Activar un segundo factor es la mejora de seguridad más rentable que puedes hacer en una tarde. La duda llega después: ¿basta con una aplicación de autenticación en el móvil o merece la pena comprar una llave física? Las dos opciones son buenas, pero una resuelve un problema que la otra no puede resolver.
Los tres segundos factores que vas a encontrar
Códigos por SMS
El más extendido y el más débil. El código viaja hasta un número de teléfono, y un número se puede trasladar: en un ataque de duplicado de SIM, alguien convence a la operadora de portar tu línea y pasa a recibir tus códigos. Súmale que el mensaje puede aparecer en la pantalla de bloqueo. Aun así, el SMS es mucho mejor que nada: si es lo único que ofrece un servicio, actívalo.
Aplicaciones de autenticación (TOTP)
Al escanear el código QR de activación, tu aplicación guarda un secreto compartido con el servicio. A partir de ahí ambos generan el mismo número de seis dígitos combinando ese secreto con la hora actual, y el resultado cambia cada treinta segundos. No hace falta cobertura, no interviene ninguna operadora y no hay nada que interceptar. Puedes probar un generador de códigos TOTP en línea para ver cómo se renueva el número; el detalle del algoritmo está explicado en este artículo sobre qué es un código TOTP.
Llaves de seguridad físicas (FIDO2)
Un dispositivo del tamaño de una memoria USB que guarda claves privadas y las usa sin sacarlas nunca de dentro. Al iniciar sesión, el sitio envía un reto y la llave lo firma. No hay ningún código que leer ni escribir: tocas el contacto metálico y ya está.
La diferencia que de verdad importa
Todo lo anterior son matices comparado con esto: una llave de seguridad está vinculada al origen del sitio y un código TOTP no.
Al registrar una llave, esta asocia el par de claves al dominio exacto de ese servicio. Si más tarde caes en una página de phishing alojada en un dominio parecido pero distinto, el navegador le pide una firma para ese dominio falso y la llave no tiene ninguna que ofrecer. No hay decisión humana que tomar: el ataque falla por diseño.
Un código TOTP, en cambio, no sabe dónde lo estás escribiendo. Son seis dígitos válidos durante medio minuto y quien los reciba puede usarlos. En un ataque de phishing en tiempo real, la página falsa te pide el código, lo reenvía al sitio auténtico en segundos y entra. La aplicación no ha fallado: el problema es que la persona de en medio puede ser engañada. Esa es la razón por la que las organizaciones expuestas a phishing dirigido migran a llaves o passkeys.
Cómo es vivir con una llave de seguridad
Se conectan por USB-A o USB-C, y muchas incluyen NFC para acercarlas al móvil. Registrar una lleva menos de un minuto: en la configuración de seguridad de la cuenta eliges añadir una llave, la conectas, la tocas y le pones un nombre. La clave privada se genera dentro del dispositivo y no sale jamás de ahí, lo que también implica que no existe copia de seguridad posible de la llave.
Las pegas son concretas. Cuestan dinero, y hay que comprar dos y registrar las dos en cada cuenta: una de uso diario y otra guardada bajo llave. Perder la única llave registrada es la forma más habitual de quedarse fuera de la propia cuenta. Tampoco todos los servicios las admiten aún, aunque los grandes proveedores de correo, los gestores de contraseñas, los registradores de dominios y las plataformas en la nube sí. Y en el móvil, sin NFC, acabas peleándote con adaptadores.
Dónde siguen ganando las aplicaciones de autenticación
Son gratuitas, admiten cuentas ilimitadas y funcionan en casi cualquier servicio con 2FA, incluidos los muchos que aún no soportan FIDO2. El punto delicado es la copia de seguridad: si pierdes el teléfono sin haber guardado nada, pierdes todos los códigos de golpe. Dos caminos sensatos: guardar los secretos iniciales (el texto que aparece bajo el QR) en un gestor de contraseñas cifrado, o usar una aplicación con sincronización cifrada. Lo que no vale es una captura del QR en la galería.
Dónde encajan las passkeys
Usan la misma criptografía FIDO2 que una llave física y heredan su resistencia al phishing, con una diferencia: la clave privada vive en tu teléfono, tu portátil o tu gestor de contraseñas en lugar de en un dispositivo aparte. Son más cómodas y sincronizables, a cambio de depender de la seguridad de ese aparato. Aquí tienes una explicación de qué es una passkey y cómo se usa.
La contraseña que hay debajo
Ningún segundo factor arregla una contraseña reutilizada: el 2FA protege el acceso, pero una contraseña filtrada sigue abriendo puertas en todos los sitios donde la repites. Usa una contraseña larga, aleatoria y distinta para cada servicio; si te cuesta recordarlas, una frase de contraseña de cuatro o cinco palabras es fácil de memorizar y muy resistente. Un generador de contraseñas y frases de contraseña te da opciones decentes en un segundo.
Una escalera de recomendaciones
- Activa cualquier segundo factor en tus cuentas importantes hoy mismo. Incluso el SMS, si no hay más.
- Pasa a una aplicación de autenticación por defecto en todo lo que la admita; puedes ver antes cómo se comporta un código de seis dígitos con un generador de códigos 2FA.
- Añade llaves o passkeys a lo que más duele perder: el correo principal, el gestor de contraseñas, el registrador de tu dominio, la banca y tus cuentas de desarrollo o de nube.
- Guarda los códigos de recuperación fuera de línea, en papel o en un gestor cifrado, antes de necesitarlos.
El eslabón que casi nadie revisa
De poco sirve una llave en tu cuenta bancaria si el correo de recuperación asociado está protegido solo con una contraseña de hace ocho años: quien controle ese buzón puede pedir restablecimientos en cadena y saltarse todo lo demás. Protege el correo principal primero, con el factor más fuerte que tengas. Y reduce la superficie expuesta: para foros, descargas puntuales y registros de un solo uso, una dirección de correo temporal evita atar decenas de servicios irrelevantes a la cuenta que estás blindando.
Entonces, ¿cuál elijo?
Aplicación de autenticación como base para todo, y llave física o passkey para el puñado de cuentas cuya pérdida te arruinaría el mes. No es una elección excluyente: casi todos los servicios permiten registrar varios métodos, y tener dos caminos válidos es lo que evita quedarse fuera.
