Verificación en dos pasos: la segunda cerradura

La verificación en dos pasos es, con diferencia, lo que más seguridad aporta por minuto invertido. La idea es simple: aunque alguien tenga tu contraseña, no le sirve de nada sin un segundo elemento que solo tú tienes. Es lo que convierte una filtración en un aviso molesto en lugar de en una cuenta perdida.

La verás con muchos nombres —2FA, MFA, autenticación de dos factores, verificación en dos pasos— y todos significan lo mismo: algo que sabes (la contraseña) más algo que tienes (el teléfono, una llave).

Los métodos, de peor a mejor

SMS: el más débil, y aun así mucho mejor que nada

Recibes un código por mensaje. Tiene dos problemas reales. El primero es el SIM swapping: alguien convence a tu operadora de que le pase tu número a otra tarjeta y empieza a recibir tus códigos. El segundo es que los mensajes se muestran en la pantalla bloqueada del móvil.

Dicho esto: si tu banco solo ofrece SMS, actívalo. La comparación correcta no es SMS frente a llave física, es SMS frente a nada.

Aplicación de códigos (TOTP): el punto dulce

Una aplicación como Aegis, Ente Auth, 2FAS o la de tu gestor de contraseñas genera un código de seis dígitos que cambia cada 30 segundos. El código se calcula en el propio dispositivo a partir de un secreto compartido, así que no viaja por la red y no depende de tu operadora ni de la cobertura.

Para casi todo el mundo, este es el equilibrio correcto entre seguridad y comodidad. Si solo vas a cambiar una cosa después de leer esto, que sea pasar del SMS a una aplicación TOTP en tu correo principal.

Llaves de seguridad y passkeys: lo más fuerte

Una llave física (YubiKey, Nitrokey) o una passkey guardada en tu teléfono u ordenador usa criptografía de clave pública y, sobre todo, comprueba el dominio. Esto es lo que las hace especiales: son el único método que resiste el phishing. Si la web que te pide autenticarte no es exactamente la real, la llave no responde. No hay código que copiar y, por tanto, no hay código que te puedan sonsacar.

Los códigos de respaldo no son opcionales

Cuando activas la verificación en dos pasos, casi todos los servicios te muestran una lista de códigos de un solo uso. Es el momento en que la mayoría pulsa «más tarde», y es un error caro: perder el móvil sin esos códigos puede significar perder la cuenta para siempre. Guárdalos donde puedas recuperarlos aunque el teléfono desaparezca: impresos en un cajón, en una nota segura del gestor de contraseñas o en ambos sitios.

La otra precaución que ahorra disgustos: cuando registres una llave física, registra dos, y guarda la segunda en otro sitio.

Por dónde empezar

No hace falta activarlo en todas partes el mismo día. Este orden cubre lo importante en menos de media hora:

1. El correo principal. Es la llave maestra de todo lo demás: desde ahí se restablece cualquier otra cuenta.
2. El gestor de contraseñas. Dentro está todo lo que no memorizas.
3. El banco y los medios de pago. Aquí el daño es directo e inmediato.
4. La cuenta del móvil y del sistema (Google, Apple, Microsoft), que sincroniza contraseñas y dispositivos.
5. Redes sociales y todo lo demás, sin prisa.

Qué no protege

Conviene saber dónde está el límite, porque una capa de seguridad mal entendida da una falsa tranquilidad:

• El phishing en tiempo real. Una web falsa puede pedirte la contraseña y el código a la vez y usarlos en el momento. Los códigos TOTP y los SMS caen con esto; las passkeys y las llaves físicas, no.
• Las sesiones ya iniciadas. El malware que roba la cookie de sesión de tu navegador entra sin pasar por el segundo paso, porque para el servidor esa sesión ya está autenticada.
• La fatiga de notificaciones. Si usas avisos de «¿eres tú?», alguien puede lanzar decenas hasta que aceptes uno por inercia. Ante una notificación que no has provocado, la respuesta correcta es rechazar y cambiar la contraseña.

Sigue haciendo falta una buena contraseña

El segundo factor es un refuerzo, no un sustituto. Una contraseña débil con 2FA sigue siendo una cuenta a medio proteger, sobre todo si esa contraseña se reutiliza en otros sitios donde no hay segundo paso. Genera cada una al azar, memoriza solo las imprescindibles con una frase de contraseña y revisa las que ya usas en el comprobador.

Fuentes

• CISA, Turn on MFA. La agencia de ciberseguridad estadounidense, sobre por qué la verificación en dos pasos es la medida con mejor retorno y en qué orden aplicarla.
• FIDO Alliance, Passkeys. La especificación y el razonamiento detrás de las claves de acceso.
• W3C, Web Authentication (WebAuthn) Level 3. El estándar que hace que una llave física compruebe el dominio y por tanto resista el phishing.
• NIST SP 800-63B. La clasificación de factores de autenticación y las reservas sobre el SMS como canal.