Apps de autenticación y contraseñas de aplicación: cómo funcionan

Una app de autenticación produce contraseñas de un solo uso basadas en el tiempo, un método que suele llamarse TOTP. Cuando activas la autenticación de dos factores con app, el servicio te muestra un código QR. Ese código contiene una clave secreta, y al escanearlo se guarda una copia de la clave dentro de tu app. A partir de ahí, el servicio y tu teléfono comparten el mismo secreto, que ya no necesita volver a viajar por la red.

Para crear un código, la app combina el secreto con la hora actual, redondeada a un intervalo corto que suele ser de 30 segundos, y pasa el resultado por una función criptográfica estándar. Después recorta esa salida hasta dejar un número corto, normalmente de seis dígitos. El servidor hace el mismo cálculo por su lado y compara ambos resultados. Como los dos lados solo necesitan el secreto y un reloj, la app funciona sin datos móviles ni wifi.

Este diseño explica el problema más frecuente: códigos rechazados aunque los hayas escrito bien. Si el reloj de tu teléfono se desfasa, calcula códigos para el intervalo equivocado. Configurar la fecha y la hora en modo automático suele resolverlo, y algunas apps incluyen además una opción para corregir la hora.

Cualquier app compatible con el método estándar TOTP funciona con la mayoría de los servicios, así que la verdadera elección depende de cómo trata la app tus secretos. Las grandes empresas tecnológicas ofrecen sus propias apps, entre ellas Google Authenticator y Microsoft Authenticator, y muchos gestores de contraseñas también pueden guardar códigos TOTP.

Busca una forma de hacer copia de seguridad o de exportar tus códigos, porque si una app los guarda en un solo teléfono, perder ese teléfono te deja sin acceso a tus cuentas. Si la app se sincroniza con una cuenta en la nube, asegúrate de que esa cuenta también esté bien protegida, y prefiere las apps que cifran la copia de seguridad. Un bloqueo de la app con huella, rostro o PIN añade protección si alguien toma tu teléfono desbloqueado.

Algunas apps de autenticación también ofrecen aprobaciones push para las cuentas de su propia empresa: tocas un botón para confirmar el inicio de sesión en lugar de escribir un código. Es cómodo, pero solo funciona con ese proveedor. Para cualquier otro servicio, la app se comporta como un generador de códigos estándar.

En la configuración de seguridad de la cuenta, elige la opción para configurar una app de autenticación. Escanea el código QR con la app, o escribe a mano la clave de configuración si no puedes escanearlo. Después, el servicio te pide el código actual para comprobar que la configuración funcionó. No te saltes este paso ni cierres la página hasta que el código haya sido aceptado.

Ponle a cada entrada un nombre claro si la app lo permite, sobre todo cuando gestionas varias cuentas del mismo servicio. Una entrada que solo muestra el nombre de la marca es fácil de confundir con otra, y borrar la equivocada puede dejarte sin acceso.

Guarda al mismo tiempo los códigos de respaldo o de recuperación que ofrezca el servicio. Son la forma más sencilla de volver a entrar si pierdes el teléfono con tu app de autenticación antes de haber hecho una copia de tus códigos.

La regla más segura es sencilla: configura el teléfono nuevo mientras el antiguo todavía funciona. No borres, vendas ni entregues el dispositivo anterior hasta haber trasladado y probado todos los códigos.

Muchas apps de autenticación incluyen una función de transferencia o exportación que muestra uno o varios códigos QR en el teléfono antiguo para que el nuevo los escanee. Otras restauran tus entradas desde una copia de seguridad cifrada en la nube cuando inicias sesión en el dispositivo nuevo. Después del traslado, entra en algunas cuentas con los códigos nuevos para confirmar que coinciden.

Si tu app no tiene opción de transferencia, traslada las cuentas una por una. Inicia sesión en cada servicio, abre su configuración de dos factores, elige añadir o cambiar la app de autenticación, escanea el nuevo código QR con el teléfono nuevo y confirma el código. En muchos servicios la entrada antigua deja de funcionar en cuanto se sustituye el secreto, así que bórrala después para evitar confusiones. Ten a mano tus códigos de respaldo durante el traslado por si algo sale mal a mitad del proceso.

Una contraseña de aplicación es una contraseña larga generada al azar que permite que una app o un dispositivo concreto inicie sesión en tu cuenta sin pasar por la autenticación de dos factores. Existe para programas antiguos que solo entienden un nombre de usuario y una contraseña, y que no pueden mostrar una solicitud de código ni abrir una página de inicio de sesión.

Las cuentas de Google, Microsoft y Yahoo, entre otras, permiten crear contraseñas de aplicación desde la configuración de seguridad de la cuenta, en la mayoría de los casos solo después de activar la verificación en dos pasos. Algunos tipos de cuenta, como ciertas cuentas del trabajo o de centros educativos, o las inscritas en los programas de seguridad más estrictos, pueden no ofrecerlas en absoluto. Normalmente cada contraseña de aplicación se muestra una sola vez, al crearla, así que pégala en la app enseguida.

Como una contraseña de aplicación se salta el segundo factor, trátala como una contraseña completa del buzón que protege. Crea una distinta para cada app o dispositivo, ponle un nombre descriptivo cuando el servicio lo permita y no la reutilices nunca en otro sitio.

Las apps de correo modernas inician sesión en los grandes proveedores mediante una ventana de acceso similar a la de un navegador, que gestiona directamente la autenticación de dos factores, así que no necesitan contraseña de aplicación. Normalmente solo la necesitas cuando un programa o dispositivo se conecta con la configuración IMAP, POP o SMTP tradicional y un simple campo de contraseña: clientes de correo de escritorio antiguos, algunas apps de correo para el teléfono, escáneres e impresoras que envían correos, herramientas de copia de seguridad, scripts y dispositivos inteligentes más viejos.

Una buena prueba es intentar primero el inicio de sesión normal. Si la app abre la página de acceso del propio proveedor, úsala. Si solo ofrece la configuración del servidor y sigue rechazando tu contraseña correcta después de activar la verificación en dos pasos, esa es la señal para crear una contraseña de aplicación, escribirla en lugar de tu contraseña normal y dejar el resto de la configuración como estaba.

Los proveedores llevan tiempo alejando a los usuarios del inicio de sesión con contraseña simple en apps de terceros, así que una contraseña de aplicación que hoy funciona podría dejar de ser compatible más adelante. Cuando un programa del que dependes deje de conectarse, comprueba si una versión más reciente admite el método de acceso moderno antes de crear otra contraseña de aplicación.

Revisa de vez en cuando tus contraseñas de aplicación en la configuración de seguridad de la cuenta y revoca las que ya no uses, sobre todo las de dispositivos que vendiste o programas que desinstalaste. Algunos proveedores muestran cada contraseña de aplicación por separado, mientras que otros solo permiten eliminarlas todas a la vez. En algunos servicios, cambiar la contraseña principal también revoca las contraseñas de aplicación existentes, así que prepárate para crear otras nuevas después.

Si recibiste una cuenta de correo de otra persona, por ejemplo a través de un marketplace de bienes digitales como rStock, elimina las contraseñas de aplicación y las entradas de autenticación que no hayas creado tú, y luego configura tu propia app de autenticación y genera códigos de respaldo nuevos. En rStock, el contenido entregado aparece en la página de tu pedido como un registro de entrega vinculado al pedido, así que copia los datos a tu gestor de contraseñas antes de empezar a cambiarlos. Usa cualquier cuenta que obtengas de acuerdo con las condiciones de uso del proveedor.

Por último, mantén separados en lo posible tu app de autenticación, tus códigos de respaldo y tus contraseñas de aplicación. Un solo teléfono robado o una nota filtrada nunca deberían bastar para darle a alguien todas las llaves de tu correo.