Categoría: Cuentas y contraseñas

Revisado: 25 de octubre de 2026. Hemos mirado: la ayuda de la cuenta de Google, el soporte de Apple (la app Contraseñas y los códigos de verificación automáticos), el soporte de Microsoft, las páginas de ayuda y las fichas en las tiendas de las demás apps que nombramos aquí, y páginas de agencias de ciberseguridad y consumo de EE. UU. y del Reino Unido. Las pantallas cambian. Si la tuya se ve distinta, busca la página de ayuda de la empresa.

En pocas palabras: una app de autenticación es una app del teléfono que muestra un código corto. Lo escribes después de tu contraseña. Es un segundo paso más fuerte que un mensaje de texto.

Nuestra transparencia. OjoconIA no tiene enlaces de afiliado y no gana nada si eliges cualquiera de estas apps. Primero ponemos las opciones integradas y decimos cuáles son gratuitas. Si esto cambia alguna vez, lo diremos aquí, en esta página.

Puede que veas un cuadrado con un dibujo en la pantalla. Eso puede ser normal.

Activas la verificación en dos pasos (2FA) en una cuenta. La web te muestra entonces un cuadrado en blanco y negro. Es un código QR. Te pide que lo escanees con la cámara del teléfono. Si abriste tú mismo la página de seguridad de tu cuenta, este es un paso normal de la configuración.

Qué es una app de autenticación

Una app de autenticación crea un código, normalmente de seis dígitos. El código suele cambiar cada 30 segundos. La app funciona sin cobertura y sin internet, porque tu teléfono calcula el código.

Cuando escaneas el código QR, la web y tu app comparten un secreto. Los dos usan ese secreto y el reloj para calcular el mismo código en el mismo momento. El nombre técnico es contraseña de un solo uso basada en el tiempo (TOTP, por sus siglas en inglés). Está descrita en un estándar llamado RFC 6238, que sugiere 30 segundos pero deja que cada servicio elija.

Qué app elegir

Hazte primero estas preguntas:

• ¿Puedo pasar mis códigos a un teléfono nuevo, o recuperarlos si pierdo este?
• ¿Tiene una copia de seguridad que yo entienda?
• ¿Es fácil de usar?
• ¿Muestra anuncios?
• ¿Es de una empresa o un proyecto que yo pueda nombrar?

Estas son algunas opciones, en orden alfabético dentro de cada grupo. Las comprobamos el 25 de octubre de 2026. Las apps cambian, así que lee la página de la app antes de instalarla. Es una lista de ejemplos, no un ranking.

Integradas en tu teléfono o de una empresa grande

• Contraseñas, de Apple está en iPhone, iPad y Mac. Apple dice que crea códigos sin mensajes de texto ni apps adicionales.
• Google Authenticator está en Android y en iPhone. Si inicias sesión con una cuenta de Google, tus códigos se sincronizan (se copian solos) en tus dispositivos. También puedes usarla sin cuenta. Entonces los códigos se quedan en ese teléfono.
• Microsoft Authenticator es para iPhone y Android. Microsoft dice que no está disponible para PC ni Mac. Puede hacer copia de seguridad de los códigos. Las copias solo se restauran en el mismo tipo de teléfono (de iPhone a iPhone, de Android a Android).

Dentro de un gestor de contraseñas

• 1Password es de pago. Guarda los códigos junto con tus inicios de sesión.
• Bitwarden Password Manager puede guardar códigos. Su página de ayuda dice que las cuentas gratuitas pueden guardar las claves, y que Premium muestra los códigos.

Apps independientes

• 2FAS (iPhone y Android) dice que es gratuita y no necesita cuenta.
• Aegis (solo Android) es gratuita y de código abierto (cualquiera puede leer su código).
• Bitwarden Authenticator (iPhone y Android) es gratuita y no necesita una cuenta de Bitwarden.

No revisamos Authy porque no pudimos confirmar qué dispositivos y copias de seguridad admite hoy.

Configúrala en tu cuenta de correo

Este ejemplo usa una cuenta de Google. Otros servicios de correo son parecidos.

1. En una computadora u ordenador, abre tu cuenta de Google. Elige Seguridad e inicio de sesión y luego Verificación en dos pasos. En Latinoamérica, Google usa «Seguridad y acceso» y «Verificación en 2 pasos».
2. Elige la opción de la app de autenticación.
3. Aparece un código QR. Abre tu app, elige el botón de añadir y escanea el código con la cámara del teléfono.
4. La app muestra un código. Escríbelo en la web para confirmar.
5. Guarda los códigos de recuperación que te da la web. Mira códigos de recuperación y copias de seguridad.

Si no puedes escanear: la web también muestra una clave de configuración, un código largo en texto. Cópiala en la app. Cualquiera que tenga esa clave puede crear tus códigos, así que mantenla en privado. No la publiques ni la guardes en un chat.

Si usas Google Authenticator, Google dice que puede tardar hasta 7 días en aparecer como opción para iniciar sesión. Google también aconseja añadir otro segundo paso, para que no pierdas el acceso a tu cuenta.

Copias de seguridad y cambio de teléfono

El problema más común es un teléfono nuevo. Si borras o cambias el teléfono viejo antes de pasar los códigos, puede que los pierdas.

1. Antes de cambiar, mira cómo mueve los códigos tu app. Cada app tiene sus propios pasos.
2. Pasa los códigos y prueba uno en el teléfono nuevo.
3. Solo entonces borra el teléfono viejo.

Ejemplos: Google Authenticator puede exportar los códigos a un código QR en el teléfono viejo y luego importarlos en el nuevo. 2FAS pasa los códigos entre iPhone y Android con un archivo de copia exportado. Bitwarden Authenticator usa la copia de seguridad en la nube de tu teléfono o un archivo de exportación.

Guarda también los códigos de recuperación de cada cuenta. Te ayudan a volver a entrar.

Límites

Los códigos de una app de autenticación son más fuertes que los códigos por mensaje de texto. CISA, una agencia de ciberseguridad de EE. UU., dice que los códigos de las apps todavía pueden caer en un engaño de phishing. Phishing es una web falsa que copia a una real. Una web falsa puede pedir tu contraseña y tu código y usar los dos a la vez.

• Una llave de acceso (passkey) es más fuerte contra las webs falsas. Mira llaves de acceso.
• Nunca escribas un código en una página a la que llegaste desde un mensaje inesperado. Entra tú mismo a la web.
• Nunca escanees un código QR que llegue en un correo o un mensaje inesperado. Pueden llevar a webs falsas.
• Una empresa real nunca debería pedirte que le leas un código a alguien que se puso en contacto contigo.

Si una web solo ofrece códigos por mensaje de texto, úsalos por ahora. Mira por qué no usar códigos por SMS.

Mira también protege tu correo.

En tu país

Si una cuenta está en manos de un estafador, si le diste un código a alguien o si perdiste dinero, esto es lo que podemos decirte hoy:

• España: la Línea de Ayuda en Ciberseguridad de INCIBE, 017. Es gratuita y confidencial y atiende todos los días de 8:00 a 23:00. Si enviaste dinero, llama primero a tu banco y después denuncia ante las Fuerzas y Cuerpos de Seguridad del Estado (Policía Nacional o Guardia Civil).
• Argentina: denuncia en la comisaría o en la oficina receptora de denuncias que corresponda a tu domicilio. Lo indica el Centro Nacional de Ciberseguridad en argentina.gob.ar.
• México y Colombia: puede que en tu país el camino para denunciar sea distinto. Todavía no hemos comprobado las vías de denuncia en estos dos países. Mientras tanto, llama a tu banco y denuncia ante las autoridades de tu país.
• Estados Unidos y Reino Unido (si nos lees desde allí): reportfraud.ftc.gov en EE. UU. y reportfraud.police.uk (Report Fraud) en Inglaterra, Gales e Irlanda del Norte.

Haz esto hoy (unos 9 minutos si ya tienes una app)

1. Usa la app de autenticación de tu teléfono o de tu gestor de contraseñas, o elige una de la lista de arriba e instálala.
2. En una computadora u ordenador, abre los ajustes de seguridad de tu correo principal y elige la opción de la app de autenticación.
3. Escanea el código QR, escribe el código que muestra la app y guarda los códigos de recuperación en un lugar seguro.

No compartas nunca un código ni una clave de configuración con nadie.

Revisado: 25 de octubre de 2026. Hemos mirado: la ayuda de la cuenta de Google, el soporte de Microsoft, el soporte de Apple (las páginas en inglés se publicaron el 14 de septiembre de 2026), el Centro de ayuda de Facebook, la ayuda de Bitwarden y las páginas de CISA (la agencia de ciberseguridad de EE. UU.), el NCSC (el Centro Nacional de Ciberseguridad del Reino Unido) y la FTC (la agencia de protección del consumidor de EE. UU.). Las pantallas cambian. Si la tuya se ve distinta, busca la página de ayuda de la empresa.

En pocas palabras: un código de recuperación es un código de respaldo que te deja entrar en tu cuenta si no tienes el teléfono. Haz tus códigos hoy, guárdalos en un lugar seguro que no sea tu teléfono y nunca le leas uno a alguien que se ponga en contacto contigo.

La preocupación es razonable

Mucha gente se pregunta: «¿Y si pierdo el teléfono?». Prepararte lleva unos minutos.

Qué son los códigos de recuperación

Un código de recuperación es una forma de respaldo para entrar en tu cuenta si tu teléfono se pierde o se estropea. Google y Facebook te dan un conjunto de códigos, y cada uno sirve una sola vez. Algunos servicios los llaman códigos de respaldo. Microsoft y Apple funcionan distinto: te dan un solo código o una sola clave larga para guardar. Un segundo paso es la comprobación extra que haces después de tu contraseña, como un código de una app de tu teléfono. Mira la verificación en dos pasos y código de recuperación.

Dónde conseguirlos

Busca en los ajustes de seguridad de tu cuenta.

• Google. En tu cuenta de Google, ve a Seguridad e inicio de sesión, después a Verificación en dos pasos y luego a Códigos de verificación alternativos. En Latinoamérica, Google lo muestra como Seguridad y acceso, Verificación en 2 pasos y Códigos de respaldo. Google da 10 códigos. Cada uno tiene 8 dígitos y sirve una sola vez. Si creas un conjunto nuevo, el anterior deja de funcionar.
• Microsoft (cuenta personal). Ve a account.live.com/proofs/manage/additional. En Código de recuperación, elige Generar un nuevo código. Es un solo código de 25 dígitos, no un conjunto. Un código nuevo hace que los códigos anteriores dejen de funcionar. Microsoft dice que no puedes consultar un código antiguo más tarde. Lo usas si olvidas la contraseña o si tu cuenta está en peligro (por ejemplo, si alguien ha entrado sin tu permiso). Si la verificación en dos pasos está activada, Microsoft dice que tienes que esperar 30 días hasta que los cambios surtan efecto.
• Apple. Apple tiene una clave de recuperación, un código de 28 caracteres. Es opcional. Apple dice que, si la configuras, desactivas la recuperación de cuenta estándar de Apple. Si después pierdes la clave, puedes quedarte fuera para siempre. Lee la página de Apple antes de decidir. Está en Ajustes (en Latinoamérica, Configuración), tu nombre, Inicio de sesión y seguridad, Clave de recuperación.
• Facebook. En el Centro de cuentas, ve a Contraseña y seguridad y después a Autenticación en dos pasos. Elige tu cuenta, luego Métodos adicionales y luego Códigos de recuperación. Facebook da 10 códigos. Cada uno sirve una vez.

Dónde guardarlos

Guarda tus códigos en un lugar seguro que no esté en tu teléfono. Google sugiere el sitio donde guardas el pasaporte u otros papeles importantes.

• En papel. Imprime los códigos o anótalos. Guarda el papel en un lugar seguro de tu casa. Bitwarden dice esto de su propio código de recuperación: una copia impresa guardada en un lugar seguro evita el robo digital y el borrado por accidente.
• En tu gestor de contraseñas. Muchos gestores de contraseñas tienen una función de notas seguras, y Bitwarden dice que puedes guardar ahí los códigos de recuperación de un servicio. Usa esto solo si puedes abrir tu gestor de contraseñas sin el teléfono. Guarda en papel el código de recuperación del propio gestor.

Evita guardar los códigos en un correo que te envías a ti, en una captura de pantalla entre tus fotos o en una nota adhesiva, porque otras personas podrían encontrarlos. La página de ayuda de Instagram sugiere hacer una captura de pantalla de sus códigos. Nosotros lo desaconsejamos. Copia los códigos en papel y borra la captura. Este es un consejo nuestro, no de Instagram.

Microsoft dice que no guardes el código en un dispositivo que uses para iniciar sesión. Apple dice que no guardes su clave de recuperación en la app Contraseñas, en Notas, en Fotos de iCloud ni en iCloud Drive. Guarda la clave en otro sitio. Apple dice que puedes usar más de un lugar seguro.

Si pierdes el teléfono

1. Inicia sesión con un código de recuperación. En Google o Facebook, elige otra manera de iniciar sesión en el segundo paso y escribe un código. Cada código sirve solo una vez, así que táchalo de tu lista. En Microsoft, elige Otras formas de iniciar sesión, después ¿He olvidado la contraseña? y sigue los pasos hasta que te pida tu código de recuperación.
2. Traslada tu app de autenticación. Configúrala de nuevo en tu teléfono nuevo. Lee apps de autenticación.
3. Haz códigos nuevos. Genera un conjunto nuevo cuando hayas iniciado sesión. El conjunto anterior puede dejar de funcionar.
4. Quita el teléfono perdido. En la lista de dispositivos de tu cuenta, quita el teléfono viejo o cierra su sesión.
5. Si no tienes códigos, usa los pasos de recuperación del propio servicio. Microsoft tiene un formulario de recuperación de cuenta. Si usas una llave de acceso, puede que también esté en tus otros dispositivos.

Si pierdes a la vez tus códigos y tu segundo paso, algunos servicios no pueden dejarte volver a entrar. Bitwarden dice que puedes quedarte sin acceso a tu bóveda. Apple dice que puedes quedarte fuera para siempre si configuras una clave de recuperación y después la pierdes.

Copias de seguridad de lo que necesitas

Una copia de seguridad es una copia de tus archivos importantes guardada en otro sitio. Puede estar en internet (almacenamiento en la nube) o en un soporte extraíble, como un disco duro externo.

La guía de CISA para pequeñas empresas describe la regla 3-2-1. La misma idea sirve en casa:

• 3 copias de los archivos importantes
• 2 tipos distintos de almacenamiento, como un disco duro y la nube
• 1 copia fuera de tu casa

Un plan sencillo: activa la copia de seguridad de tu teléfono y copia tus fotos y tus documentos clave en un segundo lugar. Comprueba que tu copia tiene todos tus datos importantes. Protege tu cuenta de la nube con un segundo paso, porque quien pueda abrirla puede abrir tus copias.

Otras redes de seguridad

• Correo y teléfono de recuperación. Añade a tu cuenta un correo y un número de teléfono de recuperación. Google dice que te ayudan a recuperar tu cuenta.
• Contacto de recuperación de Apple. Puedes elegir a una persona de confianza que te ayude a volver a entrar. Recibe un código para ti. No obtiene acceso a tu cuenta.
• Contactos de legado o de confianza. El contacto para legado de Apple (en España se llama «representante digital») es solo para después de tu fallecimiento. Apple dice que no incluye las contraseñas ni las llaves de acceso de tu Llavero de iCloud. El Administrador de cuentas inactivas de Google actúa después de un fallecimiento o de un periodo sin uso que tú eliges. Esto no es asesoramiento legal. Puede que en tu país las reglas para acceder a la cuenta de una persona fallecida sean distintas.

Mantente a salvo

Nunca des un código de recuperación ni un código de verificación a alguien que te llame o te escriba. Quien te pida tu código es un estafador. Si alguien te lo pide, cuelga. Después ponte en contacto con la empresa en un teléfono de confianza, como el que aparece en tu extracto (o estado de cuenta) o en su app.

Hay un caso distinto. Con un contacto de recuperación de Apple, eres tú quien pide el código a tu persona de confianza, y tú inicias la solicitud.

Si pierdes dinero, conviene denunciarlo. Mira abajo el cuadro «En tu país». Relacionado: cómo proteger tu correo y la limpieza de cuentas en 30 minutos.

En tu país

Si una cuenta está en manos de un estafador, si le diste un código a alguien o si perdiste dinero, esto es lo que podemos decirte hoy:

• España: la Línea de Ayuda en Ciberseguridad de INCIBE, 017. Es gratuita y confidencial y atiende todos los días de 8:00 a 23:00. Si enviaste dinero, llama primero a tu banco y después denuncia ante las Fuerzas y Cuerpos de Seguridad del Estado (Policía Nacional o Guardia Civil).
• Argentina: denuncia en la comisaría o en la oficina receptora de denuncias que corresponda a tu domicilio. Lo indica el Centro Nacional de Ciberseguridad en argentina.gob.ar.
• México y Colombia: puede que en tu país el camino para denunciar sea distinto. Todavía no hemos comprobado las vías de denuncia en estos dos países. Mientras tanto, llama a tu banco y denuncia ante las autoridades de tu país.
• Estados Unidos y Reino Unido (si nos lees desde allí): reportfraud.ftc.gov en EE. UU. y reportfraud.police.uk (Report Fraud) en Inglaterra, Gales e Irlanda del Norte.

Haz esto hoy (unos 7 minutos para una cuenta)

1. Abre los ajustes de seguridad de tu cuenta de correo principal.
2. Genera los códigos de respaldo o de recuperación de tu cuenta de Google o de Microsoft. En una cuenta de Apple, no configures la clave de recuperación salvo que antes hayas leído la página de Apple.
3. Imprímelos y guárdalos en un lugar seguro que no sea tu teléfono. Una nota segura de un gestor de contraseñas es otra opción si puedes abrirlo sin el teléfono.
4. Si ya guardaste códigos, un conjunto nuevo anula el anterior. Destruye la copia vieja solo después de guardar la nueva.

No escribas nunca un código ni una contraseña en esta web, y nunca le leas un código a alguien que se ponga en contacto contigo.

Revisado: 25 de octubre de 2026. Hemos mirado: páginas de agencias de EE. UU. y del Reino Unido (por ejemplo, el FBI, la policía federal de EE. UU., y la FTC, la agencia de protección del consumidor de EE. UU.), páginas de INCIBE y de la CNMC en España, de la Policía Nacional de Colombia y de argentina.gob.ar, el soporte de Apple y las páginas de ayuda de compañías telefónicas de España y de EE. UU. Los nombres de las funciones de las compañías telefónicas y las pantallas de sus apps cambian. Si la tuya se ve distinta, busca la página de ayuda de tu compañía.

En pocas palabras: un duplicado fraudulento de SIM (en inglés, SIM swapping) ocurre cuando un delincuente mueve tu número de teléfono a un teléfono que él controla. Puedes ponérselo mucho más difícil en pocos minutos. Empieza por preguntar a tu compañía telefónica si puedes proteger tu cuenta con un PIN o una contraseña.

No hay motivo para el pánico

Puede que hayas oído hablar de delincuentes que se quedan con números de teléfono. Esta guía explica qué significa. También muestra qué puedes hacer. La mayoría de los pasos llevan solo unos minutos.

Qué es un duplicado fraudulento de SIM

Una SIM es el pequeño chip que une tu teléfono con tu número. Una eSIM hace el mismo trabajo, pero está integrada en el teléfono. La configuras con un código o con una app, no con una tarjeta de plástico.

En un duplicado fraudulento de SIM, un delincuente engaña o paga a alguien de tu compañía telefónica. Su objetivo es mover tu número a una SIM o una eSIM que el delincuente controla. Después, tus llamadas y mensajes van al teléfono del delincuente. Eso incluye los códigos por mensaje de texto.

Una portabilidad no autorizada (en inglés, port-out) es un truco parecido. Mueve tu número a otra compañía telefónica, en lugar de a una SIM nueva de la misma compañía. Con cualquiera de los dos, un delincuente puede acabar controlando tu número.

Por qué lo hacen los delincuentes

Muchas webs envían un código por mensaje de texto para comprobar que eres tú. También envían un enlace o un código para restablecer la contraseña si la olvidas. Si un delincuente recibe tus mensajes, puede usar esos códigos para restablecer las contraseñas de tu correo, tus apps de dinero y tus redes sociales. El FBI (la policía federal de EE. UU.) lo describe así.

Tenemos una guía aparte sobre los códigos por texto. Lee por qué los códigos por SMS son el segundo paso más débil.

Señales a las que prestar atención

• Tu teléfono muestra de repente «Sin servicio» o se queda sin cobertura donde antes sí la tenías. O solo puede hacer llamadas de emergencia. Otras personas cerca de ti sí tienen cobertura.
• Recibes un mensaje de tu compañía telefónica sobre un cambio de SIM o una transferencia de número que tú no pediste.
• No puedes iniciar sesión en tus cuentas.

Estas señales pueden tener otras causas. Un problema de la red o un teléfono estropeado pueden verse igual. Si no estás seguro, llama a tu compañía telefónica.

Cómo proteger tu número

1. Pregunta a tu compañía telefónica si puedes añadir un PIN o una contraseña a tu cuenta. Si te lo ofrece, puede ayudar a frenar cambios que tú no pediste. No es el PIN de la tarjeta SIM, que solo protege la SIM de tu teléfono. En México se suele llamar NIP. Nunca le digas tu PIN a alguien que te llame. Si alguien dice que es de tu compañía telefónica, cuelga. Después llama al número que aparece en tu factura o en la web oficial de la compañía.
2. Pregunta si tu compañía telefónica tiene una protección contra cambios de SIM o de compañía. Pregunta qué opciones de seguridad ofrece para tu cuenta, como un PIN o una contraseña. Si hay una protección, impide los cambios hasta que la desactivas. No es lo mismo que bloquear la línea por robo, que corta tu servicio. Tendrás que desactivarla cuando compres un teléfono nuevo o cambies de compañía. Cómo funcionan estas protecciones y los trámites para mover tu número cambia de un país a otro; puede que en tu país sea distinto.
3. Aleja tus cuentas importantes de los códigos por mensaje de texto. Usa una llave de acceso (passkey) o una app de autenticación. Lee apps de autenticación y verificación en dos pasos.
4. Protege tu cuenta de correo. Los delincuentes usan el correo para restablecer otras contraseñas. Lee protege tu correo.
5. No publiques tu número de teléfono. Mantén también fuera de sitios públicos otros datos personales, como tu dirección.
6. Activa las alertas. Pide a tu compañía telefónica y a tu banco que te avisen por mensaje de texto o por correo cuando algo cambie. Si puedes, elige los avisos por correo.

Si un servicio solo ofrece códigos por mensaje de texto, todavía puedes usarlos. Haz los pasos de arriba para proteger tu número.

Si crees que ha pasado

Haz estos pasos en este orden.

1. Llama a tu compañía telefónica desde otro teléfono. Usa el de un amigo, el del trabajo o un teléfono fijo. Di: «Creo que han movido mi número». Pídeles que recuperen el control de tu número.
2. Llama a tu banco y a otros servicios de dinero. Pídeles que vigilen tus cuentas. Usa el número de teléfono que aparece en el reverso de tu tarjeta o en la app de tu banco.
3. Cambia primero la contraseña de tu correo. Usa un dispositivo de confianza. Después cambia las contraseñas de tus cuentas de dinero y de redes sociales.
4. Añade una app de autenticación a tu correo y a otras cuentas clave. Guarda tus códigos de recuperación. Lee códigos de recuperación y copias de seguridad.
5. Denúncialo. Mira el apartado «En tu país» más abajo.

Revisa tus cuentas de banco y tus tarjetas por si hay pagos que no reconoces. Si ves alguno, díselo a la empresa.

Mensajes de estafa

Si recibes un mensaje de texto de estafa, no respondas ni toques el enlace. En España puedes reenviar el mensaje o una captura al formulario de reporte de fraude de INCIBE (incibe.es/ciudadania/ayuda/reporte-de-fraude). En otros países, avisa a tu banco y a tu compañía telefónica. Si el mensaje dice venir de un banco, no uses ningún número ni enlace del mensaje. Nunca le leas un código a alguien que se ponga en contacto contigo.

En tu país

Si una cuenta está en manos de un estafador, si le diste un código a alguien o si perdiste dinero, esto es lo que podemos decirte hoy:

• España: la Línea de Ayuda en Ciberseguridad de INCIBE, 017, te orienta pero no recibe denuncias. Es gratuita y confidencial y atiende todos los días de 8:00 a 23:00. Si enviaste dinero, llama primero a tu banco y después denuncia ante las Fuerzas y Cuerpos de Seguridad del Estado (Policía Nacional o Guardia Civil).
• Argentina: denuncia en la comisaría o en la oficina receptora de denuncias que corresponda a tu domicilio. Lo indica el Centro Nacional de Ciberseguridad en argentina.gob.ar.
• México: avisa a tu banco enseguida y presenta una denuncia ante el Ministerio Público de tu estado. En la Ciudad de México también existe la Policía Cibernética de la SSC.
• Colombia: puedes denunciar en línea con la Policía Nacional, en su página de ciberseguridad (policia.gov.co/ciberseguridad), o en el sistema ¡ADenunciar! (opción «Delitos informáticos»). Avisa también a tu banco.
• Estados Unidos y Reino Unido (si nos lees desde allí): reportfraud.ftc.gov en EE. UU. y reportfraud.police.uk (Report Fraud) en Inglaterra, Gales e Irlanda del Norte.

Haz esto hoy (unos 8 minutos en la app de tu compañía telefónica)

1. Abre la app o la web de tu compañía telefónica, o llámala.
2. Si tu compañía te lo ofrece, añade o cambia el PIN de tu cuenta.
3. Pregunta si tu compañía tiene una protección contra cambios de SIM o de compañía.

Para otro día: añade una app de autenticación a tu cuenta de correo principal.

No escribas nunca un código ni una contraseña en esta web, y nunca le leas un código a alguien que se ponga en contacto contigo.

Revisado: 25 de octubre de 2026. Hemos mirado: la app Contraseñas de Apple (iOS 18 o posterior, macOS Sequoia o posterior), el Gestor de contraseñas de Google, Microsoft Edge, Firefox, las páginas de ayuda de las empresas y la guía de agencias de ciberseguridad de EE. UU. y del Reino Unido. Las pantallas cambian. Si la tuya se ve distinta, busca la página de ayuda de la empresa.

En pocas palabras: un gestor de contraseñas te permite usar una contraseña distinta y segura en cada cuenta, y tú solo recuerdas una.

Nuestra transparencia. OjoconIA no tiene enlaces de afiliado y no gana nada si eliges cualquiera de estas opciones. Primero ponemos las opciones integradas en tu teléfono o navegador y decimos cuáles son gratuitas. Si esto cambia alguna vez, lo diremos aquí, en esta página.

Casi todos repetimos contraseñas. Es normal.

Seguramente tienes decenas de cuentas. Nadie puede recordar decenas de contraseñas seguras, así que mucha gente repite unas pocas.

Qué es un gestor de contraseñas

Un gestor de contraseñas es una app con una bóveda cerrada y cifrada. Cifrada quiere decir revuelta, de modo que solo la llave correcta puede leerla. Tú recuerdas una sola contraseña maestra. La app crea, guarda y rellena una contraseña distinta para cada sitio. (Algunos servicios la llaman «contraseña principal».)

Una contraseña es un secreto que escribes para iniciar sesión en una cuenta. El código de desbloqueo es el número que desbloquea tu teléfono.

Por qué repetir contraseñas es el riesgo real

Cuando una web pierde contraseñas, los delincuentes las prueban en otras webs. Esto se llama ataque con contraseñas robadas (en inglés, credential stuffing): probar datos de acceso robados en muchos otros sitios. Si repetiste la contraseña, entran. Si cada contraseña es distinta, el daño se queda en el primer sitio.

¿Es seguro guardar todo en un solo lugar?

• Bitwarden, 1Password y Proton Pass dicen, cada uno en sus propias páginas, que los datos de la bóveda tienen cifrado de extremo a extremo. Bitwarden y Proton Pass usan además la expresión zero-knowledge (conocimiento cero): la empresa dice que no puede leer lo que hay en tu bóveda.
• Tu contraseña maestra y un segundo paso al iniciar sesión (verificación en dos pasos, o 2FA) protegen la bóveda.
• Ninguna herramienta es perfecta. Si alguien entrara en tu gestor, podría llegar a todas tus contraseñas.
• Las agencias de ciberseguridad de EE. UU. y del Reino Unido aconsejan usar uno. Para la mayoría de las personas, contraseñas únicas en un gestor son más seguras que contraseñas repetidas.

Cómo elegir

Pregunta	Qué mirar
Historial de seguridad	¿La empresa publica auditorías de seguridad independientes? ¿Cómo resolvió problemas del pasado?
Facilidad de uso	¿Funciona en tu teléfono, tu navegador y tu computadora u ordenador?
Precio	¿Qué es gratis? ¿Qué pierdes con el plan gratuito?
Compartir en familia	¿Puedes compartir algunas contraseñas con tu familia de forma segura?
Ayuda	¿Hay páginas de ayuda claras y opciones de recuperación?

La mejor opción es la que cubre lo que necesitas y te resulta más fácil de usar.

Primero, las opciones gratuitas e integradas

Tu teléfono o tu navegador puede que ya tengan un gestor gratuito. En general, es seguro usarlos en tus propios dispositivos. En orden alfabético:

• Contraseñas, de Apple (iPhone, iPad y Mac con iOS 18, iPadOS 18, macOS Sequoia o posterior). También funciona en un PC con Windows, con iCloud para Windows, en Chrome y Edge.
• Gestor de contraseñas de Google (Chrome y Android). Guarda las contraseñas en tu cuenta de Google cuando has iniciado sesión en Chrome.
• Microsoft Edge tiene su propio gestor de contraseñas. Inicia sesión en Edge con tu cuenta de Microsoft y activa la sincronización para usar tus contraseñas en más de un dispositivo.
• Mozilla Firefox también tiene un gestor de contraseñas integrado.

Los gestores independientes son apps aparte. Tres ejemplos, en orden alfabético, que no son un ranking:

• 1Password es de pago. Su página muestra una prueba gratuita de 14 días y un plan Familias para hasta cinco personas.
• Bitwarden tiene un plan gratuito: su página dice que puedes guardar contraseñas ilimitadas en dispositivos ilimitados sin pagar. También tiene planes de pago.
• Proton Pass tiene un plan gratuito con inicios de sesión y dispositivos ilimitados. También tiene planes de pago.

Elegimos estos tres como ejemplos porque Bitwarden y Proton Pass tienen planes gratuitos, 1Password tiene una prueba gratuita y cada uno explica en sus propias páginas cómo protege tu bóveda. Existen otros buenos gestores.

Los precios cambian y pueden ser distintos en tu país. Mira la página de la empresa.

¿Integrado o independiente? El integrado es lo más sencillo si siempre usas la misma familia de teléfono o navegador. El independiente va mejor si mezclas dispositivos o quieres extras, como compartir en familia.

Cómo crear una contraseña maestra segura

• Usa una frase de contraseña (passphrase): varias palabras al azar, sin relación entre sí, unidas. Algunos consejos sugieren tres palabras al azar. La agencia estadounidense CISA sugiere de cuatro a siete palabras sin relación y al menos 16 caracteres. Para esta contraseña, usa cuatro palabras o más. Invéntala tú.
• No la uses en ningún otro sitio.
• La longitud importa más que los símbolos. Añadir longitud protege más que añadir complicaciones. La guía del gobierno de EE. UU. (NIST SP 800-63B-4) indica a los servicios que no obliguen a mezclar símbolos, mayúsculas y números.
• No la guardes en una nota del teléfono. Puedes escribirla en papel mientras la aprendes, guardar ese papel muy bien y destruirlo después.

Cómo configurar uno

1. Elige un gestor de los de arriba.
2. Crea la contraseña maestra.
3. Activa la verificación en dos pasos para la bóveda si te lo ofrecen. Elige una app de autenticación o una llave de acceso (passkey), no códigos por mensaje de texto. Mira apps de autenticación.
4. Si quieres, importa las contraseñas guardadas en tu navegador.
5. Deja que rellene tu próximo inicio de sesión. Solo rellena la contraseña en la web correcta, lo que ayuda contra las webs falsas.
6. Cambia primero la contraseña de tu correo. El correo muchas veces puede restablecer las contraseñas de tus otras cuentas. Mira protege tu correo.

Dudas frecuentes

¿Y si olvido mi contraseña maestra? La recuperación cambia según el producto. Bitwarden dice que no puede recuperar ni restablecer tu contraseña maestra. Infórmate sobre la recuperación antes de elegir. Mira códigos de recuperación y copias de seguridad.

¿Y las contraseñas guardadas en mi navegador? Eso también es un gestor de contraseñas. Bloquea tu dispositivo. Nunca guardes contraseñas en una computadora compartida.

¿Puedo compartir con mi familia? En algunos productos, sí. La app Contraseñas de Apple tiene grupos compartidos. 1Password y Proton Pass tienen planes familiares.

Qué hacer después

Usa una llave de acceso (passkey) primero cuando una web te la ofrezca. Mira llaves de acceso. Para una limpieza completa, mira la limpieza de cuentas en 30 minutos.

En tu país

Si una cuenta está en manos de un estafador, si le diste un código a alguien o si perdiste dinero, esto es lo que podemos decirte hoy:

• España: la Línea de Ayuda en Ciberseguridad de INCIBE, 017. Es gratuita y confidencial y atiende todos los días de 8:00 a 23:00. Si enviaste dinero, llama primero a tu banco y después denuncia ante las Fuerzas y Cuerpos de Seguridad del Estado (Policía Nacional o Guardia Civil).
• Argentina: denuncia en la comisaría o en la oficina receptora de denuncias que corresponda a tu domicilio. Lo indica el Centro Nacional de Ciberseguridad en argentina.gob.ar.
• México y Colombia: puede que en tu país el camino para denunciar sea distinto. Todavía no hemos comprobado las vías de denuncia en estos dos países. Mientras tanto, llama a tu banco y denuncia ante las autoridades de tu país.
• Estados Unidos y Reino Unido (si nos lees desde allí): reportfraud.ftc.gov en EE. UU. y reportfraud.police.uk (Report Fraud) en Inglaterra, Gales e Irlanda del Norte.

Haz esto hoy (unos 8 minutos)

1. Abre el gestor de contraseñas que ya tienes (Contraseñas de Apple, el Gestor de contraseñas de Google o el de tu navegador).
2. Crea o confirma la contraseña maestra o el bloqueo del dispositivo.
3. Cambia la contraseña de tu cuenta de correo principal por una nueva que cree el gestor.

Para otro día: elige un gestor independiente.

No escribas ninguna contraseña en esta web.

Revisado: 25 de octubre de 2026. Hemos mirado: las páginas de ayuda de Google Drive «Compartir archivos desde Google Drive» y «Dejar de compartir, limitar o cambiar la configuración para compartir», y la de búsqueda de archivos en Drive. Los pasos son para Google Drive en una computadora u ordenador. Las pantallas cambian. Si la tuya se ve distinta, busca la página de ayuda de la empresa.

En pocas palabras: un enlace con el ajuste «Cualquier persona con el enlace» sirve para cualquiera que lo tenga. Revisa los archivos con datos personales y cámbialos a «Restringido».

Compartir por enlace es cómodo, y fácil de olvidar

Compartir por enlace es rápido. Copias un enlace, lo envías y la otra persona abre el archivo. La mayoría de los enlaces compartidos son inofensivos, como una receta o el plan de una fiesta.

Puede que te olvides de que el enlace existe. Esta guía te ayuda a revisar los que importan. No tienes que dejar de compartir. Solo conviene saber qué archivos están abiertos a cualquiera que tenga el enlace.

Qué significan «Restringido» y «Cualquier persona con el enlace»

En Documentos, Hojas de cálculo, Presentaciones y Drive de Google, el ajuste Acceso general decide quién puede abrir un archivo. Google describe estas opciones:

• Restringido: solo pueden abrir el archivo las personas con acceso. Las añades por correo.
• Cualquier persona con el enlace: cualquiera que tenga el enlace puede usar tu archivo, sin iniciar sesión en una cuenta de Google.
• Público: cualquiera puede buscar en Google y acceder a tu archivo, sin iniciar sesión.

Las opciones que ves dependen de si tu cuenta es de Gmail, de trabajo o de un centro educativo.

Qué puede hacer cada persona

Los permisos son reglas sobre lo que una persona puede hacer con un archivo. Google usa tres roles:

• Lector puede abrir el archivo.
• Comentador puede abrirlo y añadir comentarios.
• Editor puede cambiarlo.

Cuando compartes un enlace, eliges un rol. Elige Lector, salvo que las personas necesiten cambiar el archivo. Cuando alguien no ha iniciado sesión, Google lo muestra en tu archivo como un «animal anónimo». No verás su nombre.

Cómo viaja un enlace

Un enlace es como una llave que cualquiera puede copiar. Alguien puede reenviarlo en un correo, pegarlo en un chat o mostrarlo en una pantalla compartida. No puedes controlar quién lo pasa a otros. Tu nombre y tu correo también aparecen como propietario de un archivo que compartes por enlace.

Qué no compartir por enlace

Para archivos como estos, usa Restringido y añade a las personas una por una:

• escaneos de documentos de identidad o pasaportes
• documentos del banco o de impuestos
• notas médicas
• contraseñas (un gestor de contraseñas es el lugar seguro para ellas)
• fotos de menores

Revisa un archivo

1. Abre el archivo y haz clic en Compartir.
2. En Acceso general, abre la lista desplegable.
3. Elige Restringido y haz clic en Hecho.
4. Mira las personas con acceso. Quita a quien ya no lo necesite. Cambia los Editores a Lectores donde puedas. Si el archivo está en una carpeta compartida, quitar a alguien puede cambiar su acceso a toda la carpeta.

Para ver quién tiene acceso sin abrir el cuadro Compartir, haz clic con el botón derecho en el archivo y abre Información del archivo y luego Detalles. Google dice que se abre un panel que muestra quién es el propietario del archivo y quién tiene acceso.

Encuentra los archivos que compartiste por enlace

Empieza por los archivos con datos personales, como escaneos de documentos de identidad, papeles de impuestos y notas de salud. Abre cada uno, haz clic en Compartir y lee la línea bajo Acceso general. Si dice «Cualquier persona con el enlace», cámbialo a Restringido.

Si usas Google en español de Latinoamérica, algunos nombres cambian: «Cualquier persona que tenga el vínculo» (en lugar de «Cualquier persona con el enlace»), «Comentarista» (en lugar de «Comentador»), «Listo» (en lugar de «Hecho»), «Agregar fecha de vencimiento» (en lugar de «Añadir caducidad») y «Quitar el acceso» (en lugar de «Quitar acceso»). El significado es el mismo.

Las páginas de ayuda de Google no describen una forma de buscar en Drive los archivos compartidos por enlace, así que revisa uno por uno los archivos que importan.

Formas más seguras de compartir

• Añade a las personas por correo en lugar de enviar un enlace abierto.
• Da acceso de Lector cuando puedas.
• Deja de compartir cuando termine el proyecto. Abre el archivo, haz clic en Compartir, busca a la persona, elige Quitar acceso y haz clic en Guardar.
• Desactiva «Los editores pueden cambiar permisos y compartir». Así los editores no pueden compartir ese archivo. Abre Compartir, haz clic en Configuración, desmárcala y haz clic en Hecho. Si el archivo está en una carpeta compartida, los editores de la carpeta aún pueden compartir la carpeta.
• Si usas una cuenta de trabajo o de un centro educativo que cumpla los requisitos, puedes poner una fecha de caducidad al acceso de una persona con Añadir caducidad.

Si publicas un archivo en la Web, es distinto. Google dice que, según tu configuración, publicar puede hacer que un archivo sea visible para todo el mundo en la Web. Para quitarlo, tienes que dejar de publicarlo.

Cuentas de trabajo y de centros educativos

Las cuentas de trabajo y de centros educativos pueden tener otras reglas, fijadas por el centro o la empresa. Un administrador (la persona que gestiona las cuentas de tu centro o empresa) puede impedirte compartir fuera de la organización. Si no puedes cambiar un ajuste, pregunta a tu administrador.

Términos relacionados: cualquier persona con el enlace, enlace público, permisos, almacenamiento en la nube, ajustes de privacidad, metadatos. Para el resto de tus cuentas, mira la limpieza de cuentas en 30 minutos. Tu cuenta de correo también importa aquí: mira cómo proteger tu cuenta de correo.

Haz esto hoy (unos 8 minutos)

1. Abre Google Drive y elige los tres archivos con más datos personales.
2. En cada uno, haz clic en Compartir. Si dice «Cualquier persona con el enlace», cámbialo a Restringido.
3. Quita de la lista a quien ya no necesite acceso. Si el archivo está en una carpeta compartida, quitar a alguien puede cambiar su acceso a toda la carpeta.

No escribas nunca un código ni una contraseña en esta web, y nunca le leas un código a alguien que se ponga en contacto contigo.

Revisado: 25 de octubre de 2026. Hemos mirado: páginas de consejos de agencias de consumo y ciberseguridad de EE. UU. y del Reino Unido, la página «Actualiza el software» de la agencia estadounidense CISA, la ayuda de la cuenta de Google (códigos de recuperación) y las preguntas frecuentes de Have I Been Pwned. El tiempo de cada paso es una estimación y no se ha probado en una cuenta real. Las pantallas cambian. Si la tuya se ve distinta, busca la página de ayuda de la empresa.

En pocas palabras: no necesitas un fin de semana entero. Cinco pasos pequeños, unos 30 minutos en total, hacen que tus cuentas sean más difíciles de robar. Puedes parar después de cualquier paso.

Cómo funciona

Pon un temporizador para cada paso. Cuando suene, pasa al siguiente o para por hoy. Una limpieza a medias también sirve. Los primeros pasos son los que más importan.

Esto no te hará «seguro» para siempre. Hace que tus cuentas sean más difíciles de robar, y eso ya es un buen resultado.

Minutos 0-5: protege tu correo principal

Tu cuenta de correo puede restablecer las contraseñas de tus otras cuentas, así que es la primera que conviene proteger. Usa una contraseña fuerte y única. Añade un segundo paso (una comprobación extra al iniciar sesión). Revisa tu teléfono y tu correo de recuperación.

Los pasos completos están en Cómo proteger tu cuenta de correo. La primera vez puede llevarte más tiempo. No pasa nada.

Minutos 5-10: usa un gestor de contraseñas

Un gestor de contraseñas es una app que crea y recuerda una contraseña distinta para cada cuenta. Puede que tu teléfono o tu navegador ya tengan uno integrado. Es difícil crear y recordar una contraseña fuerte y distinta para cada cuenta. Una herramienta integrada o un gestor de contraseñas puede hacerlo por ti.

Cambia primero la contraseña de tu correo. Después cambia la de la otra cuenta que más te importe, como la del banco. Si esto es nuevo para ti, mira la guía de gestores de contraseñas.

Minutos 10-20: activa un segundo paso

Un segundo paso se llama verificación en dos pasos (2FA). Pide algo más que tu contraseña. Actívala en:

• tu correo
• tu banco y tus apps de dinero
• tus cuentas de Apple, Google y Microsoft
• tus redes sociales

Elige una llave de acceso (passkey) o una app de autenticación si la cuenta te lo ofrece. Una app de autenticación o una llave de seguridad (un pequeño dispositivo que conectas al teléfono o a la computadora u ordenador) es más segura que un código enviado por mensaje de texto. Las llaves de acceso deberían ser tu primera opción donde un servicio las ofrezca. Usa un mensaje de texto solo cuando no haya otra cosa.

No intentes terminar todas las cuentas hoy. Empieza por el correo y después las cuentas de dinero.

Minutos 20-25: guarda tus opciones de recuperación

Las opciones de recuperación te ayudan a volver a entrar si pierdes el teléfono o la contraseña. Comprueba que tu teléfono y tu correo de recuperación estén al día y sean tuyos. Si una cuenta te da códigos de recuperación, guárdalos en un lugar seguro, como una copia impresa junto con tus papeles importantes. No los compartas con nadie. Mira Códigos de recuperación y copias de seguridad.

Minutos 25-30: quita lo que no uses

Cuantas menos cuentas viejas, menos sitios que proteger. Elige una o dos de estas cosas para hoy.

• Cierra las cuentas que ya no uses. Cerrar una cuenta puede ser permanente, así que guarda antes las fotos o los documentos que necesites. No cierres en este paso tu cuenta principal de correo, de Google, de Microsoft ni de Apple. Cerrarlas también puede quitarte otros servicios. Busca en los ajustes de la cuenta «eliminar cuenta» o «cerrar cuenta». Algunos servicios lo esconden, así que busca la página de ayuda de la empresa.
• Quita las apps viejas. Borra las apps que ya no uses. Esto no siempre cierra la cuenta que hay detrás.
• Quita los inicios de sesión viejos. En tu cuenta de correo, mira la lista de dispositivos y cierra la sesión en los viejos. Mira la guía del correo.
• Revisa lo que compartes. Mira los archivos que compartes por enlace: Google Docs y «Cualquier persona con el enlace».

No tienes por qué sentirte mal por las cuentas viejas. La mayoría de las personas tiene algunas.

Comprueba si hubo una filtración de datos. Una filtración de datos ocurre cuando los datos de una empresa quedan expuestos y tus datos pueden estar entre ellos. Un servicio gratuito llamado Have I Been Pwned (haveibeenpwned.com; la web está en inglés) te deja escribir una dirección de correo para ver qué filtraciones conocidas la incluyen. Nunca escribas una contraseña en una web de comprobación de filtraciones. Un resultado de «no encontrado» no demuestra que nunca hayas estado en una filtración. El servicio dice que solo tiene una parte pequeña de todas las filtraciones.

Mantén el hábito

Una vez cada tres meses, dedica menos de 10 minutos a una revisión rápida. Haz tres cosas:

1. Instala las actualizaciones de tu teléfono, tu computadora y tus apps. Las actualizaciones arreglan problemas de seguridad. Activa las actualizaciones automáticas si puedes.
2. Mira tus dispositivos y tus inicios de sesión.
3. Cierra una cuenta que ya no uses. Guarda antes lo que necesites.

Tu lista de comprobación

Copia esta lista en una app de notas o imprímela.

• ☐ Correo: contraseña fuerte o llave de acceso, segundo paso, opciones de recuperación
• ☐ Gestor de contraseñas empezado; contraseñas del correo y del banco cambiadas
• ☐ Segundo paso en el correo, el dinero, las cuentas de Apple, Google y Microsoft y las redes sociales
• ☐ Opciones de recuperación revisadas; códigos de recuperación guardados en un lugar seguro
• ☐ Una cuenta sin uso cerrada; apps e inicios de sesión viejos quitados
• ☐ Dirección de correo comprobada en un servicio de filtraciones
• ☐ Actualizaciones al día, con las automáticas activadas si te las ofrecen
• ☐ Próxima revisión fijada para dentro de tres meses

En tu país

Si una cuenta está en manos de un estafador, si le diste un código a alguien o si perdiste dinero, esto es lo que podemos decirte hoy:

• España: la Línea de Ayuda en Ciberseguridad de INCIBE, 017. Es gratuita y confidencial y atiende todos los días de 8:00 a 23:00. Si enviaste dinero, llama primero a tu banco y después denuncia ante las Fuerzas y Cuerpos de Seguridad del Estado (Policía Nacional o Guardia Civil).
• Argentina: denuncia en la comisaría o en la oficina receptora de denuncias que corresponda a tu domicilio. Lo indica el Centro Nacional de Ciberseguridad en argentina.gob.ar.
• México y Colombia: puede que en tu país el camino para denunciar sea distinto. Todavía no hemos comprobado las vías de denuncia en estos dos países. Mientras tanto, llama a tu banco y denuncia ante las autoridades de tu país.
• Estados Unidos y Reino Unido (si nos lees desde allí): reportfraud.ftc.gov en EE. UU. y reportfraud.police.uk (Report Fraud) en Inglaterra, Gales e Irlanda del Norte.

Términos relacionados: verificación en dos pasos, app de autenticación, código de recuperación, ajustes de privacidad, robo de identidad, inicio de sesión único.

Haz esto hoy (unos 9 minutos)

1. Pon un temporizador de 9 minutos.
2. Haz solo el primer paso: proteger tu cuenta de correo principal. Revisa la contraseña, el segundo paso y las opciones de recuperación.
3. Detente cuando suene el temporizador. Los demás pasos pueden esperar a otro día.

No escribas nunca un código ni una contraseña en esta web, y nunca le leas un código a alguien que se ponga en contacto contigo.

Revisado: 25 de octubre de 2026. Hemos mirado: la FIDO Alliance, el NCSC (el centro de ciberseguridad del Reino Unido; su página sobre llaves de acceso y un artículo del 23 de abril de 2026), el NIST, el soporte de Apple (llaves de acceso y Llavero de iCloud; las páginas en inglés se publicaron el 16 de septiembre de 2024 y el 1 de octubre de 2026), la ayuda de la cuenta de Google y el soporte de Microsoft (crear y guardar una llave de acceso). El ejemplo paso a paso usa una cuenta de Google. Las pantallas cambian. Si la tuya se ve distinta, busca la página de ayuda de la empresa.

En pocas palabras: una llave de acceso (passkey) te deja iniciar sesión con tu huella, tu cara o el bloqueo de pantalla del teléfono, en lugar de escribir una contraseña. El NCSC dice que conviene usar llaves de acceso donde un servicio las ofrezca.

Por qué la gente se aleja de las contraseñas

Las contraseñas son difíciles de recordar y fáciles de entregar. Un delincuente puede engañarte para que escribas una en una web falsa, o robarla de los datos de una empresa. Las llaves de acceso son una forma más nueva de iniciar sesión.

Qué es una llave de acceso

Una llave de acceso es un método de inicio de sesión que sustituye a tu contraseña. Apple y la FIDO Alliance (el grupo de la industria que está detrás del estándar) explican cómo funciona. Esta es una imagen simplificada.

Cuando creas una llave de acceso, tu dispositivo hace un par de claves digitales para esa web. Piensa en un candado y una llave. La web guarda el candado. Es la clave pública, y no es un secreto. Tu dispositivo guarda la llave. Es la clave privada, y la web nunca la ve.

Para usar la llave, desbloqueas tu dispositivo como siempre. Puede ser con la huella, con la cara o con el PIN de pantalla. Google dice que los datos de tu huella o de tu cara se quedan en tu dispositivo y nunca se comparten con Google. La biometría usa tu cuerpo, por ejemplo una huella, para demostrar quién eres.

Por qué es más segura

• No hay nada que escribir. No tienes una contraseña que escribir en una web falsa.
• Solo funciona en la web verdadera. Tu dispositivo une cada llave de acceso al servicio real. Por eso las llaves de acceso resisten el phishing. El phishing es un mensaje falso que te engaña para que entregues una contraseña o un código.
• Hay menos que robar. La web guarda la clave pública, que no es un secreto. FIDO dice que, si se filtra la lista de contraseñas de una web, ya no importa, porque en ella no hay contraseñas. Mira filtración de datos.
• Siempre es fuerte. Nunca inventas ni repites una contraseña.

Las llaves de acceso no lo resuelven todo. Sigues dependiendo de tu dispositivo y de la cuenta que protege tus llaves de acceso. FIDO dice que una llave de acceso guardada en una llave de seguridad física da el nivel más alto de garantía, y que la sincronización (la copia automática) entre dispositivos usa cifrado de extremo a extremo (queda bloqueada para que la empresa que la guarda no pueda leerla). Lo importante es lo bien protegida que esté la cuenta que sincroniza tus llaves de acceso.

Dónde viven las llaves de acceso

Una llave de acceso se guarda en un gestor de credenciales. Es la parte de tu dispositivo o de tu cuenta que guarda las llaves de acceso. Muchas veces viene integrado en tu teléfono o computadora u ordenador, como la app Contraseñas de Apple (Llavero de iCloud), el Gestor de contraseñas de Google (en Latinoamérica, Administrador de contraseñas de Google) o el Administrador de contraseñas de Microsoft. Algunos gestores de contraseñas también guardan llaves de acceso.

Muchos gestores de credenciales sincronizan las llaves de acceso con tus otros dispositivos. Apple dice que el Llavero de iCloud usa cifrado de extremo a extremo. Eso significa que tus llaves de acceso se bloquean con una clave hecha a partir de tu dispositivo y tu código, así que Apple no puede leerlas. Un gestor de credenciales también hace una copia de seguridad, así que no deberías perder del todo tus llaves de acceso si pierdes un dispositivo. Una llave de acceso guardada solo en una llave de seguridad, o en un solo dispositivo, no se sincroniza. Apple dice que el Llavero de iCloud debe estar activado y que la autenticación de doble factor (en Latinoamérica, «autenticación de dos factores») debe estar activada en tu cuenta de Apple. Google dice que necesitas como mínimo Android 9, iOS 16, Windows 10 o macOS Ventura, un navegador actualizado y un bloqueo de pantalla en el teléfono.

Cómo crear una (ejemplo con una cuenta de Google)

Comprobado en la página de ayuda de Google en octubre de 2026.

1. En un teléfono o una computadora que sea tuyo, ve a myaccount.google.com/signinoptions/passkeys.
2. Inicia sesión si Google te lo pide.
3. Elige Crear llave de acceso (en Latinoamérica, Crear una llave de acceso) y sigue los pasos de la pantalla. Los nombres de los botones pueden ser distintos en tu dispositivo.
4. La próxima vez, inicia sesión y elige la llave de acceso cuando te la ofrezcan.

Google dice que crees llaves de acceso solo en dispositivos que sean tuyos, porque cualquiera que pueda desbloquear ese dispositivo puede entrar en tu cuenta. No crees una en una computadora compartida. Google también dice que una llave de acceso nueva puede tardar hasta 7 días en estar disponible al iniciar sesión.

Para una cuenta personal de Microsoft, la página de Microsoft dice que vayas a account.live.com/proofs/manage y elijas Agregar una nueva forma de iniciar sesión o verificar. Microsoft usa en español el nombre «clave de paso» para lo que aquí llamamos llave de acceso. Otros servicios escriben «clave de acceso» o «passkey» (por ejemplo, Bitwarden y 1Password). Es lo mismo.

Inicia sesión en el dispositivo de otra persona

Google describe cómo usar la llave de acceso de tu teléfono para iniciar sesión en una computadora que no es tuya:

1. En la página de inicio de sesión de la computadora, elige Probar otra manera (en Latinoamérica, Probar otro método) y usa tu llave de acceso.
2. En la pantalla aparece un código QR (un cuadrado con un dibujo que tu cámara puede leer). Escanéalo con la cámara del teléfono.
3. Confirma con tu huella, tu cara o tu PIN en el teléfono.

Google dice que actives el Bluetooth para esto. Hazlo solo en una computadora de confianza y cierra la sesión cuando termines.

Si pierdes el teléfono

No hay motivo para preocuparse. Si tus llaves de acceso se sincronizan, también están en tus otros dispositivos o en tu cuenta. En una cuenta de Google, quita la llave de acceso del dispositivo perdido o cierra la sesión en ese dispositivo. Después sigue los pasos de tu proveedor. Mantén al día tus opciones de recuperación y códigos de respaldo. Google dice que añadir una llave de acceso no quita tus otras opciones de recuperación.

Los límites, con sinceridad

• Todavía no todas las webs ofrecen llaves de acceso.
• Donde una web no tiene llaves de acceso, usa una contraseña fuerte de un gestor de contraseñas, más un segundo paso (una comprobación extra después de tu contraseña, como un código de una app). Mira la verificación en dos pasos.
• Algunas cuentas de trabajo o de centros educativos solo permiten llaves de acceso como segundo paso. Lo decide tu centro o tu empresa. Su administrador (la persona que gestiona esas cuentas) fija las reglas.

¿Llaves de acceso o una app de autenticación?

Usa llaves de acceso donde un servicio las admita y la verificación en dos pasos (una comprobación extra después de tu contraseña) donde no. Así que elige primero una llave de acceso. Una app de autenticación es la siguiente mejor opción. Los códigos por mensaje de texto son la última opción. Lee por qué los códigos por SMS son más débiles. Empieza por tu cuenta de correo.

Palabras relacionadas: llave de acceso, verificación en dos pasos (2FA).

En tu país

Si una cuenta está en manos de un estafador, si le diste un código a alguien o si perdiste dinero, esto es lo que podemos decirte hoy:

• España: la Línea de Ayuda en Ciberseguridad de INCIBE, 017. Es gratuita y confidencial y atiende todos los días de 8:00 a 23:00. Si enviaste dinero, llama primero a tu banco y después denuncia ante las Fuerzas y Cuerpos de Seguridad del Estado (Policía Nacional o Guardia Civil).
• Argentina: denuncia en la comisaría o en la oficina receptora de denuncias que corresponda a tu domicilio. Lo indica el Centro Nacional de Ciberseguridad en argentina.gob.ar.
• México y Colombia: puede que en tu país el camino para denunciar sea distinto. Todavía no hemos comprobado las vías de denuncia en estos dos países. Mientras tanto, llama a tu banco y denuncia ante las autoridades de tu país.
• Estados Unidos y Reino Unido (si nos lees desde allí): reportfraud.ftc.gov en EE. UU. y reportfraud.police.uk (Report Fraud) en Inglaterra, Gales e Irlanda del Norte.

Haz esto hoy (unos 8 minutos)

1. Abre los ajustes de seguridad de tu cuenta de Google o de Microsoft.
2. Crea una llave de acceso en un dispositivo que sea tuyo. En un iPhone o un Mac, guarda una llave de acceso la próxima vez que una web o una app te ofrezca una. Apple dice que el Llavero de iCloud debe estar activado.

Para otro día: la próxima vez que inicies sesión, elige la llave de acceso. Google puede tardar hasta 7 días en ofrecer una llave de acceso nueva. Si no te la ofrece, inicia sesión como siempre e inténtalo más tarde.

No escribas nunca un código ni una contraseña en esta web, y nunca le leas un código a alguien que se ponga en contacto contigo.

Revisado: 25 de octubre de 2026. Hemos mirado: NIST SP 800-63B-4 (julio de 2025), páginas de agencias de ciberseguridad, consumo y policía de EE. UU. y del Reino Unido, la ayuda de la cuenta de Google (verificación en dos pasos) y las páginas de ayuda de Apple y Google sobre las notificaciones en la pantalla bloqueada. Las pantallas cambian. Si la tuya se ve distinta, busca la página de ayuda de la empresa.

En pocas palabras: un código por mensaje de texto es mucho mejor que una contraseña sola. Otros segundos pasos son más fuertes. Cuando puedas, pasa a una llave de acceso (passkey) o a una app de autenticación.

Primero: no lo estás haciendo mal

Si usas códigos por mensaje de texto, no hay motivo para preocuparse. Ya estás más seguro que quien solo tiene una contraseña. Un código por SMS es mejor que no tener segundo paso.

Esta guía te ayuda a ir de bien a mejor. Nada de lo que sigue significa «apágalo ya». No quites un código por mensaje de texto hasta que otro método mejor funcione.

Cómo funciona un código por mensaje de texto

Una web o una app envía un número corto a tu número de teléfono. Es un SMS, es decir, un mensaje de texto. Tú escribes el número en la web. Así la web sabe que tienes el teléfono. Esto es la verificación en dos pasos (2FA): una segunda comprobación después de tu contraseña.

Por qué es la opción común más débil

CISA (la agencia de ciberseguridad de EE. UU.) pone los códigos por texto y por voz en último lugar en su lista de segundos pasos. NIST (la agencia de estándares de EE. UU.) llama a este método «restringido» (restricted) y lo describe como un enfoque menos seguro. Estas son las razones principales. Cada una es una sola idea.

1. Alguien puede quedarse con tu número de teléfono. Esto se llama duplicado fraudulento de SIM (en inglés, SIM swapping). Un delincuente engaña a tu compañía telefónica para que mueva tu número a una tarjeta SIM que tiene el delincuente. Una tarjeta SIM es el pequeño chip que une un teléfono con tu número. Entonces tus llamadas y mensajes van al delincuente. El FBI dice que así los delincuentes pueden recibir tus códigos por texto y restablecer tus contraseñas. Para saber más, lee duplicado fraudulento de SIM.

2. Una web falsa puede pedirte el código. Phishing es un mensaje o una web falsa que copia a una real. Una web falsa puede pedir tu contraseña y después tu código por texto. El delincuente escribe las dos cosas en la web real enseguida. CISA avisa de esto. Los códigos de una app también pueden caer en este engaño. Una llave de acceso está diseñada para resistirlo.

3. Un código puede verse en la pantalla bloqueada. Según tus ajustes, el teléfono puede mostrar el principio de un mensaje en la pantalla bloqueada. Alguien que tenga tu teléfono podría ver el código. Puedes cambiarlo en los ajustes de notificaciones de tu teléfono, por ejemplo ocultando la vista previa de los mensajes. Mira la página de ayuda de tu teléfono. NIST dice que un servicio no debería mostrar un código en un dispositivo bloqueado.

4. Sin cobertura puede no haber código. Un mensaje de texto necesita cobertura. NIST señala que quien está en un lugar con poca cobertura puede no recibir estos códigos. Una app de autenticación funciona sin cobertura, como también indica Google.

Estos puntos describen el método, no a ti.

Qué usar en su lugar, en este orden

1. Una llave de acceso (passkey) o una llave de seguridad. Una llave de acceso te deja iniciar sesión con tu huella, tu cara o el bloqueo de pantalla del teléfono. Una llave de seguridad es un pequeño dispositivo que conectas o acercas. Las dos te protegen de las webs falsas. Lee llaves de acceso.
2. Una app de autenticación. Es una app del teléfono. Muestra un código corto nuevo cada cierto tiempo. No usa la red del teléfono, así que también funciona sin cobertura. Lee apps de autenticación.

No todos los servicios ofrecen estas opciones. Usa la mejor que tenga el servicio.

Cómo cambiar con seguridad

Sigue estos pasos en este orden.

1. Añade primero el método nuevo. Por ahora, deja el código por mensaje de texto.
2. Pruébalo. Cierra sesión y vuelve a iniciarla con el método nuevo.
3. Guarda tus códigos de recuperación en un lugar seguro. Son códigos de un solo uso para cuando pierdas el teléfono.
4. Quita los mensajes de texto solo si el servicio te deja. Algunos no.

Nunca quites tu único método. Si lo haces, podrías perder el acceso a tu cuenta.

Si un servicio solo ofrece mensajes de texto

Algunos servicios solo ofrecen códigos por texto. Sigue usándolos. Es mejor que nada. Después protege tu número de teléfono:

• Pregunta a tu compañía telefónica si puedes añadir un PIN o una contraseña a tu cuenta. Un PIN es un número que solo tú conoces. Los pasos están en duplicado fraudulento de SIM.
• No compartas un código con nadie.
• Usa una contraseña fuerte y única para esa cuenta.

Cómo puede ser un mensaje de estafa

Los estafadores pueden enviarte un código que no pediste. Pueden llamarte y decir que son de tu banco. Después te piden que les leas el código.

No lo hagas. Cualquiera que se ponga en contacto contigo y te pida tu código de verificación es un estafador. Google dice que no te llamará para verificar un código. Una empresa real no te pedirá que le leas un código a alguien que te llamó o te escribió. Nunca le leas un código a alguien que se puso en contacto contigo primero.

Si te pasa, cuelga y deja de responder. Llama a la empresa a un número de su web oficial, de tu extracto (o estado de cuenta) o de su app.

En España puedes reenviar el mensaje o una captura al formulario de reporte de fraude de INCIBE (incibe.es/ciudadania/ayuda/reporte-de-fraude). En otros países, avisa a tu banco y a tu compañía telefónica. No toques el enlace del mensaje.

Tu cuenta de correo es la puerta principal a tus otras cuentas, así que protégela primero. Lee protege tu correo. Para aprender lo básico de la 2FA, lee verificación en dos pasos.

En tu país

Si una cuenta está en manos de un estafador, si le diste un código a alguien o si perdiste dinero, esto es lo que podemos decirte hoy:

• España: la Línea de Ayuda en Ciberseguridad de INCIBE, 017, te orienta pero no recibe denuncias. Es gratuita y confidencial y atiende todos los días de 8:00 a 23:00. Si enviaste dinero, llama primero a tu banco y después denuncia ante las Fuerzas y Cuerpos de Seguridad del Estado (Policía Nacional o Guardia Civil).
• Argentina: denuncia en la comisaría o en la oficina receptora de denuncias que corresponda a tu domicilio. Lo indica el Centro Nacional de Ciberseguridad en argentina.gob.ar.
• México: avisa a tu banco enseguida y presenta una denuncia ante el Ministerio Público de tu estado. En la Ciudad de México también existe la Policía Cibernética de la SSC.
• Colombia: puedes denunciar en línea con la Policía Nacional, en su página de ciberseguridad (policia.gov.co/ciberseguridad), o en el sistema ¡ADenunciar! (opción «Delitos informáticos»). Avisa también a tu banco.
• Estados Unidos y Reino Unido (si nos lees desde allí): reportfraud.ftc.gov en EE. UU. y reportfraud.police.uk (Report Fraud) en Inglaterra, Gales e Irlanda del Norte.

Haz esto hoy (unos 8 minutos)

1. Abre los ajustes de seguridad de tu cuenta de correo principal.
2. Añade una llave de acceso o una app de autenticación como segundo paso.
3. Pruébalo. Cierra sesión y vuelve a iniciarla con el método nuevo.
4. Guarda tus códigos de recuperación en un lugar seguro.
5. Si el servicio lo permite, quita los códigos por mensaje de texto.

No escribas nunca un código ni una contraseña en esta web, y nunca le leas un código a alguien que se ponga en contacto contigo.

Revisado: 25 de octubre de 2026. Hemos mirado: páginas de agencias de consumo y ciberseguridad de EE. UU. y del Reino Unido, la ayuda de la cuenta de Google y de Gmail, el soporte de Microsoft (actividad reciente, reenvío y reglas de Outlook), el soporte de Apple (dispositivos de la cuenta de Apple, reenvío y reglas de iCloud Mail) y la ayuda de Yahoo. Las pantallas cambian. Si la tuya se ve distinta, busca la página de ayuda de la empresa.

En pocas palabras: tu cuenta de correo puede restablecer las contraseñas de tus otras cuentas, así que protégela primero. Usa una contraseña fuerte y única, o una llave de acceso (passkey), añade un segundo paso y busca ajustes que tú no hiciste.

Por qué el correo es la llave maestra

Haz clic en «Olvidé mi contraseña» en una tienda en línea. La web envía un enlace para restablecerla a tu bandeja de entrada. Quien controle tu bandeja de entrada puede usar ese enlace.

Si alguien entra en tu correo, puede pedir un enlace de restablecimiento para cualquiera de tus otras cuentas. Después puede cambiar la contraseña y dejarte fuera. Por eso tu correo es la cuenta más importante que proteger.

No hay motivo para el pánico. Seis comprobaciones hacen más difícil que alguien se apodere de tu correo.

Paso 1: da a tu correo una contraseña fuerte y única, o una llave de acceso

«Única» quiere decir que no la usas para nada más. Si la repites y otra web la pierde, a un delincuente le basta esa contraseña. Si ya la repites en otros sitios, cámbiala cuanto antes.

Un gestor de contraseñas puede crear y recordar una contraseña larga por ti. Una llave de acceso (passkey) es una forma más nueva de iniciar sesión con tu huella, tu cara o el bloqueo de pantalla, en lugar de escribir una contraseña. Google dice que puedes crear una en su Revisión de Seguridad.

Paso 2: añade un segundo paso que no sea un mensaje de texto

Un segundo paso se llama verificación en dos pasos (2FA). Así, una contraseña robada ya no basta para entrar. Elige una llave de acceso o una app de autenticación. Google dice que los códigos por mensaje de texto son vulnerables a trucos habituales de phishing (estafas que te engañan para que entregues un código). Google cita las llaves de seguridad (pequeños dispositivos que conectas al teléfono o a la computadora u ordenador) y las notificaciones de Google como opciones más fuertes. Usa un mensaje de texto solo si no te ofrecen otra cosa.

Paso 3: revisa tus opciones de recuperación

Las opciones de recuperación son el número de teléfono y el correo de recuperación que el proveedor usa para ayudarte a volver a entrar. Comprueba que cada uno esté al día y sea tuyo. Quita los antiguos, como un número de teléfono que ya no tienes. Google dice que estos datos también pueden avisarte de actividad sospechosa.

Guarda también tus códigos de recuperación, si tu proveedor los ofrece.

Paso 4: revisa dónde tienes la sesión iniciada

Mira tus dispositivos y los últimos inicios de sesión. Cierra la sesión en cualquier dispositivo que no conozcas. Microsoft dice que las compañías de telefonía pueden enrutar la actividad por otros lugares, así que un lugar extraño no siempre es un problema. Un dispositivo que no conoces es la señal más clara.

Paso 5: busca cambios que tú no hiciste

Una persona que entra una vez puede dejar una forma de volver a entrar. Revisa tres sitios:

• Reenvío. Envía una copia de tu correo nuevo a otra dirección. Gmail, Outlook e iCloud Mail lo tienen. Alguien podría leer tu correo sin iniciar sesión.
• Filtros o reglas. Mueven, ocultan o borran mensajes por sí solos.
• Apps con acceso. Algunas apps y webs pueden entrar en tu buzón o en tu cuenta. Quita las que no conozcas o ya no uses.

Borra todo lo que tú no configuraste. Si no configuraste una dirección de reenvío, cambia también tu contraseña.

Paso 6: no escribas tu contraseña después de tocar un enlace

El phishing es un mensaje, una página o una llamada falsa que te engaña para que entregues una contraseña, un código u otros datos privados. Si un mensaje dice que hay un problema con tu correo, no toques su enlace. Abre tú mismo la web o la app de tu proveedor de correo. Google dice que nunca te pide la contraseña en un correo, un mensaje ni una llamada.

Dónde mirar en cuatro proveedores comunes

Gmail / cuenta de Google

• Gestionar tu cuenta de Google > Seguridad e inicio de sesión > Revisión de Seguridad (busca «Acciones recomendadas», si aparece).
• En Gmail, abre Ajustes > Ver todos los ajustes. Revisa la pestaña «Reenvío y correo POP/IMAP» y revisa tus filtros.
• Abre la página de aplicaciones vinculadas de tu cuenta de Google para revisar y quitar el acceso.

Outlook / cuenta de Microsoft

• Inicia sesión en tu cuenta de Microsoft, abre Seguridad y mira la Actividad reciente (los últimos 30 días).
• En Outlook, abre Configuración > Correo > Reenvío (o Reenvío e IMAP) y revisa Correo > Reglas.
• La lista de actividad de Microsoft muestra «Permiso otorgado a una aplicación» cuando dejas entrar a una app en tu cuenta. Si ves una que no reconoces, cambia tu contraseña.

Cuenta de Apple / iCloud Mail

• En un iPhone: Ajustes > [tu nombre], y baja para ver tus dispositivos. Toca uno para ver «Eliminar de la cuenta».
• En icloud.com/mail: Ajustes > Reenvío. Comprueba que «Reenviar a» esté desactivado, salvo que lo hayas configurado tú.
• En los mismos ajustes, revisa las Reglas.

Yahoo

• Abre la página de seguridad de la cuenta de Yahoo. Revisa «Sesiones actuales», «Conexiones externas» y «Actividad reciente de la cuenta».
• Cierra la sesión en cualquier dispositivo que no conozcas. Para quitar una app, borra su contraseña de app.
• Revisa también los filtros en la configuración de Yahoo Mail. El reenvío es una función de Yahoo Mail Plus, así que puede que una cuenta gratuita no la tenga.

Si usas Google, Apple o Microsoft en español de Latinoamérica, algunos nombres cambian. En Gmail: Configuración > Ver toda la configuración. En tu cuenta de Google: Administrar tu Cuenta de Google > Seguridad y acceso > Verificación de seguridad. En iPhone: Configuración > [tu nombre]. En icloud.com/mail: Configuración > Reenviar correo, opción «Reenviar mi correo a».

Si crees que alguien entró

Sigue estos pasos en orden:

1. Usa un dispositivo de confianza. Cambia la contraseña de tu correo.
2. Cierra la sesión en todos los dispositivos.
3. Revisa el reenvío, los filtros y las apps con acceso.
4. Revisa tu teléfono y tu correo de recuperación.
5. Avisa a tus contactos de que no toquen enlaces ni envíen dinero si reciben un mensaje tuyo.

En tu país

Si una cuenta está en manos de un estafador, si le diste un código a alguien o si perdiste dinero, esto es lo que podemos decirte hoy:

• España: la Línea de Ayuda en Ciberseguridad de INCIBE, 017. Es gratuita y confidencial y atiende todos los días de 8:00 a 23:00. Si enviaste dinero, llama primero a tu banco y después denuncia ante las Fuerzas y Cuerpos de Seguridad del Estado (Policía Nacional o Guardia Civil).
• Argentina: denuncia en la comisaría o en la oficina receptora de denuncias que corresponda a tu domicilio. Lo indica el Centro Nacional de Ciberseguridad en argentina.gob.ar.
• México y Colombia: puede que en tu país el camino para denunciar sea distinto. Todavía no hemos comprobado las vías de denuncia en estos dos países. Mientras tanto, llama a tu banco y denuncia ante las autoridades de tu país.
• Estados Unidos y Reino Unido (si nos lees desde allí): reportfraud.ftc.gov en EE. UU. y reportfraud.police.uk (Report Fraud) en Inglaterra, Gales e Irlanda del Norte. En Escocia, llama a Police Scotland (la policía de Escocia) al 101.

Para una revisión más amplia de tus otras cuentas, mira la limpieza de cuentas en 30 minutos. Términos relacionados: robo de cuenta, inicio de sesión único, código de recuperación.

Haz esto hoy (unos 9 minutos)

1. Abre la revisión de seguridad de tu proveedor de correo (por ejemplo, la Revisión de Seguridad de Google o la página de seguridad de la cuenta de Microsoft).
2. Quita cualquier regla de reenvío o inicio de sesión que no reconozcas. Si encuentras alguno, cambia también la contraseña de tu correo desde un dispositivo de confianza.

Para otro día: activa una llave de acceso o una app de autenticación y guarda tus códigos de recuperación.

No escribas nunca un código ni una contraseña en esta web, y nunca le leas un código a alguien que se ponga en contacto contigo.

Revisado: 25 de octubre de 2026. Hemos mirado: la ayuda de la cuenta de Google (verificación en dos pasos), la página de soporte de Apple «Autenticación de doble factor para la cuenta de Apple» (publicada el 13 de agosto de 2026) y páginas de las agencias de ciberseguridad y consumo de EE. UU. y del Reino Unido. Las pantallas cambian. Si la tuya se ve distinta, busca la página de ayuda de la empresa.

En pocas palabras: la verificación en dos pasos (2FA, por sus siglas en inglés) añade una segunda comprobación después de tu contraseña. Actívala primero en tu cuenta de correo principal.

Una contraseña es un candado. La verificación en dos pasos añade otro.

Piensa en una puerta con un solo candado. Con un segundo candado, es más difícil abrirla.

Qué es la verificación en dos pasos

Significa que demuestras quién eres de dos maneras distintas. Normalmente son estas:

• Algo que sabes, como tu contraseña.
• Algo que tienes, como tu teléfono, una app del teléfono o una pequeña llave de seguridad.
• Algo que eres, como tu huella digital o tu cara.

Necesitas dos de estas cosas para iniciar sesión.

Verás otros nombres para la misma idea. En España, Apple la llama «autenticación de doble factor»; en Latinoamérica, «autenticación de dos factores». Google dice «verificación en dos pasos» (en Latinoamérica, «Verificación en 2 pasos») y también «autenticación de dos factores». Autenticación multifactor (MFA) es el nombre general, y es el que usa la agencia estadounidense CISA. Aquí usaremos sobre todo «verificación en dos pasos» o 2FA.

Por qué ayuda

Las contraseñas pueden adivinarse, robarse o entregarse después de un engaño. Con la verificación en dos pasos activada, una contraseña robada no basta por sí sola. El delincuente también necesita tu segundo paso. CISA dice que por eso la 2FA puede hacerte bastante más seguro en internet.

La 2FA no es perfecta. Una web falsa todavía puede engañar a alguien para que escriba un código. Por eso importa qué tipo de segundo paso eliges.

Tipos de segundo paso, del más fuerte al más débil

Segundo paso	Qué es	Nivel de protección
Llave de acceso (passkey) o llave de seguridad	Una llave de acceso te deja iniciar sesión con tu huella, tu cara o el bloqueo de pantalla del teléfono. Una llave de seguridad es un pequeño dispositivo que conectas o acercas. Mira llaves de acceso.	La más fuerte. Ayudan contra las webs falsas.
Código de una app de autenticación	Una app del teléfono muestra un código nuevo, normalmente de seis dígitos, más o menos cada 30 segundos. Mira apps de autenticación.	Fuerte. Mejor que un mensaje de texto.
Código por mensaje de texto (SMS) o por correo	Un servicio envía un código a tu número de teléfono o a tu correo. Mira por qué no usar códigos por SMS.	La opción común más débil.

CISA las ordena así. Las llaves de seguridad son las más fuertes y las apps son más seguras que los códigos por mensaje de texto o por correo. Un delincuente puede quedarse con tu número de teléfono y recibir tus mensajes de texto. Eso se llama duplicado fraudulento de SIM (en inglés, SIM swapping).

Si una web solo ofrece códigos por mensaje de texto o por correo, úsalos. Es mejor que nada: cualquier verificación en dos pasos es mejor que ninguna. La guía de CISA para organizaciones dice que estos códigos deben ser el último recurso. Cambia a una app de autenticación o a una llave de acceso cuando la web te lo permita.

Dónde activarla primero

Sigue este orden.

1. Tu cuenta de correo principal. El correo puede restablecer las contraseñas de tus otras cuentas. Mira protege tu correo.
2. El banco y las apps de dinero.
3. Tu cuenta de Apple, Google o Microsoft.
4. Tu gestor de contraseñas. Mira gestores de contraseñas.
5. Redes sociales y cuentas de compras.

Cómo activarla

Los pasos son parecidos en casi todas las webs:

1. Inicia sesión y abre Ajustes (o Configuración). Busca Seguridad, Inicio de sesión o Cuenta.
2. Busca verificación en dos pasos, autenticación de dos factores o autenticación multifactor.
3. Elige una llave de acceso o una app de autenticación si te las ofrecen.
4. Guarda tus códigos de recuperación. Son códigos de un solo uso para cuando pierdas el teléfono. Guárdalos en un lugar seguro. Mira códigos de recuperación y copias de seguridad.

Ejemplo: cuenta de Google

1. Abre tu cuenta de Google.
2. Toca Seguridad e inicio de sesión.
3. En Cómo inicias sesión en Google, elige Activar verificación en dos pasos.
4. Sigue los pasos. Añade una llave de acceso o una app de autenticación y guarda los códigos de recuperación.

Google puede sugerirte las «notificaciones de Google». Son avisos en el teléfono en los que solo tocas para aprobar. Google dice que ayudan contra los ataques que usan el número de teléfono.

Si usas Google en Latinoamérica, los nombres pueden ser distintos: Seguridad y acceso, Cómo acceder a Google y Activar la Verificación en 2 pasos. Las «notificaciones de Google» se llaman allí «mensajes de Google».

Ejemplo: cuenta de Apple

Apple dice que la mayoría de las cuentas de Apple ya usan la autenticación de doble factor. Para comprobarlo en un iPhone o un iPad, abre Ajustes, toca tu nombre y luego Inicio de sesión y seguridad. En un Mac, abre Ajustes del Sistema, haz clic en tu nombre y luego en Inicio de sesión y seguridad.

En Latinoamérica, Apple usa Configuración (iPhone y iPad) y Configuración del Sistema (Mac), y la llama «autenticación de dos factores».

Cómo se siente en el día a día

Después de configurarla, la mayoría de las webs piden el segundo paso solo en algunos casos. Por ejemplo, con un dispositivo nuevo o ante un cambio importante, como una contraseña nueva. Algunas webs ofrecen «recordar este dispositivo». Úsalo solo en tus propios dispositivos.

Antes de borrar un teléfono viejo, lee códigos de recuperación y copias de seguridad. Explica cómo pasar tus códigos a un teléfono nuevo.

Nunca compartas un código

Si alguien que se puso en contacto contigo te pide que le leas un código, es una estafa. Aunque diga que es tu banco, una empresa de tecnología o un organismo público. Google dice que no recibirás una llamada de Google para verificar un código.

Si te pasa:

1. Cuelga o deja de responder.
2. No compartas nada.
3. Ponte en contacto con la empresa usando un número de teléfono de su web oficial o de tu tarjeta.

Si te llega un código o una petición de aprobación que no pediste, puede que alguien intente entrar en tu cuenta, o que alguien haya escrito tu número o tu correo por error. No lo apruebes ni compartas el código. Una petición de aprobación inesperada puede significar que un atacante conoce tu contraseña. Cambia la contraseña desde un dispositivo de confianza. Después comprueba que la 2FA sigue activada.

Si recibes un SMS de estafa, no respondas ni toques el enlace. Puede que tu compañía telefónica tenga una vía para reportarlo; pregúntale.

En tu país

Si una cuenta está en manos de un estafador, si le diste un código a alguien o si perdiste dinero, esto es lo que podemos decirte hoy:

• España: la Línea de Ayuda en Ciberseguridad de INCIBE, 017. Es gratuita y confidencial y atiende todos los días de 8:00 a 23:00. Si enviaste dinero, llama primero a tu banco y después denuncia ante las Fuerzas y Cuerpos de Seguridad del Estado (Policía Nacional o Guardia Civil).
• Argentina: denuncia en la comisaría o en la oficina receptora de denuncias que corresponda a tu domicilio. Lo indica el Centro Nacional de Ciberseguridad en argentina.gob.ar.
• México y Colombia: puede que en tu país el camino para denunciar sea distinto. Todavía no hemos comprobado las vías de denuncia en estos dos países. Mientras tanto, llama a tu banco y denuncia ante las autoridades de tu país.
• Estados Unidos y Reino Unido (si nos lees desde allí): reportfraud.ftc.gov en EE. UU. y reportfraud.police.uk (Report Fraud) en Inglaterra, Gales e Irlanda del Norte.

Haz esto hoy (unos 8 minutos)

1. Abre los ajustes de seguridad de tu cuenta de correo principal.
2. Activa la verificación en dos pasos. Elige una llave de acceso si la web te la ofrece, porque usa el bloqueo de pantalla de tu teléfono. Si no, elige una app de autenticación. Evita los códigos por mensaje de texto si puedes.
3. Guarda los códigos de recuperación en un lugar seguro.

Para otro día: repite el proceso con el banco y las apps de dinero.

No escribas nunca un código ni una contraseña en esta web, y nunca le leas un código a alguien que se ponga en contacto contigo.