Utiliza una llave de seguridad o passkey resistente al phishing cuando el exchange lo permita; en caso contrario, usa una aplicación de autenticación dedicada. Guarda los códigos de recuperación offline, registra un segundo factor de respaldo y elimina las vías de recuperación por SMS que puedan debilitar la cuenta.
Lista de ejecución#
- Cambia primero la contraseña y cierra las demás sesiones. Al configurar el 2FA, hazlo antes de que cambien de manos fondos o autoridad y verifica después el estado resultante.
- Registra dos llaves FIDO o una llave más una copia protegida. Completa este paso antes de modificar fondos o autoridad y verifica el resultado.
- Descarga códigos de recuperación y guárdalos offline, separados de la contraseña. Termina este paso antes de depender del nuevo método.
- Exige 2FA para accesos, retiradas y cambios de seguridad. Define por escrito el límite para que la urgencia no amplíe en silencio lo que la cuenta puede exponer.
- Prueba el factor de respaldo en un navegador privado. Mantén la primera prueba lo bastante pequeña como para corregir un supuesto equivocado sin pérdida material.
Antes de actuar#
El 2FA solo ayuda cuando el segundo factor no puede capturarse o restablecerse con la misma facilidad que la contraseña. El SMS puede desviarse mediante SIM swapping y los códigos de un solo uso pueden capturarse en tiempo real. Una credencial FIDO vinculada al hardware verifica el dominio legítimo antes de autenticar.
Separa lo que puedes verificar antes de actuar de lo que solo podrás vigilar después. Establece límites estrictos alrededor de la segunda categoría.
Una opción predeterminada más segura#
Si la cuenta admite passkeys o llaves, prefiérelas a códigos escritos. Si TOTP es la mejor opción, utiliza un autenticador independiente, protege sus copias y nunca leas un código al personal de soporte.
Qué puede salir mal#
- Tratar el SMS como el factor más fuerte disponible. Elimina un dato necesario de la decisión y vuelve poco fiable la aparente protección.
- Guardar el secreto TOTP junto a la contraseña. Puede exponer la credencial raíz; cambiar la contraseña más tarde quizá no elimine el acceso del atacante.
- Conservar una sola llave sin plan de recuperación. Debilita un control que debería limitar el impacto.
- Aprobar una solicitud de acceso que no iniciaste. Debilita un control destinado a limitar el impacto de un robo de credenciales.
Pruebas que debes conservar#
No juzgues el resultado solo porque la interfaz muestre éxito. Usa pruebas que puedan revisarse después de cerrar la página.
| Punto de control | Prueba | Condición para detenerse |
|---|---|---|
| Cambiar contraseña y cerrar otras sesiones | Comprobación fechada, prueba de recuperación o registro autenticado sin secretos | Tratar el SMS como el factor más fuerte |
| Registrar dos llaves FIDO o una más respaldo | Comprobación fechada, prueba de recuperación o registro autenticado sin secretos | Guardar el secreto TOTP junto a la contraseña |
| Descargar códigos y guardarlos offline | Comprobación fechada, prueba de recuperación o registro autenticado sin secretos | Mantener una sola llave sin plan de recuperación |
Guarda hashes, números de caso oficiales o capturas fechadas cuando ayuden a documentar la configuración, pero excluye frases semilla, claves privadas y códigos de autenticación.
Preguntas frecuentes#
¿Puede capturarse un código del autenticador mediante phishing?
Sí. Una página falsa puede retransmitir el código antes de que caduque. La autenticación FIDO vinculada al dominio resiste esa retransmisión.
¿Debo conservar SMS como respaldo?
Solo si el exchange no ofrece una recuperación más segura. Un canal de recuperación puede convertirse en la ruta más fácil para el atacante.
¿Qué ocurre si pierdo el teléfono?
Restaura desde una copia protegida del autenticador o usa un código offline y, después de entrar, rota el factor antiguo.
Guías relacionadas#
Fuentes#
Aviso de riesgo: Las operaciones cripto pueden ser irreversibles. Nunca compartas frase semilla, clave privada, contraseña o código de autenticación, y verifica cada dominio y solicitud de la wallet de forma independiente.
Criterio editorial
Esta guía es educativa y se apoya en fuentes. Los controles de seguridad, las reglas de los exchanges y los requisitos legales pueden cambiar; confirma los pasos importantes en fuentes oficiales.
