Si solo pudieras hacer una cosa para proteger tus cuentas en internet, debería ser esta. La verificación en dos pasos (también llamada autenticación en dos factores o 2FA) añade una segunda comprobación al iniciar sesión: además de la contraseña, necesitas algo que solo tú tienes, normalmente tu móvil.
Así, aunque alguien consiga tu contraseña, por una filtración o un engaño, no podrá entrar. Te explicamos cómo funciona, qué tipo elegir y cómo activarla en los servicios más habituales.
Cómo funciona
Los sistemas de seguridad combinan factores de distintos tipos:
- Algo que sabes: la contraseña o un PIN.
- Algo que tienes: tu móvil, una llave de seguridad.
- Algo que eres: tu huella o tu cara.
La verificación en dos pasos combina dos de ellos. Si alguien solo tiene uno (tu contraseña), se queda fuera.
Los tipos, del menos al más seguro
| Método | Cómo funciona | Seguridad | Comentario |
|---|---|---|---|
| SMS | Te llega un código por mensaje | Media-baja | Vulnerable al duplicado fraudulento de SIM y a que te engañen para dárselo |
| Correo electrónico | Código al correo | Media-baja | Solo tan seguro como tu correo |
| Notificación en el móvil | Pulsas "Sí, soy yo" en una app | Media-alta | Cómodo; cuidado con aprobar avisos que no has pedido tú |
| App de autenticación | Una app genera códigos que cambian cada 30 segundos | Alta | La opción recomendada para la mayoría |
| Llave de acceso (passkey) | Confirmas con huella, cara o PIN | Muy alta | Inmune al phishing |
| Llave de seguridad física | Un dispositivo USB o NFC | Muy alta | Ideal para cuentas muy valiosas |
Cualquiera es mucho mejor que ninguna. Si un servicio solo ofrece SMS, actívalo igualmente.
Apps de autenticación
Son gratuitas y funcionan sin conexión. Las más habituales:
- Google Authenticator
- Microsoft Authenticator
- Authy, 2FAS y las integradas en gestores como Bitwarden, 1Password o Contraseñas de Apple
Al activar la verificación en un servicio, te mostrará un código QR. Lo escaneas con la app y, a partir de ahí, la app genera un código de 6 cifras que cambia cada 30 segundos.
Importante: asegúrate de que tu app de autenticación tiene copia de seguridad o sincronización activada. Si pierdes el móvil sin ella, podrías quedarte fuera de tus cuentas. Google Authenticator puede sincronizarse con tu cuenta de Google y Microsoft Authenticator tiene copia en la nube.
Los códigos de recuperación: guárdalos
Al activar la verificación, casi todos los servicios te dan unos códigos de recuperación de un solo uso. Son tu salvavidas si pierdes el móvil.
- Imprímelos o guárdalos en tu gestor de contraseñas.
- No los guardes solo en el móvil (si lo pierdes, los pierdes también).
Cómo activarla en los servicios más importantes
Empieza por el correo electrónico: quien controla tu correo puede restablecer casi todas tus contraseñas.
Google (Gmail, YouTube, Android)
- Entra en myaccount.google.com › Seguridad.
- Verificación en dos pasos › Empezar.
- Añade tu móvil y, después, en la misma página, añade una app de autenticación y llaves de acceso.
- Genera códigos alternativos y guárdalos.
Apple ID
En los dispositivos modernos ya viene activada por defecto. Comprueba en Ajustes › tu nombre › Inicio de sesión y seguridad que la autenticación de doble factor está activa y que tu número de teléfono de confianza es correcto.
Microsoft (Outlook, Hotmail)
account.microsoft.com › Seguridad › Opciones de seguridad avanzadas › Verificación en dos pasos.
Ajustes › Cuenta › Verificación en dos pasos › Activar. Crea un PIN de 6 cifras y añade un correo de recuperación. WhatsApp te lo pedirá cada cierto tiempo para que no lo olvides. Esto impide que alguien registre tu número en otro móvil aunque consiga el código SMS.
Instagram y Facebook
Centro de cuentas › Contraseña y seguridad › Autenticación en dos pasos. Lo explicamos paso a paso en cómo proteger tu cuenta de Instagram.
TikTok
Ajustes y privacidad › Seguridad › Verificación en dos pasos.
Banco
Los bancos europeos ya exigen autenticación reforzada por normativa (la directiva PSD2): normalmente confirmas operaciones en la app del banco. Mantén actualizada la app y no compartas nunca los códigos que te envía, ni siquiera con alguien que dice llamar del banco.
Las trampas que debes conocer
La verificación en dos pasos es muy eficaz, pero los estafadores intentan saltársela engañándote:
- "Te he enviado un código por error, ¿me lo pasas?" Es el truco más común para robar WhatsApp e Instagram. Un código que te llega al móvil nunca se comparte.
- Llamadas del "banco" pidiendo que les leas un código para "anular una operación". Tu banco nunca te lo pedirá.
- Avisos de aprobación que no has pedido. Si te llega un "¿Estás intentando iniciar sesión?" y no eres tú, pulsa No y cambia tu contraseña: alguien la conoce.
- Webs falsas que piden contraseña y código a la vez. Las llaves de acceso te protegen de esto; los códigos, no siempre. Lee nuestra guía sobre phishing.
Preguntas frecuentes
¿Tendré que meter un código cada vez que entre? No. Normalmente solo al iniciar sesión en un dispositivo nuevo. Puedes marcar tus dispositivos habituales como de confianza.
¿Y si cambio de móvil? Antes de cambiar, comprueba que tu app de autenticación está sincronizada o transfiere las cuentas. Lo explicamos en cómo pasar tus datos al móvil nuevo.
¿Y si pierdo el móvil? Usa los códigos de recuperación, otro método configurado (por ejemplo, una llave de acceso en el ordenador) o el proceso de recuperación del servicio.
En resumen
Activa la verificación en dos pasos hoy, empezando por tu correo. Usa una app de autenticación o llaves de acceso cuando puedas, guarda los códigos de recuperación fuera del móvil y nunca compartas un código que te llegue. Es la medida que más robos de cuentas evita, y lleva cinco minutos por servicio.
