La autenticación en dos pasos (2FA, también llamada verificación en dos pasos) protege una cuenta pidiendo dos cosas distintas al iniciar sesión: algo que sabes, como tu contraseña, y algo que tienes, como un código de seis dígitos de una app de autenticación en tu móvil. Aunque alguien robe tu contraseña, no podrá entrar sin el segundo factor.
Es una de las medidas de seguridad más eficaces que puede tomar cualquier persona, y activarla suele llevar solo unos minutos. Esta guía explica cómo funciona la 2FA, qué métodos elegir y cómo evitar quedarte sin acceso a tus cuentas.
Por qué una contraseña sola no basta
Las contraseñas se filtran de muchas maneras. La gente reutiliza la misma contraseña en varios sitios, las webs sufren brechas de seguridad y las páginas de phishing engañan a los usuarios para que escriban sus datos de acceso en un formulario falso. Una vez que se conoce una contraseña, cualquiera puede probarla en tu correo, tus redes sociales o tu cuenta de una tienda online.
La 2FA añade un segundo cerrojo. Una contraseña robada ya no basta por sí sola, porque el atacante también necesita el código de tu dispositivo. Esto complica mucho bastantes robos de cuentas habituales, sobre todo los que se basan en contraseñas reutilizadas o filtradas.
Los principales tipos de segundo factor
No todos los segundos factores son igual de fuertes. Las opciones más comunes son:
- Apps de autenticación. Apps como Google Authenticator, Microsoft Authenticator y otras compatibles generan un código nuevo de seis dígitos cada 30 segundos. Los códigos se crean en tu móvil, así que no viajan por la red telefónica.
- Códigos por SMS. Recibes un código por mensaje de texto. Es mucho mejor que no tener 2FA, pero los SMS pueden interceptarse o desviarse, por ejemplo mediante el fraude de duplicado de SIM (SIM swapping), en el que un delincuente convence a la operadora para que pase tu número a su tarjeta SIM.
- Notificaciones push. Algunos servicios envían un aviso a una app de tu móvil preguntando "¿Eres tú?". Es cómodo, pero nunca apruebes un aviso que no esperabas.
- Llaves de seguridad y passkeys. Las llaves físicas o las passkeys guardadas en tu dispositivo están entre las opciones más fuertes, porque están diseñadas para resistir el phishing. La compatibilidad varía según el servicio.
Para la mayoría de las personas, una app de autenticación es una opción fuerte y práctica. Si un servicio solo ofrece SMS, actívalo igualmente. Sigue siendo una gran mejora frente a una contraseña sola.
Cómo funcionan las apps de autenticación
Cuando activas la 2FA con una app de autenticación, la web te muestra un código QR. Ese QR contiene una clave secreta. Lo escaneas una vez con tu app de autenticación y, a partir de ahí, tanto la app como la web usan ese secreto compartido y la hora actual para calcular el mismo código de seis dígitos.
Como el código cambia cada 30 segundos, uno que alguien vea por encima de tu hombro deja de servir poco después. Y como los códigos se calculan en tu móvil, la app funciona incluso sin conexión a internet.
Un detalle importante: el código QR de configuración es delicado. Cualquiera que lo escanee puede generar tus códigos. No hagas capturas de pantalla, no lo compartas y no lo dejes en pantalla donde otros puedan verlo.
Cómo activar la 2FA paso a paso
Los menús exactos cambian de un servicio a otro, pero el proceso suele ser el mismo:
- Instala una app de autenticación en tu móvil.
- Inicia sesión en la cuenta que quieres proteger y abre su configuración de seguridad.
- Busca "Autenticación en dos pasos", "Verificación en dos pasos" o "Inicio de sesión en dos pasos" y elige la opción de app de autenticación.
- Escanea con la app de autenticación el código QR que aparece en pantalla.
- Escribe el código de seis dígitos de la app para confirmar que funciona.
- Guarda los códigos de respaldo que te da el servicio (lo vemos en la siguiente sección).
- Cierra sesión y vuelve a entrar para comprobar que todo funciona.
Empieza por las cuentas más importantes: tu correo principal (porque sirve para restablecer otras contraseñas), la banca online, las redes sociales, el almacenamiento en la nube y cualquier cuenta que guarde datos de pago. En QR-TH puedes activar el inicio de sesión en dos pasos con una app de autenticación desde la configuración de tu cuenta, lo que impide que otra persona modifique tus códigos QR y tus enlaces cortos.
Códigos de respaldo: tu forma de volver a entrar
El problema más común con la 2FA no es un ataque. Es perder el móvil. Si te lo roban, se rompe, lo pierdes o lo cambias por otro, necesitas otra forma de iniciar sesión.
Para eso están los códigos de respaldo. La mayoría de los servicios te dan una lista de códigos de un solo uso al activar la 2FA. Cada código puede usarse una vez en lugar del código de la app.
Guárdalos en un lugar seguro:
- Imprímelos y guarda el papel en un sitio seguro de casa, o
- Guárdalos en un gestor de contraseñas de confianza, y
- No los tengas solo en el mismo móvil que tu app de autenticación.
Cada código de respaldo funciona una sola vez. Cuando uses uno, táchalo. Si te quedan pocos, la mayoría de los servicios te permiten generar una lista nueva, lo que anula la anterior.
Cambiar de móvil sin quedarte fuera
Antes de restablecer, vender o entregar tu móvil antiguo, pasa los códigos de autenticación al nuevo. Algunas apps de autenticación ofrecen una función de transferencia o de copia de seguridad en la nube; otras exigen volver a configurar la 2FA en cada cuenta.
Una forma segura de hacerlo:
- Mantén el móvil antiguo operativo hasta confirmar todas las cuentas en el nuevo.
- En las cuentas que no se puedan transferir, inicia sesión, desactiva la 2FA, vuelve a activarla y escanea el nuevo código QR con el teléfono nuevo.
- Prueba cada cuenta antes de borrar el dispositivo antiguo.
Errores habituales con la 2FA
- Compartir códigos. Ningún banco, tienda o servicio de atención al cliente legítimo te pedirá que le leas un código de 2FA. Quien te lo pida es, casi seguro, un estafador.
- Aprobar avisos inesperados. Si recibes una solicitud de inicio de sesión que no has iniciado tú, recházala y cambia la contraseña.
- Escribir códigos en páginas a las que llegaste desde un enlace en un mensaje. Las webs de phishing también pueden pedirte el código. Entra directamente en la web.
- Saltarte los códigos de respaldo. Guardarlos lleva un minuto y puede ahorrarte días de recuperación de cuenta.
Para protegerte más en el día a día, lee nuestros consejos de seguridad para el móvil y aprende a detectar las estafas con códigos QR que intentan robar datos de acceso.
Preguntas frecuentes
¿De verdad hace falta la autenticación en dos pasos?
Para cuentas importantes como el correo, la banca y las redes sociales, sí. Bloquea muchos ataques que se basan en contraseñas robadas o reutilizadas.
¿Es más segura una app de autenticación que el SMS?
En general, sí. Los códigos de una app de autenticación se generan en tu móvil, mientras que los SMS pueden interceptarse o desviarse mediante un duplicado de SIM. Aun así, el SMS es mejor que no tener 2FA.
¿Qué pasa si pierdo el móvil?
Usa uno de tus códigos de respaldo para iniciar sesión y vuelve a configurar la 2FA en tu nuevo teléfono. Sin códigos de respaldo, tendrás que pasar por el proceso de recuperación de cuenta del servicio.
¿Pueden entrar en mi cuenta si tienen mi código de 2FA?
Un código solo es válido durante poco tiempo, pero un estafador que te engañe para que se lo des en ese momento podría usarlo. No compartas nunca tus códigos con nadie.
La autenticación en dos pasos se activa en unos minutos y hace que tus cuentas sean mucho más difíciles de asaltar. Actívala hoy en tu correo y tu banca, y después protege tu cuenta de QR-TH con el inicio de sesión en dos pasos. Encontrarás más información en nuestras preguntas frecuentes.