Si solo vas a hacer un cambio de seguridad este año, que sea este. La verificación en dos pasos es gratuita, se configura en unos minutos y es, con diferencia, la medida que más reduce el riesgo de que alguien entre en tus cuentas. Incluso si tu contraseña se filtra, el atacante se queda fuera.
Qué es exactamente
Normalmente, para entrar en una cuenta basta con algo que sabes: la contraseña. La verificación en dos pasos añade un segundo requisito, que suele ser algo que tienes (tu móvil, una llave física) o algo que eres (tu huella).
El resultado es que conocer la contraseña ya no es suficiente. Quien la robe necesitaría además tener tu teléfono físicamente en la mano.
La encontrarás con varios nombres según el servicio: verificación en dos pasos, autenticación de dos factores, 2FA, o verificación en dos fases. Son lo mismo.
Los métodos, de menos a más seguro
Código por SMS
Recibes un código numérico por mensaje. Es el método más extendido y el más cómodo, pero también el más débil de todos: existe una técnica llamada SIM swapping mediante la cual alguien puede conseguir un duplicado de tu tarjeta SIM haciéndose pasar por ti ante la operadora, y recibir así tus códigos.
Dicho esto: SMS es infinitamente mejor que no tener nada. Si es la única opción que ofrece un servicio, actívala igualmente.
Aplicación de autenticación
Una app instalada en tu móvil genera códigos de seis dígitos que cambian cada 30 segundos. Los códigos se generan en el propio dispositivo, sin pasar por la red, así que no se pueden interceptar.
Es la opción recomendable para la mayoría de la gente: seguridad alta y funciona incluso sin cobertura ni datos.
Notificación push
Recibes un aviso en otro dispositivo donde ya tienes sesión iniciada, y aceptas o rechazas el acceso con un toque. Es cómodo y seguro, aunque conviene leer siempre la notificación antes de aceptar: si recibes una que no has provocado tú, significa que alguien tiene tu contraseña.
Llave de seguridad física
Un pequeño dispositivo USB o NFC que conectas o acercas al iniciar sesión. Es el método más seguro que existe, y prácticamente inmune al phishing, porque la llave verifica que la web es la auténtica. Su inconveniente es el coste y que hay que llevarla encima.
| Método | Seguridad | Comodidad | Recomendado para |
|---|---|---|---|
| SMS | Básica | Muy alta | Cuando no hay otra opción disponible |
| App de autenticación | Alta | Alta | La mayoría de personas y cuentas |
| Notificación push | Alta | Muy alta | Cuentas del mismo ecosistema (Google, Apple) |
| Llave física | Máxima | Media | Cuentas críticas, perfiles profesionales expuestos |
Cómo activarla, paso a paso
El procedimiento es muy parecido en casi todos los servicios:
- Entra en los ajustes de tu cuenta (no los de la app, sino los de la cuenta) y busca la sección de Seguridad.
- Localiza «Verificación en dos pasos» o «Autenticación de dos factores» y pulsa activar.
- Elige el método. Si te dan a elegir, prioriza la app de autenticación sobre el SMS.
- Si eliges app: instala una aplicación de autenticación, escanea el código QR que te muestra el servicio, e introduce el código de seis dígitos para confirmar.
- Guarda los códigos de recuperación que te ofrecerá al terminar.
Por dónde empezar
No hace falta activarla en las cuarenta cuentas de golpe. Este es el orden sensato de prioridad:
- Correo electrónico. Es la llave maestra: desde él se recuperan las contraseñas del resto.
- Banca y servicios de pago.
- Redes sociales, especialmente si las usas profesionalmente.
- Almacenamiento en la nube, donde suele haber documentos y fotos personales.
- Mensajería (WhatsApp y similares tienen su propio PIN de verificación en dos pasos).
Dudas frecuentes
«¿Tendré que meter el código cada vez que entre?»
No. Casi todos los servicios permiten marcar un dispositivo como de confianza, y entonces solo pide el segundo factor cuando detecta un inicio de sesión desde un equipo o ubicación nuevos.
«¿Y si cambio de móvil?»
Las apps de autenticación modernas permiten hacer copia de seguridad o transferir las cuentas al nuevo dispositivo. Hazlo antes de restablecer el móvil antiguo, o tendrás que usar los códigos de recuperación.
«¿Y si me quedo sin batería o sin móvil fuera de casa?»
Para eso están los códigos de recuperación. Muchos servicios permiten además configurar un segundo método alternativo, como un teléfono de respaldo.
«¿Me protege del phishing?»
Parcialmente. Una página falsa bien hecha puede pedirte también el código de seis dígitos y usarlo al instante. Por eso sigue siendo fundamental no introducir datos en enlaces recibidos por correo o SMS, como explicamos en qué es el phishing y cómo detectarlo. Las llaves físicas sí son inmunes a esto.
Dedica quince minutos a activarla al menos en tu correo. Es probablemente el mejor rendimiento por minuto invertido que existe en seguridad informática. Combínala con una contraseña fuerte y distinta por servicio y habrás cubierto la mayor parte del riesgo real.
