Las contraseñas se filtran. Alguien las apunta en un post-it, las reutiliza en cinco sitios o las escribe en un correo falso que parecía de su banco. La verificación en dos pasos hace que esa contraseña robada no sirva de nada sola: para entrar también se necesita algo que solo tú tienes, casi siempre tu celular.
Activarla toma unos minutos por cuenta. El problema es que la mayoría de los negocios la activa en el banco y en Facebook y se olvida de las cuentas que, si caen, se llevan todo lo demás.
Qué es, sin tecnicismos
Cuando inicias sesión, el sistema te pide tu contraseña y después un segundo dato. Ese segundo dato cambia cada vez y llega a un aparato que está en tu mano. Si un desconocido tiene tu contraseña pero no tu celular, se queda en la puerta.
Hay varias formas de recibir ese segundo dato:
- Código por SMS. Es la más fácil de activar. También la más débil, porque un estafador puede convencer a la compañía telefónica de pasarle tu número a otro chip.
- App autenticadora. Google Authenticator, Microsoft Authenticator o similares generan un código de seis dígitos que cambia cada 30 segundos. No depende de tu línea telefónica y funciona sin señal.
- Notificación en el celular. Te aparece un aviso de "¿Eres tú?" y tocas que sí. Cómodo, pero hay que leerlo antes de aceptar.
- Llave física. Un dispositivo del tamaño de una memoria USB que conectas o acercas al celular. Es la opción más resistente al phishing, útil para el dueño y para quien maneja dinero.
Si tienes que elegir una sola, usa la app autenticadora. Cualquier opción es mejor que nada, incluso el SMS.
El orden importa: empieza por estas cuentas
No todas las cuentas pesan igual. Algunas son llaves maestras: quien entra ahí puede restablecer la contraseña de todo lo demás.
1. El correo del dueño y de administración
Casi cualquier servicio manda el enlace de "olvidé mi contraseña" al correo. Si alguien controla tu buzón, puede pedir acceso a tu dominio, a tu hosting y a tus redes sin conocer ninguna otra clave. Por eso esta va primero. Si ya te pasó, revisa qué hacer si alguien entró a tu correo.
2. La cuenta donde está registrado tu dominio
Quien entra a esa cuenta puede cambiar los DNS y mandar tu sitio y tu correo a otro lado, o transferir el dominio fuera de tu control. Piensa en un despacho contable en Guadalajara que un lunes deja de recibir correos de sus clientes porque alguien movió los registros MX el fin de semana. Esa cuenta suele abrirse una vez al año para renovar, y justo por eso nadie la vigila.
3. El panel de tu hosting y la cuenta de cliente del proveedor
Desde ahí se descargan respaldos, se borran sitios y se crean buzones. Activa la verificación en la cuenta de cliente y, si tu panel la ofrece, también ahí.
4. El administrador de WordPress
WordPress no trae la verificación en dos pasos de fábrica, pero se agrega con un plugin de seguridad reconocido. Actívala por lo menos para los usuarios con rol de administrador. Una tienda de refacciones en Querétaro con tres personas que suben productos no necesita que las tres sean administradoras: la mayoría puede tener el rol de editor o gestor de tienda.
5. Banca, pasarela de pago y redes del negocio
Estas casi siempre ya la piden. Revisa que esté activa y que el celular registrado siga siendo de alguien que trabaja contigo.
Los códigos de respaldo: el paso que todos saltan
Al activar la verificación, casi todos los servicios te muestran una lista de códigos de un solo uso. Sirven para entrar si pierdes el celular, se te rompe o te lo roban. Mucha gente cierra esa pantalla sin guardarlos.
Guárdalos en un lugar que no sea el mismo celular:
- En un gestor de contraseñas del negocio.
- Impresos, en un sobre cerrado en la caja fuerte o con los papeles de la empresa.
Sin esos códigos, recuperar una cuenta puede tardar días y pedirte identificación oficial, actas o comprobantes. En una cuenta de dominio, esos días pueden ser días sin correo.
Errores comunes en negocios pequeños
El celular de quien hizo la página. El sobrino, el freelance o la agencia configuró todo con su número. Hoy ya no contesta y tú no puedes entrar a tu propio dominio. La verificación debe estar ligada a un celular del negocio o del dueño. En quién debe tener cada contraseña de tu sitio explicamos cómo repartir esos accesos.
Una sola cuenta compartida por todos. Si cinco personas usan el mismo usuario, alguien tiene que pasar el código por WhatsApp cada vez que otro quiere entrar. Eso termina en desactivar la verificación "para no estorbar". Mejor que cada quien tenga su propio usuario con su propio segundo paso.
Cambiar de celular sin pasar la app. Las apps autenticadoras guardan los códigos en el teléfono. Antes de cambiar de equipo, usa la opción de exportar o sincronizar, o entra a cada servicio y vuelve a vincularlo. Si borras el celular viejo primero, te quedas afuera.
Aceptar notificaciones sin leer. Si te llega un "¿Eres tú intentando entrar?" y no estabas iniciando sesión, no lo apruebes. Alguien tiene tu contraseña. Cámbiala ese mismo día.
Cuando un empleado se va
Al dar de baja a alguien, quita su usuario de cada servicio, no solo su contraseña. Si su celular era el segundo paso de alguna cuenta del negocio, cámbialo al tuyo antes de que se vaya, mientras todavía puede ayudarte a hacerlo. Haz una lista de qué cuentas tenía y revísala con calma.
Un plan para esta semana
- Haz una lista de las cuentas del negocio: correo, dominio, hosting, WordPress, banco, redes.
- Instala una app autenticadora en el celular del dueño.
- Activa la verificación en el correo y en la cuenta del dominio hoy mismo.
- Guarda los códigos de respaldo fuera del celular.
- Sigue con el hosting y WordPress en los próximos días.
No tiene que quedar todo en una tarde. Con las dos primeras cuentas protegidas ya cerraste la puerta por donde entran la mayoría de los problemas serios. Y desconfía de cualquier correo que te pida "confirmar tu acceso" con prisa: muchos son como los correos falsos de renovación de dominio.
La verificación en dos pasos protege quién entra a tus cuentas. Para lo que viaja entre tu sitio y tus clientes, revisa en koode.mx las opciones de certificado SSL para el sitio de tu negocio.