¿Cómo activar la verificación en dos pasos?
Le explicamos paso a paso cómo activar la verificación en dos pasos en el correo, las redes sociales y los paneles de administración, cómo elegir el método adecuado y cómo guardar los códigos de respaldo.
Aurora YazılımEquipo editorial
6 min de lectura
La verificación en dos pasos se activa en los ajustes de seguridad de la cuenta: entre en el menú Seguridad o Contraseña y seguridad, active la opción 2FA y elija como método una app de autenticación, una llave de seguridad o SMS. Después escanee el código QR con la app, introduzca el código de seis dígitos y guarde en un lugar seguro los códigos de respaldo que se le faciliten.
¿Qué es la verificación en dos pasos?
La verificación en dos pasos (2FA) consiste en pedir una segunda prueba, además de la contraseña, al entrar en una cuenta. La contraseña es algo que usted sabe; el segundo paso es algo que usted tiene: una app en su teléfono, una llave de seguridad en su bolsillo o un código que se le envía.
Esta estructura impide que el atacante entre solo en la cuenta aunque su contraseña caiga en una filtración de datos. El atacante conoce la contraseña, pero no tiene su teléfono. Por eso el 2FA se considera hoy una de las medidas más eficaces para proteger una cuenta.
La respuesta corta a qué es el 2FA: un segundo candado añadido a la contraseña. Pero no todos los candados tienen la misma fuerza; el método que elija determina el nivel real de protección.
¿Qué método de verificación es más seguro?
La mayoría de los servicios ofrece varios segundos pasos. La diferencia entre ellos es lo fácil que le resulta a un atacante imitar ese paso. La tabla siguiente compara los métodos más habituales según su nivel general de seguridad.
| Método | Cómo funciona | Nivel de seguridad |
|---|---|---|
| Código por SMS | Llega un código de un solo uso al número de teléfono | Básico; expuesto a la clonación de SIM y al desvío de códigos |
| App de autenticación | La app genera un código nuevo cada 30 segundos | Bueno; funciona sin internet y no depende del número |
| Notificación de la app | Usted pulsa la solicitud de aprobación que llega al teléfono | Bueno; arriesgado si se aprueba a ciegas |
| Llave de seguridad / passkey | Llave física o biometría del dispositivo | El más alto; resistente al phishing |
¿Cómo configurar una app de autenticación?
Una app de autenticación es una aplicación móvil que genera códigos de un solo uso basados en el tiempo (TOTP). Google Authenticator, Microsoft Authenticator y otras apps similares usan el mismo estándar abierto; es decir, da igual cuál elija para un servicio.
La lógica de la configuración es la misma en todos los servicios y lleva unos minutos:
- Descargue en su teléfono una app de autenticación desde la tienda oficial.
- En los ajustes de seguridad de la cuenta que quiere proteger, active la opción 2FA y elija la app como método.
- Escanee con la app el código QR que aparece en pantalla; en la app aparecerá una línea de código con el nombre de la cuenta.
- Introduzca en el servicio el código de seis dígitos que muestra la app para verificar el emparejamiento.
- Descargue o imprima los códigos de respaldo que le da el servicio y guárdelos en un lugar distinto del teléfono.
2FA en cuentas de correo
La cuenta de correo es la llave maestra de todas las demás cuentas. Los enlaces de restablecimiento de contraseña llegan allí; quien se apodera del correo puede acceder en cadena a las redes sociales, los avisos del banco y los paneles de administración. Por eso el correo es el primer lugar donde activar el 2FA.
Gmail y cuenta de Google
Entre en la sección Seguridad de su cuenta de Google y active la verificación en dos pasos. Google ofrece notificación en el teléfono, app de autenticación, llave de seguridad y passkey. Los pasos detallados y actualizados están en la página de ayuda de la cuenta de Google.
Outlook y correo corporativo
En las cuentas de Microsoft, la verificación en dos pasos se activa desde el panel de seguridad y se recomienda Microsoft Authenticator. En el correo corporativo con su propio dominio, lo más sensato es hacer obligatorio el 2FA no cuenta por cuenta, sino desde el panel de administración para todos los usuarios. Así el descuido de un solo empleado no deja expuesta a toda la empresa.
Verificación en dos pasos en Instagram
Las cuentas de Instagram y Facebook se gestionan ahora desde el Centro de cuentas. Los nombres de los menús pueden variar un poco según la versión de la app, pero el camino suele ser este:
- En su perfil, entre en Configuración y privacidad desde el menú de arriba a la derecha.
- En Centro de cuentas, abra la opción Contraseña y seguridad.
- En la línea de autenticación en dos pasos, elija la cuenta que quiere proteger.
- Elija como método la app de autenticación, escanee el código QR e introduzca el código.
- Guarde los códigos de respaldo que se le muestran.
Proteger las cuentas de redes sociales
En las cuentas de empresa el riesgo es mayor que en las personales; una base de seguidores acumulada durante años y la cuenta publicitaria pueden perderse en una sola sesión. Incluso con la verificación en dos pasos de Instagram activada, abundan las trampas que piden datos de acceso con mensajes de falsa infracción de derechos de autor o de falsa insignia de verificación. Explicamos con ejemplos cómo reconocer este tipo de mensajes en nuestro artículo qué es el phishing.
Si trabaja con una agencia o con compañeros de equipo, en lugar de compartir contraseñas utilice el sistema de roles y permisos de las plataformas. Herramientas como Meta Business Manager permiten dar a cada persona no toda la cuenta, sino solo el permiso que necesita. Un equipo que se encargue de la gestión profesional de redes sociales también debería trabajar con este esquema.
2FA en paneles de administración
El panel de administración de su web, los pedidos de su tienda de e-commerce, su cuenta de dominio y de hosting, el software de su hotel o restaurante: cada uno de ellos es una puerta al corazón del negocio. En un sitio cuya contraseña de panel cae en manos ajenas, se puede cambiar el contenido, leer datos de clientes o trasladar el dominio a otra persona.
El registrador de dominios y la cuenta de hosting son los dos puntos más descuidados; si en ellos no está activado el 2FA, todas las demás medidas se debilitan. La misma regla vale para el software de empresa y las soluciones que utilice: cada usuario debe tener su propia cuenta y su propio segundo paso.
Si desarrolla su propio software, incorporar el 2FA desde el diseño es mucho más fácil que añadirlo después. Una plataforma e-commerce segura o un panel corporativo debe limitar los intentos de acceso, cerrar las sesiones por tiempo y avisar de los accesos sospechosos.
Códigos de respaldo y errores frecuentes
El mayor riesgo del 2FA, más que el atacante, es quedarse fuera de su propia cuenta. Cuando el teléfono se pierde, se estropea o cambia de número, los códigos de respaldo pueden ser la única salvación. Estos son los errores más habituales:
- Guardar los códigos de respaldo dentro del teléfono, es decir, en el dispositivo que puede perderse.
- Confiar solo en el SMS en todas las cuentas y no mantener actualizado el número.
- Pulsar sin pensar cada notificación de aprobación; si no ha iniciado usted la solicitud, rechácela.
- Confiar en el 2FA con una contraseña débil o repetida y no cambiarla nunca.
- Olvidar eliminar el registro de 2FA vinculado al dispositivo de un empleado cuando deja la empresa.
El siguiente paso tras el 2FA: passkey
Los códigos de la app de autenticación son fuertes, pero no son del todo inmunes al phishing; una página falsa también puede pedir el código. Las passkey y las llaves de seguridad, en cambio, solo funcionan en el dominio real, por lo que eliminan este riesgo en gran medida. Explicamos su lógica en el artículo qué es una passkey.
Aun así, el 2FA por sí solo no basta; la base siguen siendo las contraseñas únicas y largas. Explicamos cómo generar una contraseña distinta para cada cuenta con un gestor de contraseñas en nuestra guía de cómo crear una contraseña segura. Puede encontrar el resto de nuestros artículos de seguridad en la etiqueta ciberseguridad.
La seguridad de su sitio web no se limita al acceso; el software actualizado, el SSL, las copias de seguridad y la configuración del servidor también exigen un seguimiento constante. Estas capas se abordan junto con el servidor y la infraestructura en el trabajo de velocidad y rendimiento.
Preguntas frecuentes
01¿Es mejor la verificación por SMS que nada?
Sí. El código por SMS supone un obstáculo adicional apreciable frente a una cuenta protegida solo con contraseña. Pero, por los riesgos de clonación de SIM y de desvío de códigos, si hay opción elija una app de autenticación o una passkey.
02¿Qué pasa si pierdo el teléfono con la app de autenticación?
Puede iniciar sesión con los códigos de respaldo que guardó durante la configuración y registrar el teléfono nuevo. Si no tiene códigos de respaldo, tendrá que acudir al proceso de recuperación de cuenta del servicio; este proceso pide verificar la identidad y puede tardar días.
03¿Tengo que introducir un código en cada inicio de sesión?
No. La mayoría de los servicios ofrece la opción de recordar el dispositivo de confianza; en ese dispositivo el código solo se pide cada cierto tiempo o ante una situación sospechosa. No marque esta opción en ordenadores compartidos.
04¿Se puede hacer obligatorio el 2FA para los empleados de la empresa?
Sí. El correo corporativo y muchos programas de empresa permiten al administrador hacer obligatorio el 2FA para todos los usuarios. Compartir una breve guía de configuración antes de anunciar la obligación facilita la transición.
Active hoy la verificación en dos pasos, primero en su correo y después en sus redes sociales, su dominio y sus paneles de administración; este trabajo de unos minutos cierra la vía más frecuente de pérdida de cuentas. Si desea diseñar una estructura de acceso seguro para la web, la tienda y los paneles de su empresa, puede consultar las soluciones de software de Aurora o ponerse en contacto con nosotros a través de la página de contacto.
