¿Qué es la autenticación de dos factores? Guía sencilla
La autenticación de dos factores (2FA) es un inicio de sesión que pide dos pruebas distintas de que eres quien dices ser: normalmente algo que sabes, como una contraseña, más algo que tienes, como tu teléfono o una llave de seguridad. Si un delincuente roba o adivina tu contraseña, aun así no puede entrar sin el segundo factor. Es una de las formas más sencillas de proteger las cuentas que importan.
Por qué importa cuando creas con IA
Cuando pides a un creador con IA un «inicio de sesión», normalmente obtienes correo electrónico y contraseña. Es un buen punto de partida, pero las contraseñas se reutilizan, se roban con phishing y se filtran. Si tu app guarda algo valioso (registros de clientes, facturas, controles de administración, ajustes de pagos), una sola contraseña robada podría exponerlo todo.
El 2FA también afecta a decisiones en las que quizá no pienses al principio:
- Quién debe usarlo. ¿Opcional para todos, obligatorio para los administradores o obligatorio para todos?
- Qué métodos admites. Códigos de una app, mensajes de texto, passkeys, llaves de seguridad.
- Qué pasa cuando alguien se queda fuera. Los teléfonos perdidos son la solicitud de soporte más común en cualquier app con 2FA.
- Dónde se aplica. La comprobación tiene que hacerse en el servidor. Una pantalla de 2FA que solo oculta la página en el navegador puede saltarse.
No tienes que construir la criptografía tú mismo: las bibliotecas bien probadas y los proveedores de autenticación se encargan de eso. Pero sí necesitas saber qué pedir.
Una analogía cotidiana
Piensa en una caja de seguridad de un banco. Para abrirla necesitas tu documento de identidad (algo que el banco comprueba que eres o que sabes) y la llave física (algo que tienes). Un ladrón que copia tu firma tampoco tiene la llave. Un ladrón que roba la llave tampoco supera la comprobación de identidad.
El 2FA funciona igual. La contraseña es la firma; el teléfono o la llave de seguridad son la llave física. Cada una por separado no basta.
Los tres tipos de factores
Los estándares de seguridad, como las directrices de identidad digital del Instituto Nacional de Estándares y Tecnología (NIST) de Estados Unidos, agrupan los factores en tres tipos:
| Factor | Ejemplos |
|---|---|
| Algo que sabes | Contraseña, PIN |
| Algo que tienes | Teléfono con una app de autenticación, una llave de seguridad, un dispositivo con una passkey |
| Algo que eres | Huella dactilar, rostro (suele usarse para desbloquear un dispositivo que luego hace la comprobación real) |
La palabra clave es distinto. Una contraseña más una pregunta de seguridad son dos cosas que sabes, así que no es autenticación de dos factores de verdad. Si una sola filtración puede revelar ambas, solo cuenta como uno.
Los métodos de 2FA más comunes, comparados
| Método | Cómo funciona | Fortaleza | Notas |
|---|---|---|---|
| Código por SMS | Se envía un código por mensaje de texto a tu número de teléfono | La más débil | Vulnerable al intercambio de SIM y al phishing, pero mucho mejor que no tener 2FA |
| Código por correo | Se envía un código a tu correo electrónico | Débil | Solo es tan seguro como la cuenta de correo |
| App de autenticación (TOTP) | Una app como Google Authenticator genera un código nuevo de 6 dígitos, normalmente cada 30 segundos | Buena | Funciona sin conexión; sigue siendo vulnerable al phishing si una web falsa pide el código |
| Aprobación push | Una app pregunta «¿Eres tú?» y tú tocas para aprobar | Buena | Atención a la «fatiga de aprobación», cuando los usuarios pulsan sí para dejar de recibir avisos repetidos |
| Passkey o llave de seguridad | Una clave criptográfica en un dispositivo demuestra que estás en la web real | La más fuerte | Resistente al phishing, porque no responde a un dominio parecido |
La guía de NIST considera que los métodos en los que escribes un código (SMS, correo, apps de autenticación) no son resistentes al phishing, y marca el envío de códigos por la red telefónica como «restringido». Las passkeys y las llaves de seguridad físicas, basadas en los estándares WebAuthn/FIDO2, son las que cuenta como resistentes al phishing.
Una conclusión práctica: una app de autenticación es una opción predeterminada fuerte y fácil para la mayoría de las apps, y las passkeys merecen la pena si tus usuarios se sienten cómodos con ellas.
Un ejemplo práctico: 2FA para un portal de clientes
Imagina que has creado un portal donde un pequeño despacho de contabilidad comparte documentos fiscales con sus clientes. Así funciona una configuración sensata de 2FA, paso a paso.
Activarlo (registro). Priya, una clienta, abre Ajustes y hace clic en «Activar la autenticación de dos factores». La app genera un secreto y lo muestra como código QR. Lo escanea con su app de autenticación, que empieza a mostrar códigos de seis dígitos. Escribe el código actual en el portal para demostrar que la configuración funciona. La app muestra diez códigos de recuperación y le pide que los guarde en un lugar seguro.
Iniciar sesión después.
- Priya introduce su correo y su contraseña. El servidor los comprueba.
- En lugar de dejarla entrar directamente, el servidor marca la sesión como «contraseña correcta, segundo factor pendiente» y muestra la pantalla del código.
- Ella escribe el código de su app. El servidor lo compara con su secreto guardado, admitiendo un pequeño desfase del reloj.
- Solo entonces el servidor crea una sesión completa y le permite ver los documentos.
Qué ve un atacante. Si la contraseña de Priya se filtró desde otra web, el atacante se queda atascado en el paso 3. Cada intento fallido de código se cuenta, y tras varios errores la cuenta se bloquea temporalmente y Priya recibe un correo.
Si pierde el teléfono. Priya usa uno de sus códigos de recuperación para entrar, desactiva el 2FA y lo vuelve a activar con su nuevo teléfono, y obtiene códigos de recuperación nuevos. El código usado ya no puede volver a usarse nunca.
Para el personal. Los contables del despacho pueden ver todos los archivos de todos los clientes, así que el portal exige 2FA a las cuentas del personal; no pueden acceder al panel hasta que lo hayan activado.
Términos comunes explicados
| Término | Qué significa |
|---|---|
| 2FA / MFA | Autenticación de dos factores / multifactor: iniciar sesión con más de un tipo de prueba. |
| Factor | Un tipo de prueba: algo que sabes, tienes o eres. |
| TOTP | Contraseña de un solo uso basada en el tiempo: los códigos rotativos de las apps de autenticación. |
| Secreto compartido | El valor oculto, configurado mediante código QR, que la app y tu teléfono usan para generar códigos que coincidan. |
| Códigos de recuperación (de respaldo) | Códigos de un solo uso para entrar cuando has perdido tu segundo factor. |
| Passkey | Una credencial de inicio de sesión guardada en tu dispositivo que usa criptografía de clave pública en lugar de una contraseña. |
| Llave de seguridad | Un pequeño dispositivo físico (USB o NFC) que cumple la misma función que una passkey. |
| Intercambio de SIM (SIM swapping) | Engañar a una operadora para que pase el número de alguien a una nueva SIM, de modo que los mensajes lleguen al atacante. |
| Phishing | Una web o un mensaje falso que engaña a la gente para que entregue contraseñas o códigos. |
| Autenticación reforzada (step-up) | Pedir de nuevo el segundo factor antes de una acción sensible, como cambiar los datos de cobro. |
Errores y malentendidos comunes
- «El 2FA hace la cuenta impenetrable.» La hace mucho más difícil de vulnerar. Las webs de phishing todavía pueden capturar los códigos escritos en tiempo real, por eso existen las passkeys.
- Comprobar el código solo en el navegador. Si el servidor emite una sesión completa tras la contraseña, la pantalla del código es pura decoración. El servidor debe negar el acceso hasta que pase el segundo factor.
- Sin límite de intentos de código. Un código de seis dígitos tiene un millón de posibilidades. Sin limitación de intentos y bloqueos, un atacante puede seguir adivinando.
- Olvidar la recuperación. Sin códigos de recuperación, cada teléfono perdido se convierte en un ticket de soporte o en un cliente bloqueado.
- Guardar el secreto TOTP sin cuidado. El secreto compartido debe cifrarse en la base de datos y no volver a mostrarse después de la configuración.
- Permitir desactivar el 2FA sin volver a comprobar. Desactivar el 2FA o cambiar el correo de la cuenta debe exigir la contraseña y un código vigente.
- Contraseña más pregunta de seguridad como si fuera 2FA. No lo es: ambas son cosas que sabes.
Qué pedir a tu creador con IA
- «Añade autenticación de dos factores opcional con una app de autenticación (TOTP), con un código QR para la configuración y un código de confirmación antes de activarla.»
- «Muestra diez códigos de recuperación de un solo uso al activar el 2FA. Guárdalos con hash, como las contraseñas.»
- «Aplica el 2FA en el servidor: no hay sesión completa hasta que pase el segundo factor.»
- «Limita los intentos de código y bloquea el inicio de sesión durante 15 minutos tras varios fallos. Envía un correo al usuario cuando ocurra.»
- «Exige 2FA en las cuentas de administrador.»
- «Pide la contraseña y un código vigente antes de desactivar el 2FA o cambiar el correo de la cuenta.»
- «Usa una biblioteca conocida o el 2FA integrado de nuestro proveedor de autenticación; no escribas tú la criptografía.»
- «Explica qué método has usado y dónde se guardan los secretos.»
Si usas un proveedor de autenticación alojado, comprueba si ya ofrece 2FA o passkeys; activar una función integrada suele ser más seguro que el código a medida. La versión paso a paso está en cómo añadir la autenticación de dos factores, y qué es la autenticación explica los fundamentos del inicio de sesión que hay debajo.
Autenticación de dos factores en Mythex
Mythex no incluye un sistema de inicio de sesión integrado para los usuarios de tu app, así que el 2FA forma parte del enfoque de autenticación que elijas: tu propio inicio de sesión con correo y contraseña respaldado por la base de datos del proyecto, o un proveedor alojado que ofrezca 2FA. Se lo pides al agente en el chat, y cualquier clave del proveedor va en los secretos del proyecto, no en el propio chat. La receta de la documentación sobre añadir inicio de sesión a tu app tiene un prompt inicial que puedes adaptar, y la seguridad en las apps que creas explica los hábitos en torno a las claves. Antes del lanzamiento, repasa la lista de comprobación de seguridad para apps creadas con IA.
Preguntas
¿Qué es la autenticación de dos factores en términos sencillos?
La autenticación de dos factores (2FA) significa que para entrar hacen falta dos tipos distintos de prueba, normalmente tu contraseña más un código de tu teléfono o una llave de seguridad. Alguien que solo robe tu contraseña seguirá sin poder entrar.
¿El 2FA es lo mismo que el MFA?
Casi. La autenticación multifactor (MFA) implica dos o más factores; la autenticación de dos factores es el caso más común, con exactamente dos. En el uso cotidiano los términos se usan indistintamente.
¿El 2FA por SMS es seguro?
Es mucho mejor que solo una contraseña, pero es la opción común más débil. Los mensajes de texto pueden interceptarse o desviarse mediante el intercambio de SIM (SIM swapping), y una página de inicio falsa puede engañar a la gente para que escriba el código. Las apps de autenticación son más seguras, y las passkeys o las llaves de seguridad lo son todavía más.
¿Mi app necesita autenticación de dos factores?
Si las cuentas guardan dinero, datos privados o poder de administración sobre otros usuarios, ofrecer 2FA es buena idea, y exigirlo a los administradores es habitual. Para una app sencilla de hobby puede ser opcional o dejarse para más adelante.
¿Qué pasa si un usuario pierde su teléfono?
Para eso están los códigos de recuperación: una lista corta de códigos de respaldo de un solo uso que se muestra al activar el 2FA. Sin ellos, la recuperación suele requerir una verificación manual de identidad por parte del propietario de la app, así que planifícalo antes del lanzamiento.