Autenticación de dos factores y recuperación

Acceder y poder recuperarte

Una clave puede quedar expuesta. Añadir un factor diferente dificulta que conocerla sea suficiente para entrar. La recuperación también necesita preparación: una protección que no sabes recuperar puede dejarte fuera de tu propia cuenta. En esta lección conocerás opciones y sus límites.

Objetivos de aprendizaje

• Distinguir factores y reconocer por qué dos contraseñas no son 2FA.
• Comparar códigos, SMS y métodos resistentes al phishing.
• Preparar recuperación y reemplazo de dispositivos sin compartir secretos.

Un factor, dos factores y multifactor

Autenticarse significa demostrar al servicio que puedes usar una cuenta. Un factor es una categoría de prueba. La autenticación de un factor utiliza una categoría; la de dos factores (2FA) combina dos categorías distintas. Multifactor (MFA) es el término general para combinar dos o más.

• Conocimiento: algo que sabes, como una contraseña o un PIN.
• Posesión: algo que tienes, como un dispositivo o una llave que conserva una clave criptográfica.
• Inherencia: una característica tuya, como una huella usada para verificarte.

Una contraseña y otra contraseña siguen siendo pruebas de conocimiento: no son dos factores distintos. La forma exacta en que un servicio combina y verifica los factores importa.

Aplicaciones autenticadoras y códigos temporales

Una aplicación autenticadora puede generar códigos que cambian cada poco tiempo a partir de un secreto configurado con el servicio. Al iniciar sesión, introduces tu contraseña y el código vigente. El acceso al autenticador representa la posesión de ese secreto.

No compartas códigos ni el QR de configuración: el QR puede permitir generar códigos futuros. Algunos autenticadores ofrecen respaldo o sincronización y otros requieren una transferencia manual. Revisa su mecanismo antes de cambiar de teléfono.

Los códigos temporales pueden ser capturados y utilizados mediante phishing mientras sean válidos. Verifica la dirección del servicio; activar 2FA no elimina todos los engaños.

Llaves de seguridad y resistencia al phishing

Una llave de seguridad compatible con FIDO2/WebAuthn puede demostrar posesión mediante una operación criptográfica vinculada al sitio legítimo. Esa vinculación ayuda a impedir que un sitio imitador obtenga una prueba válida para otro sitio: es autenticación resistente al phishing.

Comprueba la compatibilidad del servicio y del dispositivo. Si el proveedor lo permite, registra una llave adicional y guárdala en un lugar seguro. No toda función de cualquier llave ofrece la misma resistencia: aquí hablamos de su uso con protocolos como FIDO2/WebAuthn, no de copiar un código generado por ella.

Esta resistencia protege el proceso de autenticación; no evita por sí sola malware, sesiones robadas o engaños para realizar acciones después de entrar.

SMS: una opción con limitaciones

Un código por SMS puede añadir una barrera frente a usar solo una contraseña cuando no hay mejores opciones disponibles. Depende del número y de la red telefónica: la pérdida de cobertura, la reasignación del número o un cambio fraudulento de SIM pueden afectar su seguridad y disponibilidad.

El SMS también puede ser capturado por phishing. No equivale a un método resistente al phishing. Prefiere métodos más resistentes cuando el servicio los admita y considera tus posibilidades de recuperación.

Introducción a las passkeys

Una passkey, o clave de acceso, usa un par de claves criptográficas: el servicio conserva la pública y tu autenticador utiliza la privada para demostrar el acceso. La prueba se vincula al sitio legítimo. No es simplemente un código 2FA ni una contraseña que debas memorizar.

Puedes autorizar su uso con el bloqueo del dispositivo, como PIN o biometría. En ese uso, la biometría se verifica localmente y no se envía como huella al sitio. La combinación de factores depende del autenticador y de la verificación exigida por el servicio.

Algunas passkeys se sincronizan mediante una cuenta protegida; otras permanecen en un dispositivo o llave. Revisa compatibilidad, recuperación y protección de esa cuenta de sincronización antes de depender de ellas.

Códigos de recuperación

Muchos servicios ofrecen códigos de recuperación de un solo uso para entrar cuando falta el segundo factor. No todos los servicios los incluyen. Son secretos de acceso: no los envíes a quien se presente como soporte ni los guardes en una captura expuesta.

Consérvalos protegidos, por ejemplo en un respaldo físico bajo control o una bóveda accesible desde otro dispositivo autorizado. Asegúrate de que no estén únicamente en el teléfono que podrías perder. Evita depender de un gestor que, a su vez, necesite ese mismo factor para abrirse. Si generas un nuevo conjunto, comprueba qué ocurre con el anterior.

Antes de perder o reemplazar el dispositivo

1. Revisa que los canales de recuperación sigan vigentes y estén protegidos.
2. Comprueba los códigos de recuperación y registra otro autenticador si el servicio lo permite.
3. Consulta las instrucciones oficiales para transferir el autenticador o recuperar las passkeys. No supongas que la copia general del teléfono incluye estos secretos.
4. Al reemplazar el equipo, verifica que el nuevo método funciona antes de retirar el antiguo. Después revoca el acceso del dispositivo anterior cuando corresponda.

Si pierdes acceso al segundo factor

Accede desde la dirección oficial del servicio y utiliza un método alternativo registrado o un código de recuperación. Si no tienes ninguno, sigue el proceso oficial de recuperación del proveedor. Puede requerir verificación de identidad y un tiempo de espera; recuperar el acceso no siempre es posible.

Ante robo o pérdida, bloquea el dispositivo mediante los mecanismos oficiales cuando puedas. Tras recuperar la cuenta, revisa sesiones, retira el factor perdido, registra uno nuevo y renueva códigos si pudieron quedar expuestos. No pagues a supuestos recuperadores ni entregues códigos a contactos inesperados.

Ejemplo práctico: reemplazar un teléfono

Resumen

• 2FA combina categorías distintas; dos contraseñas no bastan.
• Los códigos y el SMS tienen límites frente al phishing; FIDO2/WebAuthn vincula la prueba al sitio.
• Las passkeys son credenciales criptográficas con mecanismos de acceso y recuperación propios.
• Prepara alternativas seguras antes de perder un factor y usa los canales oficiales para recuperarte.