Una contraseña, por muy fuerte que sea, puede acabar en manos de un atacante: una filtración de datos, un correo de phishing o un programa malicioso bastan para robarla. La autenticación en dos pasos (también llamada verificación en dos pasos, 2FA o doble factor) añade una segunda barrera: aunque alguien conozca tu contraseña, no podrá entrar en tu cuenta sin un segundo elemento que solo tienes tú. En esta guía te explicamos qué es, qué métodos existen, cuál elegir y cómo activarla en los servicios que más usas.
¿Qué es la autenticación en dos pasos?
La autenticación en dos pasos es un sistema de inicio de sesión que exige dos pruebas distintas de identidad antes de dejarte entrar. Esas pruebas, llamadas factores, se agrupan en tres categorías:
- Algo que sabes: una contraseña, un PIN o una frase secreta.
- Algo que tienes: tu móvil, una app de autenticación o una llave de seguridad física.
- Algo que eres: tu huella dactilar o tu rostro.
La 2FA combina dos factores de categorías diferentes. Lo habitual es tu contraseña (algo que sabes) más un código temporal generado en tu móvil (algo que tienes). Así, quien robe tu contraseña desde el otro lado del mundo no tendrá también tu teléfono, y el acceso quedará bloqueado.
¿2FA y MFA son lo mismo?
Casi. MFA (multi-factor authentication, autenticación multifactor) es el término general para cualquier sistema que use dos o más factores. La 2FA es el caso más común de MFA: exactamente dos factores. En la práctica, los servicios usan ambos nombres de forma intercambiable.
¿Por qué es tan importante activarla?
La mayoría de los ataques a cuentas personales no son sofisticados: los delincuentes reutilizan contraseñas filtradas en otras webs (credential stuffing), las adivinan porque son débiles o las obtienen con correos falsos. En todos esos casos, el atacante solo tiene un factor. La 2FA convierte una contraseña robada en algo prácticamente inútil.
Microsoft y Google han publicado en distintas ocasiones que activar un segundo factor bloquea la inmensa mayoría de los intentos automatizados de robo de cuentas. Es, probablemente, la medida de seguridad con mejor relación entre esfuerzo y protección que puedes tomar hoy.
Si quieres comprobar si alguna de tus contraseñas ya ha aparecido en una filtración, consulta nuestra guía sobre cómo saber si tu contraseña ha sido hackeada.
Métodos de 2FA: del menos al más seguro
No todos los segundos factores ofrecen la misma protección. Esta tabla resume los métodos más comunes:
| Método | Seguridad | Comodidad | Principal riesgo |
|---|---|---|---|
| Código por SMS | Básica | Alta | SIM swapping, interceptación |
| Código por email | Básica | Alta | Si roban tu email, lo roban todo |
| Notificación push | Media | Muy alta | Aprobar por error (fatiga de MFA) |
| App de autenticación (TOTP) | Alta | Alta | Phishing en tiempo real |
| Llave de seguridad / passkey | Muy alta | Alta | Perder la llave sin tener respaldo |
SMS: mejor que nada, pero el más débil
Recibir un código por mensaje de texto es la forma más extendida de 2FA. Su punto débil es el SIM swapping: el atacante convence a tu operadora (con datos personales robados o ingeniería social) para que traspase tu número a una SIM suya, y a partir de ahí recibe tus códigos. Aun así, un SMS es muchísimo mejor que no tener segundo factor.
Apps de autenticación (TOTP): la opción recomendada para la mayoría
Aplicaciones como Google Authenticator, Microsoft Authenticator, Aegis (Android, código abierto), 2FAS o Ente Auth generan un código de 6 dígitos que cambia cada 30 segundos. El código se calcula en tu móvil a partir de un secreto compartido, sin pasar por la red de telefonía, por lo que el SIM swapping no le afecta. Muchos gestores de contraseñas, como Bitwarden o Proton Pass, también pueden generar estos códigos.
Llaves de seguridad y passkeys: el nivel más alto
Las llaves físicas (como YubiKey o Google Titan) y las passkeys usan el estándar FIDO2. Su gran ventaja es que están vinculadas criptográficamente al dominio real del servicio: si entras por error en una web falsa, la llave simplemente no responde. Por eso son resistentes al phishing, algo que ni el SMS ni los códigos TOTP pueden garantizar.
Cómo activar la verificación en dos pasos en tus cuentas
Los menús cambian con las actualizaciones, pero la ruta suele ser muy parecida en todos los servicios: Configuración → Seguridad → Verificación en dos pasos. Estas son las cuentas por las que deberías empezar:
Google (Gmail, YouTube, Drive)
- Entra en myaccount.google.com y abre la sección Seguridad.
- Pulsa en Verificación en dos pasos y sigue el asistente.
- Añade una app de autenticación o una passkey como método principal, y guarda los códigos de respaldo.
- Abre Ajustes → Cuenta → Verificación en dos pasos.
- Pulsa Activar y elige un PIN de 6 dígitos (puedes crear uno aleatorio con nuestro generador de PIN).
- Añade un correo de recuperación por si olvidas el PIN.
Instagram y Facebook
- Ve a Configuración → Centro de cuentas → Contraseña y seguridad.
- Entra en Autenticación en dos pasos y selecciona la cuenta.
- Elige App de autenticación en lugar de SMS siempre que sea posible.
Banca online
Desde la directiva europea PSD2, los bancos de la UE están obligados a aplicar autenticación reforzada en los pagos y accesos. Normalmente ya la tienes activa mediante la app del banco; revisa que la notificación de confirmación esté vinculada únicamente a tu móvil actual.
Tu gestor de contraseñas
Si usas un gestor de contraseñas, protégelo con 2FA sin excepción: contiene las llaves de todo lo demás.
Códigos de respaldo: no te quedes fuera de tu propia cuenta
El mayor miedo al activar la 2FA es perder el móvil y quedarse sin acceso. Para eso existen los códigos de respaldo (o de recuperación): una lista de códigos de un solo uso que el servicio te ofrece al activar la verificación.
- Guárdalos fuera del móvil: en tu gestor de contraseñas, impresos en papel en un lugar seguro, o en ambos.
- Configura un segundo método: por ejemplo, app de autenticación como principal y una llave física o SMS como alternativa.
- Haz copia de tus códigos TOTP: apps como Aegis, 2FAS o Ente Auth permiten exportar una copia cifrada; Google Authenticator puede sincronizarse con tu cuenta.
Errores comunes con la 2FA
- Dar el código a alguien: ningún banco, tienda ni soporte técnico legítimo te pedirá nunca un código de verificación. Si alguien te lo pide por teléfono o chat, es una estafa.
- Aprobar notificaciones que no has pedido: si te llega una solicitud de inicio de sesión que no reconoces, recházala y cambia tu contraseña de inmediato: significa que alguien ya la conoce.
- Usar la 2FA como excusa para una contraseña débil: el segundo factor es una red de seguridad, no un sustituto. Sigue usando contraseñas únicas y aleatorias.
- Activarla solo en una cuenta: empieza por el email principal (es la llave de recuperación de todo lo demás) y continúa con banca, redes sociales y compras.
Conclusión
La autenticación en dos pasos es la forma más sencilla de dejar fuera a la mayoría de atacantes, incluso si tu contraseña se filtra. Actívala hoy en tu correo electrónico, tu banco y tus redes sociales; elige una app de autenticación o una passkey antes que el SMS, y guarda los códigos de respaldo en un lugar seguro. Combinada con contraseñas fuertes y únicas, tus cuentas pasarán a ser un objetivo mucho más difícil que la media.