1. SMS: conocido, pero vinculado al número
Con el método SMS habitual introduces un código recibido después de la contraseña. Esto puede añadir protección frente a usar solo una contraseña. Sin embargo, depende del acceso a tu número: cambiarlo o perder su control puede causar problemas. Las páginas falsas también pueden pedir los códigos. No los compartas con una persona que llama o escribe por chat. Recibir un mensaje de seguridad auténtico no demuestra que también lo fuera la página utilizada justo antes.
2. Código de aplicación: sin SMS, pero aún expuesto al engaño
Tras configurarla, una aplicación de autenticación genera códigos temporales; muchos métodos habituales funcionan sin cobertura móvil. Así evitas depender de la entrega de un SMS. Eso no hace que el código sea inmune al phishing: alguien puede intentar capturarlo mientras siga siendo válido. Antes de cambiar de móvil, comprueba cómo transfiere o recupera las entradas tu aplicación. No todas las aplicaciones y configuraciones sincronizan automáticamente. Protege los datos de configuración y las vías de recuperación.
3. Solicitudes de aprobación: confirma solo tu propia acción
Algunos servicios envían una solicitud a un dispositivo que ya tiene la sesión iniciada. Lee la operación descrita y aprueba únicamente un acceso que hayas iniciado en el servicio auténtico. Rechaza solicitudes inesperadas repetidas en lugar de aceptar una por cansancio. Después abre por tu cuenta los ajustes de seguridad y revisa lo sucedido. Una ubicación aproximadamente conocida no demuestra que el intento sea legítimo. Una solicitud en tu móvil real puede corresponder a un proceso iniciado por otra persona.
4. Llave de acceso: vinculada al servicio auténtico
Una llave de acceso utiliza una clave criptográfica vinculada al servicio real. Autorizas su uso, por ejemplo, con el bloqueo del dispositivo, un PIN o biometría. Esto evita la captura habitual de una contraseña o un código reutilizable en una página falsa. No es simplemente otra contraseña que puedas dictar a alguien. El dispositivo, la cuenta de sincronización y la recuperación deben seguir protegidos. Las llaves de acceso no evitan todas las estafas ni un pago que te convenzan de autorizar personalmente.
5. Elige y prueba pensando en la pérdida del dispositivo
En este ejemplo ficticio, Sara activa una llave de acceso en su servicio de correo compatible y comprueba la alternativa prevista. Otro servicio solo ofrece códigos adicionales, así que configura allí un método disponible adecuado. Guarda en privado cómo recuperar el acceso si pierde el móvil, sin dejar secretos expuestos. Una llave de seguridad física compatible puede ofrecer otra opción, pero comprarla no es obligatorio para todas las cuentas. Elimina alternativas anteriores que funcionan solo después de comprobar la nueva configuración.
Tu lista de comprobación
Las casillas sirven únicamente como recordatorio personal. No se nos envía ningún dato introducido. Para guardar la página, imprímela o guárdala en PDF desde el menú del navegador.
Preguntas frecuentes
¿Varios factores requieren siempre dos dispositivos?
No. Los factores no tienen que estar en dispositivos separados. Una llave de acceso puede combinar la posesión de la clave con una verificación del usuario, como desbloquear el dispositivo. Los pasos exigidos dependen de la implementación del servicio. Sigue sus instrucciones oficiales.
¿Debo desactivar los SMS porque no son perfectos?
No sin sustituirlos. Comprueba primero opciones mejores compatibles y termina de configurarlas. Un paso SMS adicional todavía puede proteger más que una contraseña sola. Mantén actualizado tu número y no entregues códigos a otras personas ni los introduzcas en páginas desconocidas.
¿Necesito obligatoriamente un smartphone para la protección adicional?
No en todos los servicios. Según el proveedor, puedes disponer de una llave de acceso en tu ordenador o una llave física compatible. Revisa métodos admitidos y recuperación. No compres equipos por una recomendación general sin confirmar antes la compatibilidad.
Fuentes y más información
Fuentes primarias de autoridades públicas, organizaciones de consumidores y proveedores. Algunas pueden estar en otro idioma; sigue las indicaciones correspondientes a tu servicio y a tu lugar de residencia.
- NCSC: Passkeys are more secure than traditional ways to log in — 23 April 2026Fuentes consultadas el:
- NCSC: Turn on 2-step verificationFuentes consultadas el:
- Google Account Help: Turn on 2-Step VerificationFuentes consultadas el:
