Cómo configurar 2FA en cuentas de Google, Microsoft y Apple

Por qué importa la autenticación de dos factores

Tu contraseña es el candado de la puerta digital de tu casa — y los candados, por sí solos, fallan más de lo que quisiéramos admitir.

Las contraseñas se reutilizan entre sitios, se adivinan a partir de bases de datos filtradas o simplemente se entregan a los atacantes mediante correos de phishing convincentes. Cuando cae una contraseña, caen también todas las cuentas que la comparten.

La autenticación de dos factores (2FA) lo corrige al exigir una segunda prueba de identidad, separada: un código de una app, un aviso en un dispositivo de confianza o una llave de seguridad física. Aunque alguien robe tu contraseña, no podrá entrar sin ese segundo factor.

Las cuentas de Google, Microsoft y Apple merecen atención especial. Son llaves maestras del resto de tu vida:

• Google: correo, fotos, contraseñas guardadas, documentos
• Microsoft: correo, archivos de Office, OneDrive, inicios de sesión de trabajo
• Apple: fotos de iCloud, copias de seguridad, datos de pago, desbloqueo de dispositivos

Si pierdes una de estas, un atacante puede restablecer las contraseñas de casi todo lo demás.

Cómo elegir un método de 2FA

No todos los segundos factores protegen igual de bien.

• Códigos SMS — los más fáciles para empezar; nada que instalar. La opción más débil: los códigos viajan por la red del operador y pueden ser interceptados o robados mediante SIM swapping. Necesita señal.
• Aplicaciones de autenticación (Google Authenticator, Microsoft Authenticator, Authy) — gratuitas, generan códigos sin conexión en tu dispositivo. Mucho más difíciles de interceptar que los SMS. Pequeña molestia: transferir las cuentas a un teléfono nuevo.
• Solicitudes push — toca para aprobar un inicio de sesión. Muy convenientes, pero ocurren aprobaciones accidentales; algunas aplicaciones añaden la correspondencia de números para reducir este riesgo.
• Passkeys — más recientes y resistentes al phishing por diseño, vinculadas a tu dispositivo y sus datos biométricos. Requieren algo más de esfuerzo de configuración.
• Llaves de seguridad — pequeñas llaves de hardware que ofrecen la mayor resistencia al phishing. Cuestan dinero y se pueden perder, así que compra dos.

En términos generales: SMS < aplicación < push < passkey ≈ llave de seguridad. Usa el método más fuerte que admita cada cuenta y combina métodos donde más importe.

Cómo activar la 2FA en tu cuenta de Google

Inicia sesión en myaccount.google.com, abre Seguridad y selecciona Verificación en 2 pasos en "Cómo inicias sesión en Google". Google te pedirá confirmar tu contraseña primero.

Añade una app de autenticación o una llave de acceso

• App de autenticación: En la configuración de Verificación en 2 pasos, elige "App de autenticación", escanea el código QR con Google Authenticator o cualquier app TOTP compatible y luego introduce el código de seis dígitos que muestra para confirmar.
• Llave de acceso: En la página de Seguridad, selecciona "Llaves de acceso" y sigue las instrucciones para crear una con la huella dactilar, el rostro o el bloqueo de pantalla de tu dispositivo. Las llaves de acceso resisten el phishing y son más rápidas que escribir códigos.

Guarda los códigos de respaldo y añade un factor de respaldo

Antes de salir de la página, descarga o imprime tus códigos de respaldo y guárdalos sin conexión — en un cajón, no en una captura de pantalla. Luego añade un segundo método, como una llave de seguridad o la app en otro dispositivo, para que un teléfono perdido no te deje bloqueado.

Cómo activar la 2FA en tu cuenta de Microsoft

Inicia sesión en account.microsoft.com, abre Seguridad y selecciona Opciones de seguridad avanzadas.

Activar la comprobación en dos pasos:

1. En "Comprobación en dos pasos", elige Configurar la comprobación en dos pasos y sigue las indicaciones.
2. Cuando te pregunten cómo quieres verificar tu identidad, elige una opción como una aplicación, un número de teléfono o un correo electrónico alternativo.

Añadir la aplicación Microsoft Authenticator:

• En el mismo menú, elige Agregar una nueva forma de iniciar sesión o verificar y selecciona Usar una aplicación.
• Instala Microsoft Authenticator en tu teléfono, escanea el código QR que aparece en pantalla y aprueba la notificación de prueba.

Configura la recuperación antes de terminar:

• Añade una dirección de correo electrónico de recuperación en Información de recuperación para poder recuperar el acceso si pierdes el teléfono.
• Descarga o imprime tu código de copia de seguridad y guárdalo en un lugar seguro, como una cartera o una caja fuerte en casa.

Cómo activar la 2FA en tu Apple ID

La versión de 2FA de Apple se llama Autenticación de dos factores y, en la mayoría de las cuentas, ya está activada. Para comprobarlo, ve a Ajustes (o Ajustes del sistema en un Mac), toca tu nombre en la parte superior, elige Inicio de sesión y seguridad (en versiones anteriores del software, Contraseña y seguridad) y busca Autenticación de dos factores.

La verificación se basa en dos cosas que controlas:

• Dispositivos de confianza — un iPhone, iPad o Mac que ya haya iniciado sesión en tu Apple ID y que pueda mostrar códigos de verificación
• Números de teléfono de confianza — números que pueden recibir un código por SMS o mediante una llamada automatizada

Cuando inicias sesión en un dispositivo o navegador nuevo, introduces tu contraseña y, a continuación, aparece un código de seis dígitos en uno de tus dispositivos de confianza. Introduce ese código para terminar de iniciar sesión. Añadir un número de teléfono de confianza al que puedas acceder (sirve el número de tu pareja o de un familiar) te da una alternativa si tu dispositivo habitual no está disponible.

Códigos de respaldo y planificación de recuperación

Al activar la 2FA, la mayoría de los servicios ofrecen códigos de respaldo: códigos de un solo uso que te permiten iniciar sesión si tu método habitual no está disponible. Genéralos y luego guárdalos sin conexión—impresos en papel o en un documento seguro en una unidad cifrada. Nunca los dejes en una app de notas, un borrador de correo o una carpeta de capturas de pantalla.

Si pierdes tu teléfono o llave de seguridad:

• Usa un código de respaldo para iniciar sesión.
• Elimina el dispositivo perdido de la configuración de 2FA de tu cuenta.
• Registra un reemplazo de inmediato.

Si no tienes códigos de respaldo, usa la recuperación de cuenta a través del sitio oficial del proveedor. Esto puede tardar días y el éxito no está garantizado—otra razón para generar los códigos ahora, no después.

Mantén los datos de recuperación actualizados. Verifica que tu correo y número de teléfono de recuperación sean unos que aún controles. Un número antiguo reasignado a otra persona es una vía para que desconocidos restablezcan tu contraseña.

Errores Comunes que Debe Evitar

Confiar Solo en SMS

Los códigos SMS son mejores que nada, pero los ataques de SIM swapping pueden redirigir sus mensajes de texto al teléfono de un criminal. Use una aplicación de autenticación o una passkey como su segundo factor principal siempre que sea posible.

Aprobar Notificaciones Push que Usted No Inició

Si su teléfono vibra con una solicitud de inicio de sesión que usted no inició, alguien tiene su contraseña. Rechace la solicitud, cambie su contraseña de inmediato y revise la actividad reciente de la cuenta. Nunca toque "Approve" solo para que la notificación deje de molestar—este comportamiento exacto ha sido usado por atacantes para desgastar a las víctimas.

Olvidar la 2FA al Cambiar de Teléfono

Las aplicaciones de autenticación no se transfieren automáticamente con una copia de seguridad normal. Antes de retirar un teléfono, mueva sus cuentas usando la función de exportación o transferencia de la aplicación, o vuelva a inscribirlas manualmente en el nuevo dispositivo. Hágalo mientras el teléfono viejo todavía funciona—después suele ser demasiado tarde sin los códigos de recuperación.

Sube de nivel: Passkeys y llaves de seguridad

Las passkeys reemplazan los códigos escritos por un inicio de sesión criptográfico almacenado en tu dispositivo. Son más rápidas de usar y resisten el phishing. Cada plataforma las admite:

• Google: myaccount.google.com → Seguridad → Passkeys.
• Microsoft: account.microsoft.com → Seguridad → Opciones de seguridad avanzadas → añadir una passkey.
• Apple: Ajustes → tu nombre → Inicio de sesión y seguridad → Passkeys.

Una llave de seguridad de hardware vale la pena cuando tu cuenta es genuinamente de alto valor: es tu correo principal, o manejas cuentas de administración, financieras o de trabajo sensibles. Las llaves resisten el phishing y funcionan incluso si pierdes el teléfono. Apple requiere dos llaves registradas; el Advanced Protection Program de Google hace lo mismo.

Cada pocos meses, revisa tu configuración:

• Confirma que el correo y el teléfono de recuperación estén actualizados.
• Elimina dispositivos y sesiones que ya no uses.
• Vuelve a imprimir los códigos de respaldo si gastaste alguno.

Configura 2FA hoy con una app, añade una passkey cuando te sientas cómodo y guarda los códigos de recuperación fuera de línea. Eso es seguridad de cuenta bien hecha.

Errores silenciosos que debilitan tu 2FA

Entregar códigos a "soporte técnico"

Ningún servicio legítimo te pedirá el código de verificación por teléfono, correo o chat. Si alguien que dice ser de soporte te lo solicita, es un atacante que ya tiene tu contraseña y solo le falta ese código. Cuelga o ignora el mensaje, cambia tu contraseña y revisa la actividad de la cuenta. Nunca compartas un código en uso con nadie, ni siquiera con un familiar.

Usar el mismo dispositivo para todo

Si tu app de autenticación, tu correo de recuperación y tus códigos de respaldo guardados viven en el mismo teléfono, un solo robo o avería elimina todos los factores a la vez. Reparte los elementos: app en el teléfono, respaldos en papel en casa, correo de recuperación en una cuenta con su propia 2FA.

Borrar la cuenta de la app antigua demasiado pronto

Al migrar de teléfono, muchas personas eliminan las entradas de la app vieja antes de confirmar que el nuevo dispositivo genera códigos válidos. Prueba primero: inicia sesión en un servicio secundario con el teléfono nuevo y verifica que el código funciona. Solo entonces limpia el dispositivo anterior.

Marcar "no volver a preguntar" en ordenadores compartidos

Las casillas de "recordar este dispositivo durante 30 días" son prácticas en tu portátil personal, pero peligrosas en un cibercafé, un ordenador de biblioteca o el equipo de un amigo. En dispositivos que no controlas por completo, nunca las marques y cierra sesión al terminar.

Creer que la 2FA perdona una contraseña débil

Con 2FA activa, algunos relajan sus contraseñas. Error: un factor no compensa al otro. Mantén contraseñas únicas y largas, generadas y guardadas en un gestor, y deja que la 2FA sea la segunda barrera, no la única.