Apple anuncia que la app Contraseñas cambiará tus contraseñas por ti

Lo que Apple promete en realidad

La página de iOS de Apple describe la función en una sola frase: la app Contraseñas avisa de contraseñas débiles o comprometidas y "puede actualizarlas por usted sin complicaciones". 9to5Mac, que detectó esta redacción el 27 de agosto, la interpreta como una capacidad agéntica de Apple Intelligence: con un solo toque, el sistema abre el sitio correspondiente, inicia sesión con la credencial que ya tiene guardada y escribe una nueva. Lo que importa es el alcance, más que la formulación. Apple no está describiendo un atajo hacia una pantalla de ajustes. Está describiendo un software que se autentica como si fuera usted en un servicio de terceros y reescribe la clave de esa cuenta. Todo lo interesante de esta función, para bien y para mal, se deriva de esa frase.

Doce años guardando contraseñas, dos años juzgándolas

Apple lleva guardando credenciales desde que el llavero de iCloud llegó con iOS 7 en 2013, pero durante la mayor parte de ese tiempo el sistema fue solo una caja fuerte, nada más. El criterio llegó después: iOS 14 añadió las recomendaciones de seguridad, que comparan las contraseñas guardadas con bases de datos de filtraciones conocidas y señalan las reutilizadas. La app Contraseñas solo se independizó de Ajustes con iOS 18, hace dos años, dando a los inicios de sesión, los códigos de verificación, las claves Wi-Fi y las claves de acceso (passkeys) un espacio propio. Cada paso alejó a Apple del simple almacenamiento y la acercó a emitir un juicio. iOS 27 es el paso en el que ese juicio se convierte en acción. Hasta ahora, el aviso venía acompañado de trabajo: el usuario abría el sitio, buscaba la página de la cuenta y hacía el cambio a mano. La queja sobre ese diseño nunca fue que los usuarios discreparan de la advertencia. Era que corregir veinte inicios de sesión señalados es una tarde que nadie dedica a eso.

La infraestructura que hace esto posible

Automatizar un cambio de contraseña suena a "screen scraping", y durante años lo fue. Lo que ha cambiado es un estándar web pequeño y poco vistoso: una URL conocida, /.well-known/change-password, que un sitio puede usar para señalar su propia página de cambio de contraseña. Se apoya en la RFC 8615, la convención que reserva ese directorio para metadatos legibles por máquinas, y el equipo de WebKit de Apple respaldó públicamente esta práctica junto con Google y 1Password hacia 2021. Ese es el "riel" sobre el que circula todo. Un gestor de contraseñas que encuentra esa URL conocida no tiene que adivinar dónde está el formulario de cambio, ni rastrear el menú de la cuenta de un sitio esperando reconocerlo. Los sitios que la implementaron ofrecen un punto de entrada limpio y predecible. Los que no lo hicieron vuelven a depender de conjeturas, que es justo donde la automatización siempre ha fallado.

Google ya lo intentó, y es instructivo

Chrome lanzó en 2021 un "cambio de contraseña asistido", construido sobre la misma automatización Duplex que Google había usado para reservar mesas en restaurantes. Funcionaba en una lista corta de sitios asociados y nunca llegó a convertirse en una capacidad general. La lección no fue que la idea estuviera mal planteada. Fue que la larga cola de internet —bancos regionales, foros, portales de servicios, cualquier cosa con un flujo de cuenta hecho a medida— no se comporta de forma predecible, y una automatización que falla a mitad de camino puede dejar a un usuario fuera de su propia cuenta. Apple parte de una mejor posición, porque el autorrelleno de Safari y el llavero de iCloud ya reconocen los formularios de inicio de sesión de un número muy grande de sitios. Pero se topa con el mismo muro: la autenticación en dos pasos. Cualquier servicio que proteja el cambio de contraseña con un código SMS, un enlace por correo electrónico o una llave de seguridad física detiene la automatización en seco, y esos son precisamente los servicios donde una contraseña sólida importa más.

Qué conviene comprobar antes de que llegue iOS 27

Vale la pena hacer tres cosas ya mismo. Abrir Contraseñas, tocar Seguridad y ver cuán larga es en realidad la lista de avisos: la función solo será tan útil como el atraso que consiga resolver. Confirmar que el llavero de iCloud se sincroniza y que existe un método de recuperación de cuenta que no dependa de una contraseña, porque cualquier cosa capaz de reescribir credenciales también puede reescribirlas mal. Y allí donde un sitio ofrezca una clave de acceso, adoptarla: una clave de acceso no tiene contraseña que rotar, lo que la convierte en el único inicio de sesión que esta función nunca tendrá que tocar.

Lo que Apple no ha abordado

Un software que inicia sesión como si fuera usted es un software al que se puede convencer de iniciar sesión en otro sitio. La inyección de instrucciones ("prompt injection") desde una página maliciosa es el riesgo obvio de cualquier agente que lee una página web y actúa sobre ella, y Apple no ha publicado cómo aísla el proceso de Contraseñas del contenido de esa página. La Actividad en Vivo ayuda: un indicador de progreso visible no es un control de seguridad, pero sí implica que el proceso no puede ejecutarse en silencio. Apple tampoco se ha comprometido con una fecha de lanzamiento. Según 9to5Mac, se espera que la función llegue en iOS 27.0, pero ha aparecido de forma irregular en las distintas betas, lo que deja en juego un posible iOS 27.1. El propio iOS 27 llegará a todos los usuarios dentro de pocas semanas. Para una capacidad que toca todas las cuentas de una persona, llegar con una versión de retraso no sería el peor desenlace. Para entender por qué unas credenciales comprometidas justifican tanto esfuerzo de ingeniería, puede consultarse nuestro reportaje anterior sobre ClickLock, el malware que inutilizaba los Mac para robar contraseñas.

Fuentes

- iOS 27's Passwords app adds powerful feature that can save you time — 9to5Mac, 27 de agosto de 2026 - Apple — iOS - New Apple feature automatically changes your compromised passwords — BleepingComputer - New iOS 27 Passwords app can automatically change your passwords for you — TechRadar