Fundamentos de la autenticación de dos factores (2FA)
Cómo funciona 2FA, por qué las contraseñas solas no son suficientes, y una guía práctica para elegir e implementar el método correcto: SMS, TOTP, FIDO2/WebAuthn y llaves de hardware.
Lectura imprescindible
Por qué las contraseñas solas no son suficientes
Incluso una contraseña perfecta de 20 caracteres puede ser capturada por phishing, malware o filtraciones en el servidor. 2FA añade una segunda capa que requiere algo que tienes físicamente.
Con 2FA habilitado, un atacante con tu contraseña aún necesita tu segundo factor. Esto frustra el phishing masivo, credential stuffing y muchos ataques dirigidos.
Los tres factores de autenticación son: algo que sabes (contraseña), algo que tienes (teléfono, llave hardware), algo que eres (biometría).
Orientación relacionada
2FA basado en SMS: mejor que nada, pero con limitaciones
SMS 2FA envía un código de un solo uso vía mensaje de texto. Es el método más común pero el menos seguro por vulnerabilidades como SIM swapping e interceptación SS7.
NIST clasifica SMS como autenticador "restringido" — aceptable pero no recomendado cuando hay alternativas mejores disponibles.
Si SMS es tu única opción, úsalo. Pero planea migrar a TOTP o llaves de hardware lo antes posible.
TOTP: contraseñas de un solo uso basadas en tiempo
TOTP genera códigos de 6 dígitos que rotan cada 30 segundos usando un secreto compartido. Apps populares: Google Authenticator, Authy, Microsoft Authenticator, 1Password.
La ventaja: funciona sin conexión y no depende de la red celular. No es vulnerable a SIM swapping.
Al configurar TOTP, guarda los códigos de respaldo de forma segura. Si pierdes tu dispositivo sin respaldos, puedes quedar bloqueado permanentemente.
FIDO2/WebAuthn: el estándar dorado
FIDO2/WebAuthn utiliza criptografía de clave pública. El servidor almacena solo la clave pública; la clave privada nunca sale de tu dispositivo. Es inmune al phishing por diseño.
Llaves de hardware como YubiKey y Google Titan proporcionan la mayor seguridad. También se usan passkeys integradas en dispositivos con Windows Hello o Touch ID.
FIDO2 proporciona resistencia al phishing, prueba de presencia del usuario y verificación del origen criptográfica. Es el método recomendado por NIST para AAL3.
Elegir el método correcto para cada caso
Para cuentas de alta seguridad (email, banca, crypto): llaves de hardware FIDO2 como método principal con TOTP como respaldo.
Para cuentas corporativas: FIDO2 con políticas MDM. El costo de una YubiKey (~$50) es insignificante comparado con una brecha.
Para cuentas personales generales: TOTP como mínimo. Cualquier 2FA es mejor que ninguno.
Errores comunes de 2FA
Usar el mismo teléfono para SMS 2FA y recuperación de cuenta. Si un atacante hace SIM swap, obtiene ambos.
No generar códigos de respaldo. Sin un método alternativo, perder el teléfono significa perder el acceso.
Hacer capturas de pantalla de códigos QR TOTP. El QR contiene el secreto — una captura en tu galería puede ser accedida por cualquier app.
Aprobar notificaciones push inesperadas. Los atacantes envían intentos repetidos esperando fatiga MFA (push bombing).
- No usar el mismo teléfono para SMS 2FA y recuperación
- Siempre generar y guardar códigos de respaldo
- Nunca capturar pantalla de QR TOTP
- Nunca aprobar push MFA inesperados
- Registrar al menos dos llaves hardware por cuenta
- Usar TOTP o llaves hardware en lugar de SMS
- Probar métodos de recuperación antes de necesitarlos
Ad · affiliate linkComplementa tu contraseña segura con un VPN confiable
Una contraseña segura protege tus cuentas, pero ¿qué pasa con la conexión en sí? En redes Wi-Fi públicas o inseguras, los atacantes pueden interceptar el tráfico antes de que llegue a la página de inicio de sesión.
Un VPN cifra toda tu conexión a internet, ocultando tu dirección IP real y protegiendo tus datos de espías, proveedores de internet y ataques man-in-the-middle.
Probamos los principales proveedores de VPN en 2026 y NordVPN ofreció consistentemente la mejor combinación de velocidad, privacidad y verificación de política sin registros.
| Función | NordVPN | ExpressVPN | Surfshark |
|---|---|---|---|
| Precio/mes | $3.39/mo | $6.67/mo | $2.49/mo |
| Servidores | 6,400+ | 3,000+ | 3,200+ |
| Protocolo | NordLynx | Lightway | WireGuard |
| Sin registros auditado | Sí | Sí | Sí |
| Kill switch | Sí | Sí | Sí |
| Dispositivos | 10 | 8 | в€ћ |
| Túnel dividido | Sí | Sí | Sí |
Este es un enlace de afiliado. Si te suscribes a través de este enlace, podemos recibir una comisión sin costo adicional para ti — esto ayuda a mantener el sitio gratuito.