Verificación en dos pasos: qué es y por qué cambia todo
La contraseña sola dejó de alcanzar hace años. Cómo funciona el segundo factor y cuál conviene elegir.
Casi todas las cuentas que se pierden no se pierden porque alguien "hackeó" nada: se pierden porque la contraseña ya andaba dando vueltas. Filtraciones viejas, la misma clave repetida en cinco sitios, un correo que parecía del banco.
La verificación en dos pasos existe para que eso no alcance.
Qué significa "dos factores"
Un factor es una prueba de que sos vos. Se agrupan en tres tipos:
- Algo que sabés — la contraseña.
- Algo que tenés — el teléfono, una llave física.
- Algo que sos — la huella, la cara.
Con dos factores hacen falta dos pruebas de tipos distintos. Alguien que tenga tu contraseña desde una filtración sigue sin poder entrar, porque le falta el teléfono que tenés en el bolsillo.
Los métodos, de peor a mejor
Código por SMS. Es el más común y el más débil, pero es muchísimo mejor que nada. Su problema es el intercambio de SIM: alguien convence a la operadora de pasar tu número a otro chip y recibe tus códigos. No es frecuente, pero pasa, y suele ir dirigido.
Aplicación de códigos. Genera un número de seis dígitos que cambia cada treinta segundos, en tu teléfono, sin depender de la red. Es el punto de equilibrio: mucho más seguro que el SMS y disponible en casi todos los servicios.
Llave física. Un dispositivo que se conecta por USB o se acerca al teléfono. Es el más fuerte porque no hay ningún código que te puedan hacer dictar: la llave comprueba también que el sitio sea el verdadero.
Los códigos de respaldo, que casi nadie guarda
Cuando activás la verificación en dos pasos, el servicio te muestra una lista de códigos de un solo uso. Son la salida para cuando pierdas el teléfono.
Guardalos donde puedas llegar sin ese teléfono: impresos, o en un gestor de contraseñas al que entres desde otro dispositivo. Guardarlos únicamente en el celular que puede romperse es el error más repetido de todos.
Un aviso sobre el código que te llega
Ninguna empresa te va a llamar para pedirte el código que acabás de recibir. Ninguna. Esa llamada es siempre un intento de robo, y funciona porque llega justo cuando el código está en pantalla y suena urgente.
Si recibís un código que no pediste, no lo dictes, no lo escribas en ningún lado, y cambiá la contraseña de esa cuenta: significa que alguien ya tiene tu clave y está intentando entrar.
Por dónde empezar
Si vas a activarlo en un solo lugar, que sea el correo. Desde el correo se recupera todo lo demás: quien lo controla, controla el resto de tus cuentas. Después seguí por el banco y por las redes donde tengas algo que perder.