Métodos de verificación en dos pasos: SMS vs app vs passkey

La verificación en dos pasos significa que iniciar sesión requiere una segunda prueba además de tu contraseña. Pero «verificación en dos pasos» no es un único método: los códigos SMS, las apps de autenticación y las llaves de seguridad o passkeys ofrecen niveles de seguridad y comodidad bastante distintos. En este artículo comparamos los métodos de verificación en dos pasos y explicamos cuál tiene sentido para cada cuenta.

¿Por qué importa la verificación en dos pasos?

Las contraseñas pueden quedar expuestas por filtraciones de datos, páginas de phishing o por reutilizarlas en varios sitios. Un segundo paso dificulta abrir tu cuenta solo con una contraseña robada. Por eso cualquier verificación en dos pasos es mejor que ninguna. La pregunta real no es «¿la activo?», sino «¿qué método elijo?».

Al evaluar un método, fíjate en tres cosas: qué tan bien resiste la suplantación y el phishing, qué tan fácil es de usar a diario y cómo recuperas tu cuenta si pierdes el teléfono.

Método 1: códigos SMS

Llega un código de seis dígitos a tu número de teléfono y lo escribes. Es el método más fácil de configurar, no necesita ninguna app adicional y todo el mundo entiende cómo funciona.

Ventajas: Muy sencillo de configurar, disponible en casi todos los servicios, no requiere conocimientos técnicos.

Desventajas: La seguridad depende de quién controle tu número. Los riesgos principales son el cambio de tu número a otra tarjeta de la operadora (un SIM swap), los mensajes que intentan pescar códigos y dejarse convencer para leer un código a otra persona. También puede que no recibas códigos en el extranjero o sin cobertura.

El SMS es mucho mejor que nada y a veces es la única opción. Pero no debería ser tu primera elección para cuentas valiosas.

Método 2: apps de autenticación (TOTP)

Una app en tu teléfono genera códigos de vida corta que cambian cada 30 segundos. Los códigos se generan en tu dispositivo, así que no necesitas SMS ni conexión de red.

Ventajas: Aunque alguien se apodere de tu número de teléfono, los códigos no llegan al atacante. Funciona sin conexión. Muchos servicios la admiten.

Desventajas: Si pierdes o reinicias el teléfono, pierdes el acceso a los códigos, así que los códigos de respaldo o la función de copia de seguridad de la app son imprescindibles. Si escribes tú mismo un código en una página de inicio de sesión falsa, sigue existiendo riesgo, así que no es totalmente inmune al phishing.

Para la mayoría de las personas es el mejor equilibrio entre seguridad y comodidad.

Método 3: llaves de seguridad y passkeys

Una llave de seguridad (un dispositivo físico que funciona por USB o NFC) y una passkey (una credencial guardada en tu teléfono, computadora o gestor de contraseñas y desbloqueada con tu huella o rostro) pertenecen a la misma familia. No escribes ningún código; el dispositivo se comunica con la dirección real en la que estás iniciando sesión.

Ventajas: Es el método más resistente al phishing, porque no funciona en un sitio falso. Como no hay código que escribir, es rápido y cómodo.

Desventajas: No todos los servicios lo admiten. Si pierdes la llave física o el acceso a la cuenta donde está guardada tu passkey, necesitas un plan de recuperación. Una llave física cuesta dinero, y se recomienda comprar una de repuesto.

Tabla comparativa

| Método | Resistencia al phishing | Riesgo de SIM swap | Comodidad | Si pierdes el dispositivo |
|---|---|---|---|---|
| Código SMS | Baja | Sí | Muy alta | Se recupera recuperando el número |
| App de autenticación | Media | No | Alta | Necesita códigos de respaldo o copia de la app |
| Llave de seguridad | Muy alta | No | Media-alta | Una llave de repuesto es imprescindible |
| Passkey | Muy alta | No | Muy alta | Depende de la cuenta con la que se sincroniza |

Las calificaciones muestran tendencias generales; los detalles de implementación pueden variar de un servicio a otro.

¿Qué método para qué cuenta?

• Correo, banca, criptomonedas, gestor de contraseñas: Una passkey o llave de seguridad si es posible; si no, una app de autenticación. Tu correo es la llave de recuperación de todo lo demás, así que debe ser tu cuenta mejor protegida.
• Redes sociales y mensajería: Una app de autenticación o passkey. El SMS solo cuando no hay otra opción.
• Compras, suscripciones, videojuegos: Una app de autenticación basta; usa una passkey si la ofrecen.
• Cuentas desechables o de un solo uso: El SMS es aceptable, siempre que no reutilices la misma contraseña en otro lugar.

Si una cuenta te permite registrar más de un método, configura uno como principal y otro como respaldo.

Números virtuales y verificación en dos pasos

Los números virtuales de un solo uso que se usan para recibir códigos de verificación no te dan propiedad permanente. Por eso ese número no sirve como base de una verificación en dos pasos por SMS para tu cuenta, porque no podrás reutilizarlo más adelante. Si abriste una cuenta con un número virtual, añade una app de autenticación o una passkey justo después de la configuración y define un correo de recuperación.

Algunas plataformas pueden no aceptar números virtuales; en ese caso debes respetar las condiciones del servicio. Si no llega un código, lee por qué no llega tu código SMS. Para ver servicios y países actuales, consulta la página de precios.

Una lista corta de configuración

1. Activa primero el método más fuerte en tu cuenta de correo.
2. Luego actívalo en tu banco, tus redes sociales y tu gestor de contraseñas.
3. Registra al menos un método de respaldo en cada cuenta.
4. Guarda los códigos de respaldo sin conexión, en un lugar seguro; no dejes una captura de pantalla en la nube.
5. Al cambiar de teléfono, no borres el antiguo hasta estar seguro de que la app de autenticación se ha pasado al nuevo dispositivo.
6. Revisa de vez en cuando las listas de «dispositivos de confianza» y «sesiones activas» en la configuración de tu cuenta.

Errores comunes

Incluso un buen método puede debilitarse por algunos hábitos:

• No tener plan de respaldo: Quedarse fuera de una cuenta para siempre tras perder el teléfono es el problema más común.
• Guardar los códigos de respaldo como captura en la nube: Si la cuenta es tomada, los códigos se van con ella.
• Decirle un código a otra persona: Sea cual sea el método, compartir un código elimina la protección.
• Usar la misma contraseña en todas partes: El segundo paso ayuda, pero no reemplaza los buenos hábitos con las contraseñas.
• Decir «sí» a las solicitudes de aprobación por costumbre: Nunca aceptes una notificación de aprobación que llegue cuando tú no iniciaste sesión.

Preguntas frecuentes

¿Nunca se debe usar la verificación en dos pasos por SMS?

No. El SMS es mucho más seguro que no tener un segundo paso. Actívalo cuando sea la única opción y cambia a uno más fuerte en cuanto esté disponible.

¿Una passkey reemplaza la contraseña?

En muchos servicios, una passkey te permite iniciar sesión en lugar de usar contraseña, y además funciona como segundo paso. Según el servicio, la contraseña puede seguir existiendo junto a ella, así que revisa la configuración.

¿Cómo entro a mi cuenta si pierdo el teléfono?

Con los códigos de respaldo que guardaste antes, con un segundo dispositivo registrado o con una llave de seguridad de repuesto. Preparar estas opciones durante la configuración es el paso más importante.

¿Pueden estar activas a la vez una app de autenticación y el SMS?

En la mayoría de los servicios, sí. Pero mientras la opción de SMS siga activa, los atacantes pueden intentar ese camino, así que, si puedes, deja el SMS solo como último recurso.