Aplicación de autenticación

Una aplicación de autenticación es una app gratuita en tu teléfono que muestra un código de seis dígitos. El código cambia cada treinta segundos. Después de la contraseña, la web te pide ese número, y solo el teléfono que llevas encima puede generarlo. Así, una contraseña robada por sí sola ya no vale casi nada.

No hay ningún truco mágico. Al activarla, la web y la app se ponen de acuerdo en un secreto largo, normalmente al fotografiar un cuadrado que aparece en la pantalla. Las dos conocen entonces el mismo secreto y la misma hora, y calculan los mismos seis dígitos a partir de esas dos cosas, una y otra vez. No se envía nada a tu teléfono, y esa es toda la gracia. La app funciona en un avión, en un sótano o en un pueblo donde no hay cobertura.

Por eso mismo es mejor que un código por SMS. Un SMS se lee en la pantalla bloqueada desde el asiento de al lado. Peor aún, un delincuente puede convencer a tu operadora de pasar tu número a su propia tarjeta SIM, y todos los códigos llegan a su teléfono. Los mensajes también se pierden durante horas cuando la red va cargada. Nada de esto afecta a la app, porque no hay ningún mensaje que robar.

El fallo típico es activarla con prisa. Cuando la web te enseña el cuadrado de configuración, también te enseña una lista corta de códigos de respaldo. Guárdalos fuera del teléfono, impresos en un cajón o en un gestor de contraseñas del ordenador. Añade después la app a un segundo aparato, o activa su copia cifrada, para que perder el teléfono sea una molestia y no un desastre. Nuestra ficha sobre la autenticación de dos factores explica la idea de ese segundo paso. En Linkysoft imprimimos esos códigos con el cliente y los dejamos en la caja fuerte, porque una foto en el mismo teléfono no es una copia.

Si te roban el teléfono y nunca guardaste los códigos de respaldo, recuperar una cuenta puede llevar días de papeleo, y a veces no se consigue. Linkysoft se ha sentado con dueños encerrados fuera del correo de su propia empresa por esto mismo. Cinco minutos al principio lo evitan. En cada proyecto de ciberseguridad pasamos primero las cuentas del personal a una app, porque ahí están los datos de los clientes, y cada persona entra una vez desde un segundo aparato antes de seguir.