Durante años nos dijeron que con una buena contraseña bastaba. Ya no es cierto. Hoy los ataques más comunes no «adivinan» tu contraseña: la roban con un enlace falso, la compran filtrada de otro sitio o te engañan para que la escribas tú mismo. Por eso la contraseña, sola, dejó de ser suficiente para proteger lo que importa.
La buena noticia es que existe una capa extra, gratis y sencilla, que frena la enorme mayoría de estos ataques: la verificación en dos pasos. Y viene algo aún mejor en camino, las passkeys, que buscan eliminar las contraseñas por completo. En esta guía te explico ambas sin tecnicismos y, sobre todo, cómo activarlas hoy mismo en tus cuentas.
Qué es la verificación en dos pasos
La idea es simple: para entrar a tu cuenta ya no basta con «algo que sabes» (la contraseña); hace falta además «algo que tienes» (normalmente tu teléfono). Así, aunque un ladrón consiga tu contraseña, se queda a mitad de camino, porque no tiene tu teléfono para aprobar el segundo paso.
La verás con distintos nombres —verificación en dos pasos, autenticación de dos factores, 2FA, doble factor—, pero todos significan lo mismo: un candado extra después de la contraseña.
Por qué tu contraseña sola ya no te protege
Piénsalo así: la contraseña es la llave de tu casa, pero es una llave que se puede copiar sin que te des cuenta. Basta con que caigas una vez en un enlace falso, o que un sitio donde te registraste sufra una filtración, para que esa llave ande por ahí.
Y el problema se multiplica por una costumbre peligrosísima: reutilizar la misma contraseña en todas partes. Una encuesta de Bitwarden encontró que el 84 % de las personas reutiliza contraseñas en varias cuentas. ¿Por qué importa tanto? Porque si roban tu contraseña de un sitio cualquiera, los delincuentes la prueban en tu correo, tu banco y tus redes… y entran en todas. La verificación en dos pasos es como ponerle a tu casa, además de la llave, una alarma que solo tú puedes desactivar desde tu teléfono. Aunque copien la llave, no pueden entrar.
Los métodos de segundo factor, comparados
| Método | Qué tan seguro | Comodidad |
|---|---|---|
| Código por SMS | Básico (mejor que nada) | Alta |
| App autenticadora | Alto (recomendado) | Alta |
| Passkey | Muy alto | Muy alta |
| Llave de seguridad física | El más alto | Media |
De menos a más seguro: elige tu método
Código por SMS
Es el más conocido: tras la contraseña, te llega un código por mensaje de texto. Es mucho mejor que no tener nada y es el más fácil de usar. Su debilidad es que, con técnicas avanzadas, un delincuente puede desviar tu número (el llamado «cambio de SIM») y recibir esos códigos. Para el común de la gente sigue siendo útil, pero si puedes elegir algo mejor, hazlo.
App autenticadora (la recomendada)
Apps como Google Authenticator, Microsoft Authenticator o Authy generan un código nuevo cada 30 segundos dentro de tu propio teléfono, sin depender de la red móvil. Eso las hace inmunes al desvío de número. Es el punto ideal entre seguridad y comodidad para la mayoría. La configuras una vez por cuenta, escaneando un código QR, y listo.
Llave de seguridad física
Es un pequeño dispositivo (parecido a una memoria USB) que conectas o acercas al teléfono para aprobar el ingreso. Es lo más seguro que existe, porque el atacante necesitaría robarte el objeto físico. Vale la pena para cuentas muy sensibles, aunque para el día a día quizá sea más de lo que necesitas.
Y ahora, las passkeys: el futuro sin contraseñas
Las passkeys (o «llaves de acceso») son la novedad que poco a poco reemplazará a las contraseñas, y conviene que las conozcas porque cada vez más servicios las ofrecen. No es una moda pasajera: la industria entera —Apple, Google y Microsoft— está empujando en esta dirección.
En lugar de escribir una contraseña, una passkey te deja entrar con lo mismo que usas para desbloquear tu teléfono: tu huella, tu cara o tu PIN. Por detrás, tu dispositivo guarda una «llave» secreta que nunca viaja por internet ni se puede robar con un enlace falso. En la práctica: entras más rápido y, a la vez, con muchísima más seguridad.
Lo mejor de todo es que una passkey no se puede «phishear». Como no hay una contraseña que escribir, no hay nada que un sitio falso pueda robarte. Ese es justamente el hueco por donde se cuelan hoy la mayoría de los hackeos, y las passkeys lo cierran de raíz.
Passkey frente a contraseña
Una contraseña la tienes que recordar, se puede robar y hay que cambiarla cuando se filtra. Una passkey no la memorizas (vive en tu dispositivo), no se puede robar a distancia y funciona con tu huella o tu cara. Es más cómoda para ti y más difícil para el atacante. Por eso las grandes tecnológicas apuestan tan fuerte por este cambio.
Cómo activar la verificación en dos pasos, paso a paso
El proceso es parecido en casi todos los servicios. Este es el camino general:
- Entra a la configuración de seguridad de la cuenta (en Google, Facebook, Instagram, tu banco, etc.).
- Busca la opción «Verificación en dos pasos», «Autenticación de dos factores» o «2FA» y actívala.
- Elige tu método: si puedes, selecciona app autenticadora y escanea el código QR que aparece con tu app.
- Confirma escribiendo el primer código que te muestre la app.
- Guarda los códigos de respaldo que te ofrezca (más sobre esto abajo).
Empieza por tu correo principal: es la cuenta más importante, porque desde ahí se recuperan casi todas las demás. Luego sigue con tus redes sociales, tu WhatsApp (que tiene su propio PIN de verificación en dos pasos) y, sobre todo, tu banco.
Cómo empezar con passkeys
Activar una passkey suele ser tan fácil como aceptar cuando el servicio te lo propone. Entra a la configuración de seguridad de tu cuenta de Google, Apple o Microsoft, busca la opción de «passkeys» o «llaves de acceso» y sigue el asistente: te pedirá tu huella, cara o PIN para crearla. A partir de ahí, la próxima vez que entres, en lugar de la contraseña usarás ese mismo gesto. Puedes tener passkeys en tu teléfono y en tu computadora, y se sincronizan de forma segura entre tus dispositivos.
Los códigos de respaldo: tu salvavidas
Aquí está el error que más gente comete y que más sustos causa: activar el doble factor y luego perder acceso al teléfono que aprueba los códigos. Sin ese teléfono, podrías quedarte fuera de tu propia cuenta.
Por eso, al activar la verificación en dos pasos, casi todos los servicios te ofrecen unos códigos de respaldo: una lista de códigos de un solo uso para entrar si pierdes el teléfono. Guárdalos en un lugar seguro que no sea el mismo teléfono: escríbelos en papel y guárdalos en casa, o mételos en tu gestor de contraseñas. El día que cambies o pierdas el celular, te van a salvar.
¿Y si cambio de teléfono?
Buena pregunta, porque es justo cuando la gente se traba. Las apps autenticadoras no siempre se pasan solas al teléfono nuevo: antes de dejar el viejo, abre tu app de autenticación y usa su opción de exportar o transferir las cuentas. Si no lo haces y borras el teléfono viejo, tendrás que recuperar cada cuenta con los códigos de respaldo. Las passkeys, en cambio, suelen sincronizarse solas entre tus dispositivos, lo que las hace aún más prácticas.
Por dónde empezar: tu plan de prioridades
No hace falta blindar todo en un día. Ve por orden de importancia:
- Tu correo principal. Es la llave maestra: quien lo controla puede restablecer casi todas tus otras contraseñas. Empieza aquí, sin excepción.
- Tu banco y apps de dinero. Lo más sensible para tu bolsillo.
- WhatsApp. Activa su PIN de verificación en dos pasos para que nadie secuestre tu número.
- Redes sociales. Facebook, Instagram y demás, para que no suplanten tu identidad.
- Cualquier cuenta con tu tarjeta guardada (tiendas, servicios de streaming, etc.).
Mitos que frenan a la gente (y por qué no son ciertos)
«Es muy complicado.» La primera vez toma unos minutos por cuenta; después, entrar es igual de rápido, y muchas apps ni te piden el código si reconocen tu teléfono de siempre.
«Me van a bloquear de mi propia cuenta.» No, si guardas los códigos de respaldo. Justamente existen para eso.
«A mí no me van a hackear.» Los ataques automatizados no eligen: prueban millones de cuentas al azar. De hecho, los servicios de Microsoft ven cerca de 300 millones de intentos de inicio de sesión fraudulentos al día. El doble factor es lo que te saca de ese juego de números.
Qué hacer si te llega un código que no pediste
Esto es una señal de alarma que conviene saber leer. Si de pronto recibes un código de verificación o una notificación de «¿estás intentando iniciar sesión?» sin que tú estuvieras entrando, significa una cosa: alguien ya tiene tu contraseña y está tocando la puerta. La buena noticia es que el segundo candado lo detuvo.
¿Qué hacer? Primero, no apruebes nada ni compartas ese código con nadie (ningún soporte técnico real te lo pedirá). Segundo, cambia de inmediato la contraseña de esa cuenta por una nueva y única. Y tercero, revisa que tu verificación en dos pasos siga bien configurada. Ese aviso molesto es, en realidad, tu sistema de seguridad avisándote que hizo su trabajo.
No olvides proteger también tus cuentas base y tu dispositivo
Solemos pensar en el 2FA para las redes y el correo, pero tus cuentas «base» —la de Google en tu Android y la de Apple (Apple ID) en tu iPhone— son las más importantes de todas, porque controlan tu teléfono entero: tus fotos, tus contraseñas guardadas y hasta tu ubicación. Asegúrate de que ambas tengan verificación en dos pasos activada.
Lo mismo aplica a la pantalla de bloqueo de tu teléfono: un buen PIN, huella o rostro es tu primerísima línea de defensa. De nada sirve blindar tus cuentas si cualquiera que tome tu teléfono desbloqueado puede entrar a todo. Seguridad por capas, siempre.
Preparándote para un mundo sin contraseñas
Todo apunta a que las contraseñas irán desapareciendo en los próximos años, reemplazadas por las passkeys. No tienes que cambiar todo de golpe: la transición será gradual y ambos sistemas convivirán por un buen tiempo. El consejo práctico es sencillo: cada vez que un servicio importante te ofrezca crear una passkey, acéptala. Así te vas subiendo al futuro poco a poco, sin esfuerzo, y con cada una que creas te vuelves un blanco más difícil. Mientras tanto, mantén la verificación en dos pasos como tu red de seguridad en todo lo demás.
Errores comunes
- No activar el doble factor «porque da pereza». Son cinco minutos que te ahorran un secuestro de cuenta.
- Usar solo SMS pudiendo usar una app. La app es más segura y no depende de tu señal.
- No guardar los códigos de respaldo. Es la causa número uno de quedarse fuera de la propia cuenta.
- Guardar los códigos de respaldo en el mismo teléfono. Si lo pierdes, pierdes las dos cosas a la vez.
- Activarlo solo en las redes y olvidar el correo y el banco. Esas son justamente las cuentas más críticas.
- Aprobar notificaciones de acceso sin fijarte. Si te llega un aviso de «¿eres tú?» y no estabas entrando, di que NO: alguien tiene tu contraseña.
Preguntas frecuentes
¿La verificación en dos pasos es gratis?
Sí. Google, Facebook, Instagram, WhatsApp, tu banco y prácticamente todos los servicios la ofrecen sin costo. Solo necesitas tu teléfono.
¿Qué es mejor, recibir el código por SMS o por una app?
La app autenticadora es más segura, porque genera los códigos dentro de tu teléfono y no depende de la red móvil, que un atacante avanzado podría desviar. El SMS sigue siendo válido y mejor que nada, pero si puedes elegir, usa la app.
¿Qué es exactamente una passkey?
Es una forma de entrar a tus cuentas sin contraseña, usando la huella, la cara o el PIN de tu dispositivo. Es más cómoda y mucho más segura, porque no hay una contraseña que puedan robarte con un enlace falso.
Si activo el doble factor y pierdo el teléfono, ¿me quedo fuera?
No, si guardaste los códigos de respaldo que te dieron al activarlo. Con esos códigos puedes entrar desde otro dispositivo. Por eso es tan importante guardarlos en un lugar seguro y aparte del teléfono.
¿Las passkeys reemplazan a la verificación en dos pasos?
En cierto modo sí: una passkey ya combina «algo que tienes» (tu dispositivo) con «algo que eres» (tu huella o cara), así que ofrece una protección muy fuerte por sí sola. Donde todavía no haya passkeys, la verificación en dos pasos sigue siendo tu mejor opción.
¿Es complicado de configurar?
No. En casi todas las cuentas es entrar a la configuración de seguridad, activar la opción y seguir unos pocos pasos. La primera vez toma unos minutos; después, entrar es igual de rápido que siempre.
¿En qué cuenta debo activarlo primero?
En tu correo principal, sin dudarlo. Es la llave maestra desde la que se recuperan casi todas tus otras cuentas. Luego sigue con el banco y las redes sociales.
¿De verdad funciona contra los hackeos?
Muchísimo. Microsoft calcula que bloquea más del 99 % de los ataques automatizados, y encontró que casi todas las cuentas comprometidas no tenían esta protección activada. No es infalible al 100 %, pero te saca de la lista de blancos fáciles, que es justo a quienes atacan los delincuentes.
¿Necesito una app distinta para cada cuenta?
No. Una sola app autenticadora (como Google Authenticator o Microsoft Authenticator) puede guardar los códigos de todas tus cuentas a la vez. La instalas una vez y vas agregando cada servicio escaneando su código QR.
Recibí un código sin haberlo pedido, ¿qué significa?
Que alguien probablemente tiene tu contraseña e intentó entrar. La buena noticia es que el segundo paso lo frenó. No compartas ese código con nadie, cambia tu contraseña cuanto antes y revisa tu configuración de seguridad.
¿Debo activar el doble factor en mi cuenta de Google o Apple?
Sí, son de las más importantes, porque controlan tu teléfono, tus fotos y tus contraseñas guardadas. Protégelas con verificación en dos pasos y, además, usa un buen bloqueo de pantalla (PIN, huella o rostro).
¿Las passkeys funcionan en cualquier teléfono?
Funcionan en los teléfonos y computadoras modernos que soportan el estándar, que son la gran mayoría de los actuales, tanto Android como iPhone. Cada vez más servicios las ofrecen, y se sincronizan de forma segura entre tus dispositivos.
Si uso un gestor de contraseñas, ¿todavía necesito el doble factor?
Sí, se complementan. El gestor te ayuda a tener contraseñas fuertes y distintas; el doble factor añade el segundo candado por si una de esas contraseñas se filtra. Juntos te dan una protección muy sólida.
¿La verificación en dos pasos hace más lento mi día a día?
Casi nada. Muchos servicios recuerdan tu teléfono de confianza y no te piden el código cada vez, solo cuando entras desde un dispositivo nuevo o hay algo sospechoso. A cambio de esos pocos segundos ocasionales, ganas una protección enorme.
¿Qué pasa si pierdo el teléfono y no guardé los códigos de respaldo?
Tendrás que usar el proceso de recuperación de cada cuenta (verificar tu identidad con el correo, el teléfono u otros datos), que puede ser lento. Por eso insistimos tanto: guarda esos códigos de respaldo desde el día que actives el doble factor.
Poner un candado extra a tus cuentas es de las cosas más inteligentes y baratas que puedes hacer por tu seguridad digital: activa la verificación en dos pasos hoy, prioriza tu correo y tu banco, guarda tus códigos de respaldo y súmate a las passkeys donde puedas. Cinco minutos ahora te evitan un dolor de cabeza enorme después. Y si quieres blindar también tu conexión, revisa cómo proteger el wifi de tu casa.
También te puede interesar
Ciberseguridad y Privacidad
La mejor VPN para latinos en USA
Otra capa de protección: cifra tu conexión estés donde estés.
Ciberseguridad y Privacidad
Seguridad en el wifi público
Dónde son más peligrosos los robos de contraseñas y cómo evitarlos.
Ciberseguridad y Privacidad
Cómo proteger el wifi de tu casa
Cierra la puerta de entrada a tu red y a todos tus dispositivos.