Cuándo activar la autenticación en dos pasos
Aprende en qué accesos 2FA aporta protección real, qué método conviene según el riesgo y cómo cambia tu rutina sin confundirlo con claves o semillas.
Dónde sí aporta
Conviene activar 2FA en el inicio de sesión, en el restablecimiento de contraseña y en la aprobación de retiros de una cuenta custodiada. En esos flujos, el segundo factor bloquea accesos obtenidos por fuga de contraseña, phishing simple o reutilización de credenciales.
Añade valor especial cuando tu correo electrónico también protege el acceso a exchange, bróker o wallet con custodio. Si un atacante entra en la bandeja de entrada, puede usar “Forgot password”, enlaces de verificación y códigos de recuperación para tomar control de varias cuentas.
- Prioriza correo, exchange y cuentas con opción de retiro o cambio de datos.
- Revisa en Seguridad si 2FA cubre login, retiros y desactivación del propio 2FA.
Qué método elegir
La app autenticadora suele ser la opción equilibrada para uso diario. Busca métodos tipo TOTP en el menú “Two-Factor Authentication”, escanea el código QR, guarda el secreto o códigos de respaldo fuera del móvil y prueba un código antes de cerrar la sesión.
Los SMS sirven como mejora mínima, pero dependen del operador y son más frágiles ante portabilidad fraudulenta o pérdida de línea. Las llaves físicas de seguridad ofrecen mejor resistencia al phishing, aunque no todos los servicios las aceptan en retirada o soporte.
- Mejor orden habitual: llave física, app autenticadora, SMS como último recurso.
- Verifica en la ayuda del servicio qué factores admite y en qué acciones exactas.
Límites y errores
2FA no protege una seed phrase expuesta ni revierte una transferencia confirmada en la red. Si firmas un retiro al destino equivocado, usas una red incorrecta o revelas la frase semilla, el problema está fuera del control de acceso de la cuenta.
El error común es guardar los códigos de respaldo en el mismo teléfono que genera el TOTP o en una nota dentro del correo principal. Otro fallo frecuente es desactivar 2FA para “entrar rápido” y olvidar reactivarlo tras cambiar de dispositivo.
- No confundas contraseña, PIN, seed phrase y código 2FA: resuelven riesgos distintos.
- Antes de cambiar móvil, exporta o reconfigura el autenticador y prueba el acceso.
Ejemplos prácticos
En una cuenta de exchange con saldo y retiros activos, usa 2FA para login y retiro, lista blanca de direcciones si existe, y revisión del correo de confirmación. Antes de enviar, comprueba red, dirección, importe, comisión de red y estado del retiro.
En autocustodia, 2FA no sustituye la verificación de la transacción. Antes de confirmar un envío, revisa en el dispositivo la dirección, el importe y la fee; después comprueba en un explorador el transaction hash, status, confirmations, inputs y outputs.
- Si el servicio permite “withdrawal whitelist”, actívala junto con 2FA.
- Para incidencias, anota qué paso falló: login, retiro, correo, código o confirmación en cadena.