¿Qué es la autenticación de dos factores y por qué protege tus cuentas?
Publicado el 2026-10-20 por frfrand
2FA y MFA explicados: códigos TOTP, SMS, passkeys, claves físicas, recuperación y qué métodos resisten mejor el phishing.
La autenticación de dos factores (2FA) añade una comprobación adicional al iniciar sesión para que una contraseña robada no sea suficiente por sí sola. Es una de las medidas más prácticas para proteger cuentas de correo, servicios en la nube y herramientas de administración.
Pero no todos los segundos factores ofrecen la misma seguridad. Entender las diferencias evita confiar demasiado en un código de seis números.
El ejemplo de las dos llaves
Imaginá que para entrar a un edificio necesitás una llave y una tarjeta personal. Si alguien consigue copiar una de las dos, todavía le falta otra comprobación.
En informática hablamos de factores como algo que sabés (una contraseña), algo que tenés (un dispositivo o una clave física) y algo que sos (ciertos datos biométricos).
MFA significa autenticación multifactor: dos o más factores distintos. 2FA es el caso de exactamente dos factores. No alcanza con pedir dos contraseñas diferentes, porque ambas pertenecen al mismo tipo de factor.
¿Qué tipos de segundo factor existen?
Códigos por SMS. Son fáciles de utilizar y suelen ser mejores que depender solo de una contraseña, pero pueden verse afectados por ataques a la línea telefónica, interceptación o engaños.
Aplicaciones autenticadoras. Generan códigos temporales, frecuentemente basados en TOTP, incluso sin recibir un SMS. Es importante proteger el dispositivo y conservar mecanismos de recuperación.
Notificaciones de aprobación. Algunas aplicaciones piden confirmar el inicio de sesión desde un teléfono. Hay que evitar aprobar solicitudes que no iniciamos; los ataques de fatiga pueden aprovechar la costumbre de tocar «Aceptar».
Claves de seguridad y passkeys. Los mecanismos basados en FIDO2/WebAuthn pueden vincular la autenticación al sitio legítimo, lo que ofrece una resistencia importante frente a determinadas formas de phishing.
¿Un código TOTP me protege contra cualquier phishing?
No. Imaginá que entrás a una página falsa que imita a tu proveedor. El atacante podría pedirte primero la contraseña y después el código temporal, utilizando ambos de inmediato contra el sitio verdadero.
Los códigos temporales aumentan la seguridad, pero no son necesariamente resistentes al phishing. Los métodos criptográficos vinculados al dominio, como WebAuthn, ofrecen propiedades distintas.
¿Qué es una passkey?
Una passkey permite autenticarte mediante criptografía de clave pública y un dispositivo o gestor compatible. Habitualmente se activa mediante biometría o un PIN local.
No significa que el sitio reciba tu huella dactilar. La comprobación biométrica, cuando se usa, suele desbloquear una clave protegida en tu dispositivo; el servidor verifica una prueba criptográfica.
Las passkeys pueden sincronizarse entre dispositivos o almacenarse en llaves físicas, dependiendo del proveedor y la configuración. Por eso conviene preparar métodos de recuperación.
¿Qué sucede si pierdes el teléfono?
Este es el punto que mucha gente descubre demasiado tarde. Antes de activar MFA revisa qué opciones de recuperación ofrece el servicio: códigos de respaldo, claves adicionales o dispositivos secundarios.
Guarda los códigos de recuperación en un lugar seguro y separado de la contraseña principal. Tener todo en una misma captura de pantalla dentro de una carpeta compartida no es una buena estrategia.
Si una empresa utiliza cuentas críticas, conviene documentar quién puede recuperar el acceso y cómo se verificará la identidad sin abrir una puerta trasera informal.
Tres errores frecuentes
Pensar que cualquier 2FA es invulnerable. Los métodos cambian mucho en resistencia y facilidad de recuperación.
Compartir un código porque lo pide soporte. Los códigos temporales son secretos de autenticación; una solicitud inesperada merece desconfianza.
No revisar sesiones activas. Activar MFA no siempre cierra sesiones antiguas que ya estaban autenticadas. Tras un incidente, puede ser necesario cerrar sesiones y rotar claves o tokens.
¿Dónde conviene activarla primero?
Prioriza correo electrónico, gestores de contraseñas, repositorios de código, infraestructura, servicios financieros y cuentas que permiten recuperar el acceso a otras.
El correo es especialmente importante: quien controla esa cuenta puede intentar restablecer contraseñas de muchos servicios relacionados.
¿Y las cuentas de ArduMaker?
Como en cualquier plataforma desde la que se gestionan VPS y servicios, proteger las credenciales de acceso a ArduMaker es importante. Utiliza los mecanismos de autenticación y permisos realmente disponibles para tu cuenta y evita compartir credenciales administrativas. No conviene suponer que una función concreta de MFA esté habilitada sin comprobar la configuración de la plataforma.
En resumen: 2FA reduce el riesgo asociado a una contraseña robada; los métodos resistentes al phishing ofrecen protección adicional. Elige un mecanismo que puedas mantener y recuperar de forma segura.
Fuente técnica: NIST: autenticadores y resistencia al phishing · Qué es phishing.