Qué es 2FA y cómo activarlo sin perder acceso
Autor: Redacción Domeny.ForSale Publicado
En pocas palabras: 2FA es la autenticación de dos factores: consiste en confirmar tu identidad al iniciar sesión mediante dos tipos distintos de protección, por ejemplo, una contraseña y un código de una aplicación del teléfono. Así, hacerse con la contraseña no suele bastar para acceder a la cuenta. Si el servicio permite elegir, da preferencia a una llave de seguridad o una aplicación de autenticación frente a los SMS y prepara desde el principio una forma de recuperar el acceso.
¿Cómo funciona 2FA y qué son los dos factores?
La autenticación comprueba que quien intenta iniciar sesión es quien dice ser. Una contraseña demuestra que conoces un secreto, pero alguien puede obtenerla mediante engaños, adivinarla o hacerse con ella en una filtración. 2FA añade un segundo tipo de comprobación independiente.
Los factores de autenticación se dividen en tres grupos básicos:
- Algo que sabes: por ejemplo, una contraseña o un PIN.
- Algo que tienes: por ejemplo, una llave de seguridad o un teléfono con una aplicación que genera códigos.
- Algo que eres: por ejemplo, una característica biométrica que se comprueba con un lector de huellas dactilares.
Una contraseña y la respuesta a una pregunta sobre el apellido de soltera de tu madre no constituyen una verdadera autenticación de dos factores: ambas medidas se basan en algo que sabes. Del mismo modo, completar dos pasos al iniciar sesión no implica utilizar dos factores distintos. MFA significa autenticación multifactor; 2FA es una variante que utiliza exactamente dos factores.
Por ejemplo, accedes al correo con tu contraseña y después introduces un código de la aplicación de autenticación. Quien haya obtenido esa contraseña a partir de una filtración de otro servicio no podrá iniciar sesión solo con ella: necesitará también el segundo factor o una forma de eludir las medidas de seguridad.
¿SMS, aplicación o llave de seguridad?
Los métodos de 2FA difieren en comodidad y resistencia a los ataques. Las opciones disponibles dependen del servicio, por lo que conviene consultar su documentación de seguridad actualizada antes de configurarlo.
| Método | Cómo funciona | Principal limitación |
|---|---|---|
| SMS | El servicio envía un código al número de teléfono. | Si alguien toma el control del número, por ejemplo, mediante la emisión no autorizada de una nueva tarjeta SIM, puede recibir los códigos. |
| Aplicación de códigos | La aplicación genera códigos de corta duración, normalmente según el estándar TOTP. | Una página de inicio de sesión falsa puede engañarte para que facilites el código. |
| Notificación en la aplicación | Apruebas una solicitud de inicio de sesión en el teléfono. | Aprobar por error un intento ajeno puede dar acceso al atacante. |
| Llave de seguridad FIDO2/WebAuthn | Confirmas el inicio de sesión con un dispositivo físico, por ejemplo, mediante USB o NFC. | Debes disponer de una forma alternativa de iniciar sesión por si pierdes la llave. |
TOTP es un código de un solo uso basado en el tiempo y en un secreto guardado durante la configuración. Una vez añadida la cuenta, la aplicación puede generar estos códigos sin internet ni cobertura móvil. Sin embargo, necesita que la hora del dispositivo esté correctamente ajustada.
Las llaves que funcionan con el estándar FIDO2/WebAuthn vinculan la autenticación al dominio correcto del servicio. Esto supone una ventaja importante frente a los códigos: una página falsa típica no puede utilizar esa confirmación para acceder a la cuenta real. Son una opción especialmente adecuada para el correo corporativo, el panel del registrador de dominios o las cuentas de administrador.
Si el servicio solo ofrece SMS, normalmente es mejor activarlo que utilizar únicamente una contraseña. Aun así, no consideres que todos los métodos son igual de seguros.
¿Frente a qué protege 2FA y qué no puede impedir?
2FA reduce el riesgo de que alguien tome el control de una cuenta cuando su contraseña queda expuesta. También ayuda cuando un delincuente prueba automáticamente en distintos servicios contraseñas procedentes de filtraciones. No obstante, no sustituye la necesidad de usar una contraseña única para cada cuenta.
El phishing, que consiste en hacerse pasar por un servicio de confianza para obtener datos mediante engaños, también puede dirigirse a los códigos de 2FA. Una página falsa puede pedirte la contraseña y el código vigente y después enviarlos al servicio real. Por eso, no facilites los códigos a un agente de atención al cliente, por mensaje ni en una página abierta desde un enlace sospechoso.
2FA tampoco protege frente a todas las consecuencias de una infección del dispositivo. El robo de una sesión activa —los datos que permiten al servicio recordar al usuario que ha iniciado sesión— puede evitar que el atacante tenga que volver a autenticarse. Sigue siendo necesario actualizar el sistema, tener cuidado al instalar extensiones y revisar las sesiones activas de la cuenta.
No apruebes una notificación de inicio de sesión si no has iniciado tú ese proceso. Una solicitud inesperada puede indicar que alguien conoce tu contraseña; accede por tu cuenta a la configuración de la cuenta y revisa su actividad.
¿Cómo activar 2FA sin perder el acceso?
Empieza por tu cuenta de correo principal, ya que a menudo se utiliza para restablecer las contraseñas de otros servicios. Después, protege el gestor de contraseñas, las cuentas financieras y los paneles que permiten gestionar la empresa, el dominio o el alojamiento web.
- Abre la configuración de seguridad de la cuenta. Busca opciones como «autenticación de dos factores», «verificación en dos pasos» o «MFA».
- Añade el método elegido. Si utilizas una aplicación, normalmente tendrás que escanear un código QR e introducir el código de confirmación generado. No compartas el código QR: contiene el secreto que permite generar los códigos posteriores.
- Guarda los códigos de recuperación. Son códigos de emergencia que sustituyen al segundo factor y suelen ser de un solo uso. Guárdalos en un lugar seguro al que puedas acceder aunque pierdas el teléfono, por ejemplo, impresos en un compartimento cerrado con llave.
- Añade un método de respaldo si el servicio lo permite. Puede ser una segunda llave de seguridad. Ten en cuenta que un método de emergencia menos seguro puede debilitar la protección de toda la cuenta.
- Prueba el inicio de sesión antes de terminar la configuración. Mantén abierta la sesión actual y haz una prueba en otra ventana de navegación privada.
Antes de cambiar de teléfono, consulta las instrucciones oficiales para transferir las cuentas de tu aplicación. No des por hecho que los códigos se transferirán junto con la tarjeta SIM. Elimina la configuración del dispositivo antiguo solo después de comprobar que puedes acceder desde el nuevo a todos los servicios importantes.
Lee también
