Una contraseña segura ya no basta por sí sola para proteger el acceso de administrador de una web. La autenticación en dos pasos añade una segunda capa, de modo que una contraseña robada no es suficiente para entrar, y eso cambia por completo el cálculo de riesgo para quien va tras las credenciales de administrador. Un factor se puede comprometer. Dos es bastante más difícil. Este artículo explica cómo funciona la autenticación en dos pasos, qué tipos de segundo factor hay y cómo activarla en tu web.
Los ataques a credenciales están automatizados. Las herramientas diseñadas para adivinar contraseñas por fuerza bruta o para probar credenciales robadas en páginas de inicio de sesión funcionan sin parar en millones de sitios. La contraseña ya no es la última línea de defensa que fue en su día: demasiadas son débiles, reutilizadas o expuestas por filtraciones de datos en otros servicios. La autenticación en dos pasos no arregla la contraseña. Hace que la contraseña por sí sola no sea suficiente. Para ver el panorama más amplio de la protección del acceso de administrador como parte de una estrategia de seguridad completa, consulta el artículo sobre cómo proteger tu web de los hackers.
¿Qué es la autenticación en dos pasos?
La autenticación en dos pasos, a menudo abreviada como 2FA, es un proceso de inicio de sesión que exige dos formas distintas de verificación antes de dar acceso. El primer factor suele ser una contraseña. El segundo factor es algo aparte, algo a lo que solo tiene acceso el titular de la cuenta en el momento de iniciar sesión.
El principio es sencillo: aunque un atacante consiga tu contraseña por una filtración, un ataque de phishing o fuerza bruta, no puede completar el inicio de sesión sin controlar también el segundo factor. En la mayoría de los casos, el segundo factor está en un dispositivo que el titular de la cuenta tiene físicamente, lo que significa que entrar requiere algo más que una contraseña robada.
¿Cómo funciona la autenticación en dos pasos?
La secuencia de inicio de sesión
- El usuario introduce su nombre de usuario y su contraseña en la página de inicio de sesión, como siempre
- En lugar de dar acceso de inmediato, se le pide un segundo paso de verificación
- El usuario aporta el segundo factor, que el sistema verifica antes de permitir el acceso
- Si cualquiera de los dos factores es incorrecto, se deniega el acceso
Qué evita
- Un atacante que ha conseguido la contraseña correcta se queda parado en el segundo paso, porque no tiene acceso al segundo factor
- Los ataques de fuerza bruta que logran identificar una contraseña tampoco pueden completar el inicio de sesión sin el segundo factor
- Las credenciales robadas mediante phishing o filtraciones de datos en otros servicios dejan de ser suficientes por sí solas
¿Qué tipos de segundo factor hay?
Aplicaciones de autenticación
- Una aplicación de autenticación genera un código temporal que se renueva cada 30 segundos. El usuario abre la aplicación, lee el código actual y lo introduce al iniciar sesión
- El código se genera en el dispositivo y no se transmite por la red, lo que lo hace resistente a la interceptación
- Se considera ampliamente la opción más práctica y segura para la mayoría de los dueños de webs
Códigos por SMS
- Se envía un código de un solo uso por mensaje de texto al número de teléfono registrado del usuario durante el inicio de sesión
- Los códigos por SMS son más cómodos de configurar que una aplicación de autenticación, pero se consideran menos seguros, ya que los números de teléfono pueden secuestrarse mediante SIM swapping y los SMS pueden interceptarse
- Son bastante mejores que no tener ningún segundo factor
Llaves de seguridad físicas
- Una llave de seguridad física es un dispositivo, normalmente un pequeño aparato USB o NFC, que el usuario conecta o acerca durante el inicio de sesión para verificar su identidad
- Las llaves físicas ofrecen la forma más fuerte de autenticación en dos pasos y son inmunes al phishing, ya que la verificación está ligada al sitio concreto al que se accede
- Son más comunes en entornos de alta seguridad y menos habituales para el acceso de administrador de una web normal
Códigos por email
- Se envía un código de un solo uso a la dirección de email registrada del usuario, que debe introducirse durante el inicio de sesión
- Los códigos por email son el segundo factor más débil porque dependen de la seguridad de la cuenta de email. Si la cuenta de email está comprometida, el segundo factor no da ninguna protección
- Son mejores que no tener ningún segundo factor, pero las aplicaciones de autenticación son una opción más fiable
¿Por qué necesita tu web la autenticación en dos pasos?
Las contraseñas se comprometen con regularidad
- Las filtraciones de datos en otros servicios exponen credenciales que luego se prueban en paneles de administración de webs. Una contraseña reutilizada de otra cuenta puede usarse para acceder a tu sitio aunque tu sitio nunca haya sido el objetivo directo
- Los ataques de phishing que capturan contraseñas son difíciles de evitar del todo. La autenticación en dos pasos limita el daño cuando se obtiene una contraseña
Los ataques automáticos a credenciales son constantes
- Las herramientas de fuerza bruta funcionan sin parar en webs de todo el mundo, probando contraseñas comunes, palabras de diccionario y listas de credenciales filtradas
- Con la autenticación en dos pasos, incluso una contraseña descubierta por fuerza bruta no basta para completar un inicio de sesión
El acceso de administrador es el objetivo más valioso
- Un atacante que accede al panel de administración de un sitio puede instalar malware, robar datos, crear puertas traseras o dejar fuera al dueño por completo
- Proteger el acceso de administrador con autenticación en dos pasos reduce directamente las consecuencias de una contraseña comprometida, que es el objetivo más común de los ataques a credenciales
Para ver qué puede hacer un atacante una vez que accede como administrador, consulta el artículo sobre qué es el malware en una web y cómo afecta a tu sitio. Para ver con detalle por qué la seguridad de una web importa más allá del acceso de administrador, consulta el artículo sobre por qué es importante la seguridad de una web.
¿Cómo se activa la autenticación en dos pasos en tu web?
Para el acceso de administrador del sitio
- Muchas plataformas web incluyen la autenticación en dos pasos como opción integrada en los ajustes de la cuenta. Revisa primero la sección de seguridad o de ajustes de cuenta de tu plataforma
- En las plataformas que no la incluyen de serie, hay extensiones o plugins de seguridad que añaden 2FA al proceso de inicio de sesión
- Actívala en todas las cuentas de administrador, no solo en la principal. Cualquier cuenta de administrador sin autenticación en dos pasos es un posible punto de entrada
Para las cuentas de hosting y de dominio
- El panel de control del hosting y la cuenta del registrador de dominios son tan importantes de proteger como el propio sitio. Un atacante que accede a la cuenta de hosting puede modificar registros DNS, acceder a las copias de seguridad o dejar el sitio fuera de línea
- Activa la autenticación en dos pasos en el panel del hosting y en la cuenta del registrador de dominios, no solo en el inicio de sesión de la propia web
Para las cuentas de email que se usan en la recuperación de cuenta
- Los procesos de restablecimiento de contraseña suelen enviar un enlace a la dirección de email registrada. Si esa cuenta de email está comprometida, puede usarse para hacerse con la cuenta del sitio
- Proteger con autenticación en dos pasos las cuentas de email conectadas al acceso de administrador del sitio cierra esta vía de recuperación como vector de ataque
Para ver cómo funcionan las copias de seguridad junto con la autenticación en dos pasos como parte de un enfoque de seguridad completo, consulta el artículo sobre cómo hacer una copia de seguridad de tu web.
Cómo gestiona WEMASY la seguridad de la autenticación
La autenticación en dos pasos está disponible para el acceso a la cuenta de WEMASY. Los dueños de sitios pueden activarla desde los ajustes de seguridad de su cuenta para proteger el acceso al panel, a la configuración del sitio y a los datos de facturación. Activarla significa que una contraseña robada por sí sola no puede usarse para acceder a la cuenta.
La actividad de inicio de sesión se vigila a nivel de plataforma y los eventos de seguridad se registran. La plataforma también aplica límites a los intentos de inicio de sesión para reducir la exposición a los ataques de fuerza bruta.
Mira qué incluye en el creador de webs de WEMASY, o consulta las opciones de plan en la página de precios.
Preguntas frecuentes
¿Qué es la autenticación en dos pasos?
La autenticación en dos pasos es un proceso de inicio de sesión que exige dos formas distintas de verificación antes de dar acceso. El primer factor suele ser una contraseña. El segundo es algo a lo que solo tiene acceso el titular de la cuenta en el momento de iniciar sesión, como un código de una aplicación de autenticación o un mensaje de texto enviado a un teléfono registrado. Hay que aportar bien los dos para completar el inicio de sesión, lo que significa que una contraseña robada por sí sola no basta para que un atacante entre. Con el creador de webs de WEMASY, puedes configurarlo directamente en tu web.
¿Por qué debería usar la autenticación en dos pasos en mi web?
Las contraseñas se comprometen con regularidad por filtraciones de datos, ataques de phishing y herramientas de fuerza bruta. Con la autenticación en dos pasos, incluso cuando un atacante obtiene una contraseña, no puede usarla para completar un inicio de sesión sin el segundo factor. En las cuentas de administrador de una web, donde un inicio de sesión exitoso puede acabar en malware instalado, datos robados o el sitio bloqueado, la autenticación en dos pasos es una de las medidas de seguridad de mayor impacto que existen.
¿Cuál es el mejor tipo de segundo factor?
Una aplicación de autenticación es el segundo factor recomendado para la mayoría de los dueños de webs. Genera un código temporal en el propio dispositivo, que no se transmite por la red y por tanto no es vulnerable a la interceptación de la misma manera que los códigos por SMS. Las llaves de seguridad físicas son más seguras pero menos prácticas para el uso diario. Los códigos por SMS y por email son mejores que no tener ningún segundo factor, pero una aplicación de autenticación logra el equilibrio adecuado entre seguridad y facilidad de uso.
¿Qué pasa si pierdo el acceso a mi segundo factor?
La mayoría de las plataformas que admiten autenticación en dos pasos también dan códigos de respaldo en el momento de la configuración. Estos códigos de un solo uso sirven para acceder a la cuenta si el segundo factor no está disponible. Guárdalos en un lugar seguro y separado del dispositivo que usas para la autenticación. Si se pierden los códigos de respaldo y el segundo factor no está disponible, la recuperación suele requerir verificar tu identidad mediante el proceso de recuperación de cuenta de la plataforma, que puede llevar tiempo y exigir pruebas de titularidad.
¿La autenticación en dos pasos protege contra todos los ataques al inicio de sesión?
Protege contra la mayoría de los ataques basados en credenciales, incluidos la fuerza bruta, el credential stuffing y los ataques con contraseñas robadas de otros servicios. No protege contra los ataques que se saltan por completo el inicio de sesión, como aprovechar una vulnerabilidad en el software del sitio o acceder mediante una sesión comprometida. La autenticación en dos pasos es una capa crítica para proteger el acceso de administrador, pero funciona mejor como parte de un enfoque de seguridad más amplio que incluya actualizaciones de software, contraseñas seguras y copias de seguridad periódicas.
¿Debo activar la autenticación en dos pasos en otras cuentas, además del inicio de sesión de la web?
Sí. El panel de control del hosting y la cuenta del registrador de dominios deben tener la autenticación en dos pasos activada. El acceso a cualquiera de los dos puede usarse para modificar la configuración del sitio, los registros DNS o las copias de seguridad de formas que se saltan por completo el inicio de sesión de la propia web. La cuenta de email que se usa para la recuperación de cuenta también debe protegerse con autenticación en dos pasos, ya que los procesos de restablecimiento de contraseña envían un enlace a esa dirección y una cuenta de email comprometida puede usarse para hacerse con la cuenta del sitio.