Verificación en dos pasos: cómo activarla y qué método elegir

La mayoría de cuentas robadas caen por una contraseña filtrada, adivinada o entregada en una web falsa. La verificación en dos pasos añade una segunda comprobación: aunque alguien tenga tu contraseña, no puede entrar sin algo que solo tienes tú, normalmente tu móvil. El INCIBE recomienda activarla en todos los servicios que la ofrezcan.

Los métodos, de menos a más seguro

1. Código por SMS. Es el más extendido y mucho mejor que nada. El INCIBE lo desaconseja frente a otras opciones: los SMS pueden interceptarse o suplantarse, y un estafador puede convencerte de que le dictes el código.
2. Aplicación de autenticación. Google Authenticator, Microsoft Authenticator u otras generan un código que cambia cada 30 segundos, sin depender de la línea móvil. Es la opción recomendable para la mayoría.
3. Notificación en la aplicación. Algunos servicios te piden aprobar el inicio de sesión desde una aplicación en el móvil. Cómodo, pero no apruebes nunca una solicitud que no hayas iniciado tú.
4. Llaves de acceso (passkeys) y llaves de seguridad físicas. Sustituyen o complementan a la contraseña usando la huella, la cara o el PIN del dispositivo. Google explica que no se pueden copiar, compartir ni escribir, lo que las hace muy resistentes al phishing.

Dónde activarla primero

Prioriza las cuentas que dan acceso a las demás:

1. Tu correo electrónico principal. Con él se recuperan casi todas las demás contraseñas.
2. Tu cuenta de Google, Microsoft o Apple.
3. Banca (normalmente ya la exige) y compras en línea.
4. Redes sociales y mensajería, como WhatsApp, Instagram o Facebook.
5. Tu gestor de contraseñas, si usas uno.

Cómo activarla en los servicios más comunes

• Google: según el INCIBE, en Gestionar tu cuenta de Google > Seguridad > Verificación en dos pasos. Desde la misma sección puedes crear llaves de acceso.
• Microsoft: en la sección de seguridad de tu cuenta de Microsoft, en las opciones de seguridad avanzadas. Microsoft permite incluso quitar la contraseña y entrar solo con Microsoft Authenticator, Windows Hello o una llave de seguridad.
• WhatsApp: en Ajustes > Cuenta > Verificación en dos pasos, donde creas un PIN de seis dígitos que te pedirá al registrar tu número en otro móvil.
• Otros servicios: busca «verificación en dos pasos», «autenticación de dos factores» o «2FA» en los ajustes de seguridad.

No te quedes fuera: códigos de respaldo

El miedo más habitual es perder el móvil y no poder entrar. Para evitarlo:

• Guarda los códigos de respaldo que ofrecen la mayoría de servicios al activar la verificación. Imprímelos o guárdalos en tu gestor de contraseñas, nunca en el propio móvil sin protección.
• Añade un segundo método: otro dispositivo, una llave física o un número de teléfono de respaldo.
• Mantén actualizados el correo y el teléfono de recuperación.
• Si cambias de móvil, transfiere la aplicación de autenticación antes de borrar el antiguo.

La regla de oro

Nunca compartas un código de verificación con nadie, aunque diga ser de tu banco, de la compañía o de soporte técnico. Ninguna empresa legítima te lo pedirá. Es exactamente lo que buscan las estafas que explicamos en la guía sobre SMS fraudulentos.

Combínala con buenas contraseñas

La verificación en dos pasos no sustituye a una buena contraseña. Usa una distinta en cada servicio: puedes crearlas con nuestro generador de contraseñas y guardarlas en un gestor. Si ya es tarde y te han robado una cuenta, sigue la guía sobre qué hacer si te roban una cuenta.