Qué es OTP: el código de un solo uso, explicado

¿Qué significa OTP?

OTP son las siglas en inglés de one-time password: contraseña de un solo uso. En los bancos de México, Colombia o Argentina también lo verás como clave dinámica, token o código de seguridad; en España, como código de verificación o clave de un solo uso. La idea es la misma: en lugar de un secreto que repites durante años, el servicio comprueba un secreto nuevo que solo vale una vez.

En la práctica, «código OTP» y «código de verificación» son sinónimos. Cuando una app dice «ingresa el código que enviamos a tu teléfono», te pide el OTP que llegó por SMS. Si alguien te ve escribirlo, ya no le sirve: el código quedó usado.

¿Cómo se genera un código OTP?

Hay dos familias. En la primera, el servidor crea un código aleatorio, lo guarda unos minutos y te lo envía por SMS, llamada o correo. Tú demuestras que lo recibiste escribiéndolo. Así funciona casi toda la verificación al crear una cuenta.

En la segunda, tu dispositivo y el servidor comparten una clave secreta y cada uno calcula el mismo código por su cuenta. La IETF estandarizó la versión basada en un contador como HOTP en el RFC 4226 (diciembre de 2005) y la versión basada en el tiempo como TOTP en el RFC 6238 (mayo de 2011), que recomienda pasos de 30 segundos. Por eso el código de Google Authenticator o Microsoft Authenticator cambia cada medio minuto. Ese código no viaja por la red telefónica, así que no hay SMS que interceptar.

¿Dónde ves códigos OTP en el día a día?

Aparecen cada vez que un servicio necesita comprobar que una persona real controla un teléfono, un correo o un dispositivo.

• Al crear una cuenta: WhatsApp, Telegram, Google y cientos de apps mandan un código por SMS para confirmar el número.
• Al iniciar sesión con verificación en dos pasos: el código que te piden después de la contraseña.
• Al pagar en línea: muchos bancos envían un código para autorizar una compra con tarjeta.
• Al recuperar una contraseña: el código demuestra que el teléfono o correo de recuperación es tuyo.
• En cambios delicados: agregar un dispositivo nuevo, cambiar tu correo o hacer una transferencia.

¿Es seguro un código OTP?

Es mucho más seguro que una contraseña sola, pero no todos los OTP valen lo mismo. La guía de identidad digital del NIST de Estados Unidos, SP 800-63B-4 (versión final de agosto de 2025), exige que los códigos enviados fuera de banda tengan al menos 6 dígitos y que la autenticación se considere inválida si no se completa en 10 minutos. También clasifica el envío por la red telefónica, que incluye el SMS, como «restringido»: se puede usar, pero el servicio debe ofrecer otra opción y debería revisar señales de riesgo como un cambio reciente de SIM o una portabilidad.

El mismo documento aclara que ni los OTP por SMS ni los de app resisten el phishing: una página falsa puede pedirte el código y reenviarlo al sitio real en segundos. Las llaves de acceso (passkeys) y las llaves de seguridad físicas sí lo resisten, porque solo responden al sitio legítimo.

El ataque más común ni siquiera es técnico: alguien te escribe o te llama, dice ser del banco, de soporte o un conocido, y te pide «el código que te acaba de llegar». Regla simple: si tú no iniciaste el trámite, no compartas el código con nadie.

¿Cómo proteges tus códigos OTP?

Unos pocos hábitos cierran casi todas las puertas que usan los estafadores.

• Nunca dictes ni reenvíes un código a quien te contacte, aunque diga ser tu banco, tu operadora o el soporte de la app.
• Revisa la dirección del sitio antes de escribir un código: si la página es una copia, el código va directo al atacante.
• En cuentas importantes, usa una app de autenticación, una passkey o una llave de seguridad, y deja el SMS como respaldo.
• Pide a tu operadora un PIN o bloqueo para cambios de SIM y portabilidad, para dificultar el SIM swapping.
• Si te llegan códigos que no pediste, cambia la contraseña de esa cuenta: alguien podría tenerla ya.

¿Puedes recibir un OTP en un número temporal?

Sí, para una verificación puntual al registrarte. En RecibeSMS eliges la app y uno de 140+ países, el número queda reservado hasta 20 minutos y el SMS con el código aparece en tu panel. Solo pagas si llega el código; si no llega, el saldo vuelve solo.

No lo uses como método de verificación en dos pasos ni como teléfono de recuperación de una cuenta que te importa: cuando el número caduca, los códigos futuros irían a una línea que ya no controlas. Justo después de crear la cuenta, cambia la segunda verificación a una app de autenticación o a una passkey, y verifica solo cuentas que sean tuyas.