Qué es la autenticación en dos pasos
La autenticación de dos factores (2FA o MFA en su forma multifactor más amplia) es un sistema que exige al usuario presentar dos pruebas independientes para iniciar sesión: algo que sabe (la contraseña) y algo que tiene (un código generado en su móvil, una llave física, un mensaje a su teléfono) o algo que es (biometría).
Su efecto es desproporcionadamente útil: aunque un atacante consiga tu contraseña a través de una filtración o un phishing, no puede entrar sin el segundo factor. Estudios de las grandes plataformas han mostrado que activar 2FA bloquea más del 99 % de los intentos automatizados de toma de cuentas. Es probablemente la mejora de seguridad con mejor relación coste/beneficio que un usuario puede aplicar.
Tipos de segundo factor
Aplicación TOTP
Una app genera códigos numéricos que cambian cada 30 segundos a partir de una clave secreta compartida al activar 2FA. Ejemplos genéricos: apps abiertas tipo Aegis o Ente Auth.
RecomendadoLlave física (FIDO2/WebAuthn)
Un dispositivo USB o NFC que firma criptográficamente cada inicio de sesión. Resistente al phishing porque solo funciona en el dominio real.
Más seguroSMS
Un código de un solo uso enviado por mensaje al móvil. Mejor que nada, pero vulnerable a intercambio de SIM y a interceptación del operador.
Solo si no hay otraHay otros métodos en uso: códigos por correo electrónico (no son un segundo factor real si la cuenta de correo no está bien protegida), aprobación por notificación push dentro de la app del servicio, y biometría en dispositivos como huella o reconocimiento facial. La biometría se considera generalmente un sustituto del primer factor (la contraseña) más que un segundo factor independiente.
Cómo activar 2FA paso a paso
Proceso típico (5-10 minutos por cuenta)
- Entra en la configuración de seguridad.Accede a la sección de seguridad, privacidad o cuenta del servicio que quieres proteger. Suele estar en el icono de perfil o en los ajustes.
- Busca «verificación en dos pasos».También aparece como 2FA, autenticación multifactor, doble autenticación, autenticación en dos pasos o login en dos pasos.
- Elige el método.Recomendación: app TOTP o llave física. SMS solo si no hay alternativa.
- Configura el método.Si es una app, escanea el código QR que muestra el servicio. Si es una llave física, conéctala y púlsala. Confirma con un código de prueba.
- Guarda los códigos de respaldo.El servicio te dará entre 8 y 10 códigos de un solo uso. Imprímelos, guárdalos en tu gestor de contraseñas o en un sitio físico seguro. Son tu seguro de vida si pierdes el segundo factor.
Dónde activarlo primero
Si vas a activar 2FA en pocos sitios, empieza por las cuentas críticas. El orden recomendado:
- Correo electrónico principal. Es la llave maestra de todas tus demás cuentas (porque por ahí pasan los enlaces de «restablecer contraseña»).
- Gestor de contraseñas, si lo usas.
- Banca y plataformas financieras.
- Almacenamiento en la nube (Drive, iCloud, etc.).
- Redes sociales y mensajería (WhatsApp tiene su propia verificación en dos pasos).
- Tiendas online donde tengas tarjeta guardada.
Qué hacer si pierdes el segundo factor
El escenario que más asusta a quien activa 2FA por primera vez: «¿y si me quedo sin el móvil donde tenía la app?». Hay varias salidas, en orden de preferencia:
- Códigos de respaldo: si los guardaste al activar 2FA, introduces uno en lugar del código de la app y entras sin problema.
- Segunda llave física o segundo dispositivo: la práctica más sólida es tener dos métodos activos, por ejemplo dos llaves físicas (una de uso diario, otra guardada en casa) o una app TOTP sincronizada en dos dispositivos.
- Recuperación del proveedor: la mayoría de los servicios tienen un proceso de verificación de identidad para recuperar el acceso. Suele tardar varios días y requerir documentación.
2FA y phishing: lo que sí y lo que no protege
Un detalle importante: el 2FA por SMS o app TOTP no es resistente al phishing avanzado. Si un atacante te lleva a una página falsa que imita perfectamente la real, puedes introducir contraseña y código TOTP, y el atacante los reenvía en tiempo real al sitio legítimo. El único método que detiene esto es la llave física FIDO2/WebAuthn, que solo firma para el dominio correcto.
Para usuarios habituales, una app TOTP cubre el 99 % de las amenazas. Si gestionas cuentas de alto riesgo (administración de sistemas, criptomonedas, periodismo sensible), considera saltar directamente a una llave física.
2FA y contraseñas: no son sustitutos
El 2FA refuerza la contraseña, no la reemplaza. Una clave débil con 2FA sigue siendo una mala práctica: el atacante puede explotar el primer factor en otros contextos (reutilización, filtraciones, ingeniería social). La combinación correcta es contraseñas únicas y largas guardadas en un gestor, más 2FA en todas las cuentas que lo permitan.