Una clave secreta de 2FA es el valor de configuración privado que vincula una cuenta de un sitio web a un autenticador TOTP. El servicio suele mostrarla cuando activas la autenticación de dos factores, ya sea en forma de código QR o como clave de configuración manual.
Esta guía te ayuda a localizar el valor correcto sin confundirlo con una contraseña, un código SMS o un código de recuperación.
¿Dónde puedo encontrar mi clave secreta de 2FA?
Inicia sesión en la página web oficial o en la aplicación de la cuenta y busca en una sección denominada «Seguridad», «Inicio de sesión y seguridad», «Autenticación de dos factores», «Verificación en dos pasos» o «Aplicación de autenticación».
Inicia la configuración de la aplicación de autenticación. El servicio suele mostrar un código QR. Busca una opción cercana como:
- ¿No puedes escanear el código QR?
- Introduce la clave de configuración manualmente
- Mostrar clave secreta
- Introducción manual
- Copiar clave de configuración
Esta opción muestra el texto secreto codificado en el código QR. Realiza estos pasos únicamente para una cuenta de la que seas titular o para la que estés autorizado a gestionar.
¿Qué aspecto tiene una clave secreta de 2FA?
La mayoría de las claves de configuración TOTP utilizan Base32: letras mayúsculas de la A a la Z y dígitos del 2 al 7. Se pueden añadir espacios para facilitar la lectura. Un ejemplo simplificado tiene este aspecto JBSW Y3DP EHPK 3PXP.
La longitud varía según el servicio. No se debe dar por válida una clave simplemente porque parezca estar en formato Base32. El servicio emisor determina el secreto y cualquier configuración que no sea la predeterminada.
Código QR frente a clave de configuración manual
Un código QR de un autenticador suele contener un otpauth:// URI de configuración. Puede incluir la misma clave secreta, además de una etiqueta de cuenta, el emisor, el algoritmo, el número de dígitos y el periodo de actualización. La clave de configuración manual es únicamente la parte secreta.
Si una herramienta solo acepta un secreto en formato Base32, utiliza el valor etiquetado como «clave de configuración» o «secreto», y no el nombre de un archivo de imagen, la contraseña de la cuenta ni la URL completa del código QR. El generador de Get2FA.dev está diseñado actualmente para secretos TOTP estándar.
Paso a paso: cómo copiar una clave de configuración manual de forma segura
- Comprueba que te encuentras en el dominio oficial o en la aplicación oficial.
- Abre la configuración de seguridad de la cuenta y comienza la configuración del autenticador.
- Descubre la clave de configuración manual junto al código QR.
- Cópiala sin comillas ni etiquetas.
- Añádela a tu autenticador de confianza y verifica el primer código.
- Guarda los códigos de recuperación que te ofrece el servicio.
- Finaliza la configuración solo después de que se haya aceptado un código de prueba.
No pegues la clave secreta en un correo electrónico, un chat, un ticket de asistencia ni en una captura de pantalla pública. Nuestra página «Acerca de» explica el uso previsto de esta utilidad del navegador, centrado en la privacidad.
¿Qué ocurre si la autenticación de dos factores (2FA) ya está activada?
Muchos servicios muestran la clave secreta solo una vez durante la configuración inicial. Si no la has guardado, es posible que no puedas recuperar el valor original más adelante. Es posible que una aplicación de autenticación permita exportarla o realizar una copia de seguridad protegida, pero esto depende de la aplicación y de la política de tu organización.
La forma más segura de recuperarlo suele consistir en utilizar un método de recuperación válido, desactivar el registro del antiguo autenticador y volver a configurarlo. Esto genera una nueva clave secreta y, a menudo, un nuevo conjunto de códigos de respaldo. Revocar la configuración anterior es importante si crees que su clave ha quedado expuesta.
Un secreto de 2FA no es un código de recuperación
Estos valores tienen fines distintos:
- Secreto o clave de configuración: utilizado repetidamente por una aplicación de autenticación para calcular códigos cambiantes.
- Código TOTP: un código corto derivado del secreto y de la hora actual.
- Código de recuperación: un código de emergencia, a menudo de un solo uso, facilitado por el proveedor de la cuenta.
- Contraseña: la credencial principal de la cuenta.
Nunca introduzcas tu contraseña en un generador TOTP. Si solo dispones de un código de recuperación, utiliza el proceso de recuperación del proveedor de la cuenta.
Cómo proteger la clave secreta
- Guárdala únicamente en un autenticador de confianza o en un gestor de contraseñas cifrado.
- Evita las notas en texto plano, los documentos en la nube y las capturas de pantalla sin cifrar.
- No guardes la única copia de recuperación en el mismo dispositivo que el autenticador.
- Vuelve a generar la inscripción en la autenticación de dos factores (2FA) si la clave secreta pudiera haber quedado expuesta.
- Utiliza una llave de seguridad física o una clave de acceso para las cuentas importantes cuando sea posible.
Para entender por qué el secreto puede generar códigos coincidentes, lee cómo funcionan la autenticación de dos factores (2FA) y el TOTP.
¿Por qué no coincide el código generado?
En primer lugar, comprueba que has copiado el secreto correcto y que has seleccionado la cuenta adecuada. A continuación, activa la configuración automática de fecha, hora y zona horaria en tu dispositivo. Espera a que se genere un código nuevo en lugar de enviar uno al final de su cuenta atrás. Nuestra guía de resolución de problemas de TOTP recoge las comprobaciones en el orden más seguro.
Preguntas frecuentes
¿Puedo recuperar una clave secreta a partir de un código de seis dígitos?
Ningún proceso práctico de recuperación de cuenta debería basarse en deducir el secreto a partir de un código TOTP mostrado. Utiliza las opciones de recuperación oficiales del proveedor.
¿Es confidencial el código QR en sí mismo?
Sí. Normalmente contiene la clave secreta. Trata una captura de pantalla del código QR de configuración como una copia de la clave secreta.
¿Se puede utilizar la misma clave en dos dispositivos?
Técnicamente, dos autenticadores configurados con el mismo secreto y los mismos ajustes de tiempo pueden generar códigos coincidentes. Que debas hacerlo o no depende de tus necesidades de seguridad y de la política de tu organización. A menudo es preferible recurrir a métodos de recuperación seguros antes que a la duplicación incontrolada.
Punto clave
El secreto de la autenticación de dos factores (2FA) suele estar disponible al configurar una aplicación de autenticación. Accede a la opción de configuración manual, trata la clave como una credencial, verifica la configuración y guarda los códigos de recuperación de forma segura. Si pierdes el secreto original, utiliza el proceso de recuperación oficial y crea una nueva inscripción de 2FA en lugar de intentar adivinarla.