Academia › Publicar › Dominio y correo
La app, no el SMS, para el segundo paso
Que el candado del segundo paso deje de depender de tu operador de teléfono y pase a depender de una aplicación que solo tienes tú.
Por Yodai · Publicado el 6 de septiembre de 2026 · Actualizado el 12 de octubre de 2026
El segundo paso es el candado que debería impedir la entrada aunque alguien tenga tu contraseña. Activas la verificación en dos pasos en el panel del registrador de tu dominio y te ofrece dos botones. Uno dice recibir el código por SMS. El otro, usar una aplicación de autenticación. Parecen la misma cerradura con dos llaves distintas. No lo son.
Una contraseña que no repites en ningún otro sitio y un correo de recuperación que no vive dentro de tu propio dominio son las dos primeras cerraduras. El segundo paso es la siguiente, y aquí, otra vez, hay una opción que conviene de verdad y otra que solo lo parece desde fuera.
El teléfono no es tan tuyo como crees
El SMS parece fiable porque llega al aparato que llevas en el bolsillo. Pero ese mensaje no sale del registrador directo a tu mano: cruza la red de un operador telefónico, y esa red se puede desviar.
Alguien que reúne tus datos personales, como tu nombre, tu DNI o tu dirección, puede hacerse pasar por ti ante tu operador y pedir un duplicado de tu tarjeta SIM. A ese engaño se le llama fraude del duplicado de SIM, y quien lo hace no necesita tu contraseña. Le basta con que el operador se lo crea.
Y en cuanto tu número cambia de tarjeta, los SMS con el código de verificación empiezan a llegarle a él, no a ti. Tú ni te enteras hasta que intentas entrar en tu propia cuenta y no puedes.
Un número de teléfono no es un secreto: lo llevas en la tarjeta de visita, y el SMS depende de que tu operador no se deje engañar.
Por eso una aplicación de autenticación cambia el problema de sitio. El código ya no nace en una red que se puede desviar: nace dentro del propio teléfono, con un cálculo que solo conocen la aplicación y el servidor del registrador. No hay operador de por medio al que convencer, y no hay número que portar.
La aplicación, paso a paso
- 1Instala la aplicación
Google Authenticator, Authy o el gestor de contraseñas que ya uses, si genera este tipo de códigos. Cualquiera de las tres vale; lo que importa es que quede instalada antes de tocar el panel. - 2Entra en seguridad
En el registrador del dominio y en el correo del dominio, por separado, busca el apartado de verificación en dos pasos y elige la opción de aplicación, no la de SMS, aunque el SMS salga marcado por defecto. - 3Escanea el código
El panel muestra un código QR. Ábrelo con la aplicación y apunta la cámara: en segundos empieza a generar un número de seis cifras que cambia cada treinta segundos, sin conexión de por medio. - 4Confirma la sincronización
El panel te pide que escribas el número que ves en ese instante en la aplicación. Es la única forma de comprobar que los dos relojes, el del teléfono y el del servidor, están de acuerdo. - 5Guarda los códigos de respaldo
Antes de cerrar la pantalla, muchos paneles te dan una lista de códigos de un solo uso. Guárdalos ya, fuera del teléfono: es el paso que casi todo el mundo se salta y el que más se lamenta después.
Ninguna de estas aplicaciones necesita cobertura ni conexión a internet: el cálculo es local, así que el código sigue apareciendo aunque el teléfono esté en modo avión o sin una tarjeta SIM puesta. Es justo lo contrario del SMS, que deja de funcionar en cuanto falta la red.
Cuándo el SMS todavía sirve
Algún panel antiguo no deja activar la aplicación y solo ofrece el SMS. Ahí conserva un sitio, aunque ya no el que tenía cuando parecía la opción normal.
- Depende de la cobertura y del operador de turno
- Se puede desviar con un duplicado de SIM sin tocar tu contraseña
- Deja de llegar si estás fuera del país sin roaming ni tarjeta local
- Sigue siendo mejor que no tener ningún segundo paso
- El código nace en el teléfono, sin pasar por ninguna red
- Funciona igual en modo avión o sin cobertura
- No depende de que el número siga siendo tuyo
Cuál elijo: Elijo la aplicación siempre que el panel la ofrezca. Dejaría el SMS solo como aviso adicional en un servicio que no proponga otra cosa, nunca como el único candado de una cuenta que mueve tu dominio o tu correo.
El código de respaldo, guardado donde toca
Al activar la aplicación, muchos paneles te dan esos códigos de un solo uso pensados para el día en que cambies de teléfono, lo pierdas o se te rompa. Son la llave de repuesto, y una llave de repuesto no se deja debajo del mismo felpudo que la puerta que abre.
Con esto, el segundo paso del registrador y del correo de tu dominio deja de depender de un número de teléfono que, en realidad, nunca has controlado del todo. Lo que sigue es el candado que impide que alguien se lleve el dominio sin tu firma, y el correo que se hace pasar por el registrador sin serlo.
- El registrador y el correo del dominio piden la aplicación, no el SMS.
- La aplicación genera el código en el propio teléfono, sin depender de ninguna red.
- Los códigos de respaldo están guardados fuera del teléfono y fuera del correo que protegen.
- El SMS queda solo para el panel que no ofrezca otra cosa, nunca como único candado.
Ponte a prueba
Responde antes de abrir cada una. Si alguna se te resiste, vuelve al apartado que la explica.
1. Un socio te dice que active el SMS porque es más rápido y ya tiene bastante con la contraseña. ¿Qué le respondes?
Que la contraseña sola ya no basta como único candado, y que el SMS abre una puerta que no controla ninguno de los dos: la de un operador telefónico. Se activa la aplicación aunque tarde dos minutos más, porque ese código nace en el propio teléfono y no pasa por la red de ningún operador.
2. Vas a pasar dos semanas fuera del país, sin roaming, y te preocupa quedarte fuera de tus cuentas. ¿Cambias a SMS antes de salir?
No, es al revés: el SMS es el que falla sin cobertura, mientras que la aplicación genera el código igual en modo avión. Lo que llevas contigo es la lista de códigos de respaldo, impresa, por si el teléfono se pierde o se rompe estando fuera.
3. Encuentras un archivo llamado codigos-respaldo-dominio.txt guardado dentro del mismo correo que gestiona el dominio y que usas cada día. ¿Qué está mal?
Que la llave de repuesto vive en la misma casa que protege: si ese correo cae, cae también el segundo paso entero. Se mueve el archivo a un gestor de contraseñas o se imprime, fuera de cualquier cuenta que dependa de la misma cerradura.
Con la app activada y los códigos de repuesto fuera de la cuenta que protegen, tienes tres candados puestos. Falta el que decide si alguien puede llevarse el dominio entero a otro registrador sin que tú firmes nada.
En Yodai conectas a tu web el dominio que ya tienes y sigue registrado donde está, a tu nombre. Mira cómo va el dominio propio para tu página web.
SiguienteEl candado que impide que se lo lleven sin tu firma