Una guía sobre la autenticación en Web3

La autenticación Web3 verifica a los usuarios a través de sus claves públicas en lugar de los correos electrónicos o contraseñas tradicionales. Si bien este enfoque criptográfico elimina las bases de datos de contraseñas centralizadas y otorga a los usuarios la propiedad real de sus credenciales digitales, la complejidad de las frases semilla, las direcciones hexadecimales y la gestión de claves ha creado barreras significativas para la adopción masiva. Innovaciones recientes en embedded wallets, account abstraction y smart contract accounts están resolviendo estos desafíos.

Esta guía explica cómo funciona la autenticación Web3, explora las soluciones técnicas que la hacen más accesible, y muestra cómo implementar autenticación lista para producción usando infraestructura moderna de Smart Wallets.

¿Cómo funciona la autenticación Web3?

La autenticación web tradicional depende de credenciales almacenadas en servidores centralizados. El usuario ingresa un nombre de usuario y una contraseña, el servidor verifica su base de datos, y otorga acceso si las credenciales coinciden. Este modelo requiere que los usuarios confíen al proveedor del servicio sus datos de autenticación.

La autenticación Web3 invierte este modelo. Los usuarios se autentican conectando wallets web3 a las aplicaciones, típicamente firmando una transacción. Así es el flujo técnico:

1. Conexión de la wallet

Cuando un usuario hace clic en "Connect Wallet", la app inicia una solicitud de conexión al software de la wallet del usuario (como MetaMask, Phantom o Rainbow). Esta conexión todavía no otorga ningún permiso. Simplemente establece un canal de comunicación.

2. Generación del desafío

La app genera un mensaje de desafío único. Normalmente es un nonce aleatorio o un mensaje formateado que incluye el dominio de la app, la marca de tiempo y el propósito de la solicitud de autenticación. Esto previene ataques de repetición.

3. Firma criptográfica

La wallet del usuario firma el mensaje de desafío usando su clave privada. Una clave privada, que se mantiene en secreto, se usa para probar la propiedad de una clave pública correspondiente. La firma prueba que el usuario controla la clave privada asociada a su dirección de wallet sin revelar la clave en sí.

4. Verificación de la firma

La app verifica la firma usando la clave pública del usuario (la dirección de la wallet). Si la firma es válida, la app confirma que el usuario es dueño de esa dirección y otorga acceso. Esta verificación ocurre en el cliente o en tu backend, según tu arquitectura.

5. Gestión de sesión

Una vez autenticado, la app típicamente emite un token de sesión para solicitudes posteriores, de forma similar a las sesiones web tradicionales. Esto evita que los usuarios tengan que firmar mensajes para cada acción.

El fundamento criptográfico hace que este proceso sea más seguro que la autenticación basada en contraseñas en varios aspectos. No hay ninguna contraseña que robar de una filtración de base de datos. Los ataques de phishing requieren engañar a los usuarios para que firmen transacciones maliciosas, lo cual es más visible que robar una contraseña. Los usuarios mantienen el control sobre sus credenciales de autenticación en lugar de confiar en un proveedor centralizado.

¿Cuáles son los problemas actuales de la autenticación Web3?

A pesar de sus ventajas criptográficas, la autenticación Web3 presenta desafíos significativos de experiencia de usuario que limitan la adopción masiva. Entender estos problemas es esencial para construir soluciones que funcionen para audiencias más amplias.

¿Cómo afectan las frases semilla a la experiencia de usuario?

Web3 requiere que los usuarios configuren una wallet, gestionen claves privadas, almacenen frases semilla, y a menudo trabajen con extensiones de navegador o apps móviles poco intuitivas. El modelo de frase semilla, donde los usuarios deben anotar y guardar de forma segura entre 12 y 24 palabras aleatorias, es fundamentalmente incompatible con las expectativas de los usuarios comunes.

Los datos muestran que el 35% de los usuarios nunca respalda las frases semilla de su wallet, lo cual los pone en serio riesgo de perder el acceso a sus fondos. Esto no es un error del usuario, es un problema de diseño. Durante años hemos podido restablecer contraseñas mediante recuperación por correo electrónico. Con las wallets de criptomonedas, las frases semilla funcionan de forma distinta: si las pierdes, no hay opción de restablecimiento. Esta es una diferencia clave que vale la pena entender antes de empezar.

¿Por qué la UX de las wallets resulta confusa?

Iniciar sesión en cripto se siente como leer un acuerdo de licencia de usuario, solo que en lugar de jerga legal, obtienes código hexadecimal y llamadas de función en crudo. Cuando los usuarios hacen clic en "Sign" en su wallet, a menudo se les presenta:

• Datos de transacción en crudo en formato hexadecimal
• Estimaciones de gas fee en Gwei
• Direcciones de contrato que no reconocen
• Llamadas de función como approve\(address,uint256\)

Los usuarios carecen del contexto para evaluar si estas transacciones son legítimas o maliciosas. Esta asimetría de información crea vulnerabilidades de seguridad. Los usuarios hacen clic en "Confirm" sin entender lo que están autorizando.

¿Qué barreras técnicas enfrentan los usuarios?

Los usuarios se enfrentan a múltiples redes blockchain, direcciones hexadecimales y gas fees antes de siquiera poder intentar iniciar sesión. Considera la carga cognitiva:

• Selección de red: ¿Deberían usar Ethereum mainnet, Polygon, Arbitrum, Base u Optimism?
• Gestión de direcciones: Entender que 0x742d35Cc6634C0532925a3b844Bc9e7595f0bEb representa su cuenta
• Gas fees: Necesitar tener tokens nativos (ETH, MATIC, etc.) solo para autenticarse
• Extensiones de navegador: Instalar y gestionar software de wallet separado

Cada uno de estos representa un punto de fricción donde los usuarios abandonan.

¿Cómo afecta la fragmentación de wallets a los usuarios?

Muchos usuarios de Web3 gestionan múltiples wallets con claves y frases de recuperación separadas, cada una requiriendo protección. Un usuario podría tener:

• Una wallet para Ethereum y las cadenas EVM
• Una wallet de Solana separada
• Wallets distintas para diferentes apps o casos de uso
• Hardware wallets para activos de alto valor

Gestionar esta fragmentación requiere conocimiento técnico y disciplina organizativa que la mayoría de los usuarios no tiene.

¿Qué riesgos de seguridad crea la autenticación actual?

Los smart contracts y las plataformas DeFi son blanco frecuente de hackers, con ataques de phishing que engañan a los usuarios para que revelen sus claves privadas. El propio mecanismo de autenticación se convierte en la superficie de ataque cuando:

• Phishing de aprobaciones: Los usuarios firman sin saberlo aprobaciones de tokens ilimitadas
• Suplantación de dominio: Sitios falsos que imitan apps legítimas
• Ingeniería social: Atacantes se hacen pasar por soporte para obtener frases semilla
• Contratos maliciosos: Los usuarios interactúan con contratos que vacían sus wallets

La seguridad de las claves privadas es primordial en Web3, ya que perder el acceso a una clave privada puede significar perder el acceso a tu identidad digital y tus activos. Esto crea un entorno de altas consecuencias donde un solo error puede ser catastrófico.

¿Cómo está mejorando la autenticación Web3?

El ecosistema onchain está abordando activamente estos desafíos mediante varias innovaciones técnicas que mejoran drásticamente la UX de autenticación sin sacrificar seguridad ni descentralización.

¿Qué son las embedded wallets?

Las embedded wallets se integran directamente en las aplicaciones Web3, tienen una experiencia de inicio de sesión familiar, y no requieren memorizar ni guardar una frase semilla. En lugar de requerir que los usuarios instalen una extensión de navegador o una app de wallet separada, la funcionalidad de la wallet se integra directamente en tu aplicación.

Con embedded wallets, un usuario puede elegir iniciar sesión con su cuenta de Google, Apple ID o X, y entre bambalinas, se crea una wallet self-custodial en su nombre. Este enfoque ofrece varios beneficios clave:

Flujos de autenticación familiares

Los usuarios se autentican usando métodos que ya conocen: correo electrónico, OAuth o biometría. La creación y recuperación de la wallet se maneja mediante flujos de autenticación familiares, eliminando la necesidad de que los usuarios entiendan o gestionen claves privadas directamente.

Sin extensiones de navegador

La wallet existe dentro del contexto de tu app. Los usuarios no necesitan instalar MetaMask ni ningún otro software de terceros. Esto elimina una barrera importante de onboarding y te da control total sobre la experiencia de autenticación.

UX sin fricciones

Como la wallet está integrada en la UI de tu app, mantienes control total sobre el aspecto, la sensación y el flujo, sin pop-ups ni pantallas de redirección. La autenticación ocurre de forma integrada con tu experiencia de usuario existente.

¿Cómo permiten los social logins el acceso a Web3?

La integración de social login cierra la brecha entre Web2 y Web3 aprovechando proveedores de autenticación existentes. Así funciona la arquitectura técnica:

División de claves mediante MPC

TSS-MPC, o Threshold Signature Scheme con Multi-Party Computation, es un método criptográfico que permite que múltiples partes generen conjuntamente una sola firma digital, mejorando la seguridad al distribuir el poder de firma entre los participantes sin revelar la clave privada a ninguna parte individual.

Cuando un usuario inicia sesión con Google:

1. Tu app autentica al usuario mediante OAuth
2. El sistema genera una clave privada dividida entre múltiples partes
3. Ninguna parte individual (incluyendo tu aplicación) tiene acceso a la clave completa
4. Firmar una transacción requiere cooperación por umbral entre las partes
5. El usuario mantiene su self-custody sin gestionar claves directamente

Autenticación con Passkeys

Las Passkeys son un tipo de autenticación sin contraseña diseñada para ser más segura y conveniente que las contraseñas tradicionales, basada en el estándar WebAuthn. Las passkeys usan criptografía de clave pública donde:

• La clave privada se almacena en el enclave seguro del dispositivo del usuario (como el Secure Enclave de Apple o el Trusted Execution Environment de Android)
• La clave pública se almacena en tu servidor de autenticación
• A diferencia de las contraseñas tradicionales, que generan fricción y suponen riesgos de phishing, las passkeys aprovechan un patrón familiar de usar datos biométricos para crear y almacenar de forma segura una credencial en el dispositivo del usuario.

Esto ofrece seguridad sólida (las claves privadas nunca salen del dispositivo) con una UX familiar (FaceID o TouchID).

¿Qué es account abstraction y por qué importa?

Account abstraction (ERC-4337) representa un cambio fundamental en cómo funcionan las cuentas onchain. Las smart contract wallets que usan Account Abstraction crean una wallet gestionada mediante un smart contract en lugar de una wallet gestionada por una sola clave privada.

Las cuentas tradicionales de Ethereum (Externally Owned Accounts o EOAs) están controladas por una sola clave privada. Las smart contract accounts están controladas por código, lo cual habilita mucha más funcionalidad:

Patrocinio de gas

Con account abstraction, la wallet o cuenta de un usuario se vuelve programable, permitiendo que los desarrolladores patrocinen gas fees en nombre del usuario. Esto significa:

• Los usuarios no necesitan tener ETH para interactuar con tu app
• Puedes patrocinar transacciones de onboarding para reducir la fricción
• Los usuarios pueden pagar gas fees en stablecoins u otros tokens ERC-20
• Puedes establecer políticas específicas sobre qué transacciones patrocinar

Transacciones agrupadas (batching)

Como cuentas programables, las transacciones pueden agruparse, simplificando enormemente la UX y reduciendo la latencia. Los usuarios pueden:

• Aprobar un token e intercambiarlo en una sola transacción
• Mintear un NFT y publicarlo para la venta de forma atómica
• Ejecutar estrategias DeFi de varios pasos sin múltiples confirmaciones de wallet

Recuperación social

Las smart contract accounts pueden implementar mecanismos de recuperación que no dependen de frases semilla:

• Designar contactos de confianza que puedan ayudar a recuperar tu cuenta
• Usar flujos de recuperación basados en correo electrónico o teléfono
• Implementar procesos de recuperación de cuenta con bloqueo temporal

Seguridad programable

Como la cuenta es un smart contract, puedes implementar lógica personalizada:

• Requisitos de multi-firma para transacciones de alto valor
• Límites de gasto por día o por transacción
• Direcciones en lista blanca para aprobación automática
• Restricciones basadas en tiempo para ciertas operaciones

Vitalik, el cofundador de Ethereum, ve una transición de EOAs a Smart Wallets como un requisito para llevar a usuarios comunes onchain. Account abstraction no es una característica opcional, es infraestructura fundacional para la adopción masiva.

¿Cómo mejoran las passkeys la seguridad de la autenticación?

Las Passkeys vienen con múltiples beneficios de seguridad incorporados. En concreto, a diferencia de una contraseña o código de acceso, con una passkey el usuario no tiene que recordar información, y esa información no puede ser objeto de phishing.

El modelo de seguridad funciona así:

Credenciales vinculadas al dispositivo

La clave privada se genera y se almacena en el hardware seguro del dispositivo (Trusted Platform Module, Secure Enclave, etc.). Nunca sale del dispositivo, lo cual elimina el riesgo de robo de claves mediante ataques de red.

Resistencia al phishing

Como las passkeys están vinculadas al dominio que las creó, no pueden usarse en sitios de phishing. Incluso si un usuario es engañado para visitar un sitio falso, la passkey no funcionará porque el dominio no coincide.

Sin secretos compartidos

A diferencia de las contraseñas, que son secretos compartidos entre el usuario y el servidor, las passkeys usan criptografía asimétrica. El servidor solo almacena la clave pública, que es inútil para los atacantes incluso si la base de datos es vulnerada.

Autenticación biométrica

Además, como las passkeys están vinculadas a tus cuentas de iCloud o Google, están protegidas por la seguridad de Apple y Google. Esto ofrece:

• Autenticación multifactor por defecto (posesión del dispositivo + biometría)
• Protección contra ataques de intercambio de SIM
• Respaldo y sincronización entre dispositivos

¿Qué soluciones para desarrolladores facilitan la autenticación Web3?

Varios proveedores ofrecen infraestructura para simplificar la implementación de la autenticación Web3. Esto es lo que necesitas saber sobre el panorama.

¿Qué proveedores de autenticación de terceros están disponibles?

Web3Auth

Una infraestructura de autenticación simple y no custodial que permite que las wallets y aplicaciones Web3 ofrezcan inicios de sesión fluidos tanto a usuarios comunes como a usuarios nativos de Web3. Web3Auth soporta social logins, autenticación por correo electrónico, y se integra con múltiples proveedores de wallets.

Magic

Ofrece creación de wallets basada en correo electrónico con multi-party computation para la gestión de claves. Magic maneja la complejidad de la división y recuperación de claves mientras ofrece una API simple para los desarrolladores.

Dynamic

Provee embedded wallets no custodiales con soporte para social login e integraciones de account abstraction. Dynamic ofrece tanto embedded wallets como soporte para conexiones de wallets externas.

Privy

Habilita wallets protegidas por hardware y conformes con SOC 2 para cualquier usuario en EVM, Solana, Bitcoin y más. Privy se enfoca en un login fluido con seguridad de nivel empresarial, con soporte para passkeys y tokens de hardware.

¿Cómo apoya Alchemy la infraestructura de Smart Wallets?

Alchemy apoya a quienes construyen Smart Wallets con RPC, Data APIs, Gas Manager y Bundler. Para la creación y autenticación de wallets, Alchemy se asocia con Privy.

Embedded Wallets para un onboarding sin fricciones

Las embedded wallets de Privy hacen posible construir productos que se sienten como web2 pero que son completamente web3 por debajo. Así es como funciona en la práctica:

Los usuarios pueden registrarse usando:

• Autenticación por correo electrónico
• Social logins (Google, Apple, Twitter)
• Passkeys (FaceID, TouchID)
• Autenticación personalizada (trae tu propio método de autenticación)
• Conexiones de wallet tradicionales para usuarios nativos de cripto

Obtén más información sobre la alianza entre Alchemy y Privy.

Creación de Smart Contract Accounts

Una vez autenticado, el desarrollador puede usar una smart contract account con el Bundler y el Gas Manager de Alchemy:

La smart contract account ofrece todos los beneficios de account abstraction: patrocinio de gas, transacciones agrupadas y seguridad programable.

Configuración del patrocinio de gas

Patrocina gas mediante políticas programables. Tú controlas exactamente qué transacciones patrocinar.

Configura políticas desde nuestro dashboard:

• Límites de gasto por wallet o globales
• Lista de permitidos/bloqueados para direcciones específicas
• Patrocinar interacciones específicas con contratos
• Establecer topes de gasto diarios/mensuales

Soporte multi-chain

La infraestructura de account abstraction de Alchemy soporta múltiples chains, incluyendo Ethereum, Polygon, Base, Optimism y Arbitrum.

Infraestructura lista para producción

Construida sobre la infraestructura confiable y de primer nivel de Alchemy, de modo que los primitivos de smart contract wallet estén siempre disponibles para los usuarios. Proveemos:

• SLA de disponibilidad del 99.99%
• Tiempos de respuesta de menos de un segundo
• Escalado automático
• Soporte 24/7 para clientes empresariales

Los proveedores de wallets pueden combinar su capa de autenticación con el RPC, las Data APIs, el Gas Manager y el Bundler de Alchemy.

¿Cómo deberías implementar la autenticación Web3?

Con base en la construcción de autenticación para miles de apps, estos son los patrones que funcionan en producción.

¿Deberías empezar con social login o con wallet connect?

Para apps dirigidas a usuarios comunes, empieza con social login. Para apps dirigidas a usuarios nativos de cripto, soporta ambos.

• Patrón social login primero: Este enfoque maximiza la conversión para nuevos usuarios que no tienen wallets de cripto. Siempre puedes agregar una función de "exportar a MetaMask" más adelante para usuarios que quieran control total de la wallet.
• Patrón wallet connect primero: Esto funciona bien para apps DeFi, mercados de NFT, u otras apps donde es probable que los usuarios ya tengan wallets.

¿Cómo deberías manejar los gas fees?

No obligues a los usuarios a comprar ETH antes de poder usar tu app. Patrocina el gas para que los usuarios puedan probar tu app gratis, sin necesitar ETH. Configura políticas de patrocinio según tu modelo de negocio:

Modelo freemium:

• Patrocinar las primeras N transacciones por usuario
• Requerir pago o staking después del nivel gratuito
• Monitorear el gasto por wallet para prevenir abuso

Modelo de suscripción:

• Patrocinar todo el gas para suscriptores de pago
• Limitar el patrocinio para usuarios del nivel gratuito

Modelo basado en transacciones:

• Cobrar una comisión en cada transacción
• Patrocinar el gas como parte del costo de la transacción

Establece límites globales de gasto para controlar los costos mientras ofreces una UX fluida.

¿Deberías usar el agrupamiento (batching) de transacciones?

Sí, siempre que los usuarios necesiten múltiples operaciones para completar un flujo. Las transacciones se ejecutan secuencialmente según aparecen en el array, lo que te permite:

Mejorar la UX:

• Una sola confirmación en lugar de múltiples pop-ups de wallet
• Ejecución atómica (todas las operaciones tienen éxito o todas fallan)
• Menores costos totales de gas

Patrones comunes:

• Approve + Swap: Deja que los usuarios aprueben y ejecuten swaps en un solo clic
• Mint + List: Crea y publica NFTs para la venta de forma atómica
• Operaciones multi-token: Interactúa con múltiples contratos en una sola transacción

¿Cómo deberías manejar a los usuarios móviles?

Dynamic dedicó tiempo a optimizar los flujos móviles, aprovechando passkeys para un inicio de sesión y creación de wallet fáciles con FaceID y TouchID. La autenticación mobile-first es crítica porque:

• La mayoría de los usuarios acceden a las apps desde dispositivos móviles
• La autenticación biométrica es más accesible en móvil
• Las apps de wallet móvil (MetaMask Mobile, Rainbow) requieren deep linking

Mejores prácticas para móvil:

1. Prioriza las passkeys: FaceID y TouchID ofrecen la mejor UX móvil
2. Soporta WalletConnect: Para usuarios con apps de wallet móvil
3. Prueba el deep linking: Asegura transiciones fluidas hacia las apps de wallet
4. Diseña para pantallas pequeñas: La UI de autenticación debe funcionar en viewports de 320px
5. Minimiza las redirecciones: Mantén a los usuarios dentro del contexto de tu app cuando sea posible

¿Qué hay de la divulgación progresiva?

No abrumes a los usuarios nuevos con funciones avanzadas. Diseña tu propio flujo de checkout y firma las transacciones en segundo plano inicialmente, y luego expón gradualmente más control.

Fase 1: Wallet invisible

• Solo social login
• Todas las transacciones se firman automáticamente
• Ninguna terminología de wallet visible
• Gas completamente patrocinado

Fase 2: Control básico

• Mostrar confirmaciones de transacción
• Permitir que los usuarios vean la dirección de su wallet
• Mostrar el historial de transacciones
• Explicar el patrocinio de gas

Fase 3: Funciones avanzadas

• Permitir exportar a wallets externas
• Mostrar detalles avanzados de transacción
• Habilitar el pago manual de gas
• Soportar firma con hardware wallet

Este enfoque maximiza la conversión mientras todavía ofrece control a los usuarios avanzados.

¿Cómo se ve el futuro de la autenticación Web3?

La trayectoria de la autenticación onchain es clara: invisible por defecto, poderosa cuando se necesita.

¿Reemplazarán las smart accounts a las EOAs?

Vitalik, el cofundador de Ethereum, ve una transición de EOAs a Smart Wallets como un requisito para llevar a usuarios comunes onchain. Esto no es especulación, es la hoja de ruta técnica.

Las Smart Wallets ofrecen:

• Mejor seguridad mediante permisos programables
• UX superior mediante gas abstraction y batching
• Recuperación de cuenta sin frases semilla
• Interoperabilidad entre chains

El ecosistema se está moviendo hacia las Smart Wallets como opción por defecto. Las EOAs seguirán siendo soportadas por compatibilidad hacia atrás, pero las apps nuevas deberían construirse sobre infraestructura de Smart Wallets.

¿Cómo impactará la chain abstraction a la autenticación?

La chain abstraction resuelve problemas al permitir que los usuarios se registren de una sola vez, sin claves, frases de recuperación, ni múltiples wallets. Los usuarios no deberían necesitar saber qué chain están usando.

La autenticación futura:

• Usará la misma dirección de cuenta en todas las chains
• Abstraerá los detalles específicos de cada chain
• Enrutará transacciones automáticamente a las chains óptimas
• Manejará operaciones cross-chain de forma transparente

Esto requiere coordinación entre proveedores de wallets, bridges y aplicaciones, pero los fundamentos técnicos ya se están construyendo.

¿Se volverá estándar la autenticación biométrica?

Los usuarios pueden generar una wallet self-custodial mediante biometría con Face ID o Touch ID. Las passkeys ya cuentan con soporte de Apple, Google y Microsoft, y su adopción se está acelerando.

En 2 a 3 años, se espera:

• Passkeys como método de autenticación por defecto
• Frases semilla solo para usuarios avanzados que las soliciten
• Autenticación biométrica en todos los dispositivos
• Sincronización fluida mediante cuentas de iCloud/Google

¿Qué papel jugará la IA?

Los agentes de IA pueden convertir el caos de DeFi en finanzas fluidas y fáciles de usar, y pueden hacer que las criptomonedas sean utilizables, no solo técnicamente posibles. La IA impactará la autenticación mediante:

Interpretación de intención de transacción:

• Los usuarios describen lo que quieren hacer en lenguaje natural
• La IA genera las transacciones apropiadas
• Los usuarios aprueban con confirmaciones simples

Detección de fraude:

• La IA analiza patrones de transacción en busca de anomalías
• Advierte a los usuarios antes de que aprueben transacciones sospechosas
• Aprende de ataques anteriores para prevenir otros nuevos

Seguridad personalizada:

• Autenticación adaptativa según el nivel de riesgo
• Configuraciones de seguridad recomendadas por IA
• Monitoreo de seguridad automatizado

¿Cómo puedes empezar a construir hoy?

La brecha entre la promesa de web3 y su experiencia de usuario se está cerrando rápidamente. La infraestructura de autenticación moderna hace posible incorporar usuarios comunes sin sacrificar descentralización ni seguridad.

Alchemy soporta este stack con:

• RPC y Data APIs para acceso a blockchain
• Gas Manager para patrocinio de gas programable
• Bundler para enviar user operations
• Infraestructura multi-chain en las redes soportadas

Miles de desarrolladores usan nuestra infraestructura para incorporar a millones de usuarios. El futuro de la autenticación no consiste en enseñarles a los usuarios cómo funcionan las blockchains. Consiste en construir sistemas tan intuitivos que los usuarios no necesiten pensar en la tecnología subyacente.

¿Listo para implementar autenticación Web3 moderna? Regístrate para obtener una cuenta de desarrollador, comienza con la documentación, y contáctanos para más información o ayuda con la integración.

Preguntas frecuentes

¿Cuáles son los pasos básicos para agregar autenticación basada en wallet a mi app?

Integra un flujo de conexión de wallet, haz que el usuario firme un mensaje único, verifica esa firma en tu backend, y luego crea un token de sesión para que el usuario permanezca conectado sin tener que volver a firmar en cada solicitud.

¿Cómo prueba la firma de un mensaje que un usuario es dueño de una wallet?

La app envía un mensaje de desafío que solo puede firmar quien posee la clave privada de la wallet; luego la app verifica la firma con la dirección pública de la wallet para confirmar que el usuario controla esa dirección.

¿Debería usar social login, login con wallet, o ambos para la autenticación Web3?

Para audiencias comunes, empieza con social login y opcionalmente crea una wallet por detrás, mientras que las apps nativas de cripto suelen priorizar la conexión directa de wallet y pueden agregar social login como alternativa.

¿Cómo gestiono las sesiones después de que un usuario se autentica con una wallet?

Después de verificar el mensaje firmado, emite un token de sesión o cookie para las solicitudes posteriores a la API, de forma similar a las sesiones web tradicionales, para que los usuarios no necesiten firmar cada acción.

¿Qué son las embedded wallets y cómo mejoran la autenticación?

Las embedded wallets se integran directamente en las aplicaciones, permitiendo que los usuarios se autentiquen con métodos familiares como Google o Apple ID mientras se crea una wallet self-custodial por detrás. Esto elimina la necesidad de extensiones de navegador o de gestionar frases semilla.

¿Cómo hacen las passkeys que la autenticación Web3 sea más segura?

Las passkeys usan credenciales vinculadas al dispositivo y almacenadas en hardware seguro que nunca salen del dispositivo, son resistentes a ataques de phishing, y proveen autenticación biométrica sin compartir secretos con los servidores.

¿Qué es account abstraction y por qué importa para la autenticación?

Account abstraction habilita smart contract accounts que pueden patrocinar gas fees, agrupar transacciones e implementar funciones de seguridad programables como la recuperación social, eliminando muchas barreras que impiden la adopción masiva.

¿Debería patrocinar los gas fees para la autenticación de usuarios?

Sí, patrocinar los gas fees elimina una barrera importante para usuarios nuevos que no tienen cripto, permitiéndoles probar tu app sin necesitar comprar ETH primero.