Verificación en dos pasos: qué opciones existen y cuál conviene activar
Las contraseñas se filtran, se adivinan o se roban mediante engaños. Por muy buena que sea una clave, siempre existe la posibilidad de que acabe en manos ajenas. La verificación en dos pasos añade una segunda barrera: aunque alguien conozca tu contraseña, no podrá entrar sin algo más que solo tú tienes.
Activarla es una de las medidas de seguridad más eficaces que puede tomar cualquier usuario, y apenas lleva unos minutos por cuenta. Sin embargo, no todas las opciones ofrecen el mismo nivel de protección. Repasamos cómo funciona cada una y cuál conviene elegir.
Qué es la verificación en dos pasos
También llamada autenticación de dos factores o 2FA, consiste en pedir dos pruebas distintas para confirmar tu identidad al iniciar sesión. Normalmente se combinan dos de estas categorías:
- Algo que sabes: una contraseña o un PIN.
- Algo que tienes: el móvil, una llave de seguridad física o una tarjeta de coordenadas.
- Algo que eres: la huella dactilar o el reconocimiento facial.
La idea es que robar dos elementos de naturaleza distinta es mucho más difícil que robar solo una contraseña. Muchos servicios solo piden el segundo factor al entrar desde un dispositivo nuevo, de modo que en el día a día apenas se nota.
Las opciones más habituales
| Método | Cómo funciona | Nivel de protección |
|---|---|---|
| Código por SMS | Recibes un código de un solo uso en el móvil | Mejor que nada, pero vulnerable a engaños y duplicados de SIM |
| Aplicación autenticadora | Una app genera códigos temporales sin necesidad de conexión | Buena; no depende de la red móvil |
| Notificación en el móvil | Apruebas el acceso desde la app del servicio | Buena, si se revisa bien cada solicitud |
| Llave de seguridad física | Un pequeño dispositivo USB o NFC que confirma el acceso | Muy alta; resistente al phishing |
| Passkeys o llaves de acceso | El dispositivo guarda una credencial que se desbloquea con huella, cara o PIN | Muy alta; sustituye a la contraseña |
El SMS: cómodo pero mejorable
El código por SMS es la opción más extendida y siempre es mejor que no tener segundo factor. Su punto débil es que los estafadores pueden convencerte para que les leas el código por teléfono, o intentar un duplicado fraudulento de tu tarjeta SIM. Si el servicio ofrece una alternativa más robusta, merece la pena usarla.
Aplicaciones autenticadoras
Generan un código de seis dígitos que cambia cada pocos segundos. Se configuran escaneando un código QR que muestra el servicio. Al no viajar por la red móvil, son más seguras que el SMS. Lo importante es saber qué pasa si cambias de móvil: algunas apps permiten copias de seguridad cifradas y otras no, así que conviene revisarlo antes.
Passkeys
Las llaves de acceso, o passkeys, son una tecnología más reciente que muchos servicios ya admiten. En lugar de escribir una contraseña, confirmas el acceso con el desbloqueo del móvil o del ordenador. Como la credencial está vinculada a la web legítima, una página falsa no puede usarla, lo que las hace muy resistentes al phishing.
Por qué cuentas empezar
- Correo electrónico principal. Es la llave para recuperar casi todas las demás cuentas.
- Banca online. Los bancos ya exigen autenticación reforzada en muchas operaciones; revisa que tengas configurado el método más seguro que ofrezcan.
- Gestor de contraseñas y nube, donde guardas documentos y fotos.
- Redes sociales y mensajería, muy codiciadas para suplantaciones.
- Tiendas online con tarjetas guardadas.
La opción suele encontrarse en el apartado de seguridad o de inicio de sesión de cada servicio.
No te quedes fuera de tus cuentas
El mayor riesgo práctico de la verificación en dos pasos es perder el acceso si pierdes el móvil. Para evitarlo:
- Guarda los códigos de recuperación que ofrecen los servicios al activar el 2FA, impresos o en el gestor de contraseñas.
- Registra más de un método cuando sea posible, por ejemplo una app y una llave física.
- Antes de cambiar de móvil, transfiere la app autenticadora o comprueba que tienes copia.
- Mantén actualizado el número de teléfono y el correo de recuperación.
La regla de oro
Un segundo factor solo protege si no lo entregas. Nadie legítimo, ni tu banco, ni una tienda, ni un supuesto técnico, te pedirá que le leas un código de verificación o que apruebes una notificación de inicio de sesión que no has solicitado tú. Si recibes un código sin haberlo pedido, significa que alguien está intentando entrar con tu contraseña: no lo compartas y cámbiala cuanto antes.
Del mismo modo, si el móvil te muestra una petición de aprobación de acceso que no reconoces, recházala. Algunos ataques consisten precisamente en enviar muchas solicitudes seguidas con la esperanza de que el usuario acabe pulsando aceptar por cansancio o por error.
Encontrarás guías para activar la verificación en los principales servicios en la sección para ciudadanos de la web del INCIBE.
Preguntas frecuentes
¿La verificación en dos pasos hace imposible que me roben la cuenta?
No hay protección absoluta, pero reduce muchísimo el riesgo. La mayoría de robos de cuentas aprovechan solo la contraseña, y el segundo factor los frena.
¿Tengo que introducir un código cada vez que entro?
Normalmente no. Muchos servicios recuerdan los dispositivos de confianza y solo piden el segundo factor en accesos nuevos o en operaciones sensibles.
¿Las passkeys sustituyen a la verificación en dos pasos?
En la práctica combinan ambas cosas: algo que tienes, el dispositivo, y algo que eres o sabes, la huella o el PIN. Por eso se consideran una de las opciones más seguras.
Escrito por
Equipo editorial de circulationnews.com
El equipo editorial de circulationnews.com investiga y escribe los artículos del sitio, consulta las fuentes oficiales de cada tema y actualiza o corrige los textos cuando la información cambia. circulationnews.com es un sitio de Holy Media Ltda.