Definición
La autenticación de dos factores exige dos pruebas de identidad de tipos distintos antes de dar acceso.
Los tipos clásicos son tres:
- Algo que sabes: una contraseña, un PIN.
- Algo que tienes: el móvil, una llave física.
- Algo que eres: huella, cara.
La palabra importante es distintos. Pedir contraseña y después pregunta de seguridad no es dos factores: son dos cosas que sabes, y ambas se filtran juntas.
Su valor es concreto y grande: convierte una contraseña robada —por filtración, por reutilización, por phishing— en un intento fallido en vez de en una intrusión.
Los métodos, de peor a mejor
SMS. El más extendido y el más débil. Es vulnerable al duplicado fraudulento de tarjeta SIM, en el que alguien convence a la operadora de portar tu número. Aun así, SMS es infinitamente mejor que nada.
Aplicación de códigos (TOTP). El móvil genera un código de seis dígitos que cambia cada treinta segundos, sin depender de la red. Es el equilibrio razonable para casi todo el mundo: gratis, estándar y sin coste de envío.
Notificación push. Cómoda, y con un riesgo propio: la fatiga de aprobación. Si el atacante insiste, alguien acaba pulsando «aceptar» sin mirar.
Llave física o passkey. El único método que resiste el phishing de verdad, porque la llave comprueba el dominio y no responde a un sitio falso.
Ejemplo práctico
En un panel de gestión con datos de clientes, precios y pedidos, la pregunta no es si hace falta 2FA, sino dónde exigirla.
Lo que aprendí: la implantación se atasca cuando se plantea como todo o nada. Funciona mucho mejor por niveles:
Obligatoria para administradores. Los que pueden borrar, exportar o cambiar precios.
Opcional y recomendada para el resto, con un aviso visible.
Reautenticación en acciones sensibles, aunque la sesión esté abierta. Cambiar datos bancarios, exportar la base de clientes, dar de alta un usuario. Es el mismo patrón que describo en sesión.
El segundo aprendizaje, y es el que decide si el sistema es usable: hay que resolver qué pasa cuando alguien pierde el móvil, y hay que resolverlo antes de activar nada. Si no, el primer caso real acaba con un administrador desactivando la 2FA a mano en la base de datos, que es exactamente lo que la 2FA pretendía impedir.
Las dos piezas que lo resuelven:
Códigos de recuperación de un solo uso, entregados al activar, para guardar fuera del móvil.
Un procedimiento de reseteo con verificación real de identidad, no un simple email — porque si el email es suficiente, el segundo factor efectivo es el correo.
Y una advertencia sobre qué protege y qué no: la 2FA protege el inicio de sesión. Si un atacante roba una sesión ya iniciada por otra vía, la 2FA no interviene. Por eso va acompañada de cookies bien configuradas y sesiones que caducan, no en lugar de ellas.
Errores comunes
- Llamar dos factores a dos cosas que sabes.
- Solo SMS, pudiendo ofrecer aplicación de códigos.
- No entregar códigos de recuperación al activar.
- Reseteo por email, que reduce el segundo factor al correo.
- Obligarla a todos de golpe sin preparar el soporte.
- No exigirla a los administradores, que son el objetivo real.
- Creer que sustituye a una buena gestión de sesiones.
Cuándo aplicarlo
Siempre en cuentas con privilegios, en cualquier sistema con datos personales y en todo lo que dé acceso a dinero.
Y en el orden correcto: primero el procedimiento de recuperación, después la activación. Al revés, el primer usuario que pierda el móvil obliga a desmontarlo todo.
