¿El código 2FA no funciona? Por qué se rechaza el código del autenticador y cómo solucionarlo

Es la que más gente sorprende durante la configuración. Una web crea un nuevo secreto, y un nuevo código QR, cada vez que su página de configuración de la 2FA se recarga, se vuelve a abrir o se empieza de nuevo. El centro de ayuda de Remote lo describe exactamente así: cualquier código QR escaneado antes deja de funcionar. Tu autenticador sigue mostrando códigos del primer código QR, la web espera ahora los del nuevo, y nada en la pantalla te avisa de que ya no coinciden.

Solución: empieza de nuevo la configuración de la 2FA en la web y no salgas de esa página. Añade el código QR que aparece ahora en la pantalla (con nuestra extensión, «Agregar Cuenta» → «Código QR» → «Escanear QR de pantalla») y escribe enseguida en la web el código que muestra, sin recargar ni salir de la página. Después guarda los códigos de respaldo que te ofrezca la web.

Lo mismo ocurre después de desactivar y volver a activar la 2FA, o de hacer clic en «cambiar app de autenticación»: la entrada antigua de tu app deja de funcionar y solo cuenta el nuevo código QR.

Tras un segundo intento de configuración, es frecuente que la misma web aparezca dos veces en la lista, con el mismo nombre. Solo funciona la entrada del último código QR que añadiste; la antigua corresponde a un código QR que la web ya ha descartado. Durante la configuración, la web siempre quiere el código de la cuenta que acabas de añadir.

La misma confusión ocurre con dos cuentas en una misma web, por ejemplo una cuenta de Google personal y otra del trabajo. El propio consejo de Google ante un código incorrecto es comprobar que el código corresponde al servicio y a la cuenta correctos. Fíjate en el nombre que aparece bajo el código, no solo en el logotipo.

Solución: usa la entrada más reciente. Cuando un código suyo haya sido aceptado, puedes borrar la antigua; antes, exporta una copia de seguridad («Ajustes» → «Exportar») por si eliges la equivocada.

Un autenticador solo muestra códigos de las cuentas que se le han añadido. Si activaste la 2FA de una web hace meses con Google Authenticator, Microsoft Authenticator o un teléfono antiguo, sus códigos están ahí; una entrada que añadas después en otro sitio no coincidirá, salvo que se creara a partir del mismo código QR.

Solución: toma el código de la app que usaste al configurarla. Para pasar la cuenta, o bien expórtala desde esa app (el código QR de exportación de Google Authenticator se importa directamente en nuestra extensión, consulta importar desde Google Authenticator), o bien inicia sesión, abre los ajustes de 2FA de la web y vuelve a configurar el autenticador, esta vez con la nueva app. Conserva la app antigua hasta que un código de la nueva haya sido aceptado. Más información en pasar la 2FA a un teléfono nuevo.

No todas las casillas de seis dígitos esperan el código de tu autenticador. Muchas webs envían un código por SMS o correo electrónico (al iniciar sesión, o para confirmar tu dirección antes incluso de activar la 2FA) y ahí solo sirve ese código. El centro de ayuda de Remote insiste en lo mismo: un código enviado a tu correo no es un código 2FA de una app de autenticación. Si la página dice «te hemos enviado un código a…», búscalo en tus mensajes o en tu bandeja de entrada, no en la app.

Algunas páginas de inicio de sesión piden en cambio un código de respaldo (también llamado código de recuperación): uno de los códigos de un solo uso que la web te dio en una lista al configurar la 2FA. Están en el papel o en el archivo donde los guardaste, no en el autenticador; y no son claves secretas, así que si añades uno a un autenticador como cuenta, generará códigos que ninguna web aceptará. ¿Los has perdido? Google, por ejemplo, te deja obtener nuevos códigos de respaldo en los ajustes de verificación en 2 pasos mientras sigas con la sesión iniciada.

Solución: lee el texto que hay encima de la casilla. «App de autenticación», «app de verificación» o «código de tu app» significa el autenticador; cualquier otra cosa significa el SMS, el correo o la lista de códigos de respaldo.

La mayoría de los códigos de autenticación cambian cada 30 segundos; las preguntas frecuentes de Microsoft sobre su propia app dicen lo mismo. Un código escrito en sus últimos segundos puede llegar a la web cuando ya ha cambiado.

Solución: si al temporizador le queda poco, espera al siguiente código e introdúcelo enseguida. En nuestra extensión, al hacer clic en un código se copia, así que puedes pegarlo en lugar de escribirlo.

Si añadiste la cuenta escribiendo la clave secreta en lugar de escanear el código QR, un solo carácter equivocado da una clave distinta. Sus códigos parecen totalmente normales y simplemente se rechazan.

Solución: en la página de configuración de la web (la misma, sin recargarla), vuelve a copiar la clave y pégala en nuestro generador de códigos TOTP, que funciona en tu navegador y no guarda nada. Compara su código con el de tu autenticador. Si son distintos, la clave de tu autenticador está mal: borra esa entrada y vuelve a añadirla pegando la clave o escaneando el código QR. Si coinciden y la web sigue rechazándolos, vuelve a la primera causa.

Algunos servicios usan ocho dígitos, SHA256 o un periodo de 60 segundos en lugar de los habituales seis dígitos, SHA1 y 30 segundos. Un código QR lleva estos ajustes; una clave escrita a mano no, así que configúralos según lo que indique la web: consulta algoritmo, dígitos y periodo.

Un código se genera a partir de la clave secreta y de la hora actual, así que una app en un dispositivo con el reloj mal genera códigos que se rechazan. Con una app del teléfono, activa la fecha y hora automáticas en los ajustes del teléfono. Google Authenticator depende del reloj del propio teléfono: Google eliminó su ajuste aparte de corrección de hora en la versión 7.0.

Con Autenticador 2FA no hay nada que cambiar: la extensión comprueba la hora con varias fuentes por su cuenta y ajusta los códigos si el reloj de tu ordenador está desfasado. Solo si no puede hacerlo muestra un aviso sobre la hora; en ese caso, sigue los pasos de las preguntas frecuentes.

Inicia sesión de otra forma (un código de respaldo, un SMS o un código por correo, lo que ofrezca la web), abre sus ajustes de 2FA, desactiva y vuelve a activar el autenticador y añade el nuevo código QR. Nuestras guías de configuración muestran dónde está esa opción en 108 servicios.

No borres entradas ni reinstales tu autenticador con la esperanza de arreglar un código: los códigos no van a cambiar y puedes perder la única entrada que funciona. Desinstalar nuestra extensión también borra sus copias automáticas; si ya has borrado una cuenta, mejor restáurala desde una copia automática.