2FA en 2026: Google Authenticator, Authy y llaves de seguridad — guía completa
Activa primero la verificación adicional en tu correo principal y prepara una forma de recuperar el acceso. Si el servicio admite passkeys o llaves FIDO, ofrecen resistencia al phishing; si solo admite códigos, una app autenticadora evita depender de un SMS. Ninguna opción convierte la cuenta en invulnerable. CISA explica las diferencias entre métodos de MFA.
Esta guía compara métodos y aplicaciones a partir de documentación pública consultada el 5 de octubre de 2026. Te ayudará a elegir, activar la protección y evitar que perder un teléfono signifique perder también tus cuentas.
Qué es el 2FA y qué puede proteger
La autenticación de dos factores combina dos clases de prueba: algo que sabes, como una contraseña; algo que tienes, como una llave o teléfono; o una característica biométrica. Dos contraseñas no son dos factores distintos. Guía de MFA de CISA.
El objetivo es que conocer la contraseña no baste para iniciar una sesión nueva. Aun así, importa cómo se realiza esa segunda comprobación: un código que introduces en una web falsa puede acabar en manos de un atacante. También debes proteger el dispositivo y las vías de recuperación de la cuenta.
SMS, códigos y passkeys: diferencias que importan
Métodos de autenticación: funcionamiento y límites
| Método | Cómo funciona | Qué revisar |
|---|---|---|
| SMS o llamada | Recibes un código en el número registrado | Dependencia de la línea; riesgo de suplantación de SIM y phishing |
| App TOTP | Genera códigos temporales desde un secreto compartido con el servicio | Copia de respaldo; los códigos pueden entregarse a una web falsa |
| Notificación push | Apruebas un inicio de sesión en una app | Confirmar que tú lo iniciaste; preferir coincidencia de números cuando esté disponible |
| Passkey o llave FIDO | Verifica el acceso con criptografía vinculada al servicio | Compatibilidad, desbloqueo del dispositivo y recuperación |
La tabla describe mecanismos, no notas de seguridad de productos. Una llave física puede admitir varios protocolos: la resistencia al phishing corresponde al uso FIDO/WebAuthn, no a cualquier código generado por esa misma llave. CISA sobre FIDO y phishing.
Códigos TOTP: funcionan sin recibir un mensaje
TOTP utiliza un secreto y la hora para calcular códigos de un solo uso. Es frecuente que veas seis dígitos y una renovación cada 30 segundos, aunque los parámetros dependen de la implementación. La app puede generarlos sin conexión: no necesita recibir un SMS. Eso no elimina el servicio que verifica el código ni protege el secreto si se expone. Especificación TOTP, RFC 6238.
Passkeys: resistentes al phishing, con recuperación propia
Las passkeys pueden sustituir la contraseña y se desbloquean mediante el mecanismo del dispositivo, como PIN o biometría. No todas quedan encerradas en un único teléfono: existen passkeys sincronizadas por un proveedor y otras ligadas a un dispositivo o llave. Antes de cambiar de móvil, comprueba cuál usas y cómo recuperarás el acceso. FIDO Alliance: funcionamiento de las passkeys.
Qué app o llave elegir según tu caso
Google Authenticator: sincronización opcional
Puedes sincronizar los códigos con una cuenta de Google o utilizar la app sin cuenta. En el segundo caso, no tendrás esa recuperación por sincronización; Google permite transferir códigos manualmente mientras conserves el dispositivo anterior. Elige el modo con intención y revisa la protección de la cuenta que almacena tus códigos. Ayuda de Google Authenticator.
Es una opción a considerar si quieres administrar códigos TOTP y ya utilizas Google. Puedes consultar su ficha oficial para Android. La sincronización facilita un cambio de teléfono, pero no sustituye los métodos de recuperación de cada servicio.
Microsoft Authenticator: cuentas Microsoft y trabajo
En entornos Microsoft Entra, las notificaciones pueden pedir que introduzcas el número mostrado en el inicio de sesión; no conviene describirlas como una aprobación ciega con un toque. Si no iniciaste la solicitud, recházala. Microsoft explica la coincidencia de números.
Antes de cambiar de teléfono, revisa el respaldo de Authenticator: la restauración requiere el mismo tipo de plataforma, y algunas cuentas de trabajo, educativas o sin contraseña necesitan volver a registrarse. Consulta la app oficial y las instrucciones de tu organización.
Aegis: control de copias en Android
Aegis Authenticator es una app gratuita y de código abierto para Android. Ofrece bóveda cifrada, importación, exportación y soporte de copias automáticas. Su ventaja práctica es poder decidir dónde guardas el respaldo; la responsabilidad es conservarlo y poder abrirlo.
Elige Aegis si usas Android y quieres gestionar tus copias. Una copia guardada únicamente en el mismo teléfono no te resuelve su pérdida: prepara otro destino y comprueba la restauración antes de necesitarla.
2FAS Auth: Android, iOS y apoyo del navegador
2FAS permite sincronización mediante Google Drive en Android e iCloud en iOS. Para pasar entre plataformas, documenta exportar e importar una copia; al exportarla, establece una contraseña. Sincronización y traslado en 2FAS.
Su extensión de navegador envía una solicitud a la app del teléfono cuando la activas, y tú aceptas enviar el código. No es una verificación invisible ni vuelve resistentes al phishing los códigos TOTP. Funcionamiento de la extensión.
Authy: revisa la contraseña del respaldo
Si eliges Authy, distingue el acceso a la cuenta del descifrado de sus copias. Al activar los respaldos, configuras una contraseña que protege los tokens sincronizados. Twilio indica que no puede recuperar una contraseña de respaldo olvidada. Copias y sincronización de Authy, límites de recuperación.
Antes de depender de ella, verifica en otro dispositivo autorizado que puedes restaurar los códigos. No guardes tu única copia de la contraseña de respaldo dentro de una cuenta que necesite esos mismos códigos para abrirse.
YubiKey y Security Key: compra por compatibilidad
La Security Key NFC de Yubico admite FIDO2/WebAuthn y U2F. La YubiKey 5 NFC añade protocolos como OTP, PIV y OpenPGP. Esas funciones extra solo justifican la elección si algún servicio o entorno que utilizas las necesita. Especificaciones de YubiKey 5 NFC.
Comprueba conector USB, NFC, dispositivo, navegador y servicio antes de comprar. Una llave compatible con FIDO no implica que todas tus cuentas acepten ese método. Revisa el precio final y la disponibilidad en tu país; si vas a depender de llaves físicas, considera registrar una segunda llave de respaldo donde el servicio lo permita.
Cómo activar 2FA en Gmail, Instagram y GitHub
Ten a mano el dispositivo que conservarás y un lugar seguro para el respaldo. Los nombres de los menús pueden cambiar; confirma la activación antes de cerrar tu sesión actual.
Google / Gmail
- Abre tu cuenta de Google y busca la configuración de seguridad e inicio de sesión.
- Entra en Verificación en dos pasos y sigue la comprobación de identidad.
- Configura el método que el servicio te permita utilizar. Para una app autenticadora, añade el secreto mediante el QR o la clave proporcionada y confirma con el código de la app.
- Revisa las opciones de respaldo antes de terminar.
Las cuentas gestionadas por una organización pueden tener condiciones propias. Activar la verificación en dos pasos y configurar Authenticator.
- Abre la configuración de tu cuenta desde Instagram y busca Autenticación en dos pasos en las opciones de seguridad.
- Selecciona la cuenta de Instagram que quieres proteger si gestionas más de una.
- Elige la aplicación de autenticación y sigue las instrucciones de vinculación y confirmación que muestre la app.
- Revisa las opciones de recuperación ofrecidas antes de salir.
Meta confirma el uso de apps autenticadoras en Instagram y está reorganizando ajustes como contraseña y 2FA dentro de la Cuenta de Meta. Por eso el nombre del panel puede variar respecto a tutoriales antiguos del Centro de cuentas. Soporte y protección de cuentas de Meta, Cuenta de Meta y ajustes centralizados.
GitHub
- Abre Settings → Password and authentication.
- Activa la autenticación de dos factores y elige la configuración con una app.
- Escanea el QR y verifica el código generado.
- Descarga los códigos de recuperación, guárdalos y completa la confirmación.
Sigue la guía oficial de GitHub, que también explica métodos adicionales. No des por finalizada la configuración antes de conservar la recuperación.
Qué hacer si pierdes el teléfono
Utiliza un método de recuperación que ya hubieras configurado: un código de respaldo, una segunda llave o la restauración admitida por la app. Las opciones varían por servicio; tener una copia no garantiza recuperar cualquier cuenta en cualquier situación.
Para prepararte:
- Guarda los códigos de recuperación fuera del dispositivo que podrías perder, por ejemplo impresos en un lugar protegido o en un almacenamiento cifrado accesible por otra vía.
- Comprueba que puedes abrir el respaldo de la app y que recuerdas su contraseña.
- Evita una dependencia circular: el único código para abrir tu gestor no debe estar únicamente dentro de ese gestor.
- Antes de borrar el teléfono anterior, verifica el acceso desde el nuevo y actualiza los métodos registrados.
Google explica cómo entrar con códigos de respaldo; GitHub detalla la recuperación cuando pierdes las credenciales de 2FA. Si no tienes ningún método válido, sigue el proceso oficial del servicio; no cuentes con que soporte pueda desactivar la protección.
Preguntas frecuentes
¿Qué es la autenticación de dos factores (2FA)?
Es una verificación que combina dos factores distintos, como una contraseña y un dispositivo. Reduce el riesgo de acceso con una contraseña robada, pero no garantiza que la cuenta sea invulnerable.
¿Cuál es la mejor app de 2FA?
Depende de tus dispositivos y de cómo recuperarás los códigos. Google Authenticator permite sincronización con Google; Aegis ofrece control de copias en Android; 2FAS funciona en Android e iOS. Para resistencia al phishing, considera passkeys o llaves FIDO compatibles.
¿El 2FA por SMS es seguro?
Añade protección frente a usar solo contraseña, pero depende de tu número y puede sufrir suplantación de SIM e intercepción. Si el servicio lo permite, considera una app autenticadora o un método FIDO resistente al phishing.
¿Puedo usar Google Authenticator sin cuenta de Google?
Sí. Ten previsto el traslado manual de códigos y conserva los métodos de recuperación de cada cuenta: sin sincronización no podrás restaurarlos simplemente iniciando sesión en Google.
¿El 2FA permite reutilizar contraseñas?
No es una razón para hacerlo. Combina contraseñas distintas con la verificación adicional y empieza por las cuentas desde las que puedes recuperar otras: correo y gestor de contraseñas.
Siguiente paso: compara gestores de contraseñas. Si también quieres entender qué aporta una VPN, revisa sus límites: protege otra parte de la conexión y no sustituye el 2FA.