Guía · 4 min de lectura

Doble factor de autenticación (2FA) en tu empresa: qué es y cómo activarlo

Una contraseña robada ya no basta para entrar en tu correo si tienes el doble factor activado. Es la medida que más protege por el menor esfuerzo. Aquí tienes qué es, cuál elegir, dónde activarlo primero y cómo hacerlo con todo tu equipo.

Por Hugo Arribas Muñoz · Actualizado el 20 de octubre de 2026

Qué es el doble factor

Para demostrar quién eres hay tres tipos de prueba: algo que sabes (la contraseña), algo que tienes (tu móvil, una llave) y algo que eres (tu huella o tu cara). El doble factor (2FA o MFA) combina al menos dos. Aunque un delincuente consiga tu contraseña, le falta lo otro.

Qué tipos hay, de mejor a peor

Llaves de seguridad y passkeys (FIDO2): una llave física o el propio móvil o portátil con huella. Son las más resistentes al phishing, porque solo funcionan en la web verdadera.
Aplicación de códigos (TOTP): una app en el móvil genera un código de 6 cifras que cambia cada 30 segundos. Es gratuita, funciona sin cobertura y es la opción más práctica para empezar.
Aviso en una app (aprobar o denegar): cómodo, pero cuidado con aprobar sin mirar: los atacantes insisten con avisos hasta que alguien pulsa «Aprobar» por cansancio.
Código por SMS: mejor que nada, pero se puede interceptar o conseguir duplicando la tarjeta SIM. Úsalo solo si no hay otra opción.

Dónde activarlo primero

Correo electrónico (Microsoft 365, Google Workspace u otro): con el correo se restablecen casi todas las demás contraseñas.
Banca online y cualquier servicio de pagos.
Administración de tu web y de tu tienda online.
El registrador de tu dominio y tu proveedor de hosting: quien entra ahí puede desviar tu web y tu correo.
Gestor de contraseñas, copias de seguridad y almacenamiento en la nube.
Acceso remoto y VPN.
Redes sociales de la empresa.

Cómo activarlo, paso a paso

Entra en la configuración de seguridad de la cuenta. Busca «Verificación en dos pasos», «Autenticación multifactor» o «Seguridad».
Elige la app de códigos o la llave. Escanea el código QR con la aplicación de autenticación que prefieras.
Guarda los códigos de recuperación en un sitio seguro y fuera del móvil (impresos en un cajón, por ejemplo). Son tu salida si pierdes el teléfono.
Comprueba que funciona cerrando sesión y entrando de nuevo.
Añade un segundo método (otra llave o un segundo móvil) por si falla el primero.

Cómo implantarlo con todo tu equipo

Hazlo obligatorio por política en Microsoft 365 o Google Workspace en lugar de pedirlo por favor.
Empieza por los administradores y las personas con acceso a dinero o datos de clientes.
Explica el porqué en cinco minutos y reparte una hoja con los pasos. Muchas resistencias desaparecen con una explicación breve.
Evita las cuentas compartidas. Si hay que compartir una, usa un gestor de contraseñas con códigos compartidos.
Plan de bajas: cuando alguien deja la empresa, retira sus accesos y sus métodos de verificación el mismo día.
Prepara el «he perdido el móvil»: quién puede restablecer el acceso y cómo comprueba que es la persona.

Preguntas frecuentes

¿Qué es el doble factor de autenticación?

Es pedir dos pruebas distintas para entrar en una cuenta: algo que sabes (la contraseña) y algo que tienes (un código de una app, una llave) o que eres (una huella). Si te roban la contraseña, no pueden entrar sin lo segundo.

¿Es mejor una app de códigos o el SMS?

La app. El SMS se puede interceptar o conseguir duplicando la SIM, mientras que una app genera los códigos en tu propio dispositivo. Las llaves de seguridad y las passkeys son aún más resistentes.

¿Qué hago si pierdo el móvil con la app de códigos?

Usa los códigos de recuperación que guardaste al activarlo, o el segundo método que añadiste. Por eso conviene guardarlos fuera del móvil y tener siempre un método de respaldo.

¿Es obligatorio el doble factor para las empresas?

Con carácter general no hay una obligación legal específica para todas, pero el RGPD exige medidas de seguridad adecuadas al riesgo y el doble factor es una de las más habituales y eficaces. Algunos clientes y aseguradoras lo piden.

¿Ralentiza el trabajo del equipo?

Añade unos segundos al iniciar sesión. Con la opción «recordar este dispositivo» en equipos de confianza, se pide pocas veces. El coste de una cuenta secuestrada es mucho mayor.

Sigue leyendo

Fuentes y más información

Esta guía es orientativa y no sustituye el asesoramiento técnico o legal de un profesional. Se actualiza cuando cambian los hechos.