Una guía sobre la autenticación en Web3

La autenticación Web3 verifica a los usuarios mediante sus claves públicas en lugar de correos electrónicos o contraseñas tradicionales. Si bien este enfoque criptográfico elimina las bases de datos centralizadas de contraseñas y le da a los usuarios control real sobre sus credenciales digitales, la complejidad de las seed phrases, las direcciones hexadecimales y la gestión de claves ha creado barreras significativas para la adopción masiva. Las innovaciones recientes en embedded wallets, account abstraction y smart contract accounts están resolviendo estos desafíos.

Esta guía explica cómo funciona la autenticación Web3, explora las soluciones técnicas que la hacen más accesible, y muestra cómo implementar autenticación lista para producción usando infraestructura moderna de smart wallets.

¿Cómo funciona la autenticación Web3?

La autenticación web tradicional depende de credenciales almacenadas en servidores centralizados. Ingresas un nombre de usuario y una contraseña, el servidor consulta su base de datos, y otorga acceso si las credenciales coinciden. Este modelo requiere que los usuarios confíen en el proveedor del servicio con sus datos de autenticación.

La autenticación Web3 invierte este modelo. Los usuarios se autentican conectando wallets web3 a las aplicaciones, típicamente firmando una transacción. Este es el flujo técnico:

1. Conexión de wallet

Cuando un usuario hace clic en "Connect Wallet", la app inicia una solicitud de conexión al software de wallet del usuario (como MetaMask, Phantom, o Rainbow). Esta conexión todavía no otorga ningún permiso. Simplemente establece un canal de comunicación.

2. Generación del challenge

La app genera un mensaje de challenge único. Típicamente es un nonce aleatorio o un mensaje con formato que incluye el dominio de la app, un timestamp y el propósito de la solicitud de autenticación. Esto previene ataques de replay.

3. Firma criptográfica

La wallet del usuario firma el mensaje de challenge usando su clave privada. Una clave privada, que se mantiene en secreto, se usa para demostrar la propiedad de una clave pública correspondiente. La firma demuestra que el usuario controla la clave privada asociada a la dirección de su wallet sin revelar la clave en sí.

4. Verificación de la firma

La app verifica la firma usando la clave pública del usuario (la dirección de la wallet). Si la firma es válida, la app confirma que el usuario es dueño de esa dirección de wallet y le otorga acceso. Esta verificación ocurre en el cliente o en tu backend, dependiendo de tu arquitectura.

5. Gestión de sesión

Una vez autenticado, la app típicamente emite un token de sesión para las siguientes solicitudes, de forma similar a las sesiones web tradicionales. Esto evita que los usuarios tengan que firmar mensajes para cada acción.

La base criptográfica hace que este proceso sea más seguro que la autenticación basada en contraseñas de varias maneras. No hay contraseña que robar de una filtración de base de datos. Los ataques de phishing requieren engañar a los usuarios para que firmen transacciones maliciosas, lo cual es más visible que robar una contraseña. Los usuarios mantienen el control sobre sus credenciales de autenticación en lugar de confiar en un proveedor centralizado.

¿Cuáles son los problemas actuales de la autenticación Web3?

A pesar de sus ventajas criptográficas, la autenticación Web3 presenta desafíos significativos de experiencia de usuario que limitan la adopción masiva. Entender estos problemas es esencial para construir soluciones que funcionen para audiencias más amplias.

¿Cómo afectan las seed phrases a la experiencia de usuario?

Web3 requiere que los usuarios configuren una wallet, gestionen claves privadas, guarden seed phrases, y a menudo trabajen con extensiones de navegador o apps móviles poco pulidas. El modelo de seed phrase, en el que los usuarios deben anotar y guardar de forma segura entre 12 y 24 palabras aleatorias, es fundamentalmente incompatible con las expectativas del usuario promedio.

Los datos muestran que el 35% de los usuarios nunca hace respaldo de la seed phrase de su wallet, lo que los pone en serio riesgo de perder acceso a sus fondos. Esto no es error del usuario, es un problema de diseño. Durante años, hemos podido restablecer contraseñas mediante recuperación por correo electrónico. Con las wallets de criptomonedas, las seed phrases funcionan de otra manera: si las pierdes, no hay opción de restablecimiento. Esta es una diferencia clave que vale la pena entender antes de empezar.

¿Por qué es confusa la UX de las wallets?

Firmar en crypto se siente como leer un acuerdo de licencia de usuario, salvo que en lugar de jerga legal, obtienes código hexadecimal y llamadas de función crudas. Cuando los usuarios hacen clic en "Sign" en su wallet, a menudo se les presenta:

• Datos de transacción crudos en formato hexadecimal
• Estimaciones de gas fee en Gwei
• Direcciones de contrato que no reconocen
• Llamadas de función como approve\(address,uint256\)

Los usuarios carecen del contexto para evaluar si estas transacciones son legítimas o maliciosas. Esta asimetría de información crea vulnerabilidades de seguridad. Los usuarios hacen clic en "Confirm" sin entender qué están autorizando.

¿Qué barreras técnicas enfrentan los usuarios?

Los usuarios se enfrentan a múltiples redes blockchain, direcciones hexadecimales y gas fees incluso antes de poder intentar iniciar sesión. Consideremos la carga cognitiva:

• Selección de red: ¿Deberían usar Ethereum mainnet, Polygon, Arbitrum, Base, u Optimism?
• Gestión de direcciones: Entender que 0x742d35Cc6634C0532925a3b844Bc9e7595f0bEb representa su cuenta
• Gas fees: Necesitar tener tokens nativos (ETH, MATIC, etc.) solo para autenticarse
• Extensiones de navegador: Instalar y gestionar software de wallet por separado

Cada uno de estos representa un punto de fricción donde los usuarios abandonan.

¿Cómo afecta la fragmentación de wallets a los usuarios?

Muchos usuarios de Web3 gestionan múltiples wallets con claves y recovery phrases separadas, cada una requiriendo protección. Un usuario podría tener:

• Una wallet para Ethereum y las cadenas EVM
• Una wallet de Solana separada
• Wallets diferentes para distintas apps o casos de uso
• Hardware wallets para activos de alto valor

Gestionar esta fragmentación requiere conocimiento técnico y disciplina organizativa que la mayoría de los usuarios no tiene.

¿Qué riesgos de seguridad crea la autenticación actual?

Los smart contracts y las plataformas DeFi son blanco frecuente de hackers, con ataques de phishing que engañan a los usuarios para que revelen sus claves privadas. El propio mecanismo de autenticación se convierte en la superficie de ataque cuando:

• Approval phishing: Los usuarios firman aprobaciones ilimitadas de tokens sin saberlo
• Domain spoofing: Sitios falsos que imitan apps legítimas
• Ingeniería social: Atacantes se hacen pasar por soporte para obtener seed phrases
• Contratos maliciosos: Los usuarios interactúan con contratos que vacían sus wallets

La seguridad de las claves privadas es fundamental en Web3, ya que perder el acceso a una clave privada puede significar perder el acceso a tu identidad digital y tus activos. Esto crea un entorno de alto riesgo en el que un solo error puede ser catastrófico.

¿Cómo está mejorando la autenticación Web3?

El ecosistema onchain está abordando activamente estos desafíos a través de varias innovaciones técnicas que mejoran dramáticamente la UX de autenticación sin sacrificar seguridad ni descentralización.

¿Qué son las embedded wallets?

Las embedded wallets se integran directamente en las aplicaciones Web3, tienen una experiencia de inicio de sesión familiar, y no requieren memorizar ni guardar una seed phrase. En lugar de exigir a los usuarios instalar una extensión de navegador o una app de wallet separada, la funcionalidad de wallet se integra directamente en tu aplicación.

Con las embedded wallets, un usuario puede optar por iniciar sesión con su cuenta de Google, Apple ID o X, y detrás de escena, se crea una wallet autocustodiada en su nombre. Este enfoque ofrece varios beneficios clave:

Flujos de autenticación familiares

Los usuarios se autentican usando métodos que ya conocen: email, OAuth o biometría. La creación y recuperación de la wallet se maneja mediante flujos de autenticación familiares, eliminando la necesidad de que los usuarios entiendan o gestionen claves privadas directamente.

Sin extensiones de navegador

La wallet existe dentro del contexto de tu app. Los usuarios no necesitan instalar MetaMask ni ningún otro software de terceros. Esto elimina una barrera importante de onboarding y te da control total sobre la experiencia de autenticación.

UX fluida

Debido a que la wallet está integrada en la UI de tu app, mantienes control total sobre la apariencia, la sensación y el flujo, sin pop-ups ni pantallas de redirección. La autenticación ocurre en línea con tu experiencia de usuario existente.

¿Cómo permiten los social logins el acceso a Web3?

La integración de social login cierra la brecha entre Web2 y Web3 aprovechando proveedores de autenticación existentes. Así funciona la arquitectura técnica:

División de claves mediante MPC

TSS-MPC, o Threshold Signature Scheme con Multi-Party Computation, es un método criptográfico que permite que múltiples partes generen conjuntamente una sola firma digital, mejorando la seguridad al distribuir el poder de firma entre los participantes sin revelar la clave privada a ninguna de las partes.

Cuando un usuario inicia sesión con Google:

1. Tu app autentica al usuario mediante OAuth
2. El sistema genera una clave privada dividida entre múltiples partes
3. Ninguna parte individual (incluyendo tu aplicación) tiene acceso a la clave completa
4. La firma de transacciones requiere cooperación por umbral entre las partes
5. El usuario mantiene su autocustodia sin gestionar claves directamente

Autenticación con Passkeys

Los passkeys son un tipo de autenticación sin contraseña diseñada para ser más segura y conveniente que las contraseñas tradicionales, basada en el estándar WebAuthn. Los passkeys usan criptografía de clave pública donde:

• La clave privada se almacena en el secure enclave del dispositivo del usuario (como el Secure Enclave de Apple o el Trusted Execution Environment de Android)
• La clave pública se almacena en tu servidor de autenticación
• A diferencia de las contraseñas tradicionales, que generan fricción y presentan riesgos de phishing, los passkeys aprovechan un patrón familiar de usar biometría para crear y almacenar de forma segura una credencial en el dispositivo del usuario.

Esto brinda seguridad sólida (las claves privadas nunca salen del dispositivo) con una UX familiar (FaceID o TouchID).

¿Qué es account abstraction y por qué importa?

Account abstraction (ERC-4337) representa un cambio fundamental en cómo funcionan las cuentas onchain. Las smart contract wallets que usan Account Abstraction crean una wallet gestionada mediante un smart contract en lugar de una wallet gestionada por una única clave privada.

Las cuentas tradicionales de Ethereum (Externally Owned Accounts o EOAs) están controladas por una única clave privada. Las smart contract accounts están controladas por código, lo cual habilita una funcionalidad considerablemente mayor:

Sponsorship de gas

Con account abstraction, la wallet o cuenta de un usuario se vuelve programable, permitiendo a los desarrolladores patrocinar gas fees en nombre del usuario. Esto significa:

• Los usuarios no necesitan tener ETH para interactuar con tu app
• Puedes patrocinar transacciones de onboarding para reducir la fricción
• Los usuarios pueden pagar gas fees en stablecoins u otros tokens ERC-20
• Puedes establecer políticas específicas sobre qué transacciones patrocinar

Transacciones en batch

Al ser smart accounts programables, las transacciones se pueden agrupar en batch, simplificando enormemente la UX y reduciendo la latencia. Los usuarios pueden:

• Aprobar un token e intercambiarlo en una sola transacción
• Acuñar un NFT y ponerlo a la venta de forma atómica
• Ejecutar estrategias DeFi de varios pasos sin múltiples confirmaciones de wallet

Recuperación social

Las smart contract accounts pueden implementar mecanismos de recuperación que no dependen de seed phrases:

• Designar contactos de confianza que puedan ayudar a recuperar tu cuenta
• Usar flujos de recuperación basados en email o teléfono
• Implementar procesos de recuperación de cuenta con time-lock

Seguridad programable

Debido a que la cuenta es un smart contract, puedes implementar lógica personalizada:

• Requisitos de multi-firma para transacciones de alto valor
• Límites de gasto por día o por transacción
• Direcciones en whitelist para aprobación automática
• Restricciones basadas en tiempo para ciertas operaciones

Vitalik, cofundador de Ethereum, ve la transición de EOAs a Smart Wallets como un requisito para llevar a usuarios masivos a onchain. Account abstraction no es una característica opcional: es infraestructura fundamental para la adopción masiva.

¿Cómo mejoran los passkeys la seguridad de la autenticación?

Los passkeys vienen con múltiples beneficios de seguridad incorporados. Específicamente, a diferencia de una contraseña o código, con un passkey el usuario no tiene que recordar información, y esa información no se puede robar por phishing.

El modelo de seguridad funciona de la siguiente manera:

Credenciales vinculadas al dispositivo

La clave privada se genera y almacena en el hardware seguro del dispositivo (Trusted Platform Module, Secure Enclave, etc.). Nunca sale del dispositivo, eliminando el riesgo de robo de claves mediante ataques de red.

Resistencia al phishing

Debido a que los passkeys están vinculados al dominio que los creó, no se pueden usar en sitios de phishing. Aunque un usuario sea engañado para visitar un sitio falso, el passkey no funcionará porque el dominio no coincide.

Sin secretos compartidos

A diferencia de las contraseñas, que son secretos compartidos entre el usuario y el servidor, los passkeys usan criptografía asimétrica. El servidor solo almacena la clave pública, la cual es inútil para los atacantes incluso si se filtra la base de datos.

Autenticación biométrica

Además, debido a que los passkeys están vinculados a tus cuentas de iCloud o Google, están protegidos por la seguridad de Apple y Google. Esto ofrece:

• Autenticación multifactor por defecto (posesión del dispositivo + biometría)
• Protección contra ataques de SIM swapping
• Respaldo y sincronización entre dispositivos

¿Qué soluciones de desarrollo facilitan la autenticación Web3?

Varios proveedores ofrecen infraestructura para simplificar la implementación de autenticación web3. Esto es lo que necesitas saber sobre el panorama.

¿Qué proveedores de autenticación de terceros están disponibles?

Web3Auth

Una infraestructura de autenticación simple y no-custodial que permite a wallets y aplicaciones Web3 ofrecer inicios de sesión fluidos tanto a usuarios masivos como a usuarios nativos de Web3. Web3Auth soporta social logins, autenticación por email, y se integra con múltiples proveedores de wallet.

Magic

Ofrece creación de wallets basada en email con multi-party computation para la gestión de claves. Magic maneja la complejidad de la división y recuperación de claves mientras ofrece una API simple para los desarrolladores.

Dynamic

Ofrece embedded wallets no-custodiales con soporte para social login e integraciones de account abstraction. Dynamic ofrece tanto embedded wallets como soporte para conexiones de wallets externas.

Privy

Impulsa wallets protegidas por hardware, compatibles con SOC 2, para cualquier usuario en EVM, Solana, Bitcoin y más. Privy se enfoca en un inicio de sesión fluido con seguridad de nivel empresarial y soporte para passkeys y hardware tokens.

¿Cómo funciona la infraestructura de smart wallets de Alchemy?

Construimos Smart Wallets para ofrecer infraestructura de wallet y transacciones integrada verticalmente. En lugar de combinar múltiples servicios, obtienes todo lo necesario para implementar autenticación lista para producción en un solo SDK.

Embedded wallets para onboarding sin fricción

Smart Wallets permite construir productos que se sienten como web2 pero son completamente web3 por dentro. Esto es lo que significa en la práctica:

Los usuarios pueden registrarse usando:

• Autenticación por email
• Social logins (Google, Apple, Twitter)
• Passkeys (FaceID, TouchID)
• Autenticación personalizada (trae tu propio método de autenticación)
• Conexiones de wallet tradicionales para usuarios nativos de crypto

La implementación es directa. Aquí hay una guía que te ayudará a empezar.

Creación de smart contract account

Una vez autenticado, creas una smart contract account para el usuario. Todas nuestras smart contract accounts son auditadas por Quantstamp y probadas en producción con más de 380M+ transacciones:

La smart contract account ofrece todos los beneficios de account abstraction: sponsorship de gas, transacciones en batch y seguridad programable.

Configuración de sponsorship de gas

Patrocina el gas mediante políticas programables. Controlas exactamente qué transacciones patrocinar y puedes hacerlo con cualquier ERC-20.

Configura políticas desde nuestro dashboard:

• Límites de gasto por wallet o globales
• Allowlist/blocklist de direcciones específicas
• Patrocinio de interacciones específicas con contratos
• Topes de gasto diarios/mensuales

Soporte multi-chain

Smart Wallets está disponible en más de 30 chains, incluyendo Ethereum, Polygon, Base, Optimism, Arbitrum y más. Escribe tu lógica de autenticación una sola vez y despliégala en múltiples chains.

Infraestructura lista para producción

Construido sobre la infraestructura confiable y de primer nivel de Alchemy, de modo que las primitivas de smart contract wallet siempre estén disponibles para los usuarios. Ofrecemos:

• SLA de 99.99% de uptime
• Tiempos de respuesta de menos de un segundo
• Escalado automático
• Soporte 24/7 para clientes empresariales

Alchemy Smart Wallets ha impulsado más de 380B+ transacciones y es la smart wallet más usada, impulsando aplicaciones desde pequeñas startups hasta grandes empresas.

¿Cómo deberías implementar la autenticación Web3?

Basándonos en la experiencia de construir autenticación para miles de apps, estos son los patrones que funcionan en producción.

¿Deberías empezar con social login o con wallet connect?

Para apps dirigidas a usuarios masivos, empieza con social login. Para apps dirigidas a usuarios nativos de crypto, soporta ambos.

• Patrón Social Login First: Este enfoque maximiza la conversión para usuarios nuevos que no tienen wallets de crypto. Siempre puedes agregar después una función de "export to MetaMask" para usuarios que quieran control total de su wallet.
• Patrón Wallet Connect First: Esto funciona bien para apps DeFi, marketplaces de NFT, u otras apps donde los usuarios probablemente ya tienen wallets.

¿Cómo deberías manejar los gas fees?

No obligues a los usuarios a comprar ETH antes de poder usar tu app. Patrocina el gas para que los usuarios puedan probar tu app gratis, sin necesidad de ETH. Configura políticas de sponsorship según tu modelo de negocio:

Modelo freemium:

• Patrocina las primeras N transacciones por usuario
• Requiere pago o staking después del nivel gratuito
• Monitorea el gasto por wallet para prevenir abuso

Modelo por suscripción:

• Patrocina todo el gas para suscriptores de pago
• Limita el sponsorship para usuarios del nivel gratuito

Modelo basado en transacciones:

• Cobra una comisión por cada transacción
• Patrocina el gas como parte del costo de la transacción

Establece límites globales de gasto para controlar los costos mientras ofreces una UX fluida.

¿Deberías usar transaction batching?

Sí, siempre que los usuarios necesiten múltiples operaciones para completar un flujo. Las transacciones se ejecutan secuencialmente en el orden en que aparecen en el array, lo que te permite:

Mejorar la UX:

• Una sola confirmación en lugar de múltiples pop-ups de wallet
• Ejecución atómica (todas las operaciones tienen éxito o todas fallan)
• Menor costo total de gas

Patrones comunes:

• Approve + Swap: Deja que los usuarios aprueben y ejecuten swaps en un solo clic
• Mint + List: Crea y lista NFTs de forma atómica
• Operaciones multi-token: Interactúa con múltiples contratos en una sola transacción

¿Cómo deberías manejar a los usuarios móviles?

Dynamic dedicó tiempo a optimizar los flujos móviles, aprovechando los passkeys para un inicio de sesión y creación de wallet fáciles con FaceID y TouchID. La autenticación mobile-first es fundamental porque:

• La mayoría de los usuarios acceden a las apps desde dispositivos móviles
• La autenticación biométrica es más accesible en móvil
• Las apps de wallet móviles (MetaMask Mobile, Rainbow) requieren deep linking

Mejores prácticas para móvil:

1. Prioriza los passkeys: FaceID y TouchID ofrecen la mejor UX móvil
2. Soporta WalletConnect: Para usuarios con apps de wallet móviles
3. Prueba el deep linking: Asegura transiciones fluidas hacia las apps de wallet
4. Diseña para pantallas pequeñas: La UI de autenticación debe funcionar en viewports de 320px
5. Minimiza las redirecciones: Mantén a los usuarios dentro del contexto de tu app cuando sea posible

¿Qué hay del progressive disclosure?

No abrumes a los usuarios nuevos con funciones avanzadas. Diseña tu propio flujo de checkout y firma las transacciones en segundo plano al principio, luego expón gradualmente más control.

Fase 1: Wallet invisible

• Solo social login
• Todas las transacciones firmadas automáticamente
• Sin terminología de wallet visible
• Gas completamente patrocinado

Fase 2: Control básico

• Muestra confirmaciones de transacción
• Permite a los usuarios ver la dirección de su wallet
• Muestra el historial de transacciones
• Explica el sponsorship de gas

Fase 3: Funciones avanzadas

• Permite exportar a wallets externas
• Muestra detalles avanzados de las transacciones
• Habilita el pago manual de gas
• Soporta firma con hardware wallet

Este enfoque maximiza la conversión mientras sigue dando control a los usuarios avanzados.

¿Cómo se ve el futuro de la autenticación Web3?

La trayectoria de la autenticación onchain es clara: invisible por defecto, poderosa cuando se necesita.

¿Reemplazarán las smart accounts a las EOAs?

Vitalik, cofundador de Ethereum, ve la transición de EOAs a Smart Wallets como un requisito para llevar a usuarios masivos a onchain. Esto no es especulación, es la hoja de ruta técnica.

Las smart wallets ofrecen:

• Mejor seguridad mediante permisos programables
• UX superior mediante gas abstraction y batching
• Recuperación de cuenta sin seed phrases
• Interoperabilidad entre chains

El ecosistema se está moviendo hacia las smart wallets como opción por defecto. Las EOAs seguirán siendo soportadas por compatibilidad hacia atrás, pero las apps nuevas deberían construirse sobre infraestructura de smart wallet.

¿Cómo impactará la chain abstraction en la autenticación?

La chain abstraction resuelve problemas al permitir que los usuarios se registren de una sola vez, sin claves, recovery phrases ni múltiples wallets. Los usuarios no deberían necesitar saber qué chain están usando.

La autenticación del futuro:

• Usará la misma dirección de cuenta en todas las chains
• Abstraerá los detalles específicos de cada chain
• Enrutará las transacciones a las chains óptimas automáticamente
• Manejará operaciones cross-chain de forma transparente

Esto requiere coordinación entre proveedores de wallet, bridges y aplicaciones, pero las bases técnicas ya se están construyendo.

¿Se volverá estándar la autenticación biométrica?

Los usuarios pueden generar una wallet autocustodiada mediante biometría con Face ID o Touch ID. Los passkeys ya son soportados por Apple, Google y Microsoft, y su adopción se está acelerando.

En 2-3 años, se espera:

• Passkeys como método de autenticación por defecto
• Seed phrases solo para usuarios avanzados que las soliciten
• Autenticación biométrica en todos los dispositivos
• Sincronización fluida mediante cuentas de iCloud/Google

¿Qué papel jugará la IA?

Los agentes de IA pueden convertir el caos de DeFi en finanzas fluidas y accesibles para las personas, y pueden hacer que crypto sea utilizable, no solo técnicamente posible. La IA impactará la autenticación mediante:

Interpretación de la intención de la transacción:

• Los usuarios describen lo que quieren hacer en lenguaje natural
• La IA genera las transacciones apropiadas
• Los usuarios aprueban con confirmaciones simples

Detección de fraude:

• La IA analiza patrones de transacciones en busca de anomalías
• Advierte a los usuarios antes de que aprueben transacciones sospechosas
• Aprende de ataques anteriores para prevenir nuevos

Seguridad personalizada:

• Autenticación adaptativa según los niveles de riesgo
• Configuraciones de seguridad recomendadas por IA
• Monitoreo de seguridad automatizado

¿Cómo puedes empezar a construir hoy?

La brecha entre la promesa de web3 y su experiencia de usuario se está cerrando rápidamente. La infraestructura de autenticación moderna hace posible incorporar usuarios masivos sin sacrificar descentralización ni seguridad.

Construimos Smart Wallets para hacer esto accesible a todos los desarrolladores. Obtienes:

• Embedded wallets con social login y passkeys
• Smart accounts con sponsorship de gas y batching
• Infraestructura de nivel empresarial con 99.99% de uptime
• Soporte multi-chain en EVM y Solana

Miles de developers usan nuestra infraestructura para incorporar millones de usuarios. El futuro de la autenticación no se trata de enseñarles a los usuarios cómo funcionan las blockchains. Se trata de construir sistemas tan intuitivos que los usuarios no necesiten pensar en la tecnología subyacente.

¿Listo para implementar autenticación web3 moderna? Regístrate para obtener una cuenta de developer, empieza con la documentación, y contáctanos para más información o ayuda con la integración.

Preguntas frecuentes

¿Cuáles son los pasos básicos para agregar autenticación basada en wallet a mi app?

Integra un flujo de conexión de wallet, haz que el usuario firme un mensaje único, verifica esa firma en tu backend, y luego crea un token de sesión para que el usuario permanezca conectado sin tener que volver a firmar cada solicitud.

¿Cómo demuestra la firma de un mensaje que un usuario es dueño de una wallet?

La app envía un mensaje de challenge que solo el poseedor de la clave privada de la wallet puede firmar; la app luego verifica la firma con la dirección pública de la wallet para confirmar que el usuario controla esa dirección.

¿Debería usar social login, login con wallet, o ambos para la autenticación Web3?

Para audiencias masivas, empieza con social login y opcionalmente crea una wallet detrás de escena, mientras que las apps nativas de crypto suelen priorizar la conexión directa de wallet y pueden agregar social login como respaldo.

¿Cómo manejo las sesiones después de que un usuario se autentica con una wallet?

Después de verificar el mensaje firmado, emite un token de sesión o cookie para las siguientes solicitudes a la API, de forma similar a las sesiones web tradicionales, para que los usuarios no necesiten firmar cada acción.

¿Qué son las embedded wallets y cómo mejoran la autenticación?

Las embedded wallets se integran directamente en las aplicaciones, permitiendo a los usuarios autenticarse con métodos familiares como Google o Apple ID mientras se crea una wallet autocustodiada detrás de escena. Esto elimina la necesidad de extensiones de navegador o gestión de seed phrases.

¿Cómo hacen los passkeys que la autenticación Web3 sea más segura?

Los passkeys usan credenciales vinculadas al dispositivo, almacenadas en hardware seguro que nunca sale del dispositivo, son resistentes a ataques de phishing, y ofrecen autenticación biométrica sin compartir secretos con los servidores.

¿Qué es account abstraction y por qué importa para la autenticación?

Account abstraction habilita smart contract accounts que pueden patrocinar gas fees, agrupar transacciones en batch, e implementar funciones programables de seguridad como recuperación social, eliminando muchas barreras que impiden la adopción masiva.

¿Debería patrocinar los gas fees para la autenticación de usuarios?

Sí, patrocinar los gas fees elimina una barrera importante para los usuarios nuevos que no tienen crypto, permitiéndoles probar tu app sin necesidad de comprar ETH primero.