Steve Gibson presentó a finales de 2013 o principios de 2014 el protocolo SQRL (Secure Quick Reliable Login), un sistema de autenticación web sin contraseñas basado en criptografía asimétrica: cada sitio recibía una identidad criptográfica distinta derivada de una maestra, lo que eliminaba contraseñas reutilizables y secretos almacenados en bases de datos, y reducía el valor del phishing. Aunque la propuesta era elegante y contaba con una comunidad fiel, no logró salir de ese círculo porque requería que navegadores, sistemas operativos, sitios web y usuarios se coordinaran al mismo tiempo, y eso nunca ocurrió.
Una década después, las passkeys (WebAuthn) ocupan ese mismo terreno, pero llegaron por otra vía: Apple, Google y Microsoft respaldaron estándares comunes y los integraron en sus plataformas, los navegadores adoptaron el soporte, los gestores de contraseñas siguieron el ritmo y los sitios web pudieron sumarse sin necesidad de convencer antes al usuario de instalar un sistema desconocido. La arquitectura difiere de SQRL —las passkeys crean credenciales separadas por servicio y pueden sincronizarse entre dispositivos, mientras que SQRL derivaba cada identidad de sitio de forma determinística desde una identidad maestra—, pero ambas parten de la misma premisa: las personas no deberían tener que recordar un secreto compartido para cada servicio.
El artículo no afirma una línea directa entre SQRL y el estándar FIDO, dado que la autenticación de clave pública es anterior, pero sí reconoce a Gibson el mérito de haber demostrado, con detalle técnico, cómo podía funcionar la autenticación web sin contraseñas años antes de que la industria estuviera lista para desplegarla a gran escala. La lección es de coordinación: el soporte simultáneo de los principales actores del software fue lo que permitió que las passkeys se convirtieran en una realidad práctica, no la falta de solidez criptográfica del protocolo original.