Revisado: 25 de octubre de 2026. Hemos mirado: la ayuda de la cuenta de Google (verificación en dos pasos), la página de soporte de Apple «Autenticación de doble factor para la cuenta de Apple» (publicada el 13 de agosto de 2026) y páginas de las agencias de ciberseguridad y consumo de EE. UU. y del Reino Unido. Las pantallas cambian. Si la tuya se ve distinta, busca la página de ayuda de la empresa.
En pocas palabras: la verificación en dos pasos (2FA, por sus siglas en inglés) añade una segunda comprobación después de tu contraseña. Actívala primero en tu cuenta de correo principal.
Una contraseña es un candado. La verificación en dos pasos añade otro.
Piensa en una puerta con un solo candado. Con un segundo candado, es más difícil abrirla.
Qué es la verificación en dos pasos
Significa que demuestras quién eres de dos maneras distintas. Normalmente son estas:
- Algo que sabes, como tu contraseña.
- Algo que tienes, como tu teléfono, una app del teléfono o una pequeña llave de seguridad.
- Algo que eres, como tu huella digital o tu cara.
Necesitas dos de estas cosas para iniciar sesión.
Verás otros nombres para la misma idea. En España, Apple la llama «autenticación de doble factor»; en Latinoamérica, «autenticación de dos factores». Google dice «verificación en dos pasos» (en Latinoamérica, «Verificación en 2 pasos») y también «autenticación de dos factores». Autenticación multifactor (MFA) es el nombre general, y es el que usa la agencia estadounidense CISA. Aquí usaremos sobre todo «verificación en dos pasos» o 2FA.
Por qué ayuda
Las contraseñas pueden adivinarse, robarse o entregarse después de un engaño. Con la verificación en dos pasos activada, una contraseña robada no basta por sí sola. El delincuente también necesita tu segundo paso. CISA dice que por eso la 2FA puede hacerte bastante más seguro en internet.
La 2FA no es perfecta. Una web falsa todavía puede engañar a alguien para que escriba un código. Por eso importa qué tipo de segundo paso eliges.
Tipos de segundo paso, del más fuerte al más débil
| Segundo paso | Qué es | Nivel de protección |
|---|---|---|
| Llave de acceso (passkey) o llave de seguridad | Una llave de acceso te deja iniciar sesión con tu huella, tu cara o el bloqueo de pantalla del teléfono. Una llave de seguridad es un pequeño dispositivo que conectas o acercas. Mira llaves de acceso. | La más fuerte. Ayudan contra las webs falsas. |
| Código de una app de autenticación | Una app del teléfono muestra un código nuevo, normalmente de seis dígitos, más o menos cada 30 segundos. Mira apps de autenticación. | Fuerte. Mejor que un mensaje de texto. |
| Código por mensaje de texto (SMS) o por correo | Un servicio envía un código a tu número de teléfono o a tu correo. Mira por qué no usar códigos por SMS. | La opción común más débil. |
CISA las ordena así. Las llaves de seguridad son las más fuertes y las apps son más seguras que los códigos por mensaje de texto o por correo. Un delincuente puede quedarse con tu número de teléfono y recibir tus mensajes de texto. Eso se llama duplicado fraudulento de SIM (en inglés, SIM swapping).
Si una web solo ofrece códigos por mensaje de texto o por correo, úsalos. Es mejor que nada: cualquier verificación en dos pasos es mejor que ninguna. La guía de CISA para organizaciones dice que estos códigos deben ser el último recurso. Cambia a una app de autenticación o a una llave de acceso cuando la web te lo permita.
Dónde activarla primero
Sigue este orden.
- Tu cuenta de correo principal. El correo puede restablecer las contraseñas de tus otras cuentas. Mira protege tu correo.
- El banco y las apps de dinero.
- Tu cuenta de Apple, Google o Microsoft.
- Tu gestor de contraseñas. Mira gestores de contraseñas.
- Redes sociales y cuentas de compras.
Cómo activarla
Los pasos son parecidos en casi todas las webs:
- Inicia sesión y abre Ajustes (o Configuración). Busca Seguridad, Inicio de sesión o Cuenta.
- Busca verificación en dos pasos, autenticación de dos factores o autenticación multifactor.
- Elige una llave de acceso o una app de autenticación si te las ofrecen.
- Guarda tus códigos de recuperación. Son códigos de un solo uso para cuando pierdas el teléfono. Guárdalos en un lugar seguro. Mira códigos de recuperación y copias de seguridad.
Ejemplo: cuenta de Google
- Abre tu cuenta de Google.
- Toca Seguridad e inicio de sesión.
- En Cómo inicias sesión en Google, elige Activar verificación en dos pasos.
- Sigue los pasos. Añade una llave de acceso o una app de autenticación y guarda los códigos de recuperación.
Google puede sugerirte las «notificaciones de Google». Son avisos en el teléfono en los que solo tocas para aprobar. Google dice que ayudan contra los ataques que usan el número de teléfono.
Si usas Google en Latinoamérica, los nombres pueden ser distintos: Seguridad y acceso, Cómo acceder a Google y Activar la Verificación en 2 pasos. Las «notificaciones de Google» se llaman allí «mensajes de Google».
Ejemplo: cuenta de Apple
Apple dice que la mayoría de las cuentas de Apple ya usan la autenticación de doble factor. Para comprobarlo en un iPhone o un iPad, abre Ajustes, toca tu nombre y luego Inicio de sesión y seguridad. En un Mac, abre Ajustes del Sistema, haz clic en tu nombre y luego en Inicio de sesión y seguridad.
En Latinoamérica, Apple usa Configuración (iPhone y iPad) y Configuración del Sistema (Mac), y la llama «autenticación de dos factores».
Cómo se siente en el día a día
Después de configurarla, la mayoría de las webs piden el segundo paso solo en algunos casos. Por ejemplo, con un dispositivo nuevo o ante un cambio importante, como una contraseña nueva. Algunas webs ofrecen «recordar este dispositivo». Úsalo solo en tus propios dispositivos.
Antes de borrar un teléfono viejo, lee códigos de recuperación y copias de seguridad. Explica cómo pasar tus códigos a un teléfono nuevo.
Nunca compartas un código
Si alguien que se puso en contacto contigo te pide que le leas un código, es una estafa. Aunque diga que es tu banco, una empresa de tecnología o un organismo público. Google dice que no recibirás una llamada de Google para verificar un código.
Si te pasa:
- Cuelga o deja de responder.
- No compartas nada.
- Ponte en contacto con la empresa usando un número de teléfono de su web oficial o de tu tarjeta.
Si te llega un código o una petición de aprobación que no pediste, puede que alguien intente entrar en tu cuenta, o que alguien haya escrito tu número o tu correo por error. No lo apruebes ni compartas el código. Una petición de aprobación inesperada puede significar que un atacante conoce tu contraseña. Cambia la contraseña desde un dispositivo de confianza. Después comprueba que la 2FA sigue activada.
Si recibes un SMS de estafa, no respondas ni toques el enlace. Puede que tu compañía telefónica tenga una vía para reportarlo; pregúntale.
En tu país
Si una cuenta está en manos de un estafador, si le diste un código a alguien o si perdiste dinero, esto es lo que podemos decirte hoy:
- España: la Línea de Ayuda en Ciberseguridad de INCIBE, 017. Es gratuita y confidencial y atiende todos los días de 8:00 a 23:00. Si enviaste dinero, llama primero a tu banco y después denuncia ante las Fuerzas y Cuerpos de Seguridad del Estado (Policía Nacional o Guardia Civil).
- Argentina: denuncia en la comisaría o en la oficina receptora de denuncias que corresponda a tu domicilio. Lo indica el Centro Nacional de Ciberseguridad en argentina.gob.ar.
- México y Colombia: puede que en tu país el camino para denunciar sea distinto. Todavía no hemos comprobado las vías de denuncia en estos dos países. Mientras tanto, llama a tu banco y denuncia ante las autoridades de tu país.
- Estados Unidos y Reino Unido (si nos lees desde allí): reportfraud.ftc.gov en EE. UU. y reportfraud.police.uk (Report Fraud) en Inglaterra, Gales e Irlanda del Norte.
Haz esto hoy (unos 8 minutos)
- Abre los ajustes de seguridad de tu cuenta de correo principal.
- Activa la verificación en dos pasos. Elige una llave de acceso si la web te la ofrece, porque usa el bloqueo de pantalla de tu teléfono. Si no, elige una app de autenticación. Evita los códigos por mensaje de texto si puedes.
- Guarda los códigos de recuperación en un lugar seguro.
Para otro día: repite el proceso con el banco y las apps de dinero.
No escribas nunca un código ni una contraseña en esta web, y nunca le leas un código a alguien que se ponga en contacto contigo.
