La verificación en dos pasos, también llamada autenticación de dos factores (2FA), pide una segunda prueba además de la contraseña, así que una contraseña robada no basta para abrir la cuenta. La llave de acceso (passkey) va más lejos: reemplaza la contraseña por una llave guardada en tu dispositivo, que se desbloquea con huella, rostro o bloqueo de pantalla. Si puedes elegir, usa primero passkey o llave de seguridad, luego una app de autenticación o un aviso en la app, y deja el SMS como último recurso.
Dos pasos y passkey: qué cambia en la práctica
Con la verificación en dos pasos escribes la contraseña y luego demuestras que eres tú con algo que solo tú tienes (código, aviso en el celular, llave física) o algo que eres (huella, rostro). El punto débil de los códigos es que los escribes tú: en una página falsa que imita el inicio de sesión, el estafador recibe el código y lo usa al instante. El NIST afirma en su guía SP 800-63B-4 que los códigos que se escriben, de una app o de un SMS, no resisten el phishing, y menciona WebAuthn, base de las passkeys, como estándar que sí. La CISA y el NIST son organismos de Estados Unidos: no son ley en tu país, pero sirven de referencia técnica. En una passkey la llave privada no sale del dispositivo y solo vale para el sitio verdadero, así que no hay nada que entregar.
Los cinco métodos, lado a lado
| Método | Punto fuerte | Punto débil | Cuándo usarlo |
|---|---|---|---|
| Código por SMS | Funciona en cualquier celular, sin instalar nada | Google advierte que los códigos por mensaje o llamada pueden ser vulnerables a ataques ligados al número de teléfono. El NIST lo trata como canal restringido | Solo si no hay otra opción. Sigue siendo mejor que la contraseña sola |
| App de autenticación | Genera el código sin internet ni señal | El código también se escribe, así que un sitio falso puede engañarte. Migra los códigos al cambiar de celular | La opción por defecto si aún no tienes passkey |
| Aviso en la app (push) | Un toque, sin escribir. Google recomienda sus avisos a quien no usa passkey | La CISA advierte del bombardeo de avisos, en que el estafador manda solicitudes hasta que alguien acepta, y señala la confirmación por número | Cuando el servicio muestra un número. Rechaza todo aviso que no iniciaste |
| Llave de seguridad | Dispositivo físico que, según Google, protege contra el phishing | Cuesta dinero. Si la pierdes necesitas otra vía: una segunda llave o códigos de respaldo | Dueños, administradores y cuentas que mueven dinero |
| Passkey | Sin contraseña que filtrar ni escribir. Resiste el phishing. Puede vivir en el celular, la computadora, un administrador de contraseñas o una llave | Depende de dónde se guarde y de quién desbloquee ese dispositivo. Créala solo en uno tuyo | Siempre que el servicio la ofrezca |
Fuentes: Google, CISA y NIST SP 800-63B-4.
Cómo activarla en cada servicio
Los menús cambian según la versión y el idioma. Las rutas de abajo salen de las páginas oficiales, consultadas en inglés; en tu celular pueden llamarse distinto.
Google (Gmail, Drive, Perfil de Empresa)
Abre tu cuenta de Google, entra en Security & sign-in y, en How you sign in to Google, elige Turn on 2-Step Verification. Para la passkey, usa myaccount.google.com/signinoptions/passkeys y elige Create a passkey, solo en un dispositivo tuyo. Si no usas passkey, la página de ayuda recomienda los avisos de Google en lugar del SMS.
Apple (cuenta de Apple)
En iPhone o iPad, entra en Settings, toca tu nombre y luego Sign-In & Security, y activa la autenticación de dos factores (en Mac, System Settings). En la web, entra en account.apple.com y elige Upgrade Account Security. Según la página de Apple, si la cuenta se creó con dos factores no se puede quitar, y si la activaste hace poco tienes dos semanas para revertirlo. Apple sugiere además un número de confianza que no sea el del iPhone.
Microsoft (Outlook, Microsoft 365)
Entra en account.microsoft.com/security, elige Manage how I sign in y, en Additional security, Two-step verification y Turn on. Para la passkey, en account.live.com/proofs/manage elige Add a new way to sign in or verify y luego Face, Fingerprint, PIN, or Security Key. Microsoft recomienda mantener tres datos de seguridad en la cuenta.
WhatsApp y WhatsApp Business
En los ajustes de WhatsApp abre Account y luego Two-Step Verification. Crea un PIN de seis dígitos y agrega un correo para restablecerlo si lo olvidas. Ese PIN no es el código de 6 dígitos que llega por SMS, y el centro de ayuda de WhatsApp dice que no compartas ninguno de los dos (mira la estafa del código de 6 dígitos). WhatsApp Business usa la misma ruta, y su página para empresas indica cambiar el PIN cuando alguien del equipo se va y usar Meta Business Suite para compartir la bandeja sin compartir tu acceso ni tu número. ¿Ya te robaron la cuenta? Mira WhatsApp Business hackeado. La passkey que WhatsApp anunció en octubre de 2025 protege las copias de seguridad de los chats, no el inicio de sesión.
Instagram y Facebook
El centro de ayuda de Meta bloquea la lectura automática, así que esta guía no incluye menús que no se pudieron comprobar. La página oficial, Securing Your Meta Account With Two-Factor Authentication, está en las fuentes. Sigue lo que muestre y, si ofrece una app de autenticación, elígela en lugar del SMS.
La app de tu banco
Cada banco define sus opciones, así que sigue los pasos de su app o pregunta a tu banco. Usa solo la app oficial y activa lo que ofrezca para confirmar accesos y operaciones. Nunca dictes un código de un solo uso ni el del token a quien te llame, escriba o mande un correo.
Códigos de respaldo y qué hacer si pierdes el celular
Los códigos de respaldo son tu puerta de reserva. En Google cada juego tiene 10 códigos de un solo uso, y crear uno nuevo desactiva el anterior. Guárdalos en un lugar seguro, junto a documentos importantes, y no los compartas. En un negocio, usa un armario con llave y anota quién sabe dónde está.
Si perdiste el celular, sigue este orden:
- Cambia la contraseña y cierra sesión en el celular perdido, como indica Google.
- Entra por otra vía configurada: otro celular con la sesión abierta, código de respaldo, llave de seguridad o passkey de otro dispositivo.
- Recupera tu número. Pide a tu operador que pase la línea a una SIM nueva, como sugiere Google.
- WhatsApp: instálalo en el celular nuevo y verifica tu número. La app pide el PIN y, si lo olvidaste, hay una opción de PIN olvidado. Si pide uno que nunca creaste, la página oficial indica esperar 7 días antes de restablecerlo.
- Apple y Microsoft: sin dispositivo ni número de confianza, Apple habla de unos días o más (contactarla no lo acelera) y Microsoft habla de 30 días.
Sin ningún segundo paso, la recuperación de la cuenta de Google puede tardar de 3 a 5 días hábiles. Si alguien ya entró en tu cuenta, sigue la guía qué hacer si hackearon tu correo. Las herramientas de IA conectadas a tu correo o a tu Drive son un acceso más que revisar, como explica la guía de seguridad al usar IA en el negocio.
Lista de 15 minutos para un equipo pequeño
La CISA, agencia de ciberseguridad de Estados Unidos, recomienda usar más de un tipo de autenticación en todas tus cuentas y pone como ejemplos tu banco y tu proveedor de correo. La lista empieza por el correo.
- 2 min: anota las cuentas que mueven dinero o clientes. Correo, banco, WhatsApp Business, Instagram, Facebook, tienda en línea y dominio del sitio.
- 4 min: primero el correo, de cada persona. En Google Workspace, un administrador puede exigirlo en la consola (Menu, Security, Authentication, 2-step verification), con periodo de inscripción e informe de quién ya se inscribió; bloquear los códigos por SMS deja fuera a quien solo usa SMS. En Microsoft 365, activa los security defaults en el Microsoft Entra admin center (Identity, Overview, Properties); los tenants creados después de octubre de 2019 ya los tienen activos.
- 2 min: WhatsApp Business. PIN de seis dígitos, correo de recuperación y revisión de los dispositivos vinculados.
- 2 min: Instagram y Facebook. Actívalo desde la página oficial de Meta y prefiere una app de autenticación al SMS.
- 2 min: banco. Solo la app oficial, con las opciones de confirmación que ofrezca. Acuerden que nadie comparte un código ni un token.
- 2 min: códigos de respaldo. Imprime los del correo principal y guárdalos bajo llave.
- 1 min: prueba. Cierra sesión en una cuenta y vuelve a entrar. Comprueba que el correo y el teléfono de recuperación son de la empresa, no del celular personal de un empleado.
Los pasos de administrador siguen las páginas de Google Workspace y Microsoft de las fuentes. Los menús cambian: verifica antes de aplicarlos.
Preguntas frecuentes
¿Sirve todavía el código por SMS como segundo paso?
Es mejor que nada: la CISA dice que cualquier autenticación multifactor es mejor que ninguna. Pero Google advierte que los códigos por mensaje o llamada pueden ser vulnerables a ataques ligados al número de teléfono, así que cambia a passkey, aviso en la app o app de autenticación en cuanto el servicio lo permita.
¿La passkey reemplaza la verificación en dos pasos?
En Google, entrar con passkey se salta el segundo paso, porque ya confirma que el dispositivo es tuyo. Cada servicio tiene sus reglas, y en cuentas de trabajo el administrador puede limitar su uso. Revisa la página oficial de cada uno.
¿Necesito comprar una llave de seguridad física?
No. Una passkey en tu celular o computadora ya resiste el phishing. La llave física es opcional y tiene más sentido para dueños, administradores y cuentas que mueven dinero.
Perdí el celular y no tengo códigos de respaldo. ¿Qué hago?
Prueba con otro dispositivo con la sesión abierta, una llave de seguridad o la passkey de otro dispositivo. Si no tienes ninguno, usa la recuperación de cuenta del servicio: Google habla de 3 a 5 días hábiles, Apple de unos días o más y Microsoft de 30 días.
Fuentes: CISA: Cuatro cosas que puede hacer para mantenerse seguro en línea (en español) · CISA: Multifactor Authentication (More than a password) · NIST SP 800-63B-4: Digital Identity Guidelines, Authentication and Authenticator Management (julio de 2025) · Google: Activar la verificación en dos pasos (2-Step Verification) · Google: Acceder con una llave de acceso (passkey) en lugar de una contraseña · Google: Códigos de respaldo · Google: Resolver problemas comunes de la verificación en dos pasos y pérdida del celular · Google Workspace: Deploy 2-Step Verification (administradores) · Apple: Autenticación de dos factores para la cuenta de Apple · Apple: Números de teléfono y dispositivos de confianza · Apple: Seguridad de las passkeys · Microsoft: Verificación en dos pasos con tu cuenta Microsoft · Microsoft: Iniciar sesión con una passkey · Microsoft: Configurar la autenticación multifactor en Microsoft 365 (administradores) · WhatsApp: Centro de ayuda, código de verificación y verificación en dos pasos · WhatsApp Business: Protecting your business on WhatsApp, security best practices · Meta (WhatsApp): Making it easier to encrypt your WhatsApp chat backups (octubre de 2025) · Instagram (Meta): Securing Your Meta Account With Two-Factor Authentication · FIDO Alliance: Passkeys
