Cómo activar la verificación en dos pasos en tu cuenta de Google: notificaciones, app, llave o passkey

Una contraseña es algo que sabes, y por tanto algo que te pueden quitar: con phishing, con una filtración de datos en el servicio o con un malware que roba las contraseñas guardadas en el dispositivo. El BSI describe la autenticación de dos factores como la combinación de factores de distintas categorías: conocimiento (contraseña, PIN), posesión (teléfono, tarjeta con chip, llave de seguridad) o biometría (huella, cara). Quien solo tiene la contraseña no pasa la segunda barrera. Google describe la función en su página de ayuda exactamente así: como una capa adicional de seguridad por si te roban la contraseña.

La cuenta de Google va en primer lugar, antes que las redes sociales y las tiendas. Para muchos es el buzón de correo, y con «He olvidado mi contraseña» se pueden restablecer desde el buzón casi todas las demás cuentas; por eso el BACS llama a la cuenta de correo, en su resumen semanal 19/2024, el eje central del acceso a los servicios de internet. A eso se suman Fotos, Drive, el calendario, el historial de ubicaciones, las compras de YouTube y, si usas Chrome, el Gestor de contraseñas de Google con todas las contraseñas guardadas. Una cuenta de Google secuestrada no es, por tanto, una cuenta más: es el llavero entero.

El BACS y el BSI recomiendan activar el segundo factor en todos los servicios que lo ofrezcan. El BSI señala además que muchos servicios ofrecen la función pero la dejan desactivada por defecto; conviene, pues, mirar los ajustes de inicio de sesión también en las cuentas que das por seguras. Que la brecha es real lo muestra, para Suiza, el estudio «KMU Cybersicherheit 2026» sobre las pymes: solo algo más de la mitad de las empresas encuestadas había implantado por completo la autenticación multifactor. El segundo factor no sustituye a una buena contraseña, la complementa; cómo construir una contraseña fuerte está en nuestra guía (→ Cómo crear una contraseña segura, y qué es seguro de verdad en 2026).

La Oficina Federal de Ciberseguridad de Suiza (BACS) clasificó en septiembre de 2026, en su informe tecnológico sobre categorías de seguridad de los procedimientos, medios y servicios de autenticación, los métodos habituales en las categorías «baja», «media» y «alta» («Low», «Medium», «High» en la versión en inglés). Un asterisco marca los procedimientos que protegen contra el phishing en tiempo real y los ataques de intermediario (man in the middle). Nombre de usuario y contraseña por sí solos están en «baja»; según el BACS, esos procedimientos ya no deberían usarse, en principio, ni siquiera con transmisión cifrada. La contraseña con código SMS y los códigos de software como Google o Microsoft Authenticator están en «media» sin asterisco: protegen frente a contraseñas robadas, pero no si tú mismo introduces el código en una página falsa. Sobre el SMS, el BACS añade que la seguridad de los procedimientos basados en SMS está en duda de forma general y que solo deberían usarse cuando no hay una alternativa mejor.

Resistentes al phishing son los dos procedimientos FIDO: las llaves de acceso sincronizadas, como las que Apple y Google distribuyen a través del llavero y del gestor de contraseñas, alcanzan «media*»; las llaves de hardware FIDO2 sin sincronización ni exportación alcanzan «alta*». La diferencia, según el BACS, está sobre todo en si la clave privada reside en hardware especial o puede copiarse a varios dispositivos a través de una nube. La propia clasificación de Google encaja: la página de ayuda presenta las llaves de acceso y las llaves de hardware como métodos «para protegerse mejor contra el phishing», y de los códigos por SMS o llamada advierte que pueden caer en manos de los hackers si interceptan tu número de teléfono.

Para el día a día significa: la notificación de Google es cómoda y claramente mejor que el SMS, porque solo llega a dispositivos con sesión iniciada y te muestra el dispositivo y el lugar del intento, pero no te protege de ti mismo si tocas «Sí» en una página falsa. La app de autenticación no depende de la red móvil ni de los servicios push de Google, pero también se queda en «media». Quien quiera el nivel resistente al phishing usa una llave de acceso en el teléfono o el ordenador; quien quiera el nivel más alto o esté especialmente expuesto compra dos llaves de hardware. Y sea cual sea el método: los códigos de verificación alternativos forman parte del paquete; si no, la protección se convierte en un cierre por fuera.

El 10 de octubre de 2023, Google convirtió las llaves de acceso en la opción predeterminada de las cuentas de Google personales: desde entonces, al iniciar sesión Google propone crear una llave de acceso, y el ajuste «Skip password when possible», en la página de ayuda en español «Saltar contraseña cuando sea posible», está activado. Según el blog de Google, las llaves de acceso son un 40 % más rápidas que las contraseñas, y quien prefiera quedarse con la contraseña simplemente desactiva la opción. Técnicamente, una llave de acceso es un par de claves: la clave privada se queda en tu dispositivo o en el llavero, y Google solo conoce la pública. Al iniciar sesión confirmas con la huella, la cara o el PIN que puedes desbloquear el dispositivo; según Google, los datos biométricos se quedan en el dispositivo.

Como una llave de acceso, según la ayuda de Google, no se puede compartir, copiar, escribir ni dar por error a otra persona, no hay nada que una página de phishing pueda pedir, y solo funciona para la dirección auténtica de Google. Por eso, con la llave de acceso se omite también el segundo paso: la posesión del dispositivo ya está demostrada. Importante es la advertencia de Google al respecto: crea llaves de acceso solo en dispositivos que sean tuyos; cualquier persona que pueda desbloquear tu dispositivo entra con ella en la cuenta de Google, aunque hayas cerrado la sesión. En tablets compartidas o en el ordenador de la familia, una llave de acceso no tiene sitio.

Lo extendido que está lo muestra la FIDO Alliance, responsable del estándar: el 15 de octubre de 2026 informó de unos 7000 millones de llaves de acceso en todo el mundo, y en los 15 grandes servicios de consumo de su «Passkey Index», más de un tercio de los inicios de sesión correctos se hacen con llave de acceso; según FIDO, casi tres veces más rápido que con contraseña y segundo factor clásico, y todos los servicios que miden el phishing registran desde entonces menos ataques con éxito. La contraseña, de todos modos, sigue existiendo en Google como vía de respaldo y por eso tiene que ser tan fuerte como antes; el apartado «Passkeys: el siguiente paso» de nuestra guía sobre contraseñas (→ Cómo crear una contraseña segura, y qué es seguro de verdad en 2026) sirve de complemento.

El motivo más frecuente de quedarse fuera no es el hacker, sino el teléfono perdido, robado o estropeado. En la página de ayuda «Solucionar problemas habituales», Google recomienda primero dos cosas: cerrar la sesión en el dispositivo perdido y cambiar la contraseña de la cuenta de Google; ambas se hacen desde cualquier otro dispositivo en el que tengas la sesión iniciada. Después eliges en la pantalla de inicio de sesión «Probar otra manera» y usas lo que hayas preparado: un código de verificación alternativo, otro teléfono con sesión iniciada, un segundo número de teléfono, una llave de seguridad de hardware o una llave de acceso en otro dispositivo.

A menudo quedan dos ayudantes silenciosos: un ordenador en el que marcaste «No volver a preguntar en este ordenador» te deja entrar, según Google, posiblemente sin segundo paso, y desde ahí puedes reorganizar tus métodos. Y el número de teléfono puedes pedir a tu operador que lo transfiera a una SIM o eSIM nueva; entonces vuelven a llegar los códigos SMS. Qué es una eSIM y cómo funciona el cambio lo explica nuestro glosario (→ ¿Qué es una eSIM? Así funciona la tarjeta SIM digital). Si usas Google Authenticator con sincronización en la cuenta, los códigos reaparecen automáticamente al iniciar sesión en el dispositivo nuevo; sin sincronización se han ido con el dispositivo antiguo, y necesitas los códigos alternativos.

Si no tienes ni método de respaldo ni códigos alternativos, queda la recuperación de la cuenta a través del correo o del número de teléfono registrados. Google hace preguntas sobre la cuenta y, como la verificación en dos pasos está activa, según la ayuda la comprobación puede tardar entre tres y cinco días hábiles. Precisamente por eso merece la pena dedicar antes un cuarto de hora a la pestaña «Códigos alternativos y recuperación». El BSI advierte además de que la recuperación debe ser también de varios niveles: una vía de recuperación que se conforme con un solo factor debilita toda la protección, y los atacantes apuntan justo ahí.

Lo que aquí vale para Google vale para toda cuenta importante: cuenta de Apple, cuenta de Microsoft, banca en línea, portal de clientes del operador móvil, Instagram, WhatsApp. El BSI cita expresamente la banca en línea, las compras en línea y las cuentas con amplios permisos, como el correo y las redes sociales, como los casos en que el segundo factor compensa primero, y desaconseja en cualquier caso volver a desactivarlo. El orden después de la cuenta de Google: correo (si no es Gmail), cuenta de Apple o de Microsoft, gestor de contraseñas, banco y servicios de pago, operador móvil, y después redes sociales y tiendas.

Quien protege muchas cuentas con códigos de autenticación se encuentra con una cuestión de organización: dónde están los códigos y qué pasa al cambiar de dispositivo. Google Authenticator los sincroniza con la cuenta de Google; los gestores de contraseñas ofrecen lo mismo en su propia caja fuerte. Según nuestra comparativa del 16 de octubre de 2026, NordPass Premium incluye un autenticador, Bitwarden lo tiene ya en el plan gratuito y, desde Premium, dentro de la caja fuerte, y Proton Pass Plus también lo trae (→ Mejores gestores de contraseñas 2026: 1Password, NordPass, Bitwarden y Proton Pass comparados). El BACS recomienda en su página sobre seguridad de los dispositivos exactamente esa combinación: una contraseña propia para cada servicio, autenticación de dos factores donde sea posible y un gestor de contraseñas que la admita. Es cómodo tener contraseña y código en la misma caja fuerte; quien quiera separar estrictamente los factores usa para ello una app aparte en el teléfono, como recomienda el BSI para el caso más seguro.

Un malentendido para terminar: una VPN protege tu conexión, no tu cuenta. Cifra el camino entre el dispositivo y el servidor VPN y oculta tu dirección IP, pero no impide que nadie inicie sesión en Google con tu contraseña robada, y no reconoce una página de phishing (→ ¿Qué es una VPN? Así funciona la red privada virtual). El segundo factor y la VPN resuelven problemas distintos; quien quiera ambas cosas configura primero el segundo factor y después la VPN (→ Cómo configurar una VPN en el iPhone: con la app o a mano). Y si has iniciado sesión en un ordenador ajeno, borra después las cookies y los inicios de sesión guardados (→ Borrar la caché y las cookies en cualquier navegador, en el ordenador y en el móvil).

Periodistas, activistas, políticos, abogados o personas que por otros motivos puedan ser objeto de ataques dirigidos: ese es el público al que Google destina su Programa de Protección Avanzada. Según Google no tiene coste; como mucho tienes que pagar las llaves de seguridad. La diferencia con la verificación en dos pasos normal: el inicio de sesión solo funciona con llave de acceso o llave de seguridad de hardware; las notificaciones, el SMS y los códigos de la app desaparecen. Además, Google limita el acceso de las aplicaciones de terceros a tus datos, comprueba con más rigor las descargas sospechosas y hace más estricta la recuperación de la cuenta para que no sirva de puerta trasera.

Antes de inscribirte, según Google, deberías registrar un correo y un número de teléfono de recuperación, activar la verificación en dos pasos y tener preparadas una o, mejor, varias llaves de seguridad. En el programa no se pueden descargar códigos de verificación alternativos; el sustituto es la segunda llave. Si pierdes la única llave, según la ayuda solo queda la recuperación de la cuenta. Las cuentas de Workspace del trabajo o del centro educativo pueden participar si la administración ha habilitado el programa; obligar no puede a nadie. Para la mayoría de los particulares, el programa es más esfuerzo del necesario: llave de acceso más códigos alternativos más un segundo método bastan. Pero quien teme ataques dirigidos encuentra aquí la protección más fuerte que ofrece Google.