La verificación en dos pasos (2FA) pide algo más que tu contraseña al iniciar sesión — un código, una pulsación o una llave física — para que una contraseña robada por sí sola no baste para entrar en tu cuenta. Pero no todo el 2FA es igual de fuerte. Así se comparan de verdad los tres métodos habituales.
Códigos por SMS
Un código enviado por mensaje de texto a tu móvil. Es mejor que no tener 2FA, pero es la opción más débil: el SIM-swapping (un atacante que convence a tu operadora de pasar tu número a su SIM) y la interceptación de red SS7 pueden saltárselo sin tocar tu dispositivo. Úsalo solo cuando un servicio no ofrezca nada mejor.
Apps autenticadoras (TOTP)
Apps como Google Authenticator, Authy o las integradas en Proton Pass, Bitwarden y 1Password generan un código de 6 dígitos que cambia cada 30 segundos, calculado localmente en tu dispositivo a partir de un secreto compartido — no se transmite nada para recibirlo, lo que ya elimina el SIM-swapping. Su punto débil es el phishing: una página de acceso falsa aún puede engañarte para que escribas el código en el sitio del atacante en tiempo real.
Llaves de seguridad físicas (FIDO2 / WebAuthn)
Una llave física (YubiKey, Google Titan y otras) que tocas o insertas para confirmar el inicio de sesión. A diferencia de un código, comprueba de forma criptográfica que estás en el sitio real antes de responder — una página falsa simplemente no obtiene una respuesta válida, lo que la convierte en el único método común genuinamente resistente al phishing. El coste es comprar una llave y llevarla encima.
Passkeys — la alternativa más nueva
Las passkeys usan la misma tecnología FIDO2 que las llaves físicas pero guardan la credencial en tu móvil u ordenador en vez de en un dispositivo aparte, desbloqueada con tu huella, cara o PIN. Son resistentes al phishing igual que las llaves físicas y no exigen comprar nada, pero el soporte varía según el sitio y según cómo las respaldes entre dispositivos — consulta nuestra entrada del glosario para los detalles.
¿Cuál usar de verdad?
Por orden de prioridad: una llave física o passkey para tus cuentas más importantes (correo principal, tu gestor de contraseñas, banca, trabajo); una app autenticadora para el resto; SMS solo cuando un servicio de verdad no ofrezca nada mejor. La mayoría de gestores de contraseñas — incluidos los de nuestra comparativa de gestores — ya pueden guardar y generar códigos de autenticación ellos mismos, así que no necesitas una app aparte.
Términos relacionados: Verificación en dos pasos (2FA) · Passkey (FIDO2) · Contraseña maestra