Una contraseña sola no basta. Incluso una contraseña fuerte puede adivinarse, robarse o descifrarse. Si alguien conoce tu contraseña, puede entrar en tu cuenta. La autenticación en dos pasos (2FA) es la capa de seguridad que lo impide. Exige un segundo paso de verificación además de la contraseña, y demuestra que eres quien dices ser aunque tu contraseña se haya filtrado.
Este artículo explica cómo funciona la 2FA, dónde usarla en tus formularios, qué métodos 2FA son más seguros y cómo ponerla en marcha sin molestar a los usuarios legítimos.
Qué aprenderás: qué es la autenticación en dos pasos y por qué importa, los distintos tipos de 2FA, cómo funciona cada método, qué formularios necesitan protección 2FA y cómo elegir el método adecuado para tu caso.
¿Qué es la autenticación en dos pasos?
La autenticación en dos pasos exige dos pruebas distintas antes de dar acceso. Los factores se suelen clasificar así:
- Algo que sabes: una contraseña o un PIN
- Algo que tienes: un teléfono, una llave de seguridad o una app de autenticación
- Algo que eres: un dato biométrico, como una huella dactilar o un escaneo facial
Un acceso con 2FA suele seguir estos pasos:
- El usuario introduce su nombre de usuario y su contraseña
- El sistema comprueba que la contraseña es correcta
- El sistema pide un segundo factor (por ejemplo, "Introduce el código de tu teléfono")
- El usuario aporta el segundo factor (por ejemplo, escribe "123456")
- El sistema verifica el segundo factor
- El usuario obtiene acceso
Si alguien roba la contraseña, sigue sin poder entrar en la cuenta sin el segundo factor. Por eso la 2FA es tan eficaz.
Por qué la 2FA es esencial para la seguridad de los formularios
Las contraseñas se roban constantemente
Las filtraciones de datos exponen millones de contraseñas cada año. Si tu contraseña estaba en una base de datos filtrada, los atacantes la tienen. Una contraseña fuerte ayuda, pero sigue siendo solo una contraseña.
Los ataques a contraseñas son habituales
Los atacantes usan la fuerza bruta (probar millones de combinaciones), los ataques de diccionario (probar contraseñas comunes) y el credential stuffing (usar contraseñas de otras filtraciones). Estos ataques funcionan si no hay nada más allá de la contraseña.
El phishing apunta a las contraseñas
Los atacantes envían páginas de acceso falsas que imitan tu web. Los usuarios envían sus datos a la página falsa. Si tu web solo pide contraseña, el atacante ya tiene acceso. Si se exige 2FA, el atacante no puede usar solo la contraseña.
Los robos de cuenta salen caros
Si alguien entra en la cuenta de un cliente, puede cambiar la contraseña, restablecer la cuenta, hacer compras no autorizadas o robar información. Con 2FA, el acceso no autorizado se vuelve mucho más difícil.
Tipos de autenticación en dos pasos
Códigos por SMS (mensaje de texto)
Cómo funciona: el usuario introduce su nombre de usuario y su contraseña. El sistema envía un código de 6 dígitos por mensaje de texto a su teléfono. El usuario escribe el código recibido.
Ventajas: sencillo para los usuarios. Funciona en cualquier teléfono (no hace falta app).
Inconvenientes: el SMS puede interceptarse o desviarse. No es el método más seguro. Enviar SMS cuesta dinero.
Ideal para: aplicaciones de cara al cliente donde la facilidad de uso pesa más que la máxima seguridad.
Apps de autenticación
Cómo funciona: el usuario instala una app de autenticación, como Google Authenticator u otras similares. Al iniciar sesión, la app genera un código temporal (normalmente de 6 dígitos que cambia cada 30 segundos). El usuario escribe ese código.
Ventajas: muy seguras. No se pueden interceptar. Gratis para los usuarios.
Inconvenientes: obligan a instalar una app. Si el usuario pierde el teléfono, pierde el acceso, salvo que tenga códigos de respaldo.
Ideal para: aplicaciones de alta seguridad (paneles de administración, cuentas financieras, datos sensibles). Aquí se tolera más fricción.
Llaves de seguridad físicas
Cómo funciona: el usuario tiene una llave física (como una memoria USB). Al iniciar sesión, el sistema pide la llave. El usuario la conecta o la acerca a su dispositivo. La llave demuestra que es suya.
Ventajas: extremadamente seguras. No se pueden hackear a distancia. Sirven en muchas webs.
Inconvenientes: los usuarios tienen que comprar las llaves (30 a 50 dólares). Se pueden perder u olvidar. Todavía no son compatibles con todo.
Ideal para: situaciones de máxima seguridad (gobierno, ejército, cuentas de gran valor). Las usan personas con conocimientos técnicos.
Notificaciones push
Cómo funciona: el usuario intenta iniciar sesión. El sistema envía una notificación push al teléfono del usuario: "¿Quieres aprobar este acceso?". El usuario toca "Aprobar" en la notificación.
Ventajas: muy cómodas. No hay que escribir ningún código. Resisten el phishing (el usuario ve desde dónde se intenta entrar).
Inconvenientes: necesitan una app o un sistema concreto. No sirven si no tienes el teléfono a mano.
Ideal para: aplicaciones pensadas primero para móvil y apps de consumo donde la experiencia de usuario es clave.
Códigos por correo electrónico
Cómo funciona: el usuario introduce su nombre de usuario y su contraseña. El sistema envía un código a su dirección de correo. El usuario escribe el código del correo.
Ventajas: funciona sin teléfono. Accesible para todos los usuarios.
Inconvenientes: el correo puede ser hackeado. El usuario tiene que revisar su correo, lo que es más lento que otros métodos. Es menos seguro que las apps de autenticación.
Ideal para: aplicaciones de baja seguridad o como alternativa cuando otros métodos no están disponibles.
Biometría (huella, rostro)
Cómo funciona: el dispositivo del usuario (teléfono u ordenador) usa sensores biométricos integrados. El usuario escanea su huella o su rostro para aprobar el acceso o la acción.
Ventajas: muy cómoda. Muy segura. Es única de cada persona.
Inconvenientes: requiere un dispositivo con sensor biométrico. Guardar datos biométricos plantea dudas de privacidad.
Ideal para: apps móviles y dispositivos modernos. Cada vez es más habitual a medida que el hardware biométrico se vuelve estándar.
¿Qué formularios necesitan 2FA?
Formularios de alto valor (deben tener 2FA)
- Formularios de acceso (panel de administración, cuenta de cliente, correo)
- Formularios de restablecimiento de contraseña
- Cambios en los ajustes de la cuenta (sobre todo el correo o la contraseña)
- Formularios de pago o financieros
- Borrado de datos u operaciones sensibles
Formularios de valor medio (conviene que tengan 2FA)
- Registro de cuenta (para evitar el robo de cuenta desde el principio)
- Formularios que modifican datos o preferencias del usuario
- Formularios solo para administradores
Formularios de bajo valor (2FA opcional)
- Formularios de contacto (solo recogen información pública)
- Suscripción a newsletter (formulario sin cuenta)
- Formularios de encuesta
La regla: si el formulario puede cambiar la cuenta del usuario, acceder a datos sensibles o realizar acciones irreversibles, usa 2FA.
Cómo implantar la 2FA sin fricción excesiva
Haz la 2FA opcional al principio y obligatoria para las acciones sensibles
Deja que los usuarios se registren sin 2FA. Pero exígela cuando intenten entrar en zonas sensibles, cambiar datos de pago o cambiar su contraseña.
Ofrece varios métodos 2FA
Unos usuarios tienen teléfono y otros no. Unos prefieren las apps de autenticación y otros las llaves físicas. Ofrecer varios métodos permite que todos puedan usar la 2FA.
Ofrece códigos de respaldo
Si la 2FA es obligatoria y los usuarios pierden el teléfono o la app de autenticación, no pueden entrar en su cuenta. Ofrece códigos de respaldo (códigos de un solo uso generados durante la configuración) para que puedan iniciar sesión si pierden su método 2FA principal.
Recuerda los dispositivos de confianza
Cuando un usuario completa la 2FA en un dispositivo, puedes "recordarlo" para que no tenga que repetirla cada vez. Así reduces la fricción y mantienes la seguridad ante accesos sospechosos desde dispositivos desconocidos.
Usa una 2FA basada en el riesgo
Si un usuario inicia sesión desde su lugar habitual, a su hora habitual y con su dispositivo habitual, quizá no haga falta la 2FA. Si inicia sesión desde otro país a las 3 de la madrugada con un dispositivo nuevo, exígela. Así equilibras seguridad y facilidad de uso.
Planes de recuperación y respaldo
Los usuarios perderán el teléfono, olvidarán las apps y se quedarán fuera de su cuenta. Ten un plan:
- Códigos de respaldo: genera 10 códigos de un solo uso al configurar la 2FA, para usarlos si el método principal no está disponible
- Recuperación de cuenta: permite que los usuarios verifiquen su identidad con preguntas de seguridad o por correo para recuperar el acceso
- Proceso de soporte: forma a tu equipo de soporte para verificar la identidad y ayudar a los usuarios bloqueados
Vías de ataque a la 2FA y cómo evitarlas
SIM swapping
Un atacante convence a la operadora de pasar el número de teléfono de la víctima a una nueva tarjeta SIM. Después recibe en su teléfono los códigos 2FA enviados por SMS.
Prevención: usa apps de autenticación o llaves físicas en lugar de SMS. El SMS es vulnerable al SIM swapping.
Phishing de códigos 2FA
Un atacante crea una página de acceso falsa que pide un código 2FA. El usuario escribe el código. El atacante lo usa de inmediato para entrar en la cuenta real.
Prevención: usa métodos que muestren contexto (las notificaciones push muestran "acceso desde www.example.com") o llaves físicas (que verifican el dominio de la web). Los métodos basados en códigos son vulnerables a este ataque.
Dispositivos perdidos o robados
Si se pierde o te roban el dispositivo con la app 2FA, un atacante podría usarlo para entrar en las cuentas.
Prevención: exige un PIN o un dato biométrico para desbloquear el dispositivo. Exige un PIN para abrir la app de autenticación. Usa códigos de respaldo y opciones de recuperación de cuenta.
Qué hace WEMASY con la 2FA
WEMASY admite varios métodos 2FA para cuentas de administración y cuentas de cliente. Puedes exigir 2FA para iniciar sesión, restablecer contraseñas y realizar acciones sensibles. WEMASY ofrece integración con apps de autenticación, códigos por SMS y códigos por correo. Los usuarios pueden activar códigos de respaldo para la recuperación. Opcionalmente, puedes recordar los dispositivos de confianza para equilibrar seguridad y fricción.
Descubre más sobre las funciones de seguridad y las opciones 2FA en los ajustes de tu cuenta o en la página de precios.