Aprende
¿Qué es la 2FA? ¿Y cómo funcionan de verdad esos códigos de 30 segundos?
Una guía completa y en lenguaje llano: qué es la autenticación de dos factores, la criptografía que hay detrás de los códigos TOTP de seis dígitos, qué factor activar en cada cuenta y cómo no quedarte nunca fuera.
Por qué las contraseñas, solas, no bastan
Cada inicio de sesión necesita una contraseña, y las contraseñas tienen tres problemas estructurales: se reutilizan, se adivinan con ataques de credential stuffing sobre bases de datos filtradas y se pescan con trampas de phishing. La autenticación de dos factores (2FA) acepta una verdad sencilla — el eslabón más débil somos las personas — y añade una segunda cosa, independiente, que el atacante también debe poseer. Con 2FA, una contraseña filtrada por sí sola ya no basta para abrir tu cuenta.
La mayoría de los grandes servicios ya ofrecen la 2FA o la exigen: GitHub la aplica desde 2023, las exchanges de cripto (Binance, Coinbase, Kraken) la recuerdan a cada caída del mercado, y Microsoft, Google y Apple la han integrado en la seguridad de las cuentas como opción por defecto.
Los tres factores
Los factores de autenticación caen en tres categorías:
- Algo que sabes — contraseñas, PIN. Baratos de implantar y fáciles de pescar.
- Algo que tienes — un autenticador que genera códigos, una llave de seguridad física o una passkey, un teléfono que recibe SMS. Aquí es donde vive la 2FA.
- Algo que eres — huellas dactilares, reconocimiento facial. Cómodos, pero se registran en el propio dispositivo más que constituir el factor principal de acceso en remoto.
Una comprobación verdaderamente de dos factores combina técnicas de dos categorías diferentes. Una contraseña más el patrón de desbloqueo de tu teléfono no es 2FA; una contraseña más un código de autenticador que rota, sí.
Cómo funciona el TOTP, paso a paso
- Registro. Cuando activas la función en un servicio, este genera un secreto aleatorio y lo comparte contigo una sola vez — dibujado como un código QR o mostrado como clave de configuración Base32. En términos de seguridad, ese único momento concentra todo el riesgo; por eso solo conviene revelar la clave en un lugar en el que de verdad confíes.
- El tiempo avanza. La hora actual se divide en “pasos” de 30 segundos:
step = floor(unixTime / 30). Los 30 no tienen nada de especial: RFC 6238 permite al servicio aceptar 15, 30 o 60 segundos. - HMAC. Tu autenticador calcula un hash HMAC (SHA-1 en la mayoría de los servicios, a veces SHA-256/512) sobre el valor del paso, usando el secreto como clave. HMAC es una construcción de una sola dirección: ver el resultado no te revela nada del secreto.
- Extracción de dígitos. Se seleccionan cuatro bytes del resultado HMAC según el último nibble, se limpia el bit más alto y el resultado módulo 10n se convierte en tu código — normalmente
n= 6, a veces 7 u 8. - Ventana de verificación. El servidor recalcula el mismo valor para el paso actual y el anterior (para tolerar pequeños desfases de reloj). Si la prueba coincide, el inicio de sesión se acepta.
Todo esto se ejecuta en microsegundos, íntegramente en el dispositivo. Por eso una herramienta del lado del cliente como 2FA COUNTER puede hacer el trabajo completo en local — carga la página, desconéctate de internet y los códigos seguirán brotando cada 30 segundos, para siempre.
El secreto y el código QR
La cadena Base32 no es un formato intermedio más — son los bytes en crudo del secreto codificados en un alfabeto apto para teclados (A–Z más 2–7, excluyendo deliberadamente el 0 y el 1, que se confunden con facilidad, y seguro en cualquier teclado). Cuando una plataforma ofrece el enlace “¿no puedes escanear?”, la cadena que aparece contieneexactamente el mismo material privado que codifica el QR. Puedes guardar cualquiera de las dos formas; la semántica es idéntica:
otpauth://totp/GitHub:you%40example.com?secret=JBSWY3DPEHPK3PXP&issuer=GitHub
otpauth://totp/Binance:me?secret=JBSWY3DPEHPK3PXP&digits=6&period=30&algorithm=SHA1
otpauth://hotp/Steam:sda?secret=...&counter=5 ← variante por contador (HOTP)Un generador moderno respeta cada parámetro: número de dígitos, periodo, algoritmo de hash y contador HOTP — porque un servicio que exige SHA-256 rechazará igualmente un código con SHA-1 por defecto. Una clave Base32 a secas se interpreta con 6 dígitos, 30 s y SHA-1, que es lo que emplea la gran mayoría de servicios.
TOTP frente a SMS frente a llaves físicas
- Códigos SMS viajan por la red de telecomunicaciones. Los ataques de suplantación de SIM permiten al adversario robar tu número y recibir todos tus códigos. El SMS está descartado para la autenticación en los estándares de EE. UU. (NIST SP 800-63B).
- TOTP no transmite nada — el código se calcula en local y caduca a los 30 segundos. Gratis, basado en estándares y compatible en todas partes. Eslabón más débil: puede pescarse dentro de su ventana de validez.
- Llaves de seguridad y passkeys (WebAuthn/FIDO2) van atadas criptográficamente al dominio exacto, así que las páginas falsas que imitan al original fallan de forma automática. La opción más fuerte; con menos soporte y con el coste de una llave.
La escalera práctica: SMS solo si no te queda más remedio, TOTP como opción por defecto, llaves físicas o passkeys para las cuentas que más te importan.
Para profundizar en algunas de tus mejores opciones: TOTP frente a passkeys — qué factor va donde, cómo los ataques de suplantación de SIM derrotan al SMS y qué le hace la sincronización en la nube de las apps a tus claves secretas.
Lo que la 2FA no arregla
La autenticación en dos pasos resuelve el robo de contraseñas. No frena el robo de cookies de sesión (malware que ya corre en tu equipo), las extensiones de navegador con permisos excesivos, un correo de recuperación del que perdiste el control ni la ingeniería social en la que un atacante te presiona para que leas un código fresco dentro de su ventana de 30 segundos. Mantén los navegadores actualizados, poda las extensiones sin piedad y considera cualquier petición urgente de un código como la bandera roja que es.
Cómo no quedarte nunca fuera
- Guarda los códigos de respaldo. Cada servicio imprime un paquete de códigos de recuperación de un solo uso al activar la 2FA. Imprímelos o guárdalos cifrados y sin conexión.
- Conserva el secreto, no solo la herramienta. La clave Base32 escrita en la bóveda de tu gestor de contraseñas te permite regenerar los códigos con cualquier autenticador — una app de móvil o el generador de navegador — en el dispositivo que tengas a mano ese día.
- Registra dos dispositivos, no uno. Una clave puede convivir sin peligro en dos dispositivos de confianza a la vez. El TOTP es determinista: mismo secreto, mismos códigos.
- Vigila tu reloj. Si los códigos fallan con regularidad, corrige primero la sincronización horaria del dispositivo — es la causa más habitual de los errores de “código no válido”, y ninguna herramienta puede esquivarla.
Preguntas frecuentes
¿Qué es la 2FA?
La 2FA (autenticación de dos factores) significa demostrar quién eres con dos tipos de pruebas distintos: algo que sabes (tu contraseña) más algo que tienes (un código que cambia cada 30 segundos, una llave de seguridad o tu teléfono). Una contraseña por sí sola puede filtrarse o adivinarse; el segundo factor convierte en inútil una contraseña filtrada que no vaya acompañada de más.
¿Por qué es tan importante la 2FA?
Porque las contraseñas fracasan siempre de la misma manera. Miles de millones de contraseñas reales ya son públicas por las filtraciones, y los atacantes las reutilizan sin descanso para entrar en cuentas ajenas (credential stuffing) a todas horas. Microsoft indica que la 2FA bloquea más del 99,9 % de los ataques automatizados de toma de cuentas — protege tu correo, tu banca, tus redes sociales, tus juegos y tu cripto de exactamente las amenazas que de verdad ocurren.
¿Para qué sirve la 2FA?
Protege cualquier inicio de sesión que valga la pena robar: correo y cuentas en la nube (Google, Microsoft, Apple), banca y finanzas, exchanges de cripto (Binance, Coinbase, Kraken), plataformas para desarrolladores (GitHub, AWS), videojuegos (Steam, Discord, Twitch) y redes sociales (X, Instagram). Las empresas también la usan para VPN, correo y consolas de administración. Donde un servicio ofrezca la opción “aplicación de autenticación”, ahí está la herramienta correcta de la 2FA.
¿Cómo funciona la 2FA?
Después de tu contraseña, el servicio pide una segunda prueba. Con el método más común (TOTP), tu autenticador deriva un código de 6 dígitos nuevo a partir de una clave secreta compartida más la hora actual (el estándar RFC 6238), mientras el servidor ejecuta el cálculo idéntico y compara los resultados. El código rota cada 30 segundos y nunca puede reutilizarse, así que un atacante que solo tenga tu contraseña tampoco puede entrar.
¿Cómo se genera un código TOTP?
El sitio web te entrega una clave secreta (normalmente como un código QR o una cadena Base32). Tu autenticador calcula un HMAC (con SHA-1, SHA-256 o SHA-512) sobre la ventana de tiempo de 30 segundos en curso usando esa clave y, del resultado, extrae 6 dígitos. El sitio web ejecuta el cálculo idéntico y compara. No hace falta red, porque ambas partes ya comparten el secreto.
¿Cómo se consigue la 2FA?
Se consigue desde la cuenta que quieres proteger: abre su configuración, entra en “Seguridad” o “Inicio de sesión y seguridad” y busca “Autenticación de dos factores” o “Verificación en dos pasos”. Elige la opción de aplicación de autenticación, escanea el código QR (o muestra la clave de configuración) e introduce el código que muestre tu autenticador para confirmar. Nuestra guía paso a paso explica cómo obtener un código sin móvil: /es/how-to-get-2fa-code/.
¿Cómo se activa la 2FA?
Cuatro pasos: 1) Abre los ajustes de la cuenta o de seguridad del servicio y selecciona “Autenticación de dos factores”. 2) Elige “Usar una aplicación de autenticación” (evita el SMS si puedes). 3) Escanea el código QR con tu autenticador — o pulsa “¿no puedes escanear?” y guarda la clave de configuración. 4) Introduce el código en vivo para terminar y descarga o imprime los códigos de respaldo que te muestre. Publicamos guías de configuración por servicio para Google, GitHub, Discord, Binance y más en /guides/.
¿Qué tan fuerte es la 2FA?
Depende por completo de qué segundo factor uses. Los códigos SMS son los más débiles — con una suplantación de SIM, un atacante roba tu número y los recibe él. Los códigos TOTP de autenticador — los de 30 segundos — son computacionalmente fuertes: un atacante sin conexión no puede deducirlos y cada código caduca en segundos. Las llaves de seguridad físicas y las passkeys son lo más fuerte de todo, porque resisten el phishing y van atadas criptográficamente al dominio real.
¿Es la 2FA 100% segura?
Ninguna medida de seguridad es 100% segura, y las guías de 2FA honestas lo admiten. La 2FA derrota a las contraseñas robadas, pero el propio código puede seguir cayendo en un phishing si tecleas un código vigente en un sitio falso dentro de su ventana de 30 segundos; el malware ya presente en tu dispositivo puede robar sesiones; y si tu segundo factor es el SMS, la suplantación de SIM es una amenaza real. Dicho esto, activar la 2FA te hace muchísimo más difícil de atacar que una cuenta protegida solo con contraseña.
¿Es obligatoria la 2FA?
Ni por ley, pero cada vez más servicios la imponen: GitHub la exige a quienes aportan código desde 2023, muchos bancos y exchanges de cripto la tienen activada por fuerza, y los empleadores suelen exigirla para los accesos laborales. En el resto de los casos es opcional, pero muy recomendable. En la práctica, trátala como obligatoria en tus cuentas más valiosas: el correo primero, porque quien controle tu bandeja de entrada puede restablecer todo lo demás.
¿Por qué todo usa 2FA ahora?
Porque la era de la contraseña a secas colapsó. Las filtraciones a gran escala expusieron miles de millones de credenciales, los ataques de credential stuffing se automatizaron y se abarataron, y las plataformas ahora cargan con el coste de las cuentas secuestradas. Los reguladores también empujaron: NIST descartó el SMS como autenticación en sus estándares de EE. UU. y las normas del PSD2 europeo exigen una autenticación reforzada del cliente. Cuando unos pocos gigantes normalizaron la 2FA, todos los demás servicios siguieron.
¿Cuál es la diferencia entre TOTP, HOTP y OTP?
OTP simplemente significa “contraseña de un solo uso”. TOTP (OTP basado en el tiempo, RFC 6238) deriva el código de la hora actual, así que cambia cada 30 segundos. HOTP (RFC 4226) se basa en un contador: cada código se usa una sola vez y el contador se incrementa. Prácticamente todos los servicios de “aplicación de autenticación” — Google, Microsoft, Discord, GitHub — usan TOTP.
¿Por qué el TOTP es mejor que el SMS?
Los códigos SMS viajan por la red telefónica, donde un ataque de suplantación de SIM puede interceptarlos o robarlos — y la entrega del SMS, al fin y al cabo, simplemente puede fallar. Los códigos TOTP se calculan en tu dispositivo, nunca se transmiten y caducan en segundos. Organismos de seguridad como NIST han descartado el SMS para la autenticación.
¿Puede robar los códigos TOTP un sitio de phishing?
Sí — si tecleas un código recién generado en una página falsa mientras está vigente (30 segundos), el atacante consigue un inicio de sesión funcional. Por eso los factores resistentes al phishing (llaves de seguridad físicas y passkeys, que se atan criptográficamente al dominio real) son la opción más fuerte donde se ofrecen. El TOTP le gana al SMS y a las contraseñas, pero no a las llaves físicas.
¿Dónde conviene guardar mi clave secreta de 2FA?
En la bóveda cifrada de un gestor de contraseñas, como copia maestra. Así puedes volver a generar los códigos en cualquier dispositivo de confianza — incluso en un navegador con una herramienta como 2facounter.com — si tu teléfono no está disponible. Guarda también los códigos de respaldo o de recuperación que cada servicio imprime al activar la 2FA; esos son tu verdadero colchón.