Por qué una contraseña no es suficiente
Una contraseña segura aún puede ser robada. Una página de inicio de sesión falsa puede capturarla, y una brecha de seguridad puede exponer una contraseña que reutilizaste en otra parte. Los atacantes pueden entonces probar esa contraseña en otras cuentas. La autenticación de dos factores agrega otra comprobación entre una contraseña robada y tu cuenta. El Centro Nacional de Ciberseguridad del Reino Unido (NCSC) recomienda activar la verificación en dos pasos en cuentas importantes, incluso cuando tienen contraseñas seguras.
Empieza con tu correo electrónico principal: a menudo recibe enlaces de restablecimiento de contraseña para tus otros servicios. Luego protege las cuentas financieras, las herramientas de trabajo, el almacenamiento en la nube y las cuentas de redes sociales. El robo de una cuenta puede exponer documentos privados, interrumpir tu trabajo o permitir que alguien contacte a amigos y clientes en tu nombre.
Cómo funcionan los códigos de verificación de dos factores
La autenticación de dos factores combina dos tipos diferentes de prueba. Con una contraseña y un código de verificación, estos son algo que sabes —tu contraseña— y algo que tienes —el acceso a la app de autenticación que guarda la clave secreta de tu cuenta—. La autenticación multifactor (MFA) es el término más amplio para el uso de más de un factor.
Una contraseña de un solo uso basada en el tiempo, o TOTP, es un código de corta duración calculado a partir de una clave de configuración secreta y la hora actual. Cuando habilitas la 2FA con una app de autenticación, el servicio te proporciona esa clave, normalmente dentro de un código QR. Sign In la utiliza para generar códigos localmente; el servicio utiliza su copia para comprobarlos. Los códigos suelen cambiar cada 30 segundos, como se describe en la especificación TOTP, RFC 6238.
La clave de configuración es más importante que un código individual: alguien que la copie puede generar códigos futuros. Mantén las claves de configuración y los códigos QR en privado. No los envíes en mensajes de soporte, no compartas capturas de pantalla de ellos ni los pegues en un chat.
¿Por qué elegir Sign In para tus códigos 2FA?
Para quienes usan un iPhone en su día a día, creemos que el enfoque más seguro para almacenar las claves secretas de autenticación comienza por mantenerlas bajo tu control. Creamos Sign In, nuestra app de autenticación, en torno a ese principio: generación de códigos en tu dispositivo, ninguna clave secreta de autenticación en nuestros servidores y sincronización segura solo cuando tú lo elijas.
- Tus códigos se generan en tu dispositivo. Una vez configurada una cuenta, Sign In puede generar sus códigos sin conexión a internet.
- No guardamos tus datos de autenticación en nuestros servidores. Tus claves de configuración, etiquetas de cuenta y códigos generados no se envían ni se almacenan en los servidores de Sign In. No guardamos en nuestros servidores una colección de tus claves secretas de autenticación que un atacante pueda robarnos.
- No se requiere ninguna cuenta de Sign In. Puedes usar la aplicación sin crear otra cuenta.
- La copia de seguridad es tu elección. Mantén tus cuentas guardadas en la app en tus dispositivos o habilita la sincronización a través de tu Llavero de iCloud personal.
La ventaja de seguridad es concreta: tus claves secretas de autenticación se guardan en menos lugares. La seguridad de tu dispositivo y la seguridad de los servicios que utilizas siguen importando. Cada servicio conserva la información que necesita para verificar sus propios códigos. Nuestra Política de Privacidad explica el almacenamiento y el manejo de datos de Sign In, incluidas las solicitudes opcionales de logotipos de servicios.
Sincronización segura opcional con el Llavero de iCloud de Apple
Si quieres que tus cuentas guardadas en la app estén disponibles en más de un dispositivo, habilita la copia de seguridad opcional de las cuentas de Sign In. Utiliza tu Llavero de iCloud personal, el sistema de sincronización de llaveros seguro de Apple, para mantenerlas sincronizadas en tus dispositivos iOS que hayan iniciado sesión en la misma Cuenta de Apple. Sign In no sube una copia a nuestros propios servidores.
Apple documenta que las contraseñas y los datos del llavero están cifrados de extremo a extremo, incluso bajo la protección de datos estándar de iCloud. No necesitas la Protección de Datos Avanzada para esa protección del llavero. Apple también afirma que no puede leer tu Llavero de iCloud.
La sincronización transfiere las claves secretas protegidas de las cuentas necesarias para generar códigos; cada dispositivo calcula sus propios códigos actuales. Eso te brinda la comodidad de usar varios dispositivos sin entregar tus claves secretas a los servidores de Sign In.
| Ubicación | Qué ocurre allí |
|---|---|
| Tus dispositivos | Tus cuentas guardadas en la app se almacenan aquí y los códigos se generan localmente. |
| Tu Llavero de iCloud | Cuando habilitas la copia de seguridad de la cuenta, tus cuentas guardadas en la app se sincronizan mediante el cifrado de extremo a extremo de Apple. |
| Los servidores de Sign In | No almacenamos tus claves secretas de autenticación, etiquetas de cuenta ni códigos generados. |
Puedes desactivar la copia de seguridad de la cuenta en cualquier momento. Desactivarla no elimina necesariamente una copia sincronizada existente; administra las copias almacenadas por separado a través de la aplicación correspondiente y la configuración de iCloud. La disponibilidad de la sincronización y la recuperación dependen de los servicios de Apple y de la configuración de tu cuenta.
¿Códigos de verificación, claves de acceso o SMS?
Elige un método compatible con tu servicio y conoce qué protección ofrece:
- Códigos de verificación: Sign In es nuestra opción recomendada cuando un servicio admite TOTP. Los códigos funcionan sin conexión y no dependen de la recepción de mensajes de texto ni del control de tu número de teléfono.
- Claves de acceso y llaves de seguridad FIDO: Estas proporcionan un inicio de sesión resistente al phishing al vincular la autenticación al servicio real. Úsalas cuando el servicio las admita, especialmente para cuentas sensibles. La FIDO Alliance explica cómo funcionan las claves de acceso.
- SMS o mensajes de texto: Un paso adicional útil cuando no hay opciones más seguras disponibles, pero la apropiación de números de teléfono y la interceptación de mensajes crean riesgos que los códigos generados localmente evitan.
La 2FA basada en códigos aún puede ser víctima de phishing: un sitio web falso puede pedirte tu contraseña y tu código actual, y luego usar ambos de inmediato. La guía de autenticación del NIST distingue los códigos de un solo uso de los métodos resistentes al phishing y describe los riesgos de la red telefónica. Ingresa códigos únicamente en el sitio o la app legítimos del servicio en el que quieres iniciar sesión, y nunca le dictes un código a alguien que te llame sin que lo esperes.
Protege tu primera cuenta con Sign In
- Abre la configuración de seguridad del servicio. Busca su configuración de autenticación de dos factores o verificación en dos pasos y elige la opción de la app de autenticación, si se ofrece.
- Agrega su clave de configuración a Sign In. Para un código QR mostrado en otra pantalla, usa Add → Scan QR Code. En el mismo teléfono, usa la clave manual del servicio con Add → Enter Setup Key y, a continuación, Add Account.
- Termina en el sitio web o la aplicación del servicio. Ingresa un código vigente de Sign In y confirma que la 2FA quedó activada. Agregar una cuenta a Sign In por sí solo no completa la configuración del servicio.
- Guarda los códigos de recuperación del servicio. Mantenlos en un lugar seguro al que puedas acceder si tu teléfono no está disponible.
Para consultar los pasos de cada servicio, comienza con nuestra guía de 2FA para Google, guía de 2FA para Instagram o explora todas las guías de configuración. Si necesitas una app de autenticación para iPhone, consigue Sign In en el App Store.
Prepárate para la pérdida de tu teléfono
La sincronización opcional del Llavero de iCloud puede ayudarte a mantener el acceso en todos tus dispositivos, pero no reemplaza los métodos de recuperación proporcionados por cada servicio. Guarda los códigos de recuperación por separado de la cuenta que desbloquean y comprueba que puedes acceder a ellos sin el teléfono perdido.
Protege tus dispositivos con un código de acceso seguro, mantén su software actualizado y mantén actualizadas tus opciones de recuperación de tu Cuenta de Apple. Antes de borrar un teléfono viejo, verifica que tus cuentas y códigos funcionen en el nuevo. Como no guardamos tus claves secretas en nuestros servidores, no podemos recuperarlas ni restaurar tu copia de seguridad personal de iCloud por ti.
Preguntas frecuentes sobre la 2FA y Sign In
¿Sigo necesitando la 2FA con una contraseña segura y única?
Sí, cuando inicias sesión con una contraseña y el servicio admite 2FA. Usar una contraseña diferente para cada cuenta evita que una filtración afecte a otras cuentas, mientras que la 2FA agrega una comprobación separada si esa contraseña es robada. Las claves de acceso ofrecen una forma diferente y resistente al phishing para iniciar sesión donde estén disponibles.
¿Almacena Sign In mis códigos 2FA?
Sign In genera códigos localmente a partir de claves secretas de autenticación almacenadas en tus dispositivos. No almacenamos esas claves secretas, tus etiquetas de cuenta o los códigos generados en nuestros servidores. Si habilitas la copia de seguridad de la cuenta, tus cuentas guardadas en la app también se sincronizan a través de tu Llavero de iCloud personal.
¿Puedo usar Sign In sin la sincronización de iCloud?
Sí. La copia de seguridad de las cuentas guardadas en la app es opcional. Puedes generar códigos en tu dispositivo sin habilitarla. Guarda los códigos de recuperación de los servicios para tener otra forma de entrar si pierdes ese dispositivo.
¿Funcionan los códigos de verificación sin acceso a internet?
Sí. Después de la configuración, Sign In genera códigos TOTP utilizando la clave secreta almacenada y el reloj de tu dispositivo. El sitio web o servicio en el que estás iniciando sesión generalmente aún necesita una conexión a internet. Asegúrate de que la fecha y la hora de tu dispositivo sean correctas.
Fuentes y lecturas adicionales
Esta guía se basa en la orientación del NCSC sobre la verificación en dos pasos, el RFC 6238 sobre TOTP, la guía de autenticación del NIST y la descripción general de claves de acceso de la FIDO Alliance. Apple describe su cifrado en la descripción general de la seguridad de datos de iCloud y el aviso de privacidad del Llavero de iCloud. Las prácticas de manejo de datos de Sign In se describen en nuestra Política de Privacidad.