Verificación en dos pasos o 2FA: qué es, para qué sirve y qué métodos existen

Vamos a explicarte qué es y para qué sirve la identificación en dos pasos o autenticación en dos pasos, que también puede llamarse simplemente 2FA. En Xataka Basics te hemos contado cómo puedes activar este método en plataformas como Google, Facebook, Twitter, Instagram, Facebook o WhatsApp, pero hoy vamos a pararnos a explicarte más en profundidad qué es y para qué sirve.

La idea es que a partir de ahora, cuando escuches hablar sobre estos términos puedas saber bien a qué nos referimos, y puedas valorar hasta qué punto te interesa. A veces, esto de la identificación en dos pasos puede parecer más complicado de lo que realmente es, porque es algo sencillo que puedes hacer de diferentes maneras.

Qué es la identificación en dos pasos

2FA son las siglas de "Two Factor Authentication", o autenticación en dos pasos. También se le llama verificación en dos pasos o identificación en dos pasos. Vamos, identificarte en una cuenta de usuario utilizando dos pasos en vez de uno. Esto significa añadir un paso más al proceso de escribir tu nombre de usuario o correo y contraseña, que normalmente es el paso único que sueles necesitar para entrar en una cuenta.

La identificación en dos pasos es un sistema para confirmar que realmente eres tú quien está accediendo a una cuenta. A veces, puede haber filtraciones de contraseñas en Internet, o puedes tener como contraseña el nombre de tu mascota y alguien puede adivinarla. Por eso, cuando se escribas tu nombre y contraseña correcto, es bueno tener una manera de confirmar que quien lo está escribiendo eres tú.

La manera de hacerlo es añadir un segundo paso en el proceso de identificarte en un servicio. De esta manera, cuando escribas correctamente tu nombre de usuario o correo electrónico junto a la contraseña, el servicio donde estás identificándote te pedirá un segundo paso.

Hay varias maneras de realizar la identificación en dos pasos, pero todas ellas tienen algo en común: se busca un método inequívoco para que sólo tú puedas realizarlo. Este método buscará que introduzcas una contraseña o realices un gesto de forma que se pueda saber que tú tienes el control y estás ahí en el ordenador cuando se intenta iniciar la sesión.

Para qué sirve

La identificación en dos pasos sirve para evitar que otras personas puedan acceder a tu cuenta, incluso en el caso de que hayan conseguido averiguar la contraseña que utilizas de alguna manera. De esta forma, incluso si te roban las credenciales siempre quedará ese segundo paso en el que tú tienes que verificar el inicio de sesión.

Esta verificación puede hacerse con contraseñas temporales o mediante una aplicación, en ambos casos con la necesidad de que las contraseñas te lleguen por SMS o la aplicación la tengas en tu móvil. De esta manera, no es un segundo paso que pueda replicarse fácilmente, por lo menos a no ser que te hayan robado el móvil.

La idea es esta. Yo sé tu nombre de usuario en Instagram, por poner un ejemplo, y también he conseguido tu contraseña. Pero cuando voy a iniciar sesión, me toparé con que tengo que realizar una última acción en una aplicación en tu móvil o escribir una contraseña que te ha llegado por SMS. De paso, esto también puede servirte para saber cuándo alguien está intentando entrar en tu cuenta, y puedes cambiar de contraseña si crees que ha sido averiguada.

Qué métodos de verificación en dos pasos hay

Ahora, vamos a decirte los métodos de verificación en dos pasos más populares y utilizados. Como verás, seguramente algunos ya los conozcas, mientras que otros pueden ser más útiles o menos frecuentes. La idea es que sepas todos y puedas elegir cuál utilizar.

• Verificación por SMS: Tras escribir tu nombre y contraseña, se te envía una contraseña temporal por SMS para que la escribas. Es un método rápido y que no necesita de apps adicionales, aunque necesitarás darle tu número de teléfono al servicio y si te roban la SIM de tu móvil pueden entrar a tus cuentas.
• Verificación por correo electrónico: Tras escribir tu nombre y contraseña, se te envía una contraseña temporal por correo electrónico. Es algo fácil puesto que no necesitas nada más, aunque es muy vulnerable si alguien te hackea el correo o cuando estás en un ordenador y dejas el correo abierto.
• Pregunta de seguridad: Tras escribir tu nombre y contraseña, tendrás que responder a una pregunta de seguridad cuyas respuestas hayas configurado antes. Puede ser peligroso cuando las respuestas pueden saberlas gente que te conoce bien, tienes que configurar las respuestas de antemano y no son cambiantes.
• Aplicaciones de autenticación: Tras escribir tu nombre y contraseña, tendrás que verificar tu identidad con la contraseña temporal que se te genera en la aplicación de verificación en dos pasos que tengas configurada. Es el mejor método, habiendo apps como Microsoft Authenticator, Google Authenticator, Duo o Authy, que son fáciles de configurar.
• Códigos en la propia app: Algunas aplicaciones móviles de servicios como Facebook también tienen función de generar códigos para cuando inicies sesión en nuevos dispositivos. Muy parecida a las aplicaciones específicas para esto, pero propias de algunos servicios. Lo malo es que tienes que tener la app instalada en todos tus servicios.
• Llaves de seguridad: Puedes crear una llave de seguridad USB, aunque también puede ser NFC o Bluetooth. Es como la llave de casa, que la metes en un dispositivo para validar que eres tú quien inicia sesiones. Es de lo más seguro que puedes hacer, aunque si la pierdes o te la roban puedes estar en problemas.
• Biometría: Muy común en móviles, tabletas y que se ve en ordenadores y portátiles a veces. Verificarás tu identidad con reconocimiento facial o de huella dactilar.
• Códigos de recuperación: Cuando te identificas en algunos servicios, estos pueden generar un código de recuperación que te piden que anotes o imprimas. Es un método útil, aunque suelen ser códigos muy largos y necesitas saber siempre dónde los tienes.