Verificación en dos pasos: qué es y cómo activarla

La verificación en dos pasos añade una segunda prueba a tu contraseña: un código, una notificación o una llave física. Si alguien consigue tu clave, todavía le falta algo que está en tus manos. Se activa en cinco minutos por cuenta y es lo que separa una filtración de un disgusto.

Qué es la verificación en dos pasos

La idea es vieja y funciona: para entrar necesitas algo que sabes —la contraseña— y algo que tienes —el móvil, una llave, una aplicación—. Con un solo factor, quien te roba la clave entra. Con dos, no.

Verás tres nombres para lo mismo: verificación en dos pasos, 2FA y autenticación multifactor. Las diferencias técnicas existen pero en la práctica, para lo que te interesa, son sinónimos.

Por qué la contraseña sola ya no basta

Las contraseñas se filtran constantemente y no por tu culpa: se filtran cuando una web que usaste hace años sufre un ataque. Después alguien prueba esa combinación de correo y contraseña en cientos de servicios de forma automática.

Con segundo factor activado, esas listas se vuelven inútiles contra ti. Es la razón por la que activarlo en el correo es más urgente que cambiar la contraseña: si tienes el correo protegido, casi nada más se puede recuperar sin ti. Si además usas un gestor de contraseñas, cierras el círculo entero.

Los métodos, del peor al mejor

No todos los segundos factores protegen igual. Este es el orden real:

Por qué el SMS es el peor de los buenos

Sigue siendo mucho mejor que nada, así que si un servicio solo ofrece SMS, actívalo. Pero tiene dos agujeros conocidos: el duplicado fraudulento de tarjeta SIM, en el que alguien convence a tu operadora de que te dé una SIM nueva, y el phishing en tiempo real, donde una web falsa te pide el código y lo usa al instante.

Regla práctica: si el servicio ofrece aplicación de códigos, elige la aplicación. Deja el SMS solo donde no haya alternativa.

Aplicaciones de códigos: el punto dulce

Generan un código de seis dígitos que cambia cada pocos segundos. No necesitan cobertura ni internet, porque el código se calcula a partir de una semilla y de la hora. Es el método que recomendamos por defecto: gratis, disponible en casi todas partes y sin depender de tu operadora.

Un detalle importante: si el reloj de tu móvil se desajusta, los códigos dejan de valer. Ten la hora en automático y te ahorras el susto.

Si solo vas a activarlo en una cuenta, que sea el correo. Desde ahí se recupera casi todo lo demás.

Llaves físicas: el único método a prueba de phishing

Una llave de seguridad es un dispositivo pequeño que conectas por USB o acercas por NFC. Lo que lo hace especial no es que sea físico, sino que la llave comprueba el dominio: en una web falsa, sencillamente no funciona. Ningún código puede decir eso.

Si gestionas cuentas de las que depende un negocio —el correo de la empresa, el hosting, las redes del cliente—, es una compra que se amortiza sola. Conviene tener dos y registrar las dos, para no quedarte fuera si pierdes una.

Passkeys: el segundo factor que ya no necesita contraseña

Una passkey es una clave criptográfica guardada en tu dispositivo y desbloqueada con huella, cara o PIN. Reemplaza la contraseña en lugar de complementarla, y como no hay nada que teclear, no hay nada que un atacante pueda copiar.

Su adopción avanza rápido, pero todavía no está en todos los servicios. Lo razonable es activarlas donde existan y mantener el segundo factor clásico en el resto.

Cómo activarlo, paso a paso

El menú cambia de nombre según el servicio, pero el camino es siempre el mismo:

1. Entra en los ajustes de tu cuenta y busca seguridad, inicio de sesión o verificación en dos pasos.
2. Elige el método. Si hay aplicación de códigos, esa.
3. Escanea el código QR con tu aplicación de autenticación.
4. Introduce el código que aparece para confirmar que todo cuadra.
5. Guarda los códigos de recuperación que te dé el servicio. Este paso no es opcional.

El proceso completo son cinco minutos por cuenta. Hazlo en tandas de tres o cuatro cuentas y en una semana lo tienes todo cubierto.

El orden en el que hay que activarlo

No todas las cuentas valen lo mismo. Este es el orden que seguimos nosotros y el que recomendamos a los clientes:

1. Correo principal, que es la llave maestra de todo lo demás.
2. Banca y pagos.
3. Gestor de contraseñas, si el tuyo lo permite.
4. Redes sociales y herramientas de trabajo desde las que se publica.
5. Hosting, dominios y panel de la web.
6. El resto, con calma.

Códigos de recuperación: no te saltes esto

Son códigos de un solo uso que te permiten entrar cuando pierdes el móvil o la llave. Es la diferencia entre un contratiempo y perder una cuenta para siempre.

Guárdalos donde puedas llegar sin ese dispositivo: impresos en un cajón, en una nota manuscrita, en una caja fuerte. Guardarlos únicamente dentro del gestor que también protege ese segundo factor es un círculo vicioso que se cierra en el peor momento.

Qué hacer si pierdes el móvil

Con los códigos de recuperación a mano, entras, revocas el dispositivo perdido y registras el nuevo. Sin ellos, toca pasar por los procesos de recuperación de cada servicio, que son lentos, invasivos y a veces no llegan a ninguna parte.

Truco que ahorra disgustos: registra dos métodos en las cuentas críticas. Aplicación de códigos y llave física, o aplicación en dos dispositivos distintos.

El error de aceptar notificaciones sin mirar

Las notificaciones push son cómodas, y ahí está el peligro: cuando aceptas por costumbre, un atacante que ya tenga tu contraseña solo tiene que insistir hasta que confirmes sin leer. Se conoce como fatiga de notificaciones y funciona más de lo que parece.

Si te llega una petición que no has provocado tú, no la aceptes y cambia la contraseña: significa que ya la tienen.

Lo que el segundo factor no arregla

No protege un dispositivo ya infectado, ni evita que entregues datos voluntariamente en una web falsa —salvo con llave física—, ni sustituye a tener el equipo al día. En la sección de privacidad y seguridad tienes el resto del trabajo, empezando por la comparativa de antivirus y por cómo crear una contraseña segura. Tampoco cubre un equipo infectado: si hay un programa espía leyendo lo que tecleas, el código lo captura igual, y para eso hace falta un antivirus a la altura.

Dicho lo cual: de todo lo que puedes hacer esta tarde para estar más seguro, esto es lo que más rinde. En Letaca es lo primero que pedimos cuando nos dan acceso a las cuentas de un cliente.

Cómo lo montamos nosotros

En un negocio pequeño, el punto de fallo casi nunca es la contraseña del community manager: es que las cuentas de las redes se comparten por chat y nadie sabe quién tiene acceso a qué. Cuando entramos a gestionar las redes de un cliente, lo primero que pedimos es que el propietario active el segundo factor en su cuenta y nos dé acceso como colaboradores, no su contraseña.

Es una diferencia enorme: el acceso de colaborador se revoca en un clic el día que dejamos de trabajar juntos, no obliga a cambiar ninguna clave y deja registro de quién publicó qué. Compartir la contraseña, en cambio, significa que el día que alguien se marcha hay que cambiarla en todas partes y avisar a todo el mundo.

Lo mismo vale para el hosting, el dominio y la plataforma de facturación. Todos los servicios serios permiten invitar usuarios con permisos limitados. Si un proveedor te pide la contraseña de tu cuenta en lugar de una invitación, esa es una señal, y no de las buenas.

Un plan realista para esta semana

Media hora el lunes: correo principal y banca. Media hora el miércoles: gestor de contraseñas, redes y herramientas de trabajo. Media hora el viernes: hosting, dominio y todo lo que quede. Al terminar, guarda todos los códigos de recuperación juntos en un sobre y anota en el calendario una revisión dentro de seis meses.

No hace falta más. Y a partir de ahí, cada vez que abras una cuenta nueva, actívalo el mismo día: cuesta dos minutos entonces y una tarde entera cuando ya tienes cincuenta cuentas sin proteger.

Preguntas frecuentes

Letaca — Agencia de marketing digital. Edición de vídeo, miniaturas, gestión de redes y herramientas online.