Qué es la autenticación en dos pasos
La autenticación de dos factores (2FA o MFA en su forma multifactor más amplia) es un sistema que exige al usuario presentar dos pruebas independientes para iniciar sesión: algo que sabe (la contraseña) y algo que tiene (un código generado en su móvil, una llave física, un mensaje a su teléfono) o algo que es (biometría).
Su efecto es desproporcionadamente útil: aunque un atacante consiga tu contraseña a través de una filtración o un phishing, no puede entrar sin el segundo factor. Estudios de las grandes plataformas han mostrado que activar 2FA bloquea más del 99 % de los intentos automatizados de toma de cuentas. Es probablemente la mejora de seguridad con mejor relación coste/beneficio que un usuario puede aplicar.
Ejemplos de autenticación de dos factores
Probablemente ya usas 2FA a diario sin llamarlo así. Estos son ejemplos cotidianos:
- Cajero automático: la tarjeta (algo que tienes) más el PIN (algo que sabes).
- Banca online: tu contraseña más la confirmación en la app del banco o un código por SMS. En la Unión Europea es obligatorio por la directiva PSD2.
- Compras con tarjeta en internet: introduces los datos de la tarjeta y apruebas el pago en el móvil (3D Secure).
- Google, Microsoft o Apple: contraseña más una notificación «¿Eres tú quien intenta iniciar sesión?» en tu teléfono.
- Redes sociales y correo: contraseña más un código de seis dígitos de una app autenticadora.
- Trabajo y administración de sistemas: contraseña más una llave de seguridad USB o NFC.
2FA, MFA, verificación en dos pasos: ¿es lo mismo?
En la práctica, casi. 2FA (autenticación de dos factores) exige exactamente dos factores de tipos distintos. MFA (autenticación multifactor) es el término general: dos o más factores. Verificación en dos pasos es el nombre comercial que usan Google, WhatsApp o Microsoft; técnicamente, un segundo paso que sea «otra cosa que sabes» (como un PIN además de la contraseña) no es un segundo factor real, pero en el uso cotidiano los tres nombres se usan como sinónimos.
Tipos de segundo factor
Aplicación TOTP
Una app genera códigos numéricos que cambian cada 30 segundos a partir de una clave secreta compartida al activar 2FA. Ejemplos genéricos: apps abiertas tipo Aegis o Ente Auth.
RecomendadoLlave física (FIDO2/WebAuthn)
Un dispositivo USB o NFC que firma criptográficamente cada inicio de sesión. Resistente al phishing porque solo funciona en el dominio real.
Más seguroSMS
Un código de un solo uso enviado por mensaje al móvil. Mejor que nada, pero vulnerable a intercambio de SIM y a interceptación del operador.
Solo si no hay otraHay otros métodos en uso: códigos por correo electrónico (no son un segundo factor real si la cuenta de correo no está bien protegida), aprobación por notificación push dentro de la app del servicio, y biometría en dispositivos como huella o reconocimiento facial. La biometría se considera generalmente un sustituto del primer factor (la contraseña) más que un segundo factor independiente.
Cómo funcionan los códigos de las apps autenticadoras
Cuando activas 2FA con una app, el servicio te muestra un código QR. Ese QR contiene una clave secreta que se guarda en tu móvil y en el servidor. A partir de ahí, ambos calculan el mismo código de seis dígitos combinando la clave con la hora actual (algoritmo TOTP, estándar RFC 6238). Por eso la app funciona sin conexión a internet y el código cambia cada 30 segundos.
Generado en tu navegador con una clave aleatoria de ejemplo. No la uses para ninguna cuenta real.
Algunas consecuencias prácticas:
- El reloj del móvil debe estar en hora. Si el código «no funciona», activa la hora automática del teléfono.
- Los códigos no siguen un ciclo. Con solo un millón de combinaciones, un número puede repetirse por casualidad algún día, pero es imposible predecir el siguiente sin la clave secreta.
- La clave secreta es lo valioso. Nunca compartas el QR ni la clave de texto, y nunca dictes un código a nadie que te llame: ningún servicio legítimo te lo pedirá.
Cómo activar 2FA paso a paso
Proceso típico (5-10 minutos por cuenta)
- Entra en la configuración de seguridad.Accede a la sección de seguridad, privacidad o cuenta del servicio que quieres proteger. Suele estar en el icono de perfil o en los ajustes.
- Busca «verificación en dos pasos».También aparece como 2FA, autenticación multifactor, doble autenticación, autenticación en dos pasos o login en dos pasos.
- Elige el método.Recomendación: app TOTP o llave física. SMS solo si no hay alternativa.
- Configura el método.Si es una app, escanea el código QR que muestra el servicio. Si es una llave física, conéctala y púlsala. Confirma con un código de prueba.
- Guarda los códigos de respaldo.El servicio te dará entre 8 y 10 códigos de un solo uso. Imprímelos, guárdalos en tu gestor de contraseñas o en un sitio físico seguro. Son tu seguro de vida si pierdes el segundo factor.
Cómo activar la verificación en dos pasos en los servicios más usados
Los menús cambian con frecuencia, pero estas rutas te llevan al sitio correcto:
| Servicio | Dónde está |
|---|---|
| Google / Gmail | myaccount.google.com → Seguridad → Verificación en 2 pasos |
| Apple (ID de Apple) | Ajustes → tu nombre → Inicio de sesión y seguridad → Autenticación de doble factor |
| Microsoft / Outlook | account.microsoft.com → Seguridad → Opciones de seguridad avanzadas → Verificación en dos pasos |
| Ajustes → Cuenta → Verificación en dos pasos → Activar (crea un PIN de 6 dígitos) | |
| Instagram y Facebook | Centro de cuentas → Contraseña y seguridad → Autenticación en dos pasos |
| Amazon | Tu cuenta → Inicio de sesión y seguridad → Verificación en dos pasos |
| TikTok | Perfil → Menú → Ajustes y privacidad → Seguridad → Verificación en 2 pasos |
| X (Twitter) | Configuración → Seguridad y acceso a la cuenta → Seguridad → Autenticación en dos fases |
Usar 2FA en el ordenador con el móvil
La 2FA no te obliga a entrar desde el móvil. Inicias sesión en el ordenador como siempre y, cuando aparece la pantalla del segundo paso, miras el código en la app del teléfono o apruebas la notificación. Para no depender del móvil, puedes registrar además una llave física, una passkey en el propio ordenador o usar un gestor de contraseñas que genere códigos TOTP. Lee más sobre qué son las passkeys y sobre cómo elegir una llave física.
Dónde activarlo primero
Si vas a activar 2FA en pocos sitios, empieza por las cuentas críticas. El orden recomendado:
- Correo electrónico principal. Es la llave maestra de todas tus demás cuentas (porque por ahí pasan los enlaces de «restablecer contraseña»).
- Gestor de contraseñas, si lo usas.
- Banca y plataformas financieras.
- Almacenamiento en la nube (Drive, iCloud, etc.).
- Redes sociales y mensajería (WhatsApp tiene su propia verificación en dos pasos).
- Tiendas online donde tengas tarjeta guardada.
Qué hacer si pierdes el segundo factor
El escenario que más asusta a quien activa 2FA por primera vez: «¿y si me quedo sin el móvil donde tenía la app?». Hay varias salidas, en orden de preferencia:
- Códigos de respaldo: si los guardaste al activar 2FA, introduces uno en lugar del código de la app y entras sin problema.
- Segunda llave física o segundo dispositivo: la práctica más sólida es tener dos métodos activos, por ejemplo dos llaves físicas (una de uso diario, otra guardada en casa) o una app TOTP sincronizada en dos dispositivos.
- Recuperación del proveedor: la mayoría de los servicios tienen un proceso de verificación de identidad para recuperar el acceso. Suele tardar varios días y requerir documentación.
Cambiar de móvil sin perder el acceso
Antes de formatear o vender el teléfono antiguo, transfiere las cuentas: muchas apps autenticadoras tienen una opción de exportar o de copia de seguridad cifrada, y las de Google y Microsoft sincronizan con tu cuenta. Comprueba en el móvil nuevo que los códigos funcionan antes de borrar el viejo. Si una cuenta no se transfiere, desactiva y vuelve a activar la 2FA en ese servicio desde el móvil nuevo.
Cuidado con los falsos avisos de «activa tu 2FA»
La verificación en dos pasos solo se activa desde dentro de la cuenta, con la sesión iniciada. Si recibes un correo, SMS o llamada que te pide activar o «verificar» la 2FA a través de un enlace, o que le dictes un código, es phishing. Entra tú mismo en la web o app oficial escribiendo la dirección.
2FA y phishing: lo que sí y lo que no protege
Un detalle importante: el 2FA por SMS o app TOTP no es resistente al phishing avanzado. Si un atacante te lleva a una página falsa que imita perfectamente la real, puedes introducir contraseña y código TOTP, y el atacante los reenvía en tiempo real al sitio legítimo. El único método que detiene esto es la llave física FIDO2/WebAuthn, que solo firma para el dominio correcto.
Para usuarios habituales, una app TOTP cubre el 99 % de las amenazas. Si gestionas cuentas de alto riesgo (administración de sistemas, criptomonedas, periodismo sensible), considera saltar directamente a una llave física.
2FA y contraseñas: no son sustitutos
El 2FA refuerza la contraseña, no la reemplaza. Una clave débil con 2FA sigue siendo una mala práctica: el atacante puede explotar el primer factor en otros contextos (reutilización, filtraciones, ingeniería social). La combinación correcta es contraseñas únicas y largas guardadas en un gestor, más 2FA en todas las cuentas que lo permitan.
Preguntas frecuentes sobre la autenticación en dos pasos
¿Qué es la autenticación de dos factores (2FA)?
Es un sistema de inicio de sesión que pide dos pruebas de identidad de tipos distintos: algo que sabes (tu contraseña) y algo que tienes (el móvil, una llave física) o algo que eres (huella, cara). Aunque alguien robe tu contraseña, no puede entrar sin el segundo factor.
¿Qué ejemplos de autenticación de dos factores hay?
Sacar dinero del cajero (tarjeta + PIN), entrar en Gmail con contraseña y confirmar en el móvil, pagar online con tarjeta y aprobar la compra en la app del banco, o iniciar sesión con contraseña más un código de seis dígitos de una app autenticadora o una llave de seguridad USB.
¿Los códigos de las apps 2FA se repiten?
Los códigos TOTP cambian cada 30 segundos y se calculan a partir de una clave secreta y la hora actual. Como solo hay un millón de combinaciones de seis dígitos, un mismo código puede volver a salir algún día por pura casualidad, pero no siguen un ciclo predecible y cada uno solo es válido durante su ventana de tiempo.
¿Puedo usar la autenticación en dos pasos desde el ordenador?
Sí. Inicias sesión en el ordenador y, cuando te pida el segundo factor, abres la app autenticadora en el móvil y escribes el código, o apruebas la notificación. También puedes usar una llave física USB/NFC, una passkey guardada en el propio ordenador o un gestor de contraseñas con soporte TOTP.
¿Se puede activar la verificación en dos pasos sin entrar en la cuenta?
No. Por seguridad, la 2FA solo se activa desde dentro de la cuenta, con la sesión iniciada. Si un correo o un mensaje te pide «activar 2FA» a través de un enlace o te solicita un código que no has pedido, probablemente sea phishing.
¿Qué hago si cambio de móvil o pierdo la app autenticadora?
Antes de cambiar de móvil, exporta o transfiere las cuentas de tu app autenticadora o comprueba que tiene copia de seguridad cifrada. Si ya perdiste el teléfono, entra con un código de respaldo y vuelve a configurar la 2FA; sin códigos, tendrás que usar el proceso de recuperación de cada servicio.
¿La 2FA es obligatoria en los bancos?
En la Unión Europea, la directiva de servicios de pago PSD2 exige la autenticación reforzada de clientes (SCA) para acceder a la banca online y para la mayoría de los pagos con tarjeta en internet. Por eso tu banco te pide confirmar en su app o con un código.