Códigos de recuperación explicados: cómo guardarlos de forma segura

Qué son los códigos de recuperación y por qué existen

La autenticación de dos factores (2FA) hace que tus cuentas sean mucho más difíciles de vulnerar, pero crea un nuevo problema: ¿qué ocurre cuando tu segundo factor no está disponible? Los códigos de recuperación son la respuesta.

Los códigos de recuperación son un conjunto de códigos de un solo uso que se emiten al configurar 2FA en una cuenta. Cada código funciona una sola vez y te permite iniciar sesión sin tu segundo factor habitual — sin aviso en la app, sin mensaje de texto. Una vez usado, ese código queda gastado.

Existen porque los segundos factores fallan en la vida cotidiana:

• Los teléfonos se pierden, los roban o se rompen
• Las apps de autenticación se borran al cambiar a un dispositivo nuevo
• Los números de teléfono cambian, cortando los códigos SMS

También fallan de formas menos evidentes: una restauración del teléfono desde una copia de seguridad puede reinstalar la app pero vaciarla de cuentas, porque las claves TOTP no siempre se guardan en la copia. Y un viaje al extranjero puede dejarte sin recibir SMS si tu número no tiene itinerancia.

Sin códigos de recuperación, perder tu segundo factor puede dejarte fuera de tu propia cuenta — a veces de forma permanente. Recuperar el acceso suele implicar procesos de verificación lentos, y no todos los servicios ofrecen una salida.

Por eso se generan justo al activar la 2FA: es el único momento en que el servicio te muestra el juego completo sin fricción. Si cierras esa pantalla sin guardarlos, pedirlos de nuevo requiere desactivar y reactivar la 2FA.

Una nota sobre el nombre: algunos servicios los llaman backup codes, otros dicen recovery codes, y unos pocos usan términos como recovery keys. La palabra cambia; la idea es idéntica — un juego de repuesto de códigos de inicio de sesión de un solo uso que debes guardar en un lugar seguro.

Qué Pasa Si No Los Guardas

Pierdes el teléfono, lo tiras a un lago o configuras un dispositivo nuevo antes de transferir tu aplicación de autenticación, y tus códigos TOTP desaparecen con él. Restaurar un teléfono desde una copia de seguridad que excluía la aplicación, o simplemente reinstalarla, puede borrar tus códigos de forma igual de definitiva: la mayoría de aplicaciones TOTP no sincronizan las semillas en la nube por diseño, precisamente para que nadie más pueda copiarlas. Sin códigos de recuperación, el segundo factor simplemente desaparece.

Lo que sigue rara vez es agradable:

• Recuperación mediante soporte: Envías prueba de identidad, esperas días o semanas, y aun así pueden rechazarte. Un documento borroso, un nombre que no coincide con el registro o una foto sin la pose exacta que piden bastan para el rechazo. Algunas personas nunca recuperan el acceso.
• Bloqueo permanente: Algunos servicios no ofrecen ninguna vía de recuperación humana. Si los códigos son el único respaldo y no los guardaste, la cuenta queda inaccesible — correo, archivos, suscripciones, todo lo que viva detrás de ella. Si esa cuenta de correo es además la dirección de recuperación de otras cuentas, el bloqueo se propaga en cadena.

Los bloqueos rara vez ocurren en un momento conveniente. Suele ser el momento en que necesitas la cuenta con urgencia: una fecha límite de impuestos, una solicitud de empleo, fotos familiares. Y el error típico es posar el guardado "para después": configuras la 2FA, el sistema muestra los códigos una vez, cierras la pestaña y ya no vuelven a aparecer.

Los códigos de recuperación existen precisamente para este escenario. Son la copia de seguridad de tu copia de seguridad. Guardarlos toma dos minutos; omitirlo puede costarte una cuenta de forma permanente.

Guardar códigos de recuperación en un gestor de contraseñas

La mayoría de los gestores de contraseñas — Bitwarden, 1Password, KeePass y herramientas similares — incluyen una función de notas seguras o permiten adjuntar archivos. Cualquiera de las dos opciones funciona bien para los códigos de recuperación. Crea una nota, pega los códigos y ponle un nombre claro, por ejemplo "Códigos de recuperación de Google". Si el servicio muestra los códigos como archivo descargable (un .txt o PDF), adjúntalo tal cual en lugar de copiar el texto a mano: así evitas errores al transcribir y conservas el formato original. Añade la fecha en que los generaste; te servirá para saber si son los actuales o una versión antigua ya invalidada.

Por qué este método funciona bien

• Almacenamiento cifrado. Tus códigos están protegidos por el mismo cifrado que tus contraseñas.
• Búsqueda rápida. Escribe el nombre del servicio y los códigos aparecen al instante — sin rebuscar en cajones.
• Sincronizados entre dispositivos. Los códigos están disponibles en tu teléfono, portátil o tableta.
• Listos para dispositivos nuevos. Cuando inicias sesión en una cuenta desde un dispositivo desconocido, es posible que te pidan un código 2FA que aún no puedes generar. Los códigos de recuperación guardados en tu gestor están ahí cuando los necesitas.

Un detalle útil: usa un prefijo consistente en el nombre de cada nota ("Códigos de recuperación de…"). Así una sola búsqueda por el prefijo lista todas tus notas de recuperación de golpe, útil al hacer una revisión anual.

Una advertencia importante

Si olvidas tu contraseña maestra, pierdes todo lo que hay dentro: las contraseñas y los códigos de recuperación juntos. La mayoría de gestores no pueden recuperarla, porque el cifrado depende de esa contraseña y nadie más tiene la clave. Por eso muchas personas guardan una copia escrita como respaldo, tal como se explica en la siguiente sección.

Almacenamiento sin conexión: papel y copias físicas

El método sin conexión más simple también es el más antiguo: escribe tus códigos o imprímelos, y luego guarda el papel en un lugar donde un ladrón no lo encontraría fácilmente — una caja fuerte doméstica, un cajón con cerradura o una caja de documentos a prueba de fuego.

Si escribes a mano, usa bolígrafo con tinta permanente, nunca lápiz: la tinta de lápiz se borra con el roce y con el tiempo. Escribe con letra clara y verifica cada código tras terminarlo; un dígito confundido convierte un salvavidas en un bloqueo. Si imprimes, hazlo desde una impresora conectada por USB y borra el archivo y la cola de impresión después, para que la copia no quede en el disco.

Por qué lo sin conexión gana en seguridad

El papel tiene una gran ventaja sobre todas las opciones digitales: nada que hackear. Una hoja impresa no puede filtrarse en una violación de datos, no puede robársete mediante phishing, y sigue funcionando cuando tu teléfono se apaga o el disco de tu portátil falla. Si mañana quedara comprometida toda tu vida digital, los códigos en papel seguirían a salvo.

Las contrapartidas

Las debilidades del papel son físicas:

• Pérdida o daño — el fuego, el agua y el olvido destruyen el papel. Mantenlo seco, lejos del calor, y considera una segunda copia en otro lugar, por ejemplo en casa de un familiar de confianza.
• Descubrimiento por otros — cualquiera que encuentre una hoja sin etiquetar con códigos aleatorios puede darse cuenta de qué son. Guárdala con discreción, idealmente sin el nombre del sitio en letras grandes.

Trata el papel como una llave de repuesto de tu casa: escondida, protegida y nunca a la vista.

Qué evitar

Los códigos de recuperación son tan seguros como el lugar donde los guardas. Unos pocos errores comunes deshacen todo el trabajo que hace la 2FA.

Texto plano y lugares "convenientes"

Nunca guardes los códigos de recuperación en:

• Archivos de texto plano en tu escritorio
• Borradores de correo o correos a ti mismo
• Aplicaciones de notas sin cifrado
• Unidades en la nube que no estén protegidas por autenticación sólida

Cualquiera que obtenga acceso a tu bandeja de entrada, tu computadora o tu cuenta en la nube consigue un atajo para saltarse tu 2FA — exactamente lo que los códigos están destinados a evitar. El error suele nacer de la prisa: el servicio te muestra los códigos una sola vez, copias rápido en un archivo llamado codigos.txt y prometes moverlos "después". Ese "después" nunca llega. Si necesitas un archivo temporal mientras los trasladas a tu gestor de contraseñas, hazlo el mismo día y borra el archivo de inmediato, vaciando también la papelera.

Capturas de pantalla

No tomes capturas de pantalla de los códigos en tu carrete de fotos. Las fotos del teléfono suelen sincronizarse automáticamente con el almacenamiento en la nube, rara vez están cifradas y es fácil que queden expuestas — mediante un álbum compartido, un técnico de reparación o un teléfono perdido. Una captura parece guardar una copia; en realidad es publicarla. Si ya tienes alguna, elimínala también de la papelera del servicio de fotos y de los respaldos antiguos que conserve la nube.

Compartir códigos al pedir ayuda

Nunca pegues códigos de recuperación en tickets de soporte, mensajes de chat o foros — ni siquiera para demostrar quién eres. El personal de soporte legítimo nunca los pedirá. Un código compartido en un mensaje puede copiarse, reenviarse o registrarse, y funciona igual que una contraseña. Si un mensaje que dice ser del soporte te los solicita, es una señal segura de phishing: cierra la conversación y repórtala.

Uso y renovación de los códigos de recuperación

Cada código funciona una sola vez

Los códigos de recuperación son de un solo uso. Una vez que inicias sesión con uno, queda gastado. Lleva un control: si tus códigos están en papel, tacha cada uno a medida que lo usas. Si están en un gestor de contraseñas, elimina la entrada usada o márcala con claridad — por ejemplo, cambiando el título a "USADO – no volver a intentar". Esto te ahorra el frustrante momento de probar tres códigos solo para descubrir que dos ya se habían usado. Un error común: algunos servicios muestran los códigos en orden y la gente asume que el primero de la lista siempre es válido; si no registras cuáles gastaste, ese supuesto te engaña.

Cuándo regenerar

Genera un conjunto nuevo si sospechas de una exposición — una captura de pantalla compartida, una nota en una carpeta sincronizada en la que ya no confías, un bolso desaparecido. También considera regenerarlos después de usar varios, para que tu reserva restante se mantenga saludable: si empezaste con diez y ya gastaste seis, te quedan cuatro para una situación de emergencia real.

Un detalle crítico: al regenerar, normalmente se invalidan todos los códigos antiguos de inmediato. Guarda el nuevo conjunto en tu lugar de almacenamiento antes de salir de la página de configuración, o podrías quedarte sin acceso a tu cuenta. Hazlo en ese momento, no "más tarde": la pestaña se cierra, el conjunto se pierde y no hay forma de recuperarlo.

Cuentas nuevas, códigos nuevos

Cada vez que actives 2FA en una cuenta nueva, recibirás nuevos códigos de recuperación. Guárdalos de inmediato en tu sistema de almacenamiento existente — un hábito constante vale más que varios improvisados.

Una rutina de almacenamiento sencilla que funciona

Una configuración viable necesita solo dos copias:

• Principal: códigos de recuperación guardados en tu gestor de contraseñas como nota segura, junto a la entrada de inicio de sesión de la cuenta. Así aparecen justo cuando intentas acceder a esa cuenta, sin buscar en otras carpetas.
• Respaldo: una copia en papel guardada en un lugar seguro de casa — un cajón con llave, una caja a prueba de fuego o una caja fuerte doméstica.

Dos copias porque cada una cubre el fallo de la otra: el gestor te falla si pierdes el dispositivo y no recuerdas la contraseña maestra; el papel te falla si te quedas lejos de casa.

Haz que la copia en papel sea fácil de encontrar

Etiquétala claramente con el nombre de la cuenta y la fecha en que la guardaste: "ExampleMail — códigos de recuperación — guardados junio de 2025." Seis meses después, un trozo de papel sin etiquetar es inútil: nadie recuerda de qué servicio era. La fecha también te indica si los códigos siguen vigentes, porque algunos servicios los invalidan al regenerarlos.

Pruébalo una vez

Un respaldo que nunca has probado es una suposición. Cierra la sesión o usa un segundo dispositivo, inicia sesión con un código de recuperación de tu copia en papel, confirma que funciona, luego regenera los códigos y actualiza ambas copias. Hazlo en un momento tranquilo, no durante un bloqueo real. Error común: probar solo la copia del gestor y asumir que el papel también vale. Una prueba, listo.

El cierre

Guarda los códigos en el momento en que actives 2FA, mantén dos copias, etiqueta y fecha la de papel, prueba el plan una vez. Repite la prueba cada vez que regeneres códigos. Esa es toda la rutina — y convierte una emergencia de bloqueo en una solución de dos minutos.