SMS
Mejor que nada si el servicio no ofrece otra cosa. Para el correo y la banca conviene elegir una opción más segura.
Eberprot P / comparisons
Comparativas
La primera comparativa de la sección: las formas de confirmar el inicio de sesión en una cuenta. En resumen: cualquier segundo factor es mejor que solo la contraseña; las llaves de seguridad físicas y las llaves de acceso (passkeys) son las que mejor protegen contra el phishing, y el SMS es la opción más vulnerable.
La comparativa se basa en estándares abiertos (RFC 6238, FIDO2/WebAuthn) y en las recomendaciones de NIST SP 800-63B. Cada servicio admite métodos distintos: revisa la configuración de tu cuenta.
Criterios
- Resistencia al phishing: si se puede robar el código mediante un sitio falso
- Dependencia del operador móvil y de la tarjeta SIM
- Funcionamiento sin conexión a internet en el dispositivo
- Dificultad de recuperación si se pierde el dispositivo
- Comodidad en el uso diario
- Grado de compatibilidad de los servicios
Tabla comparativa
| Criterio | Solo contraseña | Código por SMS | Aplicación (TOTP) | Llave física / passkey |
|---|---|---|---|---|
| Resistencia al phishingDato objetivo | No | No: el código se puede introducir en un sitio falso | No: el código se puede introducir en un sitio falso | Sí: la firma está vinculada a la dirección del sitio auténtico |
| Depende de la SIM y del operadorDato objetivo | No | Sí: vulnerable a duplicados de SIM obtenidos por estafadores | No | No |
| Funciona sin internet en el dispositivoDato objetivo | — | Requiere cobertura móvil | Sí: el código se calcula a partir de la hora | Sí |
| Recuperación en caso de pérdidaValoración de la redacción | Restableciendo la contraseña | Sencilla: nueva SIM con el mismo número | Hacen falta códigos de respaldo o una transferencia | Hace falta una segunda llave o un método de respaldo |
| ComodidadValoración de la redacción | Alta | Alta | Media | Alta una vez configurada |
| Compatibilidad de los serviciosValoración de la redacción | En todas partes | Muy amplia | Amplia | En aumento, pero no en todas partes |
A quién le conviene cada opción
Aplicación de autenticación
Una opción sensata por defecto: no depende del operador y funciona sin conexión. Guarda siempre los códigos de respaldo.
Llave de acceso (passkey)
Cómoda y resistente al phishing, si el servicio la admite. Se sincroniza mediante el gestor de contraseñas o el ecosistema del dispositivo.
Llave de seguridad física
Para las cuentas más valiosas: correo, dominios, cuentas de administrador en el trabajo. Compra dos llaves: una principal y otra de reserva.
Qué tener en cuenta
- Guarda los códigos de respaldo lejos del teléfono, por ejemplo impresos
- Antes de cambiar de teléfono, transfiere la aplicación de autenticación; si no, perderás el acceso
- Si el servicio permite entrar por SMS saltándose un factor más seguro, la protección total equivale a la del SMS
- Ningún factor sirve si eres tú quien confirma el inicio de sesión a petición del supuesto «servicio de asistencia»
Fuentes y verificación
- RFC 6238: TOTP, algoritmo de contraseñas de un solo uso basadas en el tiempo
- Especificaciones de FIDO Alliance (FIDO2/WebAuthn)
- NIST SP 800-63B: Digital Identity Guidelines
Las interfaces de programas y servicios cambian. Indicamos las versiones en las que probamos los comandos; en otras versiones los pasos pueden ser distintos.