App de autenticación sin teléfono: cómo tener los códigos 2FA en el ordenador

Inicias sesión en casi todo desde Chrome. Una extensión de navegador tiene los códigos donde los escribes. Autenticador 2FA inserta el código en el campo con un clic derecho o Ctrl+Shift+Y y escanea el código QR de configuración directamente de la página; una instalación nueva puede tener un límite de cuentas gratuitas, y Pro lo elimina. Authenticator (authenticator.cc) es gratuita, tiene muchos más usuarios y admite más tipos de código, aunque su versión en Chrome Web Store se actualizó por última vez en agosto de 2024.

Quieres una app fuera del navegador. Proton Authenticator y Ente Auth son gratuitas y de código abierto, funcionan en Windows, macOS y Linux además de en teléfonos, y no requieren cuenta salvo que quieras sincronizar: el teléfono puede ser una segunda copia más adelante, o nunca. KeePassXC guarda los códigos en su archivo de base de datos cifrado en tu ordenador y puede rellenarlos en el navegador con su extensión.

Ya pagas un gestor de contraseñas. Bitwarden (Premium, $19.80/año) y 1Password generan códigos y los rellenan justo después de la contraseña, y los dos documentan cómo leer un código QR de configuración desde la pantalla. La pega se explica más abajo, en el apartado sobre guardar códigos y contraseñas juntos.

Quieres los secretos completamente fuera del ordenador. Una YubiKey con la app Yubico Authenticator guarda el secreto de cada cuenta en el elemento seguro de la llave, de donde, según Yubico, no se puede extraer. La app funciona en Windows, macOS y Linux, escanea el código QR de configuración desde la pantalla y muestra los códigos mientras la llave está conectada. Una YubiKey 5 admite hasta 64 cuentas con el firmware 5.7 o posterior, y 32 con firmware anterior. La llave hay que comprarla y, como los secretos no se pueden copiar de ella, Yubico recomienda registrar una segunda llave como respaldo.

Un ordenador puede sustituir a una app de autenticación. Lo que no puede sustituir es un teléfono cuando el propio servicio lo ha convertido en el segundo factor:

Códigos solo por SMS o correo electrónico. Algunos servicios no ofrecen la opción de app de autenticación: el código llega por SMS o por correo, y no hay nada que un autenticador pueda generar. Apple Account es un caso conocido: la ayuda de Apple dice que el código se muestra en tus dispositivos Apple de confianza o se envía a tu número de teléfono de confianza, y no menciona ninguna app de autenticación de terceros.

La app propia del servicio. Algunos bancos confirman los inicios de sesión en su propia app en lugar de con códigos estándar; Truist, por ejemplo, usa su app móvil Truist Authenticator. Si tu empresa exige la aprobación en una app concreta, también es decisión suya, y no aceptará los códigos de otra app.

Configuración solo en la app del teléfono. La ayuda de TikTok describe que la verificación en 2 pasos con app de autenticación solo se activa en la app móvil de TikTok, y pide un segundo método, como un número de teléfono o un correo electrónico. Una vez configurada, los códigos pueden estar en cualquier sitio: nuestra guía de TikTok muestra cómo pasar el código QR del teléfono a la extensión.

Códigos que ya están en un teléfono. Si hoy tus cuentas están en Google Authenticator, necesitas el teléfono una vez para exportarlas (consulta importar desde Google Authenticator) o vuelves a configurar cada cuenta desde el ordenador.

La autenticación en dos pasos está pensada para requerir dos cosas distintas. Si el ordenador que recuerda tus contraseñas también genera tus códigos, quien se haga con ese ordenador (un malware que copia los datos del navegador, o una persona sentada ante tu escritorio desbloqueado) puede obtener ambos. La propia guía de KeePassXC lo dice sin rodeos: guardar los códigos TOTP en la misma base de datos que la contraseña elimina las ventajas de la autenticación en dos pasos, y sugiere una base de datos aparte que solo desbloquees cuando la necesites.

Lo que los códigos en el ordenador sí detienen es lo que hay detrás de la mayoría de los robos de cuentas: una contraseña filtrada de otro sitio, adivinada o escrita en una página de phishing. El atacante tiene la contraseña, pero no tu ordenador, así que no tiene el código. Un teléfono añade protección sobre todo frente a alguien que ya controla tu ordenador.

1. Bloquea los códigos. Activa la protección con contraseña en Autenticador 2FA: los códigos quedan cifrados en tu dispositivo, copias de seguridad incluidas, y no se pueden leer sin tu contraseña. Las apps de escritorio y los gestores de contraseñas tienen sus propios bloqueos: úsalos.

2. Separa los códigos de las contraseñas. Tener los códigos en una app o extensión aparte, y no en la bóveda de las contraseñas, hace que una contraseña maestra robada no baste.

3. Guarda una copia de seguridad fuera del ordenador. Autenticador 2FA hace una copia automática una vez al día y conserva las siete últimas, pero esas copias viven dentro de la extensión y desaparecen con ella si la desinstalas. Exporta un archivo protegido con contraseña a una memoria USB u otro lugar que controles: cómo hacer una copia de seguridad.

4. Guarda los códigos de recuperación de cada sitio. Te permiten volver a entrar si pierdes el ordenador o deja de funcionar, sin ningún autenticador. Imprímelos o guárdalos lejos de este ordenador.

5. Añade un teléfono más adelante si lo tienes. Si escaneas el mismo código QR con una app del teléfono durante la configuración, tendrás un segundo dispositivo con los mismos códigos: una copia de respaldo, no un requisito.

1. Instala un autenticador en el ordenador; el nuestro es Autenticador 2FA.

2. Inicia sesión en el sitio y abre sus ajustes de seguridad. Activa la autenticación en dos pasos (a veces llamada verificación en dos pasos) y, si primero te ofrece SMS, elige app de autenticación. Nuestras guías de configuración muestran dónde está la opción en 108 servicios.

3. El sitio muestra un código QR. En Autenticador 2FA: «Agregar Cuenta» → «Código QR» → «Escanear QR de pantalla». Si no se escanea, usa el enlace «¿No puedes escanear el código QR?» o «Introducir manualmente» del sitio y pega la clave de texto: dónde encontrar la clave secreta.

4. Escribe en el sitio el código de seis dígitos que muestra la extensión. Hasta que lo hagas, la 2FA no está activada.

5. Guarda los códigos de recuperación que el sitio muestra a continuación y después haz una copia de seguridad del propio autenticador.

Si el sitio rechaza el código, lo habitual es que haya generado un nuevo código QR después de que escanearas el primero: empieza la configuración de nuevo y escanea el código que aparece ahora en la pantalla. Más causas en por qué no funcionan los códigos.