Enlace mágico
Resumen
El enlace mágico es un tipo de autenticación sin contraseña. Cuando el usuario introduce su dirección de correo electrónico, se envía a esa dirección una URL temporal para iniciar sesión. Cuando el usuario hace clic en ese enlace, se completa la verificación de identidad y queda con la sesión iniciada. Como no hace falta introducir, recordar ni gestionar una contraseña, tiene ventajas tanto en la experiencia del usuario como en la seguridad.
Cómo funciona
El flujo de autenticación del enlace mágico consta de 4 pasos. Primero, el usuario introduce su dirección de correo electrónico en la pantalla para iniciar sesión. Después, el servidor genera un token aleatorio criptográficamente seguro y lo guarda en la base de datos. Se envía por correo una URL que contiene este token. Por último, cuando el usuario hace clic en el enlace, el servidor comprueba la validez del token y emite una sesión.
Se usa un diseño en el que el token tiene un plazo de validez corto (de unos minutos a unas decenas de minutos) y se invalida tras usarse una vez. Así, aunque el enlace se reenvíe a un tercero, el tiempo en el que se puede hacer un mal uso de él es limitado.
Comparación con la autenticación por contraseña
En la autenticación por contraseña, el usuario establece y recuerda una contraseña, y el servidor guarda su valor hash. Este método tiene 3 puntos débiles estructurales: la reutilización de contraseñas, el robo mediante phishing y el riesgo en caso de filtración de la base de datos.
Con el enlace mágico es más fácil evitar muchos de estos puntos débiles. Como la contraseña en sí no existe, la reutilización y la filtración son poco probables. El riesgo de introducir la contraseña en un sitio de phishing también es pequeño. Por otro lado, existe un riesgo si alguien se hace con la propia cuenta de correo, así que conviene activar la verificación en dos pasos de la cuenta de correo.
En qué servicios se usa
El enlace mágico lo adoptan los servicios que quieren rebajar la barrera para registrarse y los servicios que quieren evitar el coste de gestionar contraseñas. Junto con las llaves de acceso basadas en FIDO2/WebAuthn, que usan criptografía de clave pública, se usa como una de las opciones de autenticación sin contraseña.