Revisado: 25 de octubre de 2026. Hemos mirado: la ayuda de la cuenta de Google, el soporte de Apple (la app Contraseñas y los códigos de verificación automáticos), el soporte de Microsoft, las páginas de ayuda y las fichas en las tiendas de las demás apps que nombramos aquí, y páginas de agencias de ciberseguridad y consumo de EE. UU. y del Reino Unido. Las pantallas cambian. Si la tuya se ve distinta, busca la página de ayuda de la empresa.
En pocas palabras: una app de autenticación es una app del teléfono que muestra un código corto. Lo escribes después de tu contraseña. Es un segundo paso más fuerte que un mensaje de texto.
Nuestra transparencia. OjoconIA no tiene enlaces de afiliado y no gana nada si eliges cualquiera de estas apps. Primero ponemos las opciones integradas y decimos cuáles son gratuitas. Si esto cambia alguna vez, lo diremos aquí, en esta página.
Puede que veas un cuadrado con un dibujo en la pantalla. Eso puede ser normal.
Activas la verificación en dos pasos (2FA) en una cuenta. La web te muestra entonces un cuadrado en blanco y negro. Es un código QR. Te pide que lo escanees con la cámara del teléfono. Si abriste tú mismo la página de seguridad de tu cuenta, este es un paso normal de la configuración.
Qué es una app de autenticación
Una app de autenticación crea un código, normalmente de seis dígitos. El código suele cambiar cada 30 segundos. La app funciona sin cobertura y sin internet, porque tu teléfono calcula el código.
Cuando escaneas el código QR, la web y tu app comparten un secreto. Los dos usan ese secreto y el reloj para calcular el mismo código en el mismo momento. El nombre técnico es contraseña de un solo uso basada en el tiempo (TOTP, por sus siglas en inglés). Está descrita en un estándar llamado RFC 6238, que sugiere 30 segundos pero deja que cada servicio elija.
Qué app elegir
Hazte primero estas preguntas:
- ¿Puedo pasar mis códigos a un teléfono nuevo, o recuperarlos si pierdo este?
- ¿Tiene una copia de seguridad que yo entienda?
- ¿Es fácil de usar?
- ¿Muestra anuncios?
- ¿Es de una empresa o un proyecto que yo pueda nombrar?
Estas son algunas opciones, en orden alfabético dentro de cada grupo. Las comprobamos el 25 de octubre de 2026. Las apps cambian, así que lee la página de la app antes de instalarla. Es una lista de ejemplos, no un ranking.
Integradas en tu teléfono o de una empresa grande
- Contraseñas, de Apple está en iPhone, iPad y Mac. Apple dice que crea códigos sin mensajes de texto ni apps adicionales.
- Google Authenticator está en Android y en iPhone. Si inicias sesión con una cuenta de Google, tus códigos se sincronizan (se copian solos) en tus dispositivos. También puedes usarla sin cuenta. Entonces los códigos se quedan en ese teléfono.
- Microsoft Authenticator es para iPhone y Android. Microsoft dice que no está disponible para PC ni Mac. Puede hacer copia de seguridad de los códigos. Las copias solo se restauran en el mismo tipo de teléfono (de iPhone a iPhone, de Android a Android).
Dentro de un gestor de contraseñas
- 1Password es de pago. Guarda los códigos junto con tus inicios de sesión.
- Bitwarden Password Manager puede guardar códigos. Su página de ayuda dice que las cuentas gratuitas pueden guardar las claves, y que Premium muestra los códigos.
Apps independientes
- 2FAS (iPhone y Android) dice que es gratuita y no necesita cuenta.
- Aegis (solo Android) es gratuita y de código abierto (cualquiera puede leer su código).
- Bitwarden Authenticator (iPhone y Android) es gratuita y no necesita una cuenta de Bitwarden.
No revisamos Authy porque no pudimos confirmar qué dispositivos y copias de seguridad admite hoy.
Configúrala en tu cuenta de correo
Este ejemplo usa una cuenta de Google. Otros servicios de correo son parecidos.
- En una computadora u ordenador, abre tu cuenta de Google. Elige Seguridad e inicio de sesión y luego Verificación en dos pasos. En Latinoamérica, Google usa «Seguridad y acceso» y «Verificación en 2 pasos».
- Elige la opción de la app de autenticación.
- Aparece un código QR. Abre tu app, elige el botón de añadir y escanea el código con la cámara del teléfono.
- La app muestra un código. Escríbelo en la web para confirmar.
- Guarda los códigos de recuperación que te da la web. Mira códigos de recuperación y copias de seguridad.
Si no puedes escanear: la web también muestra una clave de configuración, un código largo en texto. Cópiala en la app. Cualquiera que tenga esa clave puede crear tus códigos, así que mantenla en privado. No la publiques ni la guardes en un chat.
Si usas Google Authenticator, Google dice que puede tardar hasta 7 días en aparecer como opción para iniciar sesión. Google también aconseja añadir otro segundo paso, para que no pierdas el acceso a tu cuenta.
Copias de seguridad y cambio de teléfono
El problema más común es un teléfono nuevo. Si borras o cambias el teléfono viejo antes de pasar los códigos, puede que los pierdas.
- Antes de cambiar, mira cómo mueve los códigos tu app. Cada app tiene sus propios pasos.
- Pasa los códigos y prueba uno en el teléfono nuevo.
- Solo entonces borra el teléfono viejo.
Ejemplos: Google Authenticator puede exportar los códigos a un código QR en el teléfono viejo y luego importarlos en el nuevo. 2FAS pasa los códigos entre iPhone y Android con un archivo de copia exportado. Bitwarden Authenticator usa la copia de seguridad en la nube de tu teléfono o un archivo de exportación.
Guarda también los códigos de recuperación de cada cuenta. Te ayudan a volver a entrar.
Límites
Los códigos de una app de autenticación son más fuertes que los códigos por mensaje de texto. CISA, una agencia de ciberseguridad de EE. UU., dice que los códigos de las apps todavía pueden caer en un engaño de phishing. Phishing es una web falsa que copia a una real. Una web falsa puede pedir tu contraseña y tu código y usar los dos a la vez.
- Una llave de acceso (passkey) es más fuerte contra las webs falsas. Mira llaves de acceso.
- Nunca escribas un código en una página a la que llegaste desde un mensaje inesperado. Entra tú mismo a la web.
- Nunca escanees un código QR que llegue en un correo o un mensaje inesperado. Pueden llevar a webs falsas.
- Una empresa real nunca debería pedirte que le leas un código a alguien que se puso en contacto contigo.
Si una web solo ofrece códigos por mensaje de texto, úsalos por ahora. Mira por qué no usar códigos por SMS.
Mira también protege tu correo.
En tu país
Si una cuenta está en manos de un estafador, si le diste un código a alguien o si perdiste dinero, esto es lo que podemos decirte hoy:
- España: la Línea de Ayuda en Ciberseguridad de INCIBE, 017. Es gratuita y confidencial y atiende todos los días de 8:00 a 23:00. Si enviaste dinero, llama primero a tu banco y después denuncia ante las Fuerzas y Cuerpos de Seguridad del Estado (Policía Nacional o Guardia Civil).
- Argentina: denuncia en la comisaría o en la oficina receptora de denuncias que corresponda a tu domicilio. Lo indica el Centro Nacional de Ciberseguridad en argentina.gob.ar.
- México y Colombia: puede que en tu país el camino para denunciar sea distinto. Todavía no hemos comprobado las vías de denuncia en estos dos países. Mientras tanto, llama a tu banco y denuncia ante las autoridades de tu país.
- Estados Unidos y Reino Unido (si nos lees desde allí): reportfraud.ftc.gov en EE. UU. y reportfraud.police.uk (Report Fraud) en Inglaterra, Gales e Irlanda del Norte.
Haz esto hoy (unos 9 minutos si ya tienes una app)
- Usa la app de autenticación de tu teléfono o de tu gestor de contraseñas, o elige una de la lista de arriba e instálala.
- En una computadora u ordenador, abre los ajustes de seguridad de tu correo principal y elige la opción de la app de autenticación.
- Escanea el código QR, escribe el código que muestra la app y guarda los códigos de recuperación en un lugar seguro.
No compartas nunca un código ni una clave de configuración con nadie.
