Códigos de respaldo 2FA: cómo respaldar la autenticación en dos pasos para que nunca le deje fuera (ni a su familia)

¿Qué son los códigos de respaldo 2FA y por qué importan?

Las contraseñas dejaron de ser suficientes hace mucho. Se filtran en brechas de seguridad, se reutilizan en varios sitios y pueden adivinarse, robarse por phishing o comprarse. La autenticación en dos pasos es la solución que realmente funciona: incluso con su contraseña en la mano, un atacante sigue necesitando el código de seis dígitos que su teléfono regenera cada treinta segundos, o una llave física que solo usted tiene. Si una cuenta le importa, debería tener ese segundo cerrojo.

Pero el segundo cerrojo lo concentra todo en un solo dispositivo. Las claves secretas detrás de esos códigos suelen vivir únicamente en la app de autenticación de su teléfono. Pierda el teléfono, rómpalo o muera con él bloqueado, y los códigos desaparecen. Ni siquiera alguien con todas sus contraseñas puede pasar de ahí.

Para eso existen los códigos de respaldo. Cuando activa la autenticación en dos pasos, la mayoría de los servicios le entregan un conjunto de códigos de recuperación de un solo uso. Google, por ejemplo, emite diez códigos de ocho dígitos; cada uno funciona una vez, y generar un conjunto nuevo anula el anterior. Otros servicios siguen un patrón similar con nombres como códigos de recuperación, códigos de emergencia o códigos de rascar. Se llamen como se llamen, son la única forma de volver a entrar que no depende de un dispositivo que quizá no tenga.

¿Cuáles son los tres tipos de 2FA y cómo se respalda cada uno?

No todos los segundos factores fallan de la misma manera, así que no todos se respaldan igual. Conviene saber qué tipo usa cada una de sus cuentas.

• Códigos por SMS y correo electrónico

  El código llega por mensaje de texto o correo. No hay nada que respaldar como tal, pero sí mucho que perder: un número de teléfono puede ser secuestrado mientras vive, y tras un fallecimiento el contrato suele cancelarse y el número acaba reasignándose. Considere el SMS la opción más débil, guarde de todos modos los códigos de recuperación de la cuenta y asegúrese de que quien gestione sus asuntos sepa a qué número y dirección de correo llegan los códigos.

• Apps de autenticación (TOTP)

  Apps como Google Authenticator, Authy, Microsoft Authenticator, 2FAS y Aegis guardan un secreto por cada cuenta y lo convierten en un código nuevo cada treinta segundos. El secreto es lo que hay que respaldar. Google Authenticator puede sincronizar los códigos con su cuenta de Google y exportarlos como imágenes QR; Authy sincroniza copias cifradas protegidas por una contraseña de respaldo que no puede recuperar por usted. Gestores de contraseñas como 1Password y Bitwarden pueden guardar esos mismos secretos junto a la contraseña, de modo que una sola bóveda cifrada lleva ambos factores (en algunos planes es una función de pago). Use la app que use, los códigos de recuperación de un solo uso del servicio siguen siendo su alternativa si fallan la app y su sincronización.

• Llaves de seguridad físicas y passkeys

  Una llave de seguridad como una YubiKey conserva su secreto dentro del hardware, y esa es la gracia: no se puede leer ni copiar. El propio consejo de Yubico es comprar una de repuesto y registrarla en todas las cuentas al mismo tiempo que la principal, porque un repuesto sin registrar no sirve de nada después. Las passkeys son parecidas en espíritu pero viven en software; la sincronización de Apple a través del llavero de iCloud, y los equivalentes de Google y de los gestores de contraseñas, las trasladan entre sus propios dispositivos. Ni una llave ni una passkey pueden entregarse a un familiar como archivo, así que para estas cuentas los códigos de recuperación y un repuesto registrado importan aún más.

¿Cómo respaldo mis códigos 2FA hoy?

Reserve una hora. La tarea es aburrida, pero solo hay que hacerla bien una vez y luego un repaso rápido cada vez que añada una cuenta.

• Enumere las cuentas que tienen 2FA

  Abra su app de autenticación y anote todas las cuentas que contiene; luego añada las que usan SMS o una llave de seguridad. El correo, el banco, la operadora de telefonía, el gestor de contraseñas y el almacenamiento en la nube van primero; son las cuentas de las que dependen las demás recuperaciones.

• Descargue los códigos de recuperación de cada una

  En la configuración de seguridad de cada cuenta, busque los códigos de respaldo o de recuperación y guarde el conjunto. Si alguna vez ha usado alguno, genere un conjunto nuevo para que su copia esté completa. Anote la fecha junto a cada conjunto.

• Exporte los secretos del autenticador

  La mayoría de las apps pueden exportar sus cuentas como una o varias imágenes QR, o sincronizarlas con una cuenta o bóveda. Si su app permite exportar, haga una captura de pantalla de cada imagen QR que muestre, en ese mismo teléfono. Juntas son una copia completa y restaurable de su segundo factor: instalar cualquier app de autenticación y escanearlas recupera todos los códigos. Si su app no permite exportar (Authy, por ejemplo), su propia sincronización cifrada es el sustituto más cercano, así que anote la contraseña de respaldo junto a sus demás códigos de recuperación.

• Trate la copia como llaves en uso

  Exporte solo en hardware que usted controle. Saque las capturas del carrete de inmediato, elimínelas de Eliminados recientemente y compruebe que la sincronización de fotos en la nube no las haya subido ya. Cualquiera que tenga esas imágenes puede generar sus códigos.

¿Dónde debo guardar los códigos de respaldo 2FA de forma segura?

Los sitios habituales son los que fallan. Capturas de pantalla en una carpeta de descargas, códigos enviados por correo a uno mismo, un archivo de texto en el escritorio: sin cifrar, dispersos e imposibles de encontrar para otra persona años después. Los códigos de respaldo deberían vivir en un solo lugar que esté cifrado, que siga teniendo después de perder un teléfono y al que alguien de su confianza pueda llegar algún día.

• Una bóveda de gestor de contraseñas

  El hogar más práctico para la mayoría. Ponga los códigos de recuperación de cada cuenta en las notas del inicio de sesión correspondiente, y guarde ahí también el secreto TOTP si su gestor lo admite. Una bóveda, una contraseña maestra, todo emparejado. El punto débil es la recuperación de la propia bóveda: el PDF del Emergency Kit de 1Password (con su Secret Key) y los códigos 2FA de su propio gestor necesitan un hogar fuera de la bóveda.

• Papel en un lugar seguro

  Los códigos impresos en un sobre sellado, en una caja fuerte doméstica o en una caja de seguridad, sobreviven a cualquier fallo de dispositivo. El coste es que el papel queda obsoleto: cada cuenta nueva o conjunto regenerado implica volver a imprimir.

• No en la cuenta que protegen

  Los códigos de recuperación de su correo nunca deberían estar solo en ese correo. Los códigos de su gestor de contraseñas nunca deberían estar solo en esa bóveda. Cada conjunto tiene que ser accesible sin aquello que desbloquea.

¿Qué pasa con mi 2FA cuando muero?

Nada, y ese es el problema. La app de autenticación sigue generando códigos en un teléfono que nadie puede desbloquear. La llave de seguridad se queda en un cajón, registrada en cuentas que nadie sabe nombrar. Los mensajes de texto van a un número que la operadora cierra unos meses después. Cada cuenta que protegió con cuidado sigue protegida, ahora contra las personas que habría querido dentro.

Una lista de contraseñas por sí sola no resuelve esto. Su pareja puede conocer perfectamente la contraseña del correo y aun así quedarse parada en el segundo paso; lo mismo ocurre con el banco, las fotos en la nube y la renovación del dominio. Existen procesos de recuperación en las plataformas para los familiares más cercanos, pero son lentos, varían según la empresa y el país, y suelen dar un acceso limitado o nulo. La vía práctica es la misma que usaría usted tras perder el teléfono: códigos de recuperación y secretos exportados, en manos de alguien que sabe que existen. Nuestra guía sobre contraseñas tras el fallecimiento cubre la parte de las contraseñas de esta misma cuestión.

¿Cómo paso el acceso 2FA a mi familia?

Elija el método que elija, tiene que superar tres pruebas: los códigos siguen siendo ilegibles para todos hoy, llegan a la persona adecuada después, y esa persona sabe cómo usarlos. Un sobre sellado supera la primera y suspende la tercera a menos que añada instrucciones. Elija lo que elija, añada un párrafo por cuenta: qué es, qué segundo factor usa, dónde están los códigos y qué hacer primero.

• Acceso de emergencia del gestor de contraseñas

  Varios gestores permiten nombrar un contacto de confianza que puede solicitar acceso a su bóveda; el Emergency Access de Bitwarden lo concede tras un tiempo de espera que usted fija a menos que lo rechace, y es una función de sus planes de pago. Si sus códigos de recuperación y secretos TOTP viven en la bóveda, esto entrega ambos factores en un solo paso. Depende de que esa persona mantenga activa su propia cuenta y de que el gestor siga existiendo, así que combínelo con una copia en papel de los datos de recuperación de la propia bóveda.

• Una nota sellada con una persona de confianza o un abogado

  Los códigos de recuperación impresos, las imágenes de exportación del autenticador y unas breves instrucciones, sellados y dejados con un abogado o albacea. Fiable y sencillo, pero queda obsoleto rápido, y tiene que confiar en que el sobre nunca se abra antes de tiempo.

• Un interruptor de hombre muerto

  Un servicio que guarda sus códigos cifrados y los libera a las personas elegidas solo si usted deja de registrarse. Añade lo único que le falta a un sobre sellado: la entrega automática cuando usted ya no está para entregarlo. Consulte cómo se compara un interruptor de hombre muerto con un gestor de contraseñas para conocer las ventajas e inconvenientes.

¿Cómo gestiona PostMortem los códigos de respaldo 2FA?

PostMortem es una app gratuita para iOS y Android construida como un interruptor de hombre muerto. Usted crea un buzón de mensajes, añade a las personas que deben recibirlo y elige un intervalo de registro desde cada hora hasta doce meses. Se registra con un toque en la app; los recordatorios llegan por correo electrónico y notificación push a medida que se agota el intervalo. Si deja de registrarse y el intervalo se agota, el buzón se libera a sus destinatarios.

Para los respaldos de dos pasos, un buzón puede contener sus credenciales de inicio de sesión con los códigos de recuperación escritos junto a cada contraseña, un mensaje de texto que explique qué cuenta usa qué segundo factor, y hasta cinco archivos adjuntos de 20 MB cada uno, suficiente para las imágenes QR exportadas de su app de autenticación. Los mensajes, contraseñas, nombres de archivo y contenidos de archivo se cifran en su teléfono con AES-256 antes de subirse y se descifran en el navegador del destinatario; los servidores de PostMortem nunca ven el contenido en claro. El nombre del buzón, las direcciones de los destinatarios y el calendario de registro permanecen legibles para que funcionen los recordatorios y la entrega.

Para descifrar hace falta una tarjeta de clave de acceso, una imagen tipo QR que usted comparte con cada destinatario mientras vive. Esa tarjeta es lo que convierte un buzón liberado en códigos legibles, así que debe guardarse con el mismo cuidado que los propios códigos. Como el buzón es suyo, esa misma copia está ahí para usted el día que configure un teléfono de reemplazo. Hay más sobre el modelo en cómo funciona y en la página de seguridad.

Preguntas frecuentes

• ¿Qué es un código de respaldo 2FA?

  Un código de un solo uso que un servicio le entrega al activar la autenticación en dos pasos. Sustituye al código habitual de su teléfono o llave si ese dispositivo se pierde. Cada uno funciona una vez; la mayoría de los servicios permiten generar un conjunto nuevo en cualquier momento, lo que anula el anterior.

• Perdí el teléfono con mi app de autenticación. ¿Cómo vuelvo a entrar?

  Use los códigos de recuperación que guardó al configurar el 2FA, o restaure la app desde su sincronización en la nube o una exportación en un teléfono nuevo. Si no tiene nada de eso, cada servicio tiene su propio proceso de recuperación de cuenta, que puede tardar días y quizá exija una prueba de identidad.

• ¿Qué pasa con el 2FA cuando alguien muere?

  El segundo factor sigue funcionando contra todos, incluida la familia que tiene las contraseñas. A menos que se hayan guardado y transmitido códigos de recuperación o una exportación del autenticador, la única vía es el proceso para familiares de cada plataforma, que varía según la empresa y el país y suele ser lento o limitado. Esta es información general, no asesoramiento legal.

• ¿Es seguro guardar los códigos 2FA en un gestor de contraseñas?

  Para la mayoría, sí: una bóveda cifrada es más segura que las capturas de pantalla y mantiene los códigos junto a las contraseñas con las que van emparejados. La única regla es que los datos de recuperación de la propia bóveda y sus códigos 2FA deben vivir fuera de ella.

• ¿Cómo doy a mi familia acceso a mi 2FA sin compartirlo ahora?

  Use algo que permanezca sellado hasta que haga falta: el acceso de emergencia de un gestor de contraseñas con tiempo de espera, una nota sellada con un abogado, o un interruptor de hombre muerto que libere los códigos cifrados solo si usted deja de registrarse. Añada instrucciones escritas en todos los casos.

• ¿Con qué frecuencia debo renovar mis respaldos 2FA?

  Cada vez que añada una cuenta a su autenticador, use un código de recuperación o regenere un conjunto. Una revisión anual es un mínimo razonable; la lista de comprobación del legado digital es un buen momento para hacerla.