Qué es la verificación en dos pasos
Es pedir dos pruebas distintas para entrar en una cuenta, en lugar de una.
La primera es algo que sabes: la contraseña. La segunda es algo que tienes: tu móvil, una llave de seguridad o el propio dispositivo desde el que entras. Por eso también se llama autenticación de dos factores, o 2FA por sus siglas en inglés (two-factor authentication).
En la práctica, después de escribir la contraseña, la web te pide un código de seis dígitos que aparece en tu móvil y que cambia cada pocos segundos. Sin ese código, la contraseña sola no abre la puerta.
Por qué importa en una empresa
Porque las contraseñas se pierden de formas que no dependen de lo cuidadoso que seas.
- Filtraciones de otros servicios. Si una web donde usaste la misma contraseña sufre una filtración, esa contraseña acaba en listas que los atacantes prueban de forma automática en otros sitios.
- Correos falsos (phishing). Un correo que imita a tu banco, a tu proveedor de dominio o a Google te lleva a una página idéntica a la real, y la contraseña se entrega sin darte cuenta.
- Fuerza bruta. Robots que prueban contraseñas sin descanso contra cualquier panel que encuentran abierto.
En una empresa pequeña, además, una sola cuenta suele dar acceso a mucho: el correo con el que se recuperan todas las demás contraseñas, el panel desde el que se cambian los DNS del dominio o la cuenta desde la que se cobra. Con la verificación en dos pasos, quien consigue tu contraseña se queda en la puerta.
Qué método elegir
No todos los segundos factores protegen igual.
| Método | Cómo funciona | Lo bueno y lo malo |
|---|---|---|
| Código por SMS | Te llega un código al móvil por mensaje. | Mejor que nada y fácil de usar, pero es el más débil: el número se puede secuestrar duplicando la tarjeta SIM, y sin cobertura no llega. |
| Código por email | Te llega un código al correo. | Cómodo, pero si alguien entra en tu correo tiene las dos llaves a la vez. |
| App autenticadora Google Authenticator, Microsoft Authenticator y similares | La app genera un código de seis dígitos que cambia cada 30 segundos. | Funciona sin cobertura y no depende de tu número de teléfono. Es la opción que recomendamos para casi todo. |
| Passkey o llave de seguridad Huella, Face ID o una llave física | El dispositivo confirma que eres tú, sin códigos que copiar. | La más resistente a las páginas falsas, porque solo funciona en la web auténtica. Todavía no todos los servicios la ofrecen. |
Si dudas, app autenticadora. Y si un servicio solo ofrece SMS, actívalo igualmente: un SMS es mucho mejor que nada.
Dónde activarla primero
No hace falta hacerlo todo el mismo día. Empieza por las cuentas que, si caen, arrastran a las demás.
- El correo. Es la llave maestra: desde él se recuperan las contraseñas de casi todo lo demás. Si usas Gmail con la dirección de tu dominio, como contamos en cómo tener tu correo corporativo en Gmail, activa la verificación en dos pasos en tu cuenta de Google.
- El dominio. Quien entra en el panel de tu proveedor de dominio puede cambiar los DNS y llevarse tu web y tu correo a otro sitio sin tocar ni una línea de código.
- El banco y la pasarela de pago. La banca online ya pide un segundo paso por normativa europea; revisa también la cuenta de tu pasarela de pago, desde la que se ven los cobros y se configuran las transferencias.
- El panel de gestión de tu web o tu aplicación. Desde ahí se cambian contenidos, precios, pedidos o datos de clientes. Si no tiene verificación en dos pasos, pregunta a quien lo desarrolló.
- El hosting. El panel del proveedor donde vive tu web. Te contamos qué más debe tener en qué debe tener un hosting seguro.
- Redes sociales y herramientas de gestión. Las cuentas de empresa en redes, el programa de facturación, el CRM o el ERP.
Cómo activarla sin quedarte fuera
El miedo habitual es perder el móvil y no poder entrar. Se evita con cuatro costumbres.
Al activar la verificación, casi todos los servicios te dan unos códigos de un solo uso. Guárdalos fuera del móvil, en un gestor de contraseñas o impresos en un sitio seguro.
Que las cuentas críticas tengan al menos dos administradores, cada uno con su propio usuario y su propio segundo factor. Nunca una cuenta compartida.
Antes de borrar el móvil antiguo, pasa la app autenticadora al nuevo. Las principales apps permiten trasladar o hacer copia de las cuentas.
Ningún banco, proveedor ni técnico te va a pedir el código por teléfono o por correo. Si alguien te lo pide, es un intento de estafa.
Cómo lo hacemos nosotros
Lo que te recomendamos aquí es lo que hemos hecho en casa.
En Just Quality, todas las cuentas desde las que gestionamos el código y los servidores de nuestros clientes exigen verificación en dos pasos. Y lo llevamos también a lo que desarrollamos: nuestro propio ERP ya pide, además de la contraseña, el código de una app autenticadora, y lo estamos incorporando poco a poco a todos los paneles de gestión que desarrollamos para nuestros clientes.
Es parte de una revisión más amplia de cómo protegemos los proyectos que alojamos y mantenemos: los servidores, las integraciones con otras plataformas y las copias de seguridad, que van incluidos en nuestro mantenimiento web. Si tienes una aplicación con nosotros y quieres saber cuándo le toca, o quieres que revisemos cómo están protegidas las cuentas de tu empresa, escríbenos.
Cuéntanos cómo trabajáis hoy
