¿Qué es la autenticación de dos factores (2FA)?
ALI Remote · Glosario
La autenticación de dos factores (2FA) exige dos tipos de prueba para iniciar sesión: normalmente, una contraseña y algo que usted tiene, como un teléfono o una llave de seguridad.
Con la 2FA activada, una contraseña robada ya no basta para entrar en la cuenta. Algunos servicios la llaman verificación en dos pasos o doble factor de autenticación, y es la forma más común de autenticación multifactor (MFA).
¿Por qué es importante la autenticación de dos factores?
Las contraseñas se filtran: se reutilizan, se adivinan y se escriben en páginas de inicio de sesión falsas. La CISA, la agencia de ciberseguridad de Estados Unidos, explica la ventaja en una ficha informativa de 2022 (en inglés): si una contraseña queda comprometida, un atacante que no pueda aportar también el segundo factor sigue sin poder entrar.
Además, la 2FA está pensada para una sola persona. Según la página de soporte de Apple, la autenticación de dos factores de la cuenta de Apple está diseñada para garantizar que usted sea la única persona que puede acceder a su cuenta.
¿Cómo funciona la autenticación de dos factores?
Cada prueba pertenece a una de tres categorías, y la 2FA combina dos distintas:
- Algo que usted sabe: una contraseña o un PIN.
- Algo que usted tiene: un teléfono, una app de autenticación o una llave de seguridad.
- Algo que usted es: una huella dactilar o un escaneo facial, normalmente para desbloquear el dispositivo que guarda el segundo factor.
Al iniciar sesión, usted escribe su contraseña y después el servicio le pide el segundo factor: un código de una app, un toque en una llave de seguridad o una notificación en un dispositivo que ya ha aprobado. Una contraseña más una pregunta de seguridad son dos pasos, pero un solo factor, porque ambas son cosas que usted sabe.
¿Qué segundo factor es el más seguro?
La ficha de la CISA ordena los segundos factores del más fuerte al más débil: primero, las llaves de acceso (passkeys) y las llaves de seguridad; al final, los códigos por SMS y por llamada de voz. Las directrices de identidad digital del NIST, SP 800-63B-4 (julio de 2025, en inglés), añaden que la resistencia al phishing requiere autenticación criptográfica: un sitio falso puede capturar cualquier código que usted escriba a mano.
| Segundo factor | Cómo funciona | Principal punto débil |
|---|---|---|
| Llave de acceso o llave de seguridad | Una clave criptográfica que solo responde al sitio real para el que se creó | Aún no se ofrece en todas partes; tenga una de respaldo |
| App de autenticación | Un código de un solo uso que va cambiando, o una solicitud que hay que aprobar | Los códigos pueden escribirse en una página falsa; las avalanchas de solicitudes acaban agotando a la gente |
| Código por SMS o llamada de voz | Un código de un solo uso enviado a su número | El phishing y el duplicado de SIM (SIM swapping), en el que un atacante consigue que su número se traslade a una SIM que él controla |
La CISA considera la MFA resistente al phishing el estándar de referencia y el SMS o la voz un último recurso, y el NIST clasifica la red telefónica como una opción «restringida». Aun así, cualquier 2FA es mejor que ninguna: si un servicio solo ofrece SMS, actívelo.
La autenticación de dos factores cuando varias personas comparten el acceso
Como la 2FA vincula una cuenta al segundo factor de una sola persona, un acceso compartido la rompe. O bien los códigos llegan al teléfono de un compañero y todos los demás se los piden, lo que acostumbra a la gente a pasarse códigos, o bien alguien desactiva la 2FA. Las directrices del NIST establecen que cada persona es responsable de proteger sus secretos de autenticación y de no revelarlos a otros.
El esquema que funciona:
- Una cuenta por persona, nunca una contraseña compartida.
- Cada persona activa su propio segundo factor.
- Los roles limitan lo que cada persona puede abrir o cambiar.
- Cuando alguien se va, usted elimina su cuenta.
Ejemplo (ilustrativo). Una agencia comparte un único acceso a una herramienta, y cada colaborador externo tiene que pedirle a la fundadora el código que ella recibe en su teléfono. Con una cuenta para cada uno, los colaboradores aprueban sus propios inicios de sesión, y terminar un contrato consiste en eliminar una cuenta.
La página de producto de ALI Remote enumera, entre sus funciones para equipos, los roles con permisos exactos y el inicio de sesión con dos factores (2FA). Usted crea cuentas para su gente, les da roles y elige exactamente qué iPhones puede abrir cada persona. Cuando elimina a alguien de su equipo, el acceso se revoca al instante.
Términos relacionados
- Llave de acceso (passkey): una credencial criptográfica que sustituye a la contraseña. Para usarla hacen falta su dispositivo y su cara, su huella o el PIN del dispositivo, por lo que muchos servicios la cuentan como los dos factores.
- Real Device Cloud: teléfonos físicos alojados en un centro de datos y usados a distancia, a menudo por equipos que conceden el acceso persona por persona.
Preguntas frecuentes
¿La 2FA es lo mismo que la MFA?
La 2FA es un tipo de MFA. La autenticación multifactor implica dos o más factores de categorías distintas, y la autenticación de dos factores, exactamente dos. La mayoría de los servicios que hablan de «MFA» piden una contraseña más otro factor, así que los términos se solapan. Lo que importa es qué segundo factor usa usted.
¿Qué ocurre si pierde su segundo factor?
Usa la vía de recuperación que configuró de antemano: códigos de respaldo, una segunda llave de seguridad u otro dispositivo de confianza. Sin ella, puede enfrentarse a una verificación de identidad lenta o perder el acceso, así que guarde los códigos de respaldo fuera de línea. En un equipo, pida a un administrador que restablezca el inicio de sesión de esa persona, si la herramienta lo permite, en lugar de compartir los códigos de nadie. Nunca envíe un código por mensaje o correo electrónico, ni siquiera a un compañero de confianza.
Apple y iPhone son marcas comerciales de Apple Inc. ALI Remote no tiene ninguna afiliación con Apple ni cuenta con su respaldo.
Más términos
- Device as a Service (DaaS)El Device as a Service (DaaS) es una suscripción en la que un proveedor suministra laptops o teléfonos y los gestiona desde su configuración hasta su retirada. Aquí verá cómo funciona, un ejemplo desarrollado, la variante alojada y en qué se diferencia el DaaS del SaaS y del leasing.
- Dispositivo dedicadoUn dispositivo dedicado se reserva para un solo propósito o un solo cliente, en lugar de compartirse. Aquí verá cómo funciona en Android y en los dispositivos Apple, qué significa «dedicado» en el hardware alojado y cinco preguntas que conviene hacer a un proveedor.
- EmuladorUn emulador es un software que reproduce el hardware de un teléfono en una computadora para que su sistema operativo y sus apps funcionen allí. Aquí verá cómo funciona, en qué se diferencia de un simulador y de un dispositivo real, y qué límites señala la propia documentación de Google y de Apple.
- MCP (Model Context Protocol)El Model Context Protocol (MCP) es un estándar abierto que conecta los asistentes de IA con herramientas y datos externos. Aquí verá cómo funciona, en qué se diferencia de una API, qué comprobar antes de conectar un servidor y cómo se usa en la práctica.
- Real Device CloudUna Real Device Cloud aloja teléfonos físicos en un centro de datos y le permite usarlos desde su navegador. Aquí verá cómo funciona, por qué da resultados más fieles que los simuladores y en qué se usa más allá de las pruebas de apps.
- Simulador de iOSEl simulador de iOS es la herramienta de Apple, incluida en Xcode, para ejecutar apps de iOS en un Mac sin un iPhone. Aquí verá para qué sirve, qué no puede reproducir según Apple, por qué no es un emulador y qué cambió con Device Hub en Xcode 27.