Generador de código 2FA en vivo

Se consigue desde la cuenta que quieres proteger: abre su configuración, entra en “Seguridad” o “Inicio de sesión y seguridad” y busca “Autenticación de dos factores” o “Verificación en dos pasos”. Elige la opción de aplicación de autenticación, escanea el código QR — o pulsa “¿no puedes escanear?” para mostrar la clave de configuración (una cadena Base32 o un URI otpauth://) — y pégala en el generador de código 2FA que está al principio de esta página. Introduce el código en vivo que aparece para confirmar la configuración y guarda los códigos de recuperación que te muestre el servicio.

Cuatro pasos, unos dos minutos: 1) Abre los ajustes de la cuenta o de seguridad y selecciona “Autenticación de dos factores”. 2) Elige “Usar una aplicación de autenticación” (evita el SMS si existe una opción mejor). 3) Escanea el código QR con tu autenticador — o, si no, muestra y guarda la clave de configuración. 4) Introduce el código en vivo para terminar y descarga o imprime los códigos de respaldo. Publicamos guías por servicio para Google, GitHub, Discord, Binance y más.

Después de tu contraseña, el servicio pide una segunda prueba de identidad. Con el método TOTP estándar (RFC 6238), tu autenticador calcula un código de 6 dígitos a partir de una clave secreta compartida más la hora actual, y el servidor hace el cálculo idéntico y compara los dos. El código de verificación en dos pasos se deriva cada 30 segundos y deja de servir en cuanto expira — así, una contraseña filtrada por sí sola ya no basta para abrir tu cuenta.

Protege cualquier inicio de sesión que otro quiera tomar: correo y suites en la nube (Google, Microsoft, Apple), banca y corretaje en línea, exchanges de cripto (Binance, Coinbase, Kraken), plataformas para desarrolladores (GitHub, AWS), videojuegos (Steam, Discord, Twitch) y redes sociales (X, Instagram). Las empresas también la usan para VPN, correo y consolas de administración. En cualquier sitio que ofrezca la opción “aplicación de autenticación”, ahí está el camino de la 2FA.

No — y ningún control de seguridad lo es; las guías honestas lo dicen. La 2FA liquida los ataques con contraseñas robadas, pero un código recién generado tecleado en un sitio falso mientras está vigente acaba cayendo en una estafa de phishing, el malware ya presente en tu dispositivo puede secuestrar la propia sesión y los códigos SMS caen ante los ataques de suplantación de SIM. Aun con esos matices, una cuenta con 2FA es muchísimo más difícil de abrir que una sin ella.

Ningún gobierno la declara obligatoria, pero las plataformas la van imponiendo: GitHub la exige a quienes aportan código desde 2023, bancos y exchanges de cripto la fuerzan, y los empleadores suelen exigirla para los accesos laborales. En el resto de los casos es opcional, pero muy recomendable. Trátala como si fuera obligatoria en tu cuenta más valiosa — el correo: quien controle tu bandeja de entrada puede restablecer todas las demás.

Porque las contraseñas fracasan siempre de la misma manera. Miles de millones de contraseñas reales ya son públicas por las filtraciones, y los atacantes las reutilizan sin descanso en sitio tras sitio (credential stuffing). Microsoft indica que la 2FA bloquea más del 99,9 % de los intentos automatizados de toma de cuentas — es la mejora más barata que protege tu correo, tu banca, tus juegos y tu cripto frente a las amenazas que de verdad ocurren.

Depende por completo del segundo factor. Los códigos SMS son los más débiles: con una suplantación de SIM, un atacante roba tu número y los recibe él. Los códigos TOTP de autenticador — los de 30 segundos — son computacionalmente fuertes: no se transmite nada, un atacante sin conexión no puede deducirlos y cada uno expira en segundos. Las llaves de seguridad físicas y las passkeys son lo más fuerte de todo, porque resisten el phishing y van atadas criptográficamente al dominio real.

Porque la era de la contraseña a secas colapsó. Las filtraciones a gran escala expusieron miles de millones de credenciales, el credential stuffing automatizado puso secuestrar cuentas casi gratis, y las plataformas se cansaron de pagar las consecuencias. Los reguladores sumaron: NIST descartó el SMS como autenticación en sus estándares de EE. UU. y el PSD2 europeo exige una autenticación reforzada del cliente. Cuando unos pocos gigantes normalizaron la 2FA, todos los demás servicios siguieron.

No. Es una herramienta 2FA que corre en el navegador: funciona en cualquier portátil, tableta o equipo de sobremesa con un navegador moderno, en línea o totalmente sin conexión una vez instalada como app. Reemplaza a la app del móvil cuando el teléfono se pierde, se vende, se rompe, se queda sin batería — o simplemente no está permitido donde trabajas.

Sí. Cada cálculo ocurre localmente en tu navegador con la Web Crypto API. Tus claves secretas jamás se envían a — ni quedan expuestas a — ningún servidor. Puedes abrir la página, desconectarte de internet y el generador sigue funcionando.

Por supuesto. Instala 2FA COUNTER como app (Añadir a la pantalla de inicio / Instalar) y funcionará completamente offline como un autenticador nativo. Los códigos se derivan de tu clave más el reloj de tu dispositivo — no hace falta red.

Casi siempre es un desfase de reloj. Los códigos TOTP dependen del tiempo: si el reloj de tu dispositivo está desviado ni siquiera medio minuto, el código no vale. Asegúrate de que la hora del sistema se sincronice automáticamente (en Windows, “Sincronizar ahora” en la configuración de fecha y hora; en macOS, “Ajustar fecha y hora automáticamente”) y vuelve a intentarlo. El generador calcula con la hora que reporta tu dispositivo — no tiene reloj propio que corregir.

Son apps de móvil; este es un autenticador de navegador. Usa exactamente el mismo algoritmo TOTP del RFC 6238 y funciona con todo servicio que acepte una app de autenticación estándar — pero nunca pierdes el acceso porque el teléfono se rompa, se venda o se quede sin batería.

Solo en tu navegador. Tu última clave y una breve lista de “claves recientes” (hasta 8) se guardan en el almacenamiento local de este dispositivo para que el generador sobreviva a una recarga y puedas cambiar de clave con un clic — nunca en nuestros servidores, porque no los hay. Las claves se guardan como texto plano: quien abra este perfil de navegador podrá leerlas, así que trata el perfil como la caja fuerte de un gestor de contraseñas. El botón “Borrar todo” encima de la lista (pide confirmación), vaciar el campo o limpiar los datos del navegador las elimina para siempre; conserva el secreto original en tu gestor de contraseñas como copia maestra.

Sí. Pega el URI otpauth:// completo que te facilite el servicio y todos los parámetros que traiga se respetan automáticamente — 6, 7 u 8 dígitos, periodos de 15/30/60 s, hashes SHA-1/SHA-256/SHA-512 y HOTP por contador. Una clave Base32 a secas usa los valores por defecto estándar (6 dígitos, 30 s, SHA-1), que es lo que emplea la gran mayoría de servicios.

Sí — sin cuentas, sin nivel premium, sin inicio de sesión. Es una herramienta, no un servicio.