
Conclusión
En un dispositivo compatible y realmente personal, la passkey de PlayStation ofrece una protección más directa frente al phishing porque sustituye la contraseña y queda vinculada al servicio auténtico. La 2SV continúa siendo útil cuando esa opción no encaja, especialmente con aplicación autenticadora. En ambos casos, la calidad de la protección se decide antes del problema: correo seguro, dispositivo bien bloqueado y recuperación guardada fuera del único móvil.
