Todos los servicios que ofrecen verificación en dos pasos enseñan la misma pantalla una única vez: un bloque de ocho o diez cadenas cortas, un botón que dice "ya los he guardado" y ninguna segunda oportunidad. Casi todo el mundo pulsa el botón. Casi nadie guarda los códigos. Y cuando el móvil se pierde, se restablece o acaba en el fondo de una piscina, resulta que esas cadenas eran la única puerta que quedaba abierta.
Merece la pena entenderlos bien, porque no se comportan como ninguna otra credencial que tengas. Si todavía estás configurando el segundo factor, puedes generar y probar la parte de seis dígitos con un autenticador TOTP online gratuito y dejar los códigos de respaldo como un paso aparte y consciente.
Qué es realmente un código de recuperación
Es un secreto pregenerado y de un solo uso que el servicio acepta en lugar de tu segundo factor. No deriva de tu contraseña ni de la semilla de tu app de autenticación. El servidor generó un lote de cadenas aleatorias cuando activaste el 2FA, guardó sus hashes y te mostró el texto plano exactamente una vez.
Eso tiene dos consecuencias. La primera: el servicio no puede volver a enseñártelos, porque ya no los tiene, sólo los hashes. La segunda: quien tenga una de esas cadenas puede saltarse tu segundo factor por completo. Un código de recuperación no es una pista ni una pregunta de seguridad. Es una llave de fuerza completa.
En qué se diferencian del código TOTP
Los seis dígitos de tu app cambian cada treinta segundos porque se calculan a partir de un secreto compartido y la hora actual. Eso es un código TOTP, y por eso funciona sin conexión y por eso caduca tan rápido.
Los códigos de recuperación son lo contrario en casi todo:
- No caducan. Uno impreso en 2023 sigue funcionando hoy si no has regenerado el lote.
- Son de un solo uso. Usar uno lo quema; el resto siguen siendo válidos.
- Son más largos. Entre 8 y 16 caracteres, porque tienen que resistir intentos de adivinación sin una ventana de 30 segundos que los proteja.
- Son finitos. Diez es el lote habitual. Gasta los diez y te quedan los tickets de soporte y el documento de identidad.
Dónde guardarlos
El problema del almacenamiento es incómodo: los códigos tienen que sobrevivir a la pérdida del móvil, pero no pueden estar donde llegue alguien que ya tiene tu contraseña. Eso descarta los dos sitios donde la gente los pone de verdad: una nota en el propio móvil y un correo a uno mismo.
Lo que sí funciona:
- Un gestor de contraseñas, en una entrada distinta de la cuenta. No dentro del mismo elemento de acceso, y a ser posible en una bóveda con otra clave maestra.
- En papel, impresos, en un sitio físico. Poco moderno e imbatible. Una hoja doblada en un cajón sobrevive a la vez a la pérdida del móvil, al bloqueo de la nube y a un SIM swapping. Apunta el nombre del servicio: diez cadenas anónimas no le sirven a nadie.
- Un archivo cifrado en un USB o disco offline. Bien si ya tienes esa costumbre; una carga si no.
Lo que no funciona: capturas de pantalla en el carrete (se sincronizan con la misma cuenta que intentas proteger), archivos de texto en unidades compartidas, mensajes de chat a uno mismo y el autocompletado del navegador. Si un código está donde tu sesión abierta puede leerlo, también puede leerlo quien robe esa sesión.
Elijas lo que elijas, protege bien el contenedor. Una bóveda o un archivo cifrado valen lo que valga lo que los abre, y por eso conviene usar una frase de contraseña generada en lugar de una inventada para la clave maestra.
Cómo usar uno y qué hacer después
En la pantalla del 2FA busca "usar un código de respaldo", "probar de otra forma" o similar. Pega un código y entras. Después haz tres cosas de inmediato, porque la cuenta queda debilitada:
- Registra un segundo factor nuevo en el dispositivo actual antes de cerrar la pestaña.
- Regenera todo el lote. Casi todos los servicios lo permiten en ajustes de seguridad. Invalida todos los códigos antiguos, incluida cualquier copia que ya no controles.
- Revisa las sesiones activas y revoca lo que no reconozcas.
Si no te quedan códigos ni dispositivo, estás en el escenario difícil que explicamos en la guía sobre recuperar el acceso cuando pierdes el 2FA: verificación de identidad, procesos por proveedor y días de espera en vez de minutos.
El hábito de diez minutos que evita todo esto
La próxima vez que un servicio te enseñe códigos de recuperación, no cierres la pantalla hasta que existan en dos sitios que no fallarían a la vez. Y una vez al año dedica diez minutos a comprobar que los códigos de tu correo, tu gestor de contraseñas y tu banco siguen donde crees, y que el número de códigos sin usar coincide con el que indica el servicio.
Tu cuenta de correo es la que más cuidado merece, porque es la vía de restablecimiento de todo lo demás. Ese es también el argumento para no registrarla en cualquier sitio: un buzón desechable para las altas de usar y tirar mantiene tu dirección real, y sus códigos, fuera de circulación.
