Activar la verificación en dos pasos en tu servicio de nube
La verificación en dos pasos añade a la contraseña una segunda prueba, como una notificación en el móvil, una aplicación de códigos o una llave de acceso, de modo que una contraseña robada ya no basta para entrar en tu nube. Google, Microsoft, Dropbox y Apple la ofrecen sin coste en sus cuentas. En Google Workspace, Microsoft 365 y los equipos de Dropbox, el administrador puede además exigirla a todos los usuarios de la empresa.
Verificación en dos pasos en tu nube: cómo activarla
Una contraseña puede acabar en manos ajenas de mil maneras: un correo falso bien hecho, una filtración en otro servicio donde usabas la misma, una nota adhesiva pegada al monitor. La verificación en dos pasos hace que, aun así, el intruso se quede en la puerta. Es la medida con mejor relación entre esfuerzo y efecto para mantener segura la nube de tu negocio, y Google la describe en su ayuda sobre la verificación en dos pasos como una capa adicional de seguridad para tu cuenta.
Activarla lleva unos minutos por cuenta. Necesitas tu móvil (celular), acceso a la cuenta y un sitio donde guardar los códigos de respaldo. Lo que exige algo más de reflexión es elegir el método y, si tienes equipo, decidir cuándo pasa a ser obligatoria para todos.
Qué método elegir
No todos los segundos pasos protegen igual. La guía de identidad digital del NIST estadounidense (SP 800-63B-4) clasifica como «restringido» el envío de códigos por la red telefónica y solo considera resistentes al phishing los métodos criptográficos, como las llaves de acceso y las llaves físicas. Google llega a la misma conclusión en su ayuda.
| Método | Cómo funciona | ¿Resiste el phishing? | Cuándo usarlo |
|---|---|---|---|
| Llave de acceso (passkey) | El móvil o el ordenador (computadora) confirman con huella, rostro o PIN | Sí | Primera opción si el servicio la admite |
| Llave de seguridad física | Un pequeño dispositivo USB, NFC o Bluetooth | Sí | Cuentas de administrador y cuentas críticas |
| Notificación en el móvil | Pulsas «Sí» o «No» en una alerta | No | Cómoda para el día a día |
| Aplicación de códigos | Genera códigos de un solo uso, sin conexión | No | Viajes o zonas sin cobertura |
| SMS o llamada | Recibes un código en tu número | No, y depende de la línea | Solo si no hay otra opción |
| Códigos de respaldo | Lista de códigos de un solo uso | No aplica | Siempre, guardados fuera del móvil |
Lo razonable para un negocio pequeño: una llave de acceso o una notificación como método principal, una aplicación de códigos como alternativa y los códigos de respaldo impresos.
Dónde se activa en cada servicio
Los menús cambian de nombre con el tiempo, pero la ruta es parecida en todos: perfil, seguridad, inicio de sesión.
Google (Gmail, Drive). Entra en myaccount.google.com, abre la sección de seguridad y, en el apartado sobre cómo inicias sesión en Google, elige activar la verificación en dos pasos. La ruta directa es myaccount.google.com/signinoptions/two-step-verification. Si tu cuenta pertenece a una empresa o a un centro educativo, puede que la gestione el administrador.
Microsoft (cuenta personal con OneDrive). Ve a account.microsoft.com/security, selecciona Administrar cómo inicio sesión y, en Seguridad adicional, activa la verificación en dos pasos. Te mostrará un código QR para vincular Microsoft Authenticator u otra aplicación. Microsoft aconseja tener varias formas de contacto actualizadas, por ejemplo dos direcciones de correo distintas y un teléfono.
Dropbox. En dropbox.com, haz clic en tu avatar, luego en Configuración y, en la pestaña Seguridad, activa la verificación en dos pasos. Puedes elegir aplicación de autenticación, SMS (solo en algunos países), llave de seguridad o clave de acceso. Según la ayuda de Dropbox, recibirás 10 códigos de respaldo de 8 dígitos; cada uno sirve una vez y se regeneran si desactivas y vuelves a activar la función.
Apple (iCloud Drive). En el iPhone o el iPad, abre Ajustes, toca tu nombre y entra en Inicio de sesión y seguridad; en el Mac, la ruta es la misma desde Ajustes del Sistema. Apple indica que la autenticación de doble factor ya es el método predeterminado para la mayoría de cuentas, y que una cuenta creada con ella no puede desactivarla.
Cómo exigirla a todo el equipo
Activarla en tu cuenta protege tu cuenta. En una empresa, basta un empleado sin segundo factor para abrir una puerta a carpetas compartidas por todos.
- Google Workspace. Un administrador avanzado entra en la consola, en Seguridad, Autenticación y Verificación en 2 pasos. Google propone dos fases en su guía para administradores: primero permitir que los usuarios se inscriban y, cuando lo hayan hecho, activar la aplicación forzosa, inmediata o a partir de una fecha. A los empleados nuevos se les puede dar un período de inscripción de un día a seis meses.
- Microsoft 365. Según la documentación de Microsoft, los inquilinos creados después de octubre de 2019 tienen activados por defecto los valores predeterminados de seguridad, gratuitos en todas las organizaciones. Puedes comprobarlo en el centro de administración de Microsoft Entra, en la pestaña Propiedades de la información general.
- Dropbox (equipos). En la consola de administración, dentro de la configuración de seguridad, el apartado de autenticación permite pasar la verificación en dos pasos de opcional a obligatoria. Los miembros actuales tendrán que activarla en su siguiente inicio de sesión.
Cinco precauciones antes de activarla
Una academia de idiomas con ocho profesores en Rosario descubre el problema típico el lunes siguiente: una profesora cambió de móvil el fin de semana, borró el viejo y ya no puede entrar. Se evita con unas pocas costumbres:
- Guarda los códigos de respaldo fuera del móvil, impresos o en un gestor de contraseñas.
- Registra dos métodos, por ejemplo una llave de acceso y una aplicación de códigos.
- Antes de cambiar de móvil, pasa la aplicación de códigos al nuevo y comprueba que funciona; después, borra el viejo.
- Evita depender de un número que no es tuyo, como el teléfono fijo de la oficina o la línea de un compañero.
- Si eres administrador, ten una segunda cuenta de administración de emergencia. Microsoft recomienda al menos dos cuentas de acceso de emergencia, no asignadas a una persona concreta.
Si la contraseña ya ha caído
Si llegas aquí porque alguien ya ha entrado en tu cuenta, el orden de los pasos importa: cambiar la contraseña, cerrar sesiones y revisar qué ha tocado el intruso. El plan para recuperar una cuenta de la nube comprometida recoge las páginas oficiales de cada proveedor.
El segundo factor también tiene que darse de baja
Cuando una persona deja la empresa, sus métodos de verificación siguen asociados a la cuenta y, a veces, a su móvil personal. Restablecer la contraseña no basta: forma parte de cerrar los accesos de quien deja la empresa, junto con sus sesiones abiertas y sus dispositivos.