La verificación en dos pasos, también llamada autenticación en dos pasos o de dos factores (2FA), agrega un segundo paso al inicio de sesión: además de tu contraseña, demuestras que tienes algo tuyo, como tu celular o una llave de seguridad. Si alguien roba tu contraseña, sin ese segundo paso no puede entrar a tu cuenta. El segundo paso puede ser un código por SMS, un código de una app autenticadora, una notificación en el teléfono o una llave de seguridad, y no todos protegen igual. Con una llave de acceso, en cambio, entras sin contraseña y sin segundo paso.
Cómo funciona
Cuando la activas, el servicio te pide el segundo paso cada vez que entras con tu contraseña en un dispositivo que no reconoce. Google lo explica en su guía para activar la Verificación en 2 pasos: la opción está en tu Cuenta de Google, en Seguridad y acceso, y en un dispositivo que usas a diario puedes marcar “No volver a preguntar en este dispositivo” para no repetir el paso cada vez. Si entras con una llave de acceso, Google omite el segundo paso, porque la llave ya comprueba que el dispositivo es tuyo.
Los métodos de verificación
| Método | Qué necesitas | Si te roban el número |
|---|---|---|
| Código por SMS o llamada | Señal y el número que registraste | El código va a quien controla el número |
| App autenticadora | La app en tu celular; funciona sin internet | No depende del número |
| Notificación de Google | Un celular con tu sesión de Google iniciada | Google indica que ayuda a protegerte |
| Llave de acceso | Desbloquear tu dispositivo: huella, rostro o PIN | No depende del número |
Código por SMS o llamada
Google envía un código de 6 dígitos al número que diste, por mensaje de texto o por llamada de voz. Funciona en cualquier celular con señal, pero Google advierte que los códigos enviados por mensaje de texto o llamada “pueden quedar expuestos ante ataques a números de teléfono”.
App autenticadora
Una app como el Autenticador de Google genera los códigos en tu celular, sin conexión a internet ni servicio móvil. Usa el algoritmo TOTP del RFC 6238: al configurarla, el servicio y la app comparten una clave secreta, casi siempre en un código QR, y la app calcula cada código a partir de esa clave y de la hora actual. El RFC recomienda que cada código dure 30 segundos. Como el código nunca viaja por la red telefónica, controlar tu número no sirve para obtenerlo.
Notificación en el teléfono
Google puede mandarte un mensaje a los celulares donde tienes la sesión iniciada, y tú tocas Sí o No según hayas pedido el acceso o no. Google recomienda este método si no usas llave de acceso, porque es más fácil que escribir un código y ayuda a protegerte si te cambian la tarjeta SIM.
Llaves de acceso y llaves de seguridad
Con una llave de acceso entras con tu huella, tu rostro o el bloqueo de pantalla del celular, sin escribir la contraseña y sin segundo paso. A diferencia de una contraseña o un código, no se puede copiar, escribir ni entregar por error a otra persona, lo que la hace más segura contra el phishing. Una llave de seguridad física es un pequeño dispositivo compatible con FIDO2 que conectas a tu teléfono o computadora para lo mismo.
Códigos de respaldo
Google te deja imprimir o descargar un conjunto de códigos de respaldo de 8 dígitos para usarlos como segundo paso si pierdes el celular. Guárdalos en un lugar seguro, fuera del teléfono.
Por qué el SMS es el método más expuesto
El código por SMS depende de quién controla el número, y un número se puede robar. La FCC describe el fraude de intercambio de tarjetas SIM: si un estafador reúne suficientes datos personales tuyos, engaña a tu compañía telefónica para que transfiera tu número a un equipo que él controla. Desde ese momento recibe tus SMS y tus llamadas, incluidos los códigos de verificación, y puede intentar restablecer el acceso a tus cuentas. La FCC agrega que la eSIM reduce el riesgo del robo físico de la tarjeta, pero no el de la portabilidad fraudulenta del número.
Aun así, Google aclara que todas las formas de la verificación en dos pasos mejoran la seguridad de la cuenta. El SMS es mejor que la contraseña sola; una llave de acceso o una app autenticadora no dependen de tu número.
La verificación en dos pasos de WhatsApp
En WhatsApp, el nombre se refiere a otra cosa. El código de 6 dígitos que recibes por SMS o llamada es el código de registro de tu número. La verificación en dos pasos de WhatsApp es una función opcional que agrega una clave propia, distinta de ese código, y WhatsApp la pide después de registrar el número: quien reciba tu código de registro también necesita esa clave. Hasta ahora era un PIN de 6 dígitos; según su página de ajustes, WhatsApp lo está cambiando por una contraseña: al activar la función te pide crear una, y quien ya tiene un PIN puede actualizarlo. Se activa en Ajustes > Cuenta > Verificación en dos pasos, y puedes agregar un correo para restablecerla si la olvidas.
La cuenta sigue ligada al número: cuando reinstalas la app o cambias de celular, WhatsApp vuelve a mandar el código de registro a ese número. Por eso conviene registrar tu número para WhatsApp en una línea que vayas a conservar.
Cuándo importa el número que eliges
Si el SMS es tu segundo paso o tu método de recuperación, el número tiene que seguir recibiendo mensajes mientras uses la cuenta. Además, Google puede tardar hasta 7 días en confiar en un número nuevo para la verificación en dos pasos, así que conviene agregarlo antes de necesitarlo.
El tipo de línea también cuenta. Antes de enviar un código, muchas plataformas consultan qué clase de número es: servicios como Twilio Lookup distinguen, entre otros tipos, móvil, fijo, VoIP fijo y VoIP no fijo. Con ese dato, una plataforma puede negarse a enviar códigos a los números VoIP. Un número de operador tiene el mismo tipo de línea que el celular de cualquier persona.
Con los números SMS de VoidMob, elige según el tiempo que vas a usar la cuenta. El número para un código único es de Estados Unidos y sigue activo 15 minutos: sirve para un registro, no para la verificación en dos pasos, porque después se libera. El alquiler conserva el mismo número de 3 a 30 días. Para un segundo paso por SMS, el número dedicado mensual sigue siendo tuyo mientras lo renuevas.
¿Qué es la verificación en dos pasos?
Es una capa de seguridad que pide algo más que tu contraseña al iniciar sesión: un código por SMS, un código de una app autenticadora, una notificación en tu celular o una llave de seguridad. Si alguien roba tu contraseña, sin ese segundo paso no puede entrar a tu cuenta. Una llave de acceso, en cambio, reemplaza la contraseña y el segundo paso.
¿Verificación en dos pasos y autenticación de dos factores son lo mismo?
En el uso diario, sí. Google llama a su función Verificación en 2 pasos y explica que también se conoce como autenticación de dos factores. En los dos casos, al iniciar sesión necesitas tu contraseña y un segundo paso que demuestre que tienes tu celular, una app o una llave.
¿Qué hago si pierdo el celular donde recibo los códigos?
Usa uno de los códigos de respaldo de 8 dígitos que Google te deja imprimir o descargar, o cualquier otro método que hayas configurado, como una llave de seguridad. Si usas el Autenticador de Google con tu cuenta, tus códigos se sincronizan al iniciar sesión en el celular nuevo.
¿Qué es el PIN de verificación en dos pasos de WhatsApp?
Es la clave que eliges tú y que WhatsApp te pide después de registrar tu número; es distinta del código de 6 dígitos que recibes por SMS o llamada. Hasta ahora era un PIN de 6 dígitos, y WhatsApp lo está cambiando por una contraseña. Puedes agregar un correo para restablecerla si la olvidas.
¿Puedo usar un número temporal para la verificación en dos pasos?
No es buena idea. Un número temporal deja de ser tuyo al poco tiempo, y los códigos de tus próximos inicios de sesión o de la recuperación de la cuenta se enviarían a un número que ya no controlas. Para un segundo paso por SMS, usa un número que conserves, como un número dedicado mensual.
Un número de operador para tus códigos
Para un registro, un número de Estados Unidos para un código único. Para la verificación en dos pasos, un número dedicado mensual que sigue siendo tuyo mientras lo renuevas.