---
title: "Autenticación de dos factores (2FA): qué es y cómo activarla"
description: "La autenticación de dos factores (2FA) pide una segunda prueba tras la contraseña, como un código o un toque en tu teléfono. Cómo funciona y cómo activarla."
url: https://proxynet.io/es/blog/what-is-two-factor-authentication
date: 2026-11-15
author: "Acar Diveroli"
category: "Proxy 101"
lang: es
---

# Autenticación de dos factores (2FA): qué es y cómo activarla

Te llega un correo: alguien inició sesión en tu cuenta desde un dispositivo que nunca tuviste, en una ciudad que nunca visitaste. Si la contraseña era el único cerrojo, esa persona está leyendo ahora tus mensajes. Con la autenticación de dos factores activada, la contraseña no basta: el desconocido también necesitaría tu teléfono, tu llave de seguridad o tu huella dactilar.

Este artículo explica qué es la autenticación de dos factores (2FA), cómo funciona un inicio de sesión con 2FA, qué métodos existen y lo seguro que es cada uno, y dónde activarla en Google, Apple, Instagram, Facebook y WhatsApp. También trata los códigos de respaldo y la pérdida del teléfono; para volver a entrar en una cuenta solo sirven los pasos de recuperación oficiales de la plataforma.

> **Nota: Respuesta breve**
>
> La autenticación de dos factores (2FA) es una comprobación al iniciar sesión que pide dos pruebas de distinto tipo: algo que sabes, como una contraseña, y algo que tienes o que eres, como tu teléfono, una llave de seguridad o tu huella dactilar. Después de la contraseña, el sitio pide un código de un solo uso por SMS o de una app de autenticación, un toque en un aviso de tu teléfono o una clave de acceso (passkey), así que una contraseña robada ya no abre la cuenta por sí sola. Actívala en los ajustes de seguridad de cada cuenta (Google: Seguridad e inicio de sesión; Apple: Inicio de sesión y seguridad; Instagram y Facebook: Centro de cuentas), guarda los códigos de respaldo lejos del teléfono y prefiere una app, una clave de acceso o una llave de seguridad antes que el SMS.

## ¿Qué es la autenticación de dos factores?

La autenticación de dos factores es una forma de iniciar sesión que exige dos pruebas de distinto tipo, para que un solo secreto robado o adivinado no baste para entrar en tu cuenta. Los estándares de seguridad clasifican estas pruebas en tres factores: algo que sabes (una contraseña o un PIN), algo que tienes (un teléfono o una llave de seguridad) y algo que eres (una huella dactilar o tu cara).

El cajero automático es el ejemplo cotidiano: pide tu tarjeta bancaria, que tienes, y tu PIN, que sabes. Un ladrón que ve el PIN sigue necesitando la tarjeta. En internet, la contraseña hace el papel del PIN, y tu teléfono o tu llave de seguridad hacen el de la tarjeta.

Las pruebas tienen que ser de distinto tipo: una contraseña más una pregunta de seguridad son dos cosas que sabes. El NIST, el instituto de normas y tecnología de Estados Unidos, además solo cuenta una huella junto con un dispositivo; sus [directrices de identidad digital](https://pages.nist.gov/800-63-4/sp800-63b.html) establecen que un dato biométrico no es un autenticador por sí solo. Tu huella desbloquea tu teléfono, y el teléfono demuestra al sitio web que eres tú.

## ¿Cómo funciona un inicio de sesión con 2FA?

Un inicio de sesión con 2FA añade un paso después de la contraseña, y el sitio comprueba las dos respuestas antes de dejarte entrar:

1. **Introduces tu nombre de usuario y tu contraseña.** Es el primer factor, algo que sabes.
1. **El sitio ve que la 2FA está activada.** En lugar de abrir la cuenta, pide la segunda prueba.
1. **Tu segundo factor genera una respuesta de un solo uso.** Llega un código por SMS, una app calcula uno, aparece un aviso en un teléfono que ya tiene la sesión iniciada o tu dispositivo responde con una clave de acceso.
1. **Escribes el código o apruebas el aviso.** Un código sirve una sola vez y durante poco tiempo, así que una copia encontrada más tarde no sirve de nada.
1. **El sitio te deja entrar.** Puede ofrecerte recordar el dispositivo, como hace Google con **No volver a preguntar en este ordenador**, para que allí la próxima vez baste la contraseña.
1. **Un dispositivo nuevo vuelve a empezar en el paso 1.** Apple, por ejemplo, pide un código la primera vez que inicias sesión en un dispositivo nuevo o en la web.

## ¿Qué tipos de autenticación de dos factores existen?

Hay cinco segundos factores habituales, y se diferencian sobre todo en lo fácil que es interceptarlos o engañarte para que los entregues:

| Método | Cómo funciona | Punto débil | Adecuado para |
|---|---|---|---|
| Código por SMS o voz | Un código de seis dígitos enviado a tu número | Duplicado de SIM, páginas de inicio de sesión falsas | Servicios que no ofrecen otra cosa |
| App de autenticación | Tu teléfono calcula un código nuevo cada 30 segundos | Páginas de inicio de sesión falsas | La mayoría de las cuentas |
| Notificación push | Tocas Sí en un teléfono con la sesión iniciada | Aprobar un aviso que no iniciaste tú | Cuentas de Google, Microsoft y similares |
| Clave de acceso | Tu dispositivo desbloquea una clave ligada al sitio | Perder todos los dispositivos que la guardan | Cualquier cuenta que la ofrezca |
| Llave de seguridad | Una llave pequeña que conectas a tu dispositivo | Perderla sin tener una de repuesto | Cuentas de trabajo y de alto riesgo |

**Los códigos por SMS** son los más fáciles de configurar y los más fáciles de robar. Google advierte que los códigos enviados por SMS o llamada pueden ser vulnerables a ataques basados en el número de teléfono, y el NIST clasifica la red telefónica como un canal «restringido» para ellos. Aun así, son mucho mejores que una contraseña sola.

**Las apps de autenticación** crean contraseñas de un solo uso basadas en el tiempo (TOTP), definidas en [RFC 6238](https://www.rfc-editor.org/rfc/rfc6238). Durante la configuración, el sitio muestra un código QR que contiene una clave secreta; a partir de ahí, la app y el sitio combinan cada uno esa clave con la hora actual y llegan al mismo código, uno nuevo cada 30 segundos. No se envía nada a tu teléfono, así que la app funciona sin cobertura.

**Las notificaciones push** aparecen en un teléfono que ya tiene la sesión iniciada; compruebas el dispositivo y la ubicación que se muestran y tocas Sí o No. Google dice que también ayudan contra el duplicado de SIM. Aprueba solo un inicio de sesión que hayas empezado tú hace un momento.

**Las claves de acceso y las llaves de seguridad** sustituyen el código por criptografía. La FIDO Alliance describe una [clave de acceso](https://fidoalliance.org/passkeys/) como una credencial basada en los estándares FIDO, guardada en tu teléfono o tu ordenador y desbloqueada con la huella, la cara o el PIN que desbloquean el dispositivo. El dispositivo solo entrega al sitio una prueba hecha para ese sitio, así que una página de inicio de sesión falsa no recibe nada que pueda reutilizar. Una clave de acceso reúne dos factores en un solo paso, y por eso Google se salta el segundo paso aparte cuando usas una; una llave de seguridad física hace el mismo trabajo desde tu llavero.

## 2FA, verificación en dos pasos y MFA: ¿en qué se diferencian?

En el uso diario, las tres significan una segunda comprobación después de la contraseña; se diferencian en qué cuenta como segunda comprobación.

- **La autenticación de dos factores (2FA)** significa, en sentido estricto, dos factores distintos, como una contraseña y un teléfono.
- **La verificación en dos pasos** significa dos pasos, que no tienen por qué ser factores distintos. Google llama a su función verificación en dos pasos y, en la misma frase, la describe como autenticación de dos factores; Meta, por su parte, llama a su 2FA «autenticación en dos pasos».
- **La autenticación multifactor (MFA)** significa dos factores o más. La 2FA es su forma más común, y las cuentas de trabajo suelen usar el nombre más amplio.

Importa más el método que hay detrás del nombre: una clave de acceso resiste las páginas de inicio de sesión falsas; un código, no.

## ¿Cómo se activa la autenticación de dos factores?

Se activa en los ajustes de seguridad de cada cuenta; las rutas de abajo son las que publican los propios servicios. Guarda los códigos de respaldo en cuanto te los ofrezcan.

### Cuenta de Google (Gmail, YouTube)

Abre tu cuenta de Google, selecciona **Seguridad e inicio de sesión** y, en **Cómo inicias sesión en Google**, selecciona **Activar verificación en dos pasos**; después sigue los pasos. Google [recomienda](https://support.google.com/accounts/answer/185839?hl=es) sus notificaciones como segundo paso si no inicias sesión con una clave de acceso; en la misma página puedes añadir una app de autenticación, una llave de seguridad y códigos de verificación alternativos, que es como Google llama a sus códigos de respaldo.

### Cuenta de Apple (iPhone, iPad, Mac)

La mayoría de las cuentas de Apple ya usan la autenticación de doble factor, como la llama Apple. Abre **Ajustes** en un iPhone o iPad (**Ajustes del Sistema** en un Mac), toca tu nombre y luego **Inicio de sesión y seguridad**; si está desactivada, actívala ahí. En la web, inicia sesión en account.apple.com y elige **Actualizar Seguridad de la Cuenta**. La [página de ayuda](https://support.apple.com/es-es/102660) de Apple explica los códigos de seis dígitos que aparecen en tus dispositivos de confianza.

### Instagram y Facebook (Centro de cuentas)

Las dos usan el Centro de cuentas de Meta. En Instagram, abre **Configuración** y luego **Más información en el Centro de cuentas** > **Contraseña y seguridad** > **Autenticación en dos pasos**. En Facebook, selecciona tu foto del perfil > **Configuración y privacidad** > **Configuración** > **Centro de cuentas** > **Contraseña y seguridad** > **Autenticación en dos pasos**.

Instagram ofrece una aplicación de autenticación (su método recomendado), mensajes de texto o WhatsApp una vez activados los mensajes de texto; Facebook ofrece una aplicación de autenticación, mensajes de texto o una llave de seguridad. Para desactivar un método se sigue la misma ruta; hazlo solo para sustituirlo por uno más fuerte.

### WhatsApp

La verificación en dos pasos de WhatsApp añade una contraseña que eliges tú al número de teléfono con el que te registras. Ve a **Ajustes** > **Cuenta** > **Verificación en dos pasos** > **Activar verificación en dos pasos**, crea la contraseña y añade una dirección de correo electrónico a la que puedas acceder. WhatsApp está sustituyendo el antiguo PIN de seis dígitos por una contraseña completa y, desde agosto de 2026, quien usa Android y iPhone puede añadir más de una clave de acceso en **Ajustes** > **Cuenta** > **Llaves de acceso**.

## ¿Qué son los códigos de respaldo y qué pasa si pierdes el teléfono?

Los códigos de respaldo son códigos de un solo uso que guardas por adelantado para poder iniciar sesión aunque tu teléfono se haya perdido o roto. Google da un juego de 10 códigos de ocho dígitos, cada uno válido una vez; Facebook ofrece 10 códigos de recuperación. Imprímelos y guarda el papel con tu pasaporte, o guárdalos en un gestor de contraseñas que puedas abrir sin ese teléfono; [¿Qué es un gestor de contraseñas?](/es/blog/what-is-a-password-manager) explica cómo se cierra esa bóveda.

Si el teléfono ya no está, sigue estos pasos en orden:

1. **Usa otra forma de entrar.** Un segundo teléfono con la sesión iniciada en la cuenta, un código de respaldo, una llave de seguridad o una clave de acceso en otro dispositivo; en la pantalla de inicio de sesión de Google están detrás de **Probar otra manera**.
1. **Prueba con un dispositivo de confianza.** Un ordenador en el que marcaste «No volver a preguntar» puede dejarte entrar solo con la contraseña.
1. **Protege la cuenta.** Cierra la sesión del teléfono perdido, cambia la contraseña y añade tu teléfono nuevo.
1. **Recupera tu número.** Tu operador móvil puede pasar el número a una tarjeta SIM nueva, y así vuelven los códigos por SMS.
1. **Usa el proceso de recuperación oficial si nada más funciona.** Google dice que la recuperación puede tardar de 3 a 5 días hábiles si no tienes otro segundo paso; la recuperación de cuenta de Apple puede tardar varios días o más, y el soporte de Apple no puede acortarla.

Ignora a cualquiera que se ofrezca a desbloquear una cuenta a cambio de dinero: Google afirma que no trabaja con ningún servicio que diga ofrecer asistencia para cuentas o contraseñas.

## ¿Es segura la autenticación de dos factores?

Sí: cualquier tipo de 2FA hace que una cuenta sea mucho más difícil de robar que con una contraseña sola, pero los códigos aún pueden robarse, así que el método importa.

**Duplicado de SIM.** Un delincuente convence a tu operador móvil de que pase tu número a una tarjeta SIM que tiene él, y tus códigos por SMS le llegan a él. Por eso el NIST restringe los códigos enviados por la red telefónica. Pregunta a tu operador por un PIN para tu cuenta de cliente o por un bloqueo contra el traspaso de tu número.

**Phishing.** Una página de inicio de sesión falsa puede pedirte el código además de la contraseña y usar los dos a la vez, y alguien que te llame puede convencerte de que le leas un código. Los códigos no distinguen un sitio real de una copia; las claves de acceso y las llaves de seguridad, sí. [¿Qué es el phishing?](/es/blog/what-is-phishing) muestra cómo reconocer esas páginas y esas llamadas.

**Después del inicio de sesión.** La 2FA protege el inicio de sesión, no la sesión que viene después: el malware puede robar la cookie de sesión que un sitio te entrega a continuación, así que mantén tus dispositivos actualizados y cierra las sesiones que no reconozcas.

## ¿Por qué te vuelven a pedir un código en un dispositivo o una red nuevos?

Los servicios vuelven a preguntar cuando un inicio de sesión parece nuevo: un teléfono nuevo, un navegador con las cookies borradas, un dispositivo que nunca marcaste como de confianza. Muchos también se fijan en desde dónde llega un inicio de sesión; las alertas de seguridad de Google muestran el tipo de dispositivo, la hora y la ubicación de un inicio de sesión nuevo.

Esto importa a los equipos que gestionan cuentas a través de proxies, como una agencia que lleva las redes sociales de sus clientes. Si la dirección cambia en cada solicitud, cada inicio de sesión parece un desconocido en un lugar nuevo, y el titular de la cuenta recibe comprobaciones una y otra vez. Mantén una dirección constante por cuenta, mediante una sesión fija que conserva una dirección durante un tiempo determinado o una dirección estática dedicada; [Cómo gestionar varias cuentas de redes sociales sin riesgos](/es/blog/manage-multiple-social-media-accounts) cubre el resto de esa configuración.

Los [Proxies ISP](https://proxynet.io/es/static-isp-residential-proxy) dan a cada cuenta una dirección dedicada, registrada a nombre de un proveedor de internet, y por defecto solo funcionan con los sitios de destino que elijas. Una dirección estable no desactiva la 2FA: el código se sigue pidiendo en cada dispositivo nuevo, y eso es lo que mantiene segura la cuenta.

## Dónde te encuentras con la autenticación de dos factores

En la pantalla del código, después de la contraseña, cuando inicias sesión en tu correo desde un portátil nuevo. En un aviso en tu teléfono que pregunta si eres tú. En un SMS con un código de un solo uso de un banco o de un servicio de la administración. En el trabajo, en la app de autenticación o la llave de seguridad que te da tu empresa.

## Errores frecuentes

- **No guardar los códigos de respaldo.** Así, perder el teléfono se convierte en un proceso de recuperación de varios días.
- **Guardar los códigos de respaldo solo en el teléfono.** Son para el día en que ese teléfono ya no esté.
- **Leerle un código a alguien que te llama.** Google dice que nunca te llamará para verificar un código.
- **Tocar Sí en un aviso que no iniciaste tú.** Toca No y cambia tu contraseña; probablemente alguien la tiene.
- **Una hora incorrecta en el teléfono.** Google Authenticator usa la hora de tu teléfono, así que pon la fecha y la hora en automático.
- **Borrar el teléfono antiguo antes de pasar tus códigos.** Transfiere primero los códigos de la app de autenticación o añade antes el teléfono nuevo.

## Guía de decisión

| Tu situación | Qué usar |
|---|---|
| Quieres la opción fuerte más sencilla | Una clave de acceso siempre que el servicio la ofrezca |
| El servicio solo ofrece códigos | Una app de autenticación en vez de SMS |
| Tu cuenta de Google | Notificaciones de Google o una clave de acceso, más los códigos de respaldo impresos |
| Un iPhone, iPad o Mac | La autenticación de doble factor de Apple, normalmente ya activada |
| Instagram o Facebook | Una aplicación de autenticación en el Centro de cuentas, más los códigos de recuperación |
| WhatsApp | Una contraseña de verificación en dos pasos con una dirección de correo |
| Un equipo que inicia sesión en cuentas de clientes | El cliente guarda los códigos de respaldo; una dirección estable por cuenta |

## Preguntas frecuentes

### ¿Debería desactivar la autenticación de dos factores?

No, salvo que la sustituyas por un método más fuerte. Si la desactivas, la contraseña vuelve a ser el único cerrojo, y Google advierte que eso puede facilitar que otra persona entre. Si te molesta la pantalla del código, marca tus propios dispositivos como de confianza o cambia a una clave de acceso; una cuenta de Apple creada con autenticación de doble factor ni siquiera puede desactivarla.

### ¿Es segura la autenticación de dos factores por SMS?

Es mucho más segura que una contraseña sola, pero es el tipo de 2FA más débil: los códigos por SMS pueden desviarse con un duplicado de SIM o escribirse en una página falsa. Usa una app, una clave de acceso o una llave de seguridad para el correo y el banco, y el SMS solo donde no haya otra opción.

### ¿Qué es un código 2FA?

Un código 2FA es un número corto de un solo uso, normalmente de seis dígitos, que demuestra que tienes el segundo factor. Llega por SMS o llamada, o lo calcula una app de autenticación, y solo sirve una vez y durante poco tiempo. No lo compartas nunca.

### ¿Se puede hackear la autenticación de dos factores?

Sí, pero es mucho más difícil que robar una contraseña. Los puntos débiles son las páginas de inicio de sesión falsas que reenvían tu código al momento, el duplicado de SIM, las personas a las que convencen para aprobar un aviso y el malware que se apodera de una sesión después del inicio de sesión. Las claves de acceso y las llaves de seguridad cierran el paso a los tres primeros: no hay código que reenviar, ni SMS que desviar, ni aviso que aprobar.

### ¿Qué app de autenticación debería usar?

Cualquier app compatible con los códigos estándar basados en el tiempo funciona con la mayoría de los sitios. Google Authenticator y Microsoft Authenticator los crean, y desde iOS 18 y macOS Sequoia la app Contraseñas de Apple también guarda códigos de verificación; existen muchas otras apps. Elige una que pueda pasar tus códigos a un teléfono nuevo, como hace Google Authenticator al sincronizarlos con tu cuenta de Google.

### ¿Por qué no funciona mi código 2FA?

Normalmente el código ha caducado, es de otra cuenta o el reloj del teléfono no está bien. La lista de comprobación de Google: introduce el código antes de que caduque, comprueba que sea de la app y la cuenta correctas, y asegúrate de que la hora de tu dispositivo esté sincronizada y sea la correcta para tu zona horaria. Si un código por SMS no llega nunca, usa un código de respaldo.

## En resumen

La autenticación de dos factores pide una segunda prueba, de otro tipo, después de tu contraseña, así que una contraseña robada ya no abre tu cuenta por sí sola. Actívala primero en tu correo, porque los restablecimientos de contraseña de tus otras cuentas pasan por él, y después en Google o Apple, en las redes sociales y en WhatsApp. Prefiere una clave de acceso o una app de autenticación antes que el SMS, guarda los códigos de respaldo lejos de tu teléfono y recupera una cuenta bloqueada solo con los pasos de la propia plataforma. Si tu equipo inicia sesión en cuentas de clientes a través de proxies, nuestra página de [servicios de proxy](/es/proxy) compara las opciones de sesión fija y estáticas.