---
title: "Autenticación de dos factores (2FA)"
description: "La autenticación de dos factores (2FA) exige dos tipos distintos de prueba para iniciar sesión o aprobar una acción: normalmente algo que se sabe (una contraseña) y algo que se tiene (un teléfono que recibe un código de un solo uso, una app de autenticación o una llave de seguridad)."
canonical: "https://omnichannels.ai/es/glossary/two-factor-authentication/"
language: "es"
updated: "2026-10-10"
publisher: "BroadNet Technologies"
brand: "OmniChannels.ai"
---

# Autenticación de dos factores (2FA)

Canonical: https://omnichannels.ai/es/glossary/two-factor-authentication/
Language: es
Publisher: OmniChannels.ai by BroadNet Technologies

**Definición:** La autenticación de dos factores (2FA) exige dos tipos distintos de prueba para iniciar sesión o aprobar una acción: normalmente algo que se sabe (una contraseña) y algo que se tiene (un teléfono que recibe un código de un solo uso, una app de autenticación o una llave de seguridad).

Los tres tipos de factor son el conocimiento (contraseña, PIN), la posesión (teléfono, llave física, app) y la inherencia (huella dactilar, rostro). Dos comprobaciones del mismo tipo, como una contraseña y una pregunta de seguridad, no constituyen una verdadera 2FA. La autenticación multifactor (MFA) es el término general para dos o más factores.

Los OTP por mensajería son el factor de posesión más extendido porque no requieren instalar ninguna app. Son más débiles que los métodos basados en app o resistentes al phishing: existen ataques de SIM swapping, páginas de phishing que retransmiten los códigos en tiempo real e interceptaciones. La norma NIST SP 800-63B considera los OTP enviados por la red telefónica pública (SMS o voz) un autenticador “restringido” y pide a los verificadores que tengan en cuenta señales como un cambio de SIM o una portabilidad del número antes de usarlos.

En los servicios al consumidor del CCG y la región MENA, el OTP por SMS y WhatsApp sigue siendo la opción práctica por defecto para el registro, el inicio de sesión y la aprobación de pagos; los bancos y proveedores de pago suelen aplicar normas más estrictas fijadas por su banco central o regulador. Conviene ofrecer una opción más robusta (app de autenticación o passkey) para las acciones de alto riesgo.

Consejos de diseño: enviar el segundo factor solo después de validar la contraseña, vincular los códigos a una única sesión y acción, y explicar en el mensaje para qué sirve el código (“para aprobar una transferencia de 500 AED”).

## Fuentes

- [NIST SP 800-63B: Authentication and Authenticator Management](https://pages.nist.gov/800-63-4/sp800-63b.html)