Preguntas Frecuentes

Puedes añadir una cuenta de cuatro maneras:

• Entrada manual: pulsa «Añadir cuenta» y escribe el nombre de la cuenta y la clave secreta de la página de configuración 2FA de tu servicio.

• Código QR: pulsa «Añadir cuenta», cambia a la pestaña «Código QR» y sube una captura o foto del código — o escanéalo con la cámara, o directamente desde la pantalla.

• Pegar un enlace: Ajustes → «Pegar enlaces». Un solo enlace otpauth://, o una lista entera, uno por línea. Así se mueven cien cuentas desde otra app en una sola acción.

• Un archivo: importa un .txt de enlaces otpauth://, una copia de seguridad de esta extensión, o un archivo CXF de otro autenticador.

Del servicio que quieres proteger (Gmail, GitHub, tu banco), no de esta extensión. La extensión nunca envía un código QR ni una clave por correo ni por SMS: lee el que te muestra el servicio y lo convierte en códigos.

• Inicia sesión en el servicio y abre su configuración de seguridad
• Activa la autenticación en dos pasos (a veces llamada verificación en dos pasos). Si primero te ofrece SMS o correo, elige la opción de app de autenticación: es la que muestra un código QR
• El código QR aparece en la pantalla. En la extensión: Agregar Cuenta → Código QR → «Escanear QR de pantalla»
• ¿No se puede escanear? Busca junto a él un enlace como «¿No puedes escanear el código QR?» o «Introducir manualmente». Muestra la clave secreta: normalmente de 16 a 32 caracteres, letras A–Z y cifras 2–7, por ejemplo JBSWY3DPEHPK3PXP. Añádela con Agregar Cuenta → Manual → «Clave Secreta»
• Escribe en el servicio el código de seis dígitos de la extensión. Hasta que lo hagas, la autenticación en dos pasos no está activada

No, no hay nada que permitir. La extensión no pide de antemano acceso a ningún sitio web. Chrome le deja ver una página solo en el momento en que la usas en ella:

• «Escanear QR de pantalla» captura la página que tienes delante cuando haces clic. El acceso viene de abrir la extensión con su icono de la barra de herramientas en esa página
• «Insertar código 2FA», en el menú del botón derecho, rellena el campo en el que hiciste clic derecho: el propio clic derecho es el permiso. Viene activado por defecto; Ajustes → «Insertar el código con el botón derecho» lo desactiva y lo vuelve a activar

Así que en el menú «Acceso a sitios» de Chrome para esta extensión no hay nada que activar, y «En todos los sitios» no hace falta.

Si «Escanear QR de pantalla» dice que no pudo capturar la página:

• Chrome protege algunas páginas de todas las extensiones: sus propias páginas de configuración, Chrome Web Store, los PDF. El código QR tiene que estar en una página web normal
• Si abriste la extensión antes de ir a la página con el código QR, ciérrala y vuelve a abrirla desde el icono de la barra de herramientas en esa página
• O guarda una captura del código QR y usa Agregar Cuenta → Código QR → «Elegir imagen»

«Escanear QR con la cámara» es distinto: abre una página que pide usar tu cámara. Si hiciste clic en Bloquear, permite la cámara para esa página en la configuración del sitio de Chrome (el icono a la izquierda de la barra de direcciones) y vuelve a intentarlo.

Cuando abres la extensión en un sitio web, resalta la cuenta que corresponde a ese sitio y le pone la marca «Sugerido», para que no tengas que buscarla. También recuerda qué cuenta usaste en cada sitio.

Para desactivarlo: Ajustes → «Navegador» → «Sugerir cuenta para este sitio». Al desactivarlo también se borra lo que había recordado.

Solo lee la dirección de la pestaña en la que estás, y solo mientras la extensión está abierta. Nada de esto se envía a nuestro servidor.

Sí. Vincula una cuenta a su sitio web y será siempre la que se ofrezca allí:

• Abre el sitio, haz clic derecho en la cuenta y elige «Usar en …»
• O abre «Editar cuenta» y escribe la dirección en «Sitios web»; puedes pegar el enlace completo

En ese sitio la cuenta aparece arriba, bajo «Para este sitio», y clic derecho en el campo del código → «Insertar código 2FA» la inserta sin preguntar.

Un sitio web abarca también sus subdominios, y gana el más concreto. Vincula una cuenta a example.com y otra a admin.example.com: admin.example.com muestra solo la segunda, y example.com y los demás subdominios solo la primera. Una cuenta con sitios web vinculados no se sugiere en otros sitios.

Para copiar el código en vez de insertarlo, haz clic derecho en cualquier otra parte de la página → «Copiar código 2FA de este sitio».

Los sitios web se guardan dentro de la cuenta en tu ordenador, se cifran con ella si tienes la protección por contraseña y nunca se envían a nuestro servidor.

Normalmente el código en sí está bien: pertenece a un código QR distinto del que espera el sitio web. La extensión comprueba la hora por su cuenta, así que no tienes que cambiar nada en tu ordenador.

Lo que suele haber pasado y qué hacer:

• El sitio web generó un código QR nuevo. Lo hace cada vez que su página de configuración se recarga o se vuelve a abrir, y la cuenta que añadiste primero deja de coincidir. Empieza de nuevo la configuración en el sitio web, añade el código QR que aparece ahora en la pantalla y escribe su código enseguida
• El código salió de otra entrada. Si el mismo sitio web aparece dos veces en la lista, la que funciona es la entrada más reciente, y durante la configuración el sitio web pide el código de la cuenta que acabas de añadir
• La verificación en dos pasos ya estaba configurada en otro sitio, por ejemplo en una app de tu teléfono. La extensión solo muestra códigos de las cuentas añadidas a ella. Para traer esa cuenta aquí, vuelve a configurar el autenticador en el sitio web, esta vez con la extensión
• El sitio web pide otro código: uno que te envió por SMS o por correo electrónico, no uno de una app de autenticación

Si el código está a punto de cambiar, espera al siguiente. Antes de borrar una entrada antigua, exporta primero una copia de seguridad (Ajustes → «Exportar»). Y si la propia extensión muestra un aviso sobre la hora, haz lo que dice.

Para hacer una copia de seguridad de tus cuentas:

• Pulsa el icono de Ajustes (engranaje)
• Pulsa «Exportar»
• Elige cómo guardar el archivo:

• Protegido con contraseña (recomendado) — el archivo es inútil para quien no conozca la contraseña. Recuérdala: sin ella no se puede abrir.
• Archivo simple — la copia completa como JSON legible. Solo para un lugar que controles por completo.
• Enlaces otpauth:// — un enlace por línea en un archivo .txt. Casi cualquier otro autenticador puede leerlo, y por eso es el formato para mudarte a otro sitio.
• Formato estándar (CXF) — el formato de intercambio FIDO que aceptan otros gestores de contraseñas y autenticadores.

Solo el primero está cifrado. Los otros tres contienen tus claves secretas en claro, y cualquiera que tenga ese archivo puede generar tus códigos 2FA.

Para restaurar cuentas desde una copia de seguridad:

• Pulsa «importar desde copia de seguridad» en la pantalla principal
• Elige el archivo — una copia de esta extensión (JSON), un .txt de enlaces otpauth://, o un archivo CXF de otro autenticador
• Si el archivo está protegido con contraseña, introdúcela cuando se te pida
• Se importan las cuentas: en una instalación nueva, tantas como admita el plan gratuito, o todas con Pro. Nunca se importa nada a medias sin preguntarte antes.

Si tienes los enlaces como texto en vez de como archivo, Ajustes → «Pegar enlaces» los acepta directamente.

Nota: esto se añade a tus cuentas existentes, no las reemplaza.

Sí, en cada ordenador donde Chrome tenga la sesión iniciada con la misma cuenta de Google:

• Instala la extensión en el otro ordenador
• Inicia sesión allí en Chrome con la misma cuenta de Google y activa la sincronización, con las extensiones incluidas en lo que Chrome sincroniza
• En la extensión, comprueba que Ajustes → «Sincronizar entre dispositivos» está activado. Viene activado por defecto
• Tus cuentas aparecen en el otro ordenador, normalmente en pocos minutos

Si en Ajustes pone «Demasiadas cuentas para sincronizar: se quedan en este ordenador», la sincronización de Chrome no puede con tantas. Pásalas a mano: Ajustes → «Exportar» en un ordenador e «Importar» en el otro. Un archivo protegido con contraseña es la opción más segura.

No hay versión para el teléfono: Chrome en el móvil no ejecuta extensiones. Si quieres los códigos también en el teléfono, al activar la verificación en dos pasos en un servicio escanea su código QR también con una app de autenticación del móvil: las dos mostrarán los mismos códigos.

En un Mac también puedes usar la app para Mac (authenticator.sh/mac). No se sincroniza con la extensión: pasa tus cuentas una vez, o exporta e importa un archivo, y a partir de ahí cada una guarda su propia lista.

Sí. Authenticator para Mac es una app gratuita para la barra de menús, con la misma interfaz, idiomas, grupos, importación y exportación que la extensión. Además:

• Pulsa ⌘⇧2 en cualquier app: se abre una paleta con la cuenta de esa app o web primero, e Intro escribe el código en el campo donde estabas
• Touch ID desbloquea tus códigos cuando la protección con contraseña está activada
• Escanea un código QR en la pantalla o con la cámara

Necesita macOS 13 Ventura o posterior y funciona en Mac con Apple silicon e Intel. Descárgala en authenticator.sh/mac. No hay app para Windows ni para el móvil.

Sí. Es una única app universal que funciona de forma nativa en Apple silicon (M1 y posteriores) y en Mac con Intel. Necesita macOS 13 Ventura o posterior; con un macOS más antiguo, usa la extensión de Chrome.

En un solo paso, en el mismo Mac:

• Instala la app para Mac y ábrela
• La primera vez encuentra la extensión y te ofrece pasar tus cuentas. Más adelante: haz clic en el icono de la app en la barra de menús → «Move from the Chrome Extension…»
• Elige el perfil del navegador y pásalo. Si la extensión está protegida con contraseña, introdúcela primero

La app lee las cuentas de los datos de la extensión en tu perfil del navegador en este Mac; nada pasa por nuestro servidor. Funciona con la extensión en Chrome, Brave, Edge, Arc y Vivaldi. La extensión conserva sus cuentas y, a partir de ahí, cada una guarda su propia lista.

Desde otro ordenador: exporta un archivo en la extensión (Ajustes → «Exportar») e impórtalo en la app para Mac (Ajustes → «Importar»).

Cada permiso es para una función, y todos son opcionales:

• Accesibilidad: para escribir el código en el campo donde estabas al pulsar Intro en la paleta de ⌘⇧2. Sin él, el código se copia, y el portapapeles se vacía a los 45 segundos
• Grabación de pantalla: para leer un código QR en tu pantalla. La captura se procesa en tu Mac y se borra en el acto. Sin él, usa la cámara o elige una imagen
• Automatización: para preguntar a tu navegador la dirección de la pestaña actual, de modo que la cuenta que coincide salga primero. macOS lo pregunta una vez por navegador
• Cámara: para escanear un código QR que acercas a la cámara

macOS pide cada uno la primera vez que usas esa función. Puedes desactivar cualquiera en Ajustes del Sistema → Privacidad y seguridad.

Si eliminas una cuenta por error:

• Pulsa el icono de Ajustes (engranaje) y abre «Copias automáticas» en «Respaldo y Restauración». La extensión guarda una copia de tus cuentas una vez al día y conserva las 7 últimas.
• Pulsa «Restaurar» junto a una copia anterior al borrado. Restaurar solo añade las cuentas que faltan: lo que tienes ahora no cambia.
• ¿No está en ninguna copia? Restáurala desde un archivo de respaldo que hayas exportado: «Importar», en la misma sección.
• ¿Tampoco está ahí? Entonces solo queda el propio servicio: mientras sigas con la sesión iniciada, desactiva y vuelve a activar la 2FA y añade el nuevo código QR.

Las copias automáticas se guardan dentro de la extensión. Si eliminas la extensión o borras los datos del navegador, también se borran, así que no la reinstales para recuperar una cuenta.

Los códigos TOTP se generan a partir del reloj de tu dispositivo, así que si se desvía más de ~30 segundos de la hora real, los servicios rechazarán tus códigos.

Cómo solucionarlo:

• macOS: Configuración del Sistema → General → Fecha y hora → activa "Establecer fecha y hora automáticamente"
• Windows: Configuración → Hora e idioma → Fecha y hora → activa "Establecer la hora automáticamente" y pulsa "Sincronizar ahora"
• Linux: activa NTP / fecha y hora automática en los ajustes

Tras sincronizar, vuelve a abrir la extensión: la advertencia desaparece y tus códigos se aceptarán de nuevo. Solo hay que corregir el reloj del dispositivo; los códigos se siguen generando sin conexión.

Estas son configuraciones avanzadas (generalmente los valores predeterminados funcionan):

• Algoritmo: Función hash usada para generar el código (SHA1 es el estándar)
• Dígitos: Longitud del código (6 es lo más común, algunos usan 8)
• Período: Cuánto tiempo son válidos los códigos (30 segundos estándar)

La mayoría de servicios usan: SHA1, 6 dígitos, 30 segundos.

Sus cuentas se guardan en su navegador: en su dispositivo y, si tiene la sincronización activada, en Chrome Sync, dentro de su propia cuenta de Google. Sus claves secretas, los nombres de sus cuentas y sus códigos nunca nos llegan.

• Las claves secretas nunca salen de su dispositivo
• Copias de seguridad locales automáticas (las 7 últimas) por si algo sale mal
• Guardadas en el almacenamiento de Chrome, con la sincronización como segunda copia opcional

De forma predeterminada, sus códigos se guardan sin cifrar y están protegidos por el inicio de sesión de su ordenador y su perfil de Chrome, igual que en la mayoría de extensiones de autenticación. Para una protección más fuerte, active la protección con contraseña en Ajustes: sus códigos, incluidas las copias de seguridad, se cifran en su dispositivo y no se pueden leer sin su contraseña.

Eso sí, la extensión se comunica con nuestro servidor una vez al día, para que funcionen el plan gratuito y Pro: envía un identificador anónimo y unas pocas cifras, nunca sus cuentas. Más abajo, "¿Qué envía la extensión a nuestro servidor?" enumera todo lo que envía.

Una vez al día, la extensión se comunica con nuestro servidor, api.authenticator.sh, para que funcionen el plan gratuito y Pro. Envía:

• un identificador aleatorio creado por esta instalación, sin vínculo con tu cuenta de Google, tu correo ni tu navegador, salvo si compras Pro: entonces tu compra lo vincula, junto con cualquier otra instalación en la que tu clave de licencia esté activa, al correo con el que pagaste
• la versión de la extensión, su idioma y el idioma de tu navegador
• cuándo se instaló y si fue antes de la versión 1.14.0
• cuántas cuentas tienes: un número, nunca cuáles
• si la protección con contraseña y la sincronización están activadas, y si se abre como popup, como ventana o en el panel lateral, y qué estilo usa, claro u oscuro
• qué política del plan gratuito y qué licencia tiene en ese momento, y si ya tiene tu clave de licencia
• una lista breve de eventos de facturación: se alcanzó el límite, se mostró o se cerró la pantalla de Pro, se eligió un plan, se intentó un pago o una clave de licencia

Nuestro servidor deduce tu país a partir de la petición; tu dirección IP no se guarda.

Nunca envía tus claves secretas, los nombres de tus cuentas, los emisores, los códigos ni los sitios en los que los usas. Al desinstalar, la página de opiniones recibe ese mismo identificador: en cuanto se abre, avisa a nuestro servidor de que esa instalación se ha eliminado, y una respuesta —si decides darla— queda vinculada a ella. La política de privacidad lo explica en detalle, y el código que construye la petición es de código abierto.

Abra Ajustes y active "Protección con contraseña". Sus códigos quedan cifrados en este dispositivo, así que nadie puede leerlos sin su contraseña: ni quien use su ordenador, ni un virus que robe los datos del navegador, ni a través de la sincronización de su cuenta de Google.

También recibirá un código de recuperación. Guárdelo fuera de este navegador: es la única forma de volver a entrar si olvida la contraseña. No podemos restablecerla por usted.

Usted elige con qué frecuencia se pide la contraseña: siempre, tras unos minutos de inactividad, o una vez hasta cerrar el navegador. Puede desactivar la protección cuando quiera con su contraseña.

Sí. Google Authenticator exporta tus cuentas como un código QR en el teléfono, y la extensión lo lee con la cámara del ordenador:

• Abre Google Authenticator en tu teléfono
• Toca el menú ⋮ (arriba a la derecha) → «Transferir cuentas» → «Exportar cuentas»
• Elige las cuentas y toca Siguiente. Tu teléfono mostrará un código QR
• En la extensión: Agregar Cuenta → Código QR → «Escanear QR con la cámara», y apunta la cámara del ordenador a la pantalla del teléfono
• ¿Muchas cuentas? Google Authenticator las reparte en varios códigos QR: toca Siguiente en el teléfono y escanea cada uno

¿Tu ordenador no tiene cámara? Fotografía el QR con otro teléfono o cámara, envía la imagen al ordenador y usa Agregar Cuenta → Código QR → «Elegir imagen». Una captura de pantalla no sirve: en Android, Google impide hacer capturas de esa pantalla de exportación, así que un segundo dispositivo es la única forma de captarla. Tampoco sirve «Escanear QR de pantalla»: lee los códigos que se ven en la pantalla de este ordenador, no en la de tu teléfono.

¿Tampoco tienes un segundo dispositivo? Entonces configura las cuentas de nuevo, servicio por servicio: en la web desactiva la verificación en dos pasos y vuelve a activarla, y usa Agregar Cuenta → Código QR → «Escanear QR de pantalla».

Si ya tienes el enlace de transferencia como texto — empieza por otpauth-migration:// — pégalo en Ajustes → «Pegar enlaces».

No borres Google Authenticator del teléfono hasta que un código de la extensión haya sido aceptado.

Sí — desde el archivo que la mayoría de las apps de autenticación pueden exportar. En la extensión abre Ajustes → «Importar» y elige ese archivo:

• Proton Authenticator: en la app abre Ajustes → Exportar y elige exportar sin contraseña. Obtendrás un archivo .json.
• Aegis y 2FAS: su exportación, con o sin contraseña (2FAS la guarda como archivo .2fas; Aegis, como .json). Si el archivo tiene contraseña, la extensión te la pide: solo se usa para abrir el archivo en tu ordenador y no se guarda.
• Bitwarden, FreeOTP+ y andOTP: su exportación hecha sin contraseña (un archivo .json).
• FreeOTP: la copia de seguridad que haces en la app siempre lleva contraseña. Elige ese archivo e introduce la misma contraseña: solo se usa para abrir el archivo en tu ordenador y no se guarda.
• Ente Auth o cualquier otra app que exporte enlaces otpauth://: el archivo .txt con un enlace por línea — o copia los enlaces y pégalos en Ajustes → «Pegar enlaces».
• Una app que exporte el formato estándar CXF: ese archivo.

Las copias de seguridad protegidas con contraseña de otras apps —Proton Authenticator, Bitwarden, andOTP— no se pueden abrir aquí: vuelve a exportarlas sin contraseña. Ese archivo contiene tus claves secretas sin cifrar, así que bórralo en cuanto las cuentas estén en la extensión, y conserva la app anterior hasta que un código de la extensión haya sido aceptado.

Google Authenticator no exporta ningún archivo: consulta «¿Puedo importar desde Google Authenticator?».

Si pierde el acceso a esta extensión y no tiene respaldo:

• Deberá desactivar 2FA en cada servicio afectado
• Luego volver a activar 2FA y añadir las cuentas de nuevo
• Guarde los códigos de recuperación de los servicios en un lugar seguro

¡Prevención: Exporte copias de seguridad regularmente y almacénelas de forma segura!

Sí, usarla es gratis. Instalarla no cuesta nada, y el plan gratuito incluye todas las funciones salvo la copia en la nube:

• Las instalaciones anteriores a la versión 1.14.0 mantienen cuentas ilimitadas, gratis. Para ellas no cambia nada.
• Las instalaciones nuevas pueden tener un límite de cuentas gratuitas. Pro elimina el límite y añade una copia cifrada en la nube.
• El límite solo impide añadir una cuenta. Todas las cuentas que ya tienes siguen mostrando su código, y la exportación, las copias de seguridad, la restauración y la sincronización siguen funcionando: con Pro o sin él, y también cuando termina una suscripción.

El límite se comprueba en tu ordenador, a partir de la última política que firmó nuestro servidor, así que un límite que la extensión ya recibió se aplica también sin conexión. Hasta que la extensión haya contactado una vez con nuestro servidor, no hay ningún límite.

Cuentas ilimitadas y copia en la nube. Todo lo demás funciona igual con Pro y sin él.

• Cuentas ilimitadas: añade todas las que necesites.
• Copia en la nube: una copia cifrada de tus cuentas en nuestro servidor, para que perder este ordenador no signifique perder tus códigos. Actívala en Ajustes → «Respaldo y Restauración» → «Copia en la nube» → «Activar». Está bloqueada con un código de recuperación de copias que nunca sale de tu navegador, así que no podemos abrirla. En un ordenador nuevo, introduce tu clave de licencia y después ese código. Si Pro termina, tus copias se pueden seguir restaurando durante 90 días.
• Planes: una suscripción mensual o anual, o una compra única de por vida. Los que veas pueden variar mientras damos con los precios adecuados.
• El pago se hace en Stripe Checkout, en una pestaña nueva. Link, el servicio de pagos de Stripe, actúa como vendedor: se encarga de los recibos, los impuestos y las dudas sobre un pedido.
• Pro se activa solo en el navegador desde el que pagaste. En otro ordenador, abre Ajustes → Pro → «Tengo una clave de licencia» e introduce tu clave (2FA-XXXXX-XXXXX-XXXXX-XXXXX). Una licencia sirve en hasta 5 dispositivos; un dispositivo que lleva 60 días sin comunicarse con el servidor libera su plaza por sí solo. ¿Necesitas más dispositivos? Escribe a support@authenticator.sh desde la dirección con la que pagaste y ampliaremos el límite de tu licencia.
• Para gestionar o cancelar una suscripción: Ajustes → Pro → «Gestionar suscripción». Si cancelas, Pro sigue activo hasta el final del periodo que ya has pagado.

La clave está en el correo que recibiste después de pagar, y también apareció en la página que se abrió al completarse el pago.

Si no la encuentras, abre la extensión en el ordenador donde la necesitas y ve a Ajustes → Pro → «Obtener Pro» → «Restaurar una compra». Introduce el correo con el que pagaste y te volveremos a enviar la clave allí. El mismo botón aparece en la pantalla que se muestra al llegar al límite del plan gratuito.

Si no te llega ningún correo, escribe a support@authenticator.sh desde la dirección con la que pagaste y te enviaremos la clave. Nunca nos envíes una clave secreta ni un archivo de copia de seguridad: no los necesitamos para esto.