¿Qué es la verificación en dos pasos (2FA), cómo la activo y es realmente segura?

2fa = contraseña + código, llega por sms o aparece en la app de authenticator. el authenticator es más seguro, el sms se puede hackear. guarda bien los códigos de backup, si no la cuenta queda bloqueada. yo a todos les pongo authenticator en la empresa...

Implementación de 2FA: estándar TOTP (RFC 6238), ventana de 30 segundos, código de 6 dígitos. Herramientas: Google Authenticator, Microsoft Authenticator, Authy (copia de seguridad en la nube), FreeOTP. 2FA con hardware: YubiKey (FIDO2/U2F), $40-60, grado empresarial, resistente al phishing. Riesgo de 2FA por SMS: ataque SS7 (SIM swap), no recomendado para alta seguridad. Entropía de códigos de respaldo: mínimo 40 bits (64 dígitos hex, 16 palabras), generados y hasheados en el servidor. Recuperación de cuenta: email de respaldo, SMS de respaldo, preguntas de seguridad (NO recomendado). Integración MDM: Intune, MobileIron obligan a desbloquear con 2FA.

cuando actives el 2FA no te olvides de los backup codes tío, esos te salvan la vida. escanea el QR en la app de autenticador, guarda 10-15 códigos (no en la nube) y listo. si pierdes el móvil puedes recuperar la cuenta con los códigos de respaldo y nada de SMS, que la gente hace phishing...

Flujo de trabajo 2FA: 1) Habilitar TOTP (app de autenticador), 2) Generar y guardar códigos de respaldo, 3) Probar login + 2FA, 4) Almacenar códigos de respaldo offline (bóveda, impresión), 5) Compartir procedimientos de recuperación (equipo). Empresa: política centralizada (acceso condicional), capacidad de producto antivirus de admin, registro de auditoría. Desafíos: adopción de usuarios (fricción) pérdida de dispositivo (proceso de recuperación), coste (2FA hardware). Mitigación: formación playbooks de recuperación, MDM + acceso condicional (auto-inscripción).

¡¡¡Al activar 2FA eres 10 millones de veces más seguro!!! contraseña + código ni los hackers pueden pillar los dos a la vez luego apunta los códigos de respaldo en un papel, guárdalos en la caja fuerte, descarga el código en el móvil y duerme tranquilo...

Si lo ves como un proceso el panorama cambia. Al tomar decisiones, escribe también el peor escenario, no solo el mejor.

También me gustaría saber si alguien lo hace de otra manera.

si vas por ahí, resuelve esto desde el principio luego un informe de escaneo automtico no es lo mismo que una prueba de penetración.

lo dejo como nota, por si sirve.

Gracias por escribir esto, es lo correcto. Intentar hacerlo solo es la vía más cara.

Yo seguiría por ese camino.

Lo que se dice aquí es exactamente lo que nos pasó. Si el permiso y el alcance no están por escrito, que no empiece la prueba.

Esta es mi opinión, no lo escribo como una verdad absoluta.

voy a detallar un poco el aspecto técnico. no confíes en una sola medida; ve capa por capa.

yo seguiría por ese camino.

Resumen breve para nuevos usuarios: Si no lo pones por escrito desde el principio, luego surgen discusiones.

Por supuesto, cambia si tu situación es diferente.

Aquí hay una trampa no puedo dejar de mencionarla. Si regañas las falsas alarmas nadie volverá a reportar.

Eso es todo, disculpa si me he extendido demasiado.

Os cuento lo que me pasó a mí, a ver si os sirve de ayuda. Los entornos de prueba olvidados son una puerta de entrada más frecuente que el sistema en producción.

Si escribís el resultado aquí, también servirá de ayuda a otros.

Estoy en la misma situación por eso pregunto. Un informe de escaneo automático no es lo mismo que una prueba de penetración.

Esta es mi opinión no lo escribo como una verdad absoluta.

Voy a resumir el tema, porque se han dado varias respuestas diferentes. Antes de decidir, mirad qué datos tenéis en la mano.

Corrijanme si me equivoco.

Estoy siguiendo esto. bueno el tiempo que tardas en detectar un problema determina directamente su coste.

Intentar hacerlo solo es la vía más cara. pues también me gustaría saber si alguien lo hace de otra manera.

Estoy de acuerdo a medias, en parte no. Ningún proceso mejora si no se registran datos, porque no sabes qué tienes que arreglar.

Ningún proceso mejora si no se registran datos, porque no sabes qué tienes que arreglar.

Voy a contar mi experiencia. Que todo el mundo haga algo no significa que sea lo correcto.

Esta es mi opinión, no lo escribo como una verdad absoluta.