Glosario · definición
Qué es la verificación en dos pasos (2FA)
La verificación en dos pasos, también llamada 2FA o autenticación de dos factores, significa entrar a tu cuenta con dos pruebas distintas en lugar de solo una contraseña. Es lo más efectivo que puedes hacer hoy para proteger tu correo, tu banco o tu WhatsApp. Aquí ves cómo funciona, qué métodos hay y cuál conviene.
Respuesta rápida
¿Qué es la verificación en dos pasos?
La verificación en dos pasos (2FA) es una forma de iniciar sesión que pide dos pruebas de distinto tipo: algo que sabes, como tu contraseña, y algo que tienes, como un código en tu celular o una llave de seguridad. Si tu contraseña se filtra, el atacante no puede entrar sin el segundo factor.
¿Qué significa autenticación de dos factores?
La guía de la FTC de Estados Unidos sobre autenticación de dos factores (actualizada en septiembre de 2022) la describe como pedir credenciales de dos de estas tres categorías, «como usar dos cerraduras en tu puerta»: algo que sabes (contraseña o PIN), algo que tienes (un teléfono, una app de autenticación o una llave de seguridad) y algo que eres (huella o rostro).
La clave está en que sean de distinto tipo. Una contraseña más una pregunta secreta sigue siendo un solo factor, porque las dos son cosas que sabes. Una contraseña más un código en tu teléfono son dos factores, porque el atacante necesitaría tu secreto y tu dispositivo. Google la llama «Verificación en 2 pasos» y muchas empresas hablan de MFA (autenticación multifactor) cuando se admiten más de dos factores.
¿Y la verificación en dos pasos de WhatsApp?
WhatsApp usa el mismo nombre para una función algo distinta, y conviene no confundirlas. El código de 6 dígitos que te llega por SMS al instalar WhatsApp es un OTP de registro. La «verificación en dos pasos» de WhatsApp es una función opcional que añade un PIN o contraseña que tú eliges y que la app te pide cuando registras tu número otra vez en un teléfono, según su Centro de ayuda (consultado en octubre de 2026).
Actívala: si alguien consigue el código de registro por engaño o con un duplicado de SIM, todavía le faltará ese PIN. Agrega también un correo de recuperación para no quedarte fuera si lo olvidas.
¿Qué tipos de verificación en dos pasos existen?
Todos suman protección, pero resisten ataques distintos. La gran diferencia es la resistencia al phishing: si una página falsa puede engañarte para que le entregues el segundo factor.
| Método | Cómo funciona | Frena contraseñas filtradas | Resiste phishing | Ojo con |
|---|---|---|---|---|
| Código por SMS o llamada | Te envían un código a tu número | Sí | No | SIM swapping, retrasos, intercepción |
| Código por correo | Código o enlace en tu bandeja | Sí | No | Vale lo que valga la seguridad de tu correo |
| App de autenticación (TOTP) | Genera un código nuevo cada 30 segundos | Sí | No | Perder el celular sin códigos de respaldo |
| Notificación push | Tocas «Aprobar» en un dispositivo de confianza | Sí | Solo en parte, con coincidencia de números | Bombardeo de solicitudes (fatiga de MFA) |
| Passkey o llave de seguridad | Tu dispositivo firma un desafío solo para el sitio real | Sí | Sí | Ten una segunda llave o una passkey sincronizada |
OTP vs 2FA: ¿en qué se diferencian?
Un OTP es una cosa; la 2FA es un proceso. El OTP es un código que sirve una vez. La verificación en dos pasos es la regla de inicio de sesión que pide dos pruebas. El OTP es una forma muy común de entregar el segundo factor, pero no la única.
También aparecen por separado. Al registrarte en WhatsApp, el código que escribes es un OTP, pero ese paso no es 2FA: solo prueba que controlas el número. Cuando entras a tu banca en línea con contraseña y luego un código, ese código es un OTP usado como segundo factor: eso sí es 2FA. Y una passkey te da 2FA sin ningún OTP.
¿Es segura la verificación en dos pasos por SMS en 2026?
Es mucho mejor que nada y sigue siendo común porque todo el mundo tiene número de teléfono. Sus límites están bien documentados. La guía NIST SP 800-63B-4 (agosto de 2025) clasifica el envío por la red telefónica como autenticador «restringido»: el servicio debe ofrecer otra alternativa y debería revisar señales como un cambio de SIM antes de confiar en él. La FTC advierte que con un duplicado de SIM los delincuentes pueden recibir tus mensajes, códigos incluidos.
En la práctica: deja el SMS como respaldo, no como tu cerradura principal. Para tu correo, tu banco, tus cuentas de cripto y tu cuenta de Google o Apple, agrega una passkey, una llave de seguridad o una app de autenticación, y guarda los códigos de respaldo fuera del teléfono.
¿Cómo activar bien la verificación en dos pasos?
Te toma unos minutos por cuenta. Empieza por las cuentas que pueden restablecer todas las demás.
- Primero tu correo principal; después tu cuenta de la operadora, tu banco, tu gestor de contraseñas y tus redes sociales.
- Elige passkey o llave de seguridad donde se ofrezca; si no, una app de autenticación.
- Guarda los códigos de respaldo fuera del celular, por ejemplo impresos en un lugar seguro.
- Registra al menos dos métodos para que perder un dispositivo no te deje fuera.
- Pon un PIN o bloqueo en tu línea móvil para que el SMS de respaldo no se pueda secuestrar fácilmente.
- En WhatsApp, activa la verificación en dos pasos y agrega un correo de recuperación.
¿Puedes usar un número temporal para la verificación en dos pasos?
No deberías. Un número de RecibeSMS queda reservado hasta 20 minutos y después se libera. Eso sirve para recibir un código al registrarte, pero un segundo factor tiene que funcionar durante años. Si tu segundo factor es un número que ya no controlas, puedes quedarte fuera de tu propia cuenta.
Lo correcto es usar el número temporal solo para pasar la verificación inicial y, en seguida, cambiar la 2FA a una app de autenticación o a una passkey, con un correo de recuperación que sea tuyo.
Preguntas frecuentes
2FA (verificación en dos pasos): preguntas frecuentes
¿Qué significa 2FA?
2FA son las siglas en inglés de two-factor authentication: autenticación de dos factores. En español se dice verificación en dos pasos o autenticación en dos pasos. Significa probar tu identidad con dos pruebas de distinto tipo, normalmente una contraseña que sabes más un teléfono, una app o una llave que tienes.
¿La verificación en dos pasos es lo mismo que MFA?
La 2FA es un tipo de MFA. Autenticación multifactor significa dos o más factores; verificación en dos pasos significa exactamente dos. En el uso diario se mezclan, y casi todas las cuentas personales que anuncian MFA piden contraseña más un factor extra, que es 2FA.
¿Cuál es el método de verificación en dos pasos más seguro?
Las passkeys y las llaves de seguridad físicas, porque resisten el phishing: solo responden al sitio legítimo, así que una página falsa no obtiene nada útil. Después vienen las apps de autenticación. Los códigos por SMS o correo son los más débiles, aunque igual frenan los ataques que solo tienen tu contraseña.
¿Se puede saltar la verificación en dos pasos?
Se puede burlar, pero cuesta mucho más que robar una contraseña. Los métodos habituales son páginas de phishing que reenvían tu código en tiempo real, el SIM swapping que desvía tus SMS y el envío repetido de notificaciones esperando que toques «Aprobar». Las passkeys frenan el primero y el tercero; un PIN en tu línea ayuda contra el segundo.
¿Qué hago si pierdo el teléfono con la verificación en dos pasos?
Usa un método de respaldo: códigos guardados, una segunda llave, una passkey sincronizada u otro dispositivo registrado. Si no configuraste ninguno, tendrás que pasar por la recuperación de cuenta del servicio, que puede tardar días. Por eso conviene registrar dos métodos y guardar los códigos de respaldo al activar la 2FA.
¿La verificación en dos pasos de WhatsApp usa SMS?
No. El código que llega por SMS al instalar WhatsApp es el código de registro. La verificación en dos pasos de WhatsApp es un PIN o contraseña que tú eliges y que la app te pide al volver a registrar tu número. Conviene activarla y añadir un correo para recuperarla si la olvidas.
Última actualización:
Listo cuando tú lo estés
Recibe tu código de verificación ahora
Crea tu cuenta, recarga saldo y elige un número. Solo pagas si llega el código.