Descripción: Qué opciones reales existen frente al PIN de Windows Hello: cambios de seguridad de 2026, sesiones persistentes, API oficiales y WebAuthn virtual.
Has automatizado todo, salvo tu turno de PIN
El navegador pulsa Iniciar sesión y rellena el formulario. Justo al terminar, Windows pregunta por el PIN. El robot iba a trabajar toda la noche, pero acabas de ser contratado como su operador humano.
Respuesta: no hay un método estándar y fiable para que un script normal confirme sin intervención un passkey ya almacenado en Windows Hello. Sí puedes reducir las verificaciones reutilizando una sesión autorizada, usando una API oficial o registrando otra credencial virtual cuando el servicio lo permita.[1][2][3]
El PIN no es una contraseña del sitio
Windows Hello protege una clave privada en el dispositivo. El PIN, la cara o la huella confirman a la persona para que la clave firme la solicitud del sitio. Los números no se envían a la web como una contraseña.[1][4] Por eso controlar un formulario HTML es distinto de controlar el diálogo de seguridad de Windows. El bot llega hasta el portero y se queda sin pase.
El cambio de enero de 2026
Microsoft documentó restricciones a la entrada automatizada o remota no confiable en interfaces de credenciales, introducidas desde el 13 de enero de 2026. Un teclado físico local y determinadas aplicaciones privilegiadas no reciben el mismo trato que las pulsaciones simuladas.[5]
Power Automate Desktop también presentó problemas con algunos cuadros de credenciales. Probar Chrome o Firefox en vez de Edge es una recomendación para ese fallo concreto, no una garantía de que todos los PIN de Windows Hello puedan aprobarse automáticamente.[6]
Cinco alternativas
Reutilizar la sesión: inicia sesión de verdad una vez y conserva el estado permitido. Playwright guarda cookies y otros datos de autenticación. Al vencer la sesión o pedir una verificación adicional, vuelve a intervenir una persona. No publiques esos archivos en GitHub.[2]
API oficial: cuando existe autenticación dedicada para programas, suele ser mejor que automatizar clics. El requisito de passkey en la web no determina todas las reglas de la API.
WebAuthn virtual: Chrome DevTools y Playwright permiten registrar y usar passkeys simulados, especialmente para pruebas. No extraen la clave privada que ya guarda Windows Hello. Un sitio real debe permitir registrar otra credencial y la automatización.[7][3]
Cara o huella: eliminan la escritura del PIN, pero no la presencia humana.[4]
Teclas simuladas: AutoHotkey, PowerShell o un dispositivo USB pueden chocar con las protecciones del diálogo. Guardar el PIN en texto claro añade riesgo.[5]
Qué probar primero
Para tareas repetidas, consulta la persistencia de sesión. Para trabajo continuo, busca una API. Para tu propia web, usa un autenticador virtual. Si un tercero exige verificación humana, programa una pausa y un aviso. Comprueba tras reiniciar, al caducar la sesión y antes de acciones sensibles.
Final
No se trata de enseñarle cuatro cifras al robot, sino de escoger una entrada que admita automatización. De otro modo, la máquina más moderna del mundo sigue necesitando un empleado de guardia para escribir el PIN.
- Microsoft Learn: Support for Passkeys in Windows learn.microsoft.com
- Playwright: Authentication and session state playwright.dev
- Playwright: Virtual WebAuthn credentials playwright.dev
- Microsoft Learn: Passkey verification on Windows learn.microsoft.com
- Microsoft Support: Credential autofill restrictions, Windows January 2026 update support.microsoft.com
- Microsoft Learn: Power Automate desktop Windows credential dialog issues learn.microsoft.com
- Chrome for Developers: Emulate WebAuthn authenticators developer.chrome.com
