Cómo activar la autenticación de dos factores con una app de autenticación

Con una contraseña sola, basta una filtración para que otra persona entre en tu cuenta. La autenticación de dos factores (2FA) añade una segunda comprobación: un código corto que cambia constantemente y que solo tu teléfono puede generar. Aunque tu contraseña acabe en una filtración de datos, la cuenta sigue cerrada sin ese código.

Cómo funcionan los códigos de autenticación

Las apps de autenticación usan TOTP, el algoritmo de contraseñas de un solo uso basadas en el tiempo, estandarizado en el RFC 6238. Cuando activas la 2FA, el servicio y tu teléfono acuerdan un secreto compartido, que normalmente se entrega como un código QR. A partir de ese momento, ambos combinan ese secreto con la hora actual y obtienen el mismo código corto. La mayoría de los servicios usan seis dígitos y generan un código nuevo cada 30 segundos.

En la práctica, esto tiene dos consecuencias importantes:

• No necesitas conexión. El código se calcula en tu teléfono, así que funciona en modo avión, en el extranjero y en pleno vuelo.
• La hora importa. Si el reloj de tu teléfono se desajusta, los códigos dejan de coincidir. Mantén la fecha y la hora en ajuste automático.

Por qué no conformarse con los códigos por SMS

Los códigos por SMS son mejor que nada, pero viajan por la red telefónica y pueden interceptarse o desviarse, por ejemplo, cuando un atacante convence a tu operadora de que traslade tu número a una nueva SIM. Por este motivo, las directrices de identidad digital del NIST clasifican la verificación por SMS como un autenticador restringido (SP 800-63B). Una app de autenticación, en cambio, guarda el secreto en tu dispositivo.

Cómo activar la 2FA paso a paso

Los menús cambian de un servicio a otro, pero el proceso es casi siempre el mismo:

1. Abre los ajustes de seguridad de la cuenta y busca "Autenticación de dos factores", "Verificación en dos pasos" o "Verificación de inicio de sesión".
2. Elige App de autenticación como método. Algunos servicios la esconden en "Otros métodos" y te ofrecen primero el SMS.
3. El servicio te muestra un código QR. En Ring, toca el botón de añadir y escanéalo con la cámara. Si no puedes escanearlo, la mayoría de los servicios también muestran una clave en texto que puedes introducir a mano.
4. Ring empieza a mostrar al instante un código para esa cuenta. Escribe el código actual en la web para confirmar la configuración.
5. Guarda los códigos de recuperación. Es el paso que todo el mundo se salta y del que luego se arrepiente.

No te quedes fuera de tus cuentas

Ring guarda tus secretos cifrados en tu dispositivo y en ningún otro sitio. Eso es lo que lo hace privado, pero también significa que, si pierdes o restableces el teléfono, los códigos se van con él. Antes de que lo necesites:

• Descarga o apunta los códigos de respaldo que todos los servicios ofrecen durante la configuración, y guárdalos en un lugar seguro y separado de tu teléfono.
• Si el servicio lo permite, añade un segundo método, como una llave de seguridad física o un segundo dispositivo.
• Cuando cambies de teléfono, traslada tus cuentas al nuevo dispositivo antes de borrar el antiguo.

Si ya te ha pasado, aquí tienes qué hacer si pierdes el teléfono con tus códigos 2FA.

Que sea lo bastante rápido como para usarlo de verdad

El principal motivo por el que la gente vuelve a desactivar la 2FA es la incomodidad. Unos cuantos hábitos hacen que no suponga ningún esfuerzo:

• Agrupa las cuentas en carpetas, por ejemplo, trabajo, finanzas y redes sociales, para encontrar el código correcto en un segundo.
• Copia el código con un toque en lugar de volver a escribir seis dígitos.
• Coloca el widget de la pantalla de inicio junto a las apps en las que inicias sesión con más frecuencia.
• Bloquea la app con Face ID para que los códigos sigan siendo privados aunque otra persona tenga tu teléfono en la mano.

Por dónde empezar

No hace falta proteger todo de golpe. Empieza por las cuentas que pueden restablecer todas las demás: tu correo principal, tu cuenta de Apple, tu gestor de contraseñas y tu banco. Después, añade las redes sociales y las herramientas de trabajo la próxima vez que inicies sesión en ellas.