Un correo comprometido puede convertirse en una factura falsa, un acceso indebido a documentos de clientes o un bloqueo de la actividad durante horas. Por eso, entender cómo configurar doble factor no es una tarea reservada a grandes compañías: es una medida práctica para autónomos, pymes, asesorías y equipos que trabajan con correo, aplicaciones en la nube y datos sensibles.
El doble factor de autenticación, también llamado MFA o verificación en dos pasos, añade una comprobación al iniciar sesión. Además de la contraseña, el usuario debe confirmar que realmente es él mediante una aplicación, una notificación, una llave de seguridad o, en algunos casos, un código recibido por SMS. Si una contraseña se filtra, ese segundo paso puede impedir el acceso.
Qué protege realmente el doble factor
Las contraseñas siguen siendo necesarias, pero por sí solas ya no bastan. Pueden reutilizarse, filtrarse en una brecha externa, capturarse mediante un correo fraudulento o adivinarse si son débiles. El doble factor reduce el impacto de esos errores porque quien intenta entrar también necesita controlar el segundo método de verificación.
Para una empresa, los accesos prioritarios suelen ser el correo corporativo, las cuentas de Microsoft 365, el alojamiento web, las herramientas de facturación, los sistemas de copias de seguridad, el acceso remoto y las plataformas de gestión de clientes. No todos tienen el mismo riesgo, pero el correo merece atención especial: desde él se recuperan contraseñas y se reciben solicitudes que pueden aparentar ser legítimas.
Conviene aclarar una diferencia habitual. Un correo de aviso cuando se inicia sesión no es doble factor. Es útil para detectar actividad extraña, pero llega después del acceso. El MFA pide una prueba adicional antes de concederlo.
Antes de configurar doble factor: prepara el despliegue
La parte técnica suele ser rápida. Lo que evita incidencias es decidir cómo se va a aplicar. Activar el doble factor sin avisar puede dejar fuera a un empleado que cambia de móvil o que tiene una aplicación de correo antigua configurada en su ordenador.
Empieza por elaborar un inventario sencillo de cuentas y servicios. Identifica quién administra cada plataforma, qué cuentas tienen privilegios elevados y qué accesos siguen perteneciendo a personas que ya no trabajan o colaboran con la empresa. Las cuentas compartidas merecen una revisión aparte: dificultan saber quién ha accedido y complican la recuperación si el segundo factor está ligado al móvil de una única persona.
También hay que definir un procedimiento de recuperación. Si un trabajador pierde el teléfono, necesita saber a quién avisar y cómo recuperar el acceso sin depender de una solución improvisada. El administrador no debería ser una sola persona sin alternativa. Es recomendable contar con al menos dos responsables autorizados y guardar los códigos de recuperación en un lugar seguro, separado del correo y del móvil de uso diario.
Antes de activar la medida para todos, prueba con dos o tres usuarios. Así se detectan aplicaciones antiguas, dispositivos compartidos, cuentas de impresoras o integraciones que podrían requerir una configuración distinta.
Cómo configurar doble factor paso a paso
El nombre de los menús cambia entre proveedores, pero el proceso suele seguir la misma lógica. En Microsoft 365, por ejemplo, la configuración puede estar controlada por la propia cuenta o por la política de seguridad definida por el administrador. En otras herramientas se encontrará normalmente en “Seguridad”, “Inicio de sesión”, “Cuenta” o “Autenticación en dos pasos”.
1. Entra con la cuenta correcta
Accede con el usuario que quieres proteger y comprueba que dispones de una contraseña conocida y actualizada. Si se trata de una cuenta administrativa, evita configurarla deprisa desde un equipo ajeno o una red pública. Las cuentas con permisos de administración deben ser las primeras en protegerse, pero también las que requieren más cuidado durante el proceso.
2. Busca la sección de seguridad y activa el MFA
Dentro del apartado de seguridad, localiza la opción de autenticación multifactor, verificación en dos pasos o doble factor. El sistema pedirá elegir uno o varios métodos de confirmación. No todos ofrecen las mismas garantías ni la misma comodidad.
La aplicación de autenticación suele ser la opción más equilibrada para la mayoría de negocios. Genera códigos temporales o muestra una notificación en el móvil que el usuario debe aprobar. No depende de que llegue un SMS y permite una gestión más ordenada cuando se usan varias cuentas.
Los mensajes SMS pueden servir como alternativa inicial o respaldo, especialmente si una persona no puede instalar una aplicación. Sin embargo, son menos recomendables como único método por riesgos como el duplicado fraudulento de la tarjeta SIM o el retraso en la recepción de mensajes. Las llamadas automáticas son similares y no aportan una ventaja clara en la mayoría de casos.
Las llaves físicas de seguridad son una buena opción para administración, finanzas o perfiles con acceso crítico. Exigen llevar un dispositivo adicional, pero resisten mejor ciertos intentos de phishing. Su coste y logística hacen que no siempre sean necesarias para toda la plantilla.
3. Vincula la aplicación y verifica el acceso
Si eliges una aplicación de autenticación, el servicio mostrará normalmente un código QR. Se escanea desde la aplicación y se introduce el código temporal generado o se aprueba la notificación. A partir de ese momento, el móvil queda asociado como segundo factor.
No finalices sin cerrar sesión y hacer una prueba real de acceso. Comprueba que el código funciona, que la notificación llega y que el usuario entiende qué verá la próxima vez. Esta validación evita descubrir un problema cuando el acceso sea urgente.
4. Guarda los códigos de recuperación
Muchas plataformas entregan códigos de un solo uso para entrar si no se dispone del móvil. Deben guardarse fuera del correo electrónico al que protegen. Un gestor de contraseñas corporativo, una ubicación cifrada con acceso restringido o un procedimiento documentado de custodia son opciones razonables.
Nunca es buena idea enviarlos por correo sin protección, dejarlos en una carpeta compartida abierta a toda la plantilla o imprimirlos y olvidarlos junto al puesto de trabajo.
5. Registra un segundo método cuando sea posible
Tener una alternativa evita que una avería, un cambio de teléfono o un viaje se conviertan en un bloqueo. Puede ser una segunda aplicación en un dispositivo corporativo autorizado, una llave física o un número de respaldo, según la política de la empresa y el servicio utilizado.
El equilibrio importa. Pedir demasiadas comprobaciones puede generar rechazo y hacer que la gente busque atajos. Pero depender de un único móvil personal también crea un punto de fallo. La solución adecuada depende del número de usuarios, la movilidad del equipo y la sensibilidad de los datos.
Errores que debilitan la protección
El doble factor mejora mucho la seguridad, pero no convierte una cuenta en invulnerable. Un usuario puede aprobar una notificación por error si recibe varias seguidas, o introducir un código en una web falsa que imita a la plataforma original. Por eso debe acompañarse de hábitos básicos: revisar el remitente, desconfiar de peticiones urgentes de pago y no compartir códigos de acceso con nadie, ni siquiera con alguien que dice ser soporte técnico.
También es un error dejar excepciones permanentes para cuentas antiguas o aplicaciones sin actualizar. A veces una impresora, un programa de facturación o un cliente de correo no es compatible con MFA de forma directa. La respuesta no debería ser desactivar la protección global, sino revisar si existe un método de autenticación moderno, una contraseña específica de aplicación o una actualización disponible. Las contraseñas de aplicación, cuando el servicio las permite, deben tratarse como credenciales sensibles y limitarse a los casos imprescindibles.
Otro fallo frecuente es activar el MFA y no revisar después los inicios de sesión. Las alertas de accesos desde ubicaciones inusuales, los cambios en métodos de recuperación y las solicitudes repetidas de aprobación pueden revelar un intento de ataque. En ese caso, hay que cambiar la contraseña, revocar sesiones activas y verificar que no se hayan añadido reglas de reenvío en el correo.
Una política sencilla vale más que una activación aislada
Para una pyme, una política útil no tiene por qué ocupar decenas de páginas. Basta con que responda de forma clara a cuestiones prácticas: qué cuentas deben usar doble factor, qué método se recomienda, quién ayuda cuando se pierde un dispositivo, cómo se retira el acceso al terminar una relación laboral y cada cuánto se revisan las cuentas administrativas.
Es buena práctica exigir MFA a todo el personal en correo y aplicaciones corporativas, reservar medidas reforzadas para administración y finanzas, y revisar los accesos al menos cuando hay cambios de plantilla o de proveedor. Si hay trabajadores con móviles personales, conviene explicar qué datos recopila o no recopila la aplicación elegida. La seguridad funciona mejor cuando se comunica con transparencia y no como una imposición incomprensible.
En organizaciones con asesorías, agencias o colaboradores externos, cada persona debería usar su propia cuenta. Compartir un usuario para “hacerlo más fácil” elimina trazabilidad y complica tanto la seguridad como la continuidad del servicio.
Configurar el doble factor es un paso concreto que reduce una de las puertas de entrada más habituales a una empresa. Si el proceso genera dudas, hay aplicaciones incompatibles o necesitáis ordenar los accesos sin parar la actividad, Info-con puede revisar el escenario y plantear una implantación adaptada. La mejor protección es la que el equipo puede utilizar bien cada día.