≡En resumen
- La 2FA combina dos factores de tipos distintos: saber, tener o ser.
- No todos los segundos factores protegen igual: SMS < app de códigos TOTP < llaves de seguridad y passkeys.
- NIST considera restringido el SMS y exige ofrecer al menos una opción resistente al phishing en su nivel AAL2.
- En una web o tienda online, la 2FA debe proteger sobre todo los accesos de administración, hosting, dominio y correo.
- Guarda siempre códigos de recuperación: perder el segundo factor sin plan B puede dejarte fuera de tu propia cuenta.
01 ¿Qué es la two-factor authentication (2FA)?
Algo que sabes
Contraseña, PIN o respuesta secreta. Es el factor más fácil de robar con phishing o filtraciones.
Algo que tienes
El móvil con una app autenticadora, una llave de seguridad USB o NFC, una tarjeta de coordenadas o un token.
Algo que eres
Huella dactilar, reconocimiento facial o de voz. Suele usarse para desbloquear el dispositivo que guarda la clave.
02 Métodos de 2FA: SMS vs app TOTP vs passkeys
| Método | Cómo funciona | Resistencia al phishing | Riesgos principales |
|---|---|---|---|
| SMS o llamada | Recibes un código por mensaje o voz | No | Duplicado de SIM, portabilidad fraudulenta, interceptación, phishing en tiempo real |
| Recibes un código o enlace en tu correo | No | Si el correo está comprometido, cae todo | |
| App TOTP | Una app genera códigos temporales a partir de un secreto compartido | No | Phishing en tiempo real; pérdida del móvil sin copia |
| Notificación push | Apruebas el acceso en una app | Solo si incluye comprobación de número | Fatiga de notificaciones: aprobar por error |
| Llave de seguridad (FIDO2/WebAuthn) | Llave física USB o NFC que firma el acceso | Sí | Pérdida de la llave si no tienes otra de respaldo |
| Passkeys | Claves criptográficas guardadas en el móvil o el gestor, desbloqueadas con huella o PIN | Sí | Depender de un único proveedor para sincronizarlas |
Los códigos TOTP (el estándar RFC 6238) son los de apps como Google Authenticator, Microsoft Authenticator o los gestores de contraseñas: cambian cada 30 segundos y se generan sin conexión. Son mucho mejores que el SMS, pero un sitio falso puede pedirte el código y usarlo al instante. Las llaves FIDO2 y las passkeys resuelven ese problema porque la firma está ligada al dominio real: en una web de phishing sencillamente no funcionan.
03 Qué dice NIST sobre el SMS como segundo factor
El NIST (Instituto Nacional de Estándares y Tecnología de EE. UU.) publica la guía de referencia mundial sobre autenticación, la SP 800-63B. Su revisión 4, publicada en agosto de 2025, mantiene el uso de la red telefónica (SMS o llamada) para enviar códigos como autenticador restringido: se puede usar, pero con condiciones y avisando de sus riesgos.
- ✓El SMS y la llamada son autenticadores restringidos: el servicio debe garantizar que todos los usuarios tengan alternativas y debería recordarles sus limitaciones.
- ✓Antes de enviar un código por teléfono, el verificador debería tener en cuenta señales de riesgo como cambio de SIM, portabilidad del número o cambio de dispositivo.
- ✓Cambiar el teléfono registrado equivale a dar de alta un autenticador nuevo, con sus propias comprobaciones.
- ✓En el nivel AAL2, el servicio debe ofrecer al menos una opción de autenticación resistente al phishing.
- ✓En el nivel AAL3 la resistencia al phishing es obligatoria, y no se admiten autenticadores sincronizables como las passkeys en la nube.
- ✓Para contraseñas, la misma guía prohíbe imponer reglas de composición y cambios periódicos obligatorios.
04 2FA en tu web, tu tienda online y sus paneles de administración
Muchos ataques a webs no explotan fallos técnicos, sino contraseñas robadas o reutilizadas. Una vez dentro del panel, el atacante puede inyectar malware, crear usuarios o redirigir pagos. La 2FA corta ese camino. Prioriza estos accesos, de más a menos crítico:
-
1
Registrador del dominio y DNS
Quien controla el dominio controla la web y el correo. Activa 2FA y, si puedes, el bloqueo de transferencia.
-
2
Hosting y panel del servidor
cPanel, Plesk o la consola de tu proveedor cloud: desde ahí se accede a todos los archivos y bases de datos.
-
3
Correo corporativo
Sirve para recuperar contraseñas de todo lo demás. Si cae, caen el resto de cuentas.
-
4
Administración del CMS o la tienda
En WordPress no viene de serie: se añade con plugins como Two Factor, mantenido por colaboradores de WordPress. Shopify y otras plataformas lo incluyen en la configuración de la cuenta.
-
5
Pasarela de pago, Analytics, Google Ads y redes sociales
Cualquier cuenta con dinero, datos de clientes o capacidad de publicar en nombre de la marca.
La 2FA es una capa más, no la única: combínala con actualizaciones, copias de seguridad y un firewall de aplicaciones web. Lo repasamos en la guía de seguridad web contra los ataques más comunes, y en la de mantenimiento web verás cómo encaja en la rutina mensual.
05 Cómo implementar 2FA en tus propias aplicaciones
Si tu empresa tiene una aplicación web, un área de clientes o una app móvil, la 2FA forma parte del diseño del inicio de sesión, no es un añadido de última hora. Estas son las decisiones que tomamos en un proyecto de desarrollo web a medida:
- ✓Ofrecer passkeys o WebAuthn como opción principal y TOTP como alternativa universal.
- ✓Dejar el SMS solo como último recurso y vigilar señales de riesgo como cambios recientes de número.
- ✓Generar códigos de recuperación de un solo uso al activar la 2FA y guardarlos cifrados con hash.
- ✓Limitar intentos y registrar cada alta, baja o cambio de factor, avisando al usuario por otro canal.
- ✓Pedir de nuevo el segundo factor antes de acciones sensibles: cambiar el email, la contraseña o los datos de pago.
- ✓Hacer obligatoria la 2FA para cuentas de administración y opcional pero visible para el resto.
06 Cómo activar la 2FA y qué hacer si pierdes el segundo factor
-
1
Busca la opción de seguridad
Suele estar en Cuenta > Seguridad > Verificación en dos pasos o Autenticación de dos factores.
-
2
Elige el método más fuerte disponible
Passkey o llave de seguridad si existe; si no, app de códigos. El SMS, solo si no hay otra cosa.
-
3
Escanea el código QR
Con la app autenticadora, escanea el QR y escribe el primer código para confirmar que funciona.
-
4
Guarda los códigos de recuperación
Descárgalos y guárdalos fuera del móvil: en un gestor de contraseñas o impresos en un lugar seguro.
-
5
Añade un segundo método de respaldo
Una segunda llave, otra app o un dispositivo de confianza, para no depender de un solo móvil.
Una tienda online tenía la 2FA de su hosting solo en el móvil del gerente. Cuando lo perdió, la recuperación con el proveedor tardó varios días, con verificación de identidad incluida. Con códigos de recuperación guardados o una segunda persona administradora con su propio factor, habría vuelto a entrar en minutos. Si sospechas que alguien ha accedido a tus cuentas, INCIBE atiende gratis en el teléfono 017.
Preguntas frecuentes sobre Two-factor authentication
Es la autenticación de dos factores (2FA): un inicio de sesión que exige dos pruebas de identidad de tipos distintos, como una contraseña y un código de tu móvil. Aunque roben tu contraseña, no pueden entrar sin el segundo factor.
MFA (autenticación multifactor) es el concepto general de usar dos o más factores; la 2FA es el caso concreto de dos. En la práctica, casi todos los servicios que dicen MFA usan dos factores.
Es mejor que no tener 2FA, pero es el método más débil. NIST lo considera un autenticador restringido e INCIBE recomienda no depender de él por riesgos como el duplicado de SIM o la suplantación del remitente.
La passkey, porque resiste el phishing: solo funciona en el dominio legítimo. La app de códigos TOTP es una buena alternativa universal cuando el servicio no admite passkeys.
WordPress no la incluye de serie. Se añade con un plugin, como Two Factor, mantenido por colaboradores de WordPress, que admite códigos TOTP, códigos por email y códigos de respaldo.
Usa los códigos de recuperación que guardaste al activarla o el método de respaldo. Si no tienes ninguno, tendrás que pasar el proceso de recuperación del servicio, que puede tardar días.
No, pero bloquea la gran mayoría de accesos con contraseñas robadas. Los métodos resistentes al phishing, como passkeys y llaves FIDO2, protegen además contra webs falsas que piden el código.
Fuentes consultadas
Sobre el autor
Germán Gutiérrez
Development Manager en appyweb
Dirige el equipo de desarrollo de appyweb: aplicaciones web y móviles, SaaS, integraciones y arquitectura de software.
Ver perfil en LinkedIn ↗