App autenticador 2FA con respaldo: 5 preguntas antes de confiar en una

Tus códigos 2FA no están guardados en ningún lugar que puedas ver. Cada código de 6 dígitos se calcula a partir de una clave secreta que vive dentro de tu app autenticadora, más la hora actual. Si pierdes el teléfono sin un respaldo de esos secretos, todos los códigos se van con él. Una app autenticador 2FA con respaldo lo soluciona, pero solo si puedes responder 5 preguntas sobre ella: dónde se guarda el respaldo, quién puede descifrarlo, qué necesitas para restaurarlo, si funciona sin conexión y cómo muestra los códigos en pantalla.

Respuesta corta: Tus códigos 2FA se generan a partir de claves secretas guardadas en tu app autenticadora. Si pierdes el teléfono sin respaldo de esos secretos, necesitarás los códigos de recuperación de cada sitio. Un buen autenticador guarda un respaldo cifrado que solo tú puedes abrir. Zelf Auth cifra tus secretos 2FA con tu rostro y los respalda en IPFS.

En esta guía verás cómo funcionan los códigos, qué pasa cuando desaparece el teléfono, la lista de preguntas para evaluar cualquier respaldo y cómo lo resuelve Zelf Auth.

Cómo funcionan los códigos de un autenticador

La mayoría de las apps autenticadoras usan TOTP, el estándar de contraseñas de un solo uso basadas en el tiempo descrito en el RFC 6238. Cuando escaneas el código QR de un sitio, la app guarda un secreto compartido. A partir de ahí, la app y el sitio combinan ese secreto con la hora actual y obtienen el mismo código corto, que cambia más o menos cada 30 segundos.

Eso tiene una consecuencia importante: el código es desechable, el secreto no. Quien tenga el secreto puede generar tus códigos para siempre y, si pierdes el secreto, nadie puede regenerarlo por ti. Proteger y respaldar tu 2FA significa, en realidad, proteger y respaldar esos secretos.

Qué pasa con tus códigos 2FA si pierdes el teléfono

Si tu autenticador guardaba los secretos solo en ese teléfono, desaparecen con el dispositivo. Un teléfono nuevo con la misma app instalada empieza vacío. Para volver a entrar en cada cuenta necesitarás alguna de estas opciones:

Los códigos de recuperación que el sitio te dio al activar la verificación en dos pasos.
Otro método de inicio de sesión que hayas configurado antes, como una llave de seguridad o un segundo autenticador.
El proceso de recuperación de cuenta del sitio, que puede tardar días y pedirte que demuestres tu identidad.

Multiplica eso por cada cuenta que usaba la app, y un solo teléfono perdido puede dejarte fuera de muchas cuentas a la vez. Con las billeteras cripto pasa algo parecido: lo explicamos en qué pasa si pierdes las claves de tu billetera crypto.

Haz esto hoy, antes de que algo salga mal

Dos revisiones rápidas te protegen del peor escenario:

Guarda sin conexión los códigos de recuperación de cada sitio. Imprímelos o anótalos y guárdalos en un lugar seguro. Si nunca los guardaste, la mayoría de los sitios te deja generar un juego nuevo en su configuración de seguridad.
Comprueba si tu app actual tiene algún respaldo. Abre su configuración y busca opciones de respaldo, sincronización, exportación o transferencia. Si no encuentras ninguna, tus secretos 2FA existen en un solo dispositivo.

Activar la autenticación multifactor sigue siendo lo correcto. La guía de CISA sobre MFA la recomienda para toda cuenta que la ofrezca. El objetivo es que perder un dispositivo no te deje sin acceso.

5 preguntas para evaluar el respaldo de cualquier autenticador

Usa esta lista con la app que usas hoy o con cualquiera que estés considerando:

¿Dónde se guarda el respaldo? ¿Solo en el dispositivo, en la nube de una empresa vinculada a una cuenta o en un almacenamiento que tú controlas?
¿Quién puede descifrarlo? Si el proveedor, o cualquiera con la contraseña de tu cuenta, puede leer tus secretos, el respaldo es tan fuerte como esa cuenta.
¿Qué necesitas para restaurarlo? ¿Un inicio de sesión, una contraseña de respaldo aparte, tu rostro? Asegúrate de que lo seguirás teniendo después de perder el teléfono.
¿Funciona sin conexión? Los códigos deberían generarse sin internet, y el acceso no debería depender de que un servidor esté disponible.
¿Cómo se muestran los códigos en pantalla? Un código visible puede leerlo cualquier cosa que tenga acceso a tu pantalla.

Si quieres la referencia formal sobre cómo proteger y reemplazar autenticadores, consulta la NIST SP 800-63B (en inglés).

Respaldos sincronizados en la nube: cómodos, pero atados a una cuenta

Varias apps populares resuelven el problema del teléfono perdido sincronizando con una cuenta. La ayuda de Google explica que Google Authenticator puede sincronizar tus códigos con tu cuenta de Google, y Microsoft documenta cómo hacer una copia de seguridad y recuperar credenciales en Microsoft Authenticator con una cuenta personal.

Es una gran mejora frente a una app que guarda todo solo en el dispositivo. La contrapartida es que tus secretos 2FA pasan a depender de esa cuenta: su contraseña, sus opciones de recuperación y cómo cifra el proveedor el respaldo. Antes de confiar en la sincronización, revisa las preguntas 2 y 3. Analizamos qué pasa cuando la propia cuenta es el punto débil en nuestro artículo sobre la caída del 2FA.

Por qué la pantalla también importa

Los respaldos no son el único riesgo. Los investigadores de Pixnapping demostraron que una app maliciosa en Android podía leer datos sensibles de la pantalla, y que su ataque contra Google Authenticator podía robar códigos 2FA en menos de 30 segundos sin que el usuario lo notara.

La lección vale para cualquier autenticador: mantén el teléfono actualizado, instala apps solo de fuentes de confianza y prefiere apps que no dejen todos los códigos a la vista más tiempo del necesario.

Cómo respalda Zelf Auth tu 2FA

Zelf Auth es un autenticador 2FA descentralizado protegido por HumanAuthn. Así responde a las preguntas sobre el respaldo, en 4 pasos:

Crea o importa tus cuentas 2FA. Agregas cuentas basadas en OTP igual que en cualquier app autenticadora estándar.
Cífralas con HumanAuthn. Tus secretos 2FA se cifran y descifran con el cifrado biométrico de HumanAuthn, así que el acceso queda ligado a tu rostro. Además, permanecen cifrados en reposo.
Guárdalas en IPFS. Los datos 2FA cifrados se almacenan en IPFS, un almacenamiento descentralizado, en lugar de depender solo de los servidores de una empresa. Las claves de recuperación se guardan como códigos QR cifrados en IPFS.
Recupéralas con tu Zelf ID. Asegurar un Zelf ID es lo que te permite volver a entrar después de perder el teléfono. Registrar un nombre Zelf ID es gratis.

Zelf Auth también funciona sin conexión, no pide número de teléfono ni correo electrónico y es de código abierto. El mismo enfoque biométrico protege las contraseñas en el gestor de contraseñas de Zelf, que explicamos en Zelf Keys, el gestor de contraseñas biométrico. Si quieres entender la capa biométrica, lee qué es ZelfProof. Cuando estés listo, descarga Zelf Auth y agrega tu primera cuenta 2FA.

Solo en el dispositivo vs. sincronizado en la nube vs. Zelf Auth

	Autenticador solo en el dispositivo	Autenticador sincronizado en la nube	Zelf Auth
Dónde vive el respaldo	En ningún lado, salvo que lo exportes tú	En la nube del proveedor, vinculado a tu cuenta	Cifrado en IPFS
Quién puede descifrarlo	Quien tenga el teléfono y lo desbloquee	Depende del cifrado del proveedor y de la seguridad de tu cuenta	Tu rostro, mediante HumanAuthn
Qué necesitas para restaurar	Los códigos de recuperación de cada sitio	El inicio de sesión de tu cuenta y sus opciones de recuperación	Tu Zelf ID y una verificación facial
Uso sin conexión	Sí	Los códigos sí; restaurar requiere la cuenta	Sí

Elijas el tipo que elijas, guarda sin conexión los códigos de recuperación de cada sitio. Si además guardas cripto, los mismos principios aplican: revisa la forma más segura de guardar crypto en 2026.

Respuestas rápidas

¿Qué pasa con mis códigos 2FA si pierdo el teléfono? Si tu autenticador guardaba los secretos solo en ese teléfono, los códigos se pierden con él. Necesitarás los códigos de recuperación de cada sitio, otro método de inicio de sesión que hayas configurado o el proceso de recuperación de cuenta del sitio. Con un respaldo cifrado, restauras los secretos en un teléfono nuevo.

¿Puedo respaldar los códigos de mi app autenticadora actual? Depende de la app. Algunas guardan los secretos solo en el dispositivo, otras los sincronizan con una cuenta en la nube del proveedor y otras permiten exportarlos. Abre la configuración y busca respaldo, sincronización o transferencia. Luego revisa quién puede descifrar ese respaldo y qué necesitarías para restaurarlo.

¿Es seguro respaldar los códigos 2FA en la nube? Puede serlo, pero depende de cómo se cifra el respaldo y de quién tiene la clave. Si cualquiera con la contraseña de tu cuenta puede restaurar tus secretos 2FA, el respaldo es tan fuerte como esa cuenta. Protégela con una contraseña robusta y su propio segundo factor, y guarda los códigos de recuperación sin conexión.

¿Qué son los códigos de recuperación 2FA y dónde guardarlos? Son códigos de respaldo de un solo uso que te da cada sitio al activar la verificación en dos pasos. Cada uno sirve una vez, para entrar si pierdes tu autenticador. Guárdalos sin conexión, impresos o anotados, en un lugar seguro y separado del teléfono. Si los perdiste, la mayoría de los sitios puede generar un juego nuevo.

¿Zelf Auth funciona sin conexión? Sí. Según la página de producto de Zelf Auth, la app funciona sin conexión, así que tus códigos 2FA están disponibles en tu dispositivo en cualquier momento y lugar, sin depender de internet. Tus secretos 2FA permanecen cifrados en reposo, protegidos con el cifrado biométrico de HumanAuthn, y los respaldos cifrados quedan en IPFS para cuando necesites recuperarlos.

¿Necesito número de teléfono o correo para usar Zelf Auth? No. Zelf Auth no pide número de teléfono ni dirección de correo electrónico. El acceso está ligado al cifrado biométrico de HumanAuthn y a tu Zelf ID, que es lo que aseguras para recuperar tus cuentas 2FA si pierdes el teléfono. Registrar un nombre Zelf ID es gratis, y Zelf Auth es de código abierto.

Relacionado: ¿Qué pasa con tus cripto si pierdes tu celular?

Respalda tu 2FA antes de necesitarlo

Guarda hoy tus códigos de recuperación y luego pasa tus cuentas 2FA a un autenticador cuyo respaldo solo tú puedas abrir.

Descarga Zelf Auth