Contraseña y verificación en dos pasos
Módulo 8: Seguro y sin preocupaciones · Tiempo de lectura: 10 minutos
Objetivo de aprendizaje: Al terminar esta lección podrá explicar qué es una contraseña segura para su buzón, qué debe hacer en sus dispositivos después de cambiarla, cómo se genera un código en una aplicación de autenticación y qué protege y qué no protege la verificación en dos pasos en el webmail.
Conceptos clave: contraseña del buzón, gestor de contraseñas, verificación en dos pasos, TOTP, secreto compartido, código QR, código de recuperación, desfase del reloj, IMAP y SMTP sin segundo paso
Por qué su buzón es la cuenta más importante
Su buzón es el llavero de su vida en internet. Casi todos los servicios envían a su correo el enlace para restablecer la contraseña. Quien controla su buzón puede, por tanto, hacerse también con su tienda online, su contabilidad y sus redes sociales. Además, puede enviar correos en su nombre a clientes que confían en usted. Por eso un buzón robado se usa a menudo para el fraude de facturas o para enviar spam. Esto último perjudica a todo su dominio: otros servidores empezarán a rechazar su correo.
Dos cosas mantienen fuera a un intruso: una buena contraseña y un segundo paso al iniciar sesión.
Una contraseña segura es, sobre todo, larga y única
La contraseña del buzón pertenece a una sola dirección de correo. No es la misma que la contraseña de su cuenta de cliente ni la del panel de control de su plan (lección 1.3).
¿Qué hace que una contraseña sea segura? No un signo de exclamación detrás de una palabra, sino la longitud y el azar. Los atacantes prueban contraseñas filtradas y listas de palabras y patrones muy usados. "Zomer2026!" aparece en una de esas listas; una serie de cuatro palabras al azar o de veinte caracteres aleatorios, no. Igual de importante es que la contraseña sea única. Si se filtran los datos de una tienda online en la que usaba la misma contraseña, los delincuentes la probarán también en su buzón.
La solución práctica es un gestor de contraseñas: un programa que crea y recuerda una contraseña larga y aleatoria para cada servicio. Así usted solo tiene que recordar una contraseña maestra segura.
Después del cambio: actualizar todos los dispositivos
Puede cambiar la contraseña en el webmail, en Configuración > Contraseña, o en el panel de control de su plan si ya no recuerda la antigua. A partir de ese momento la nueva contraseña es la que vale en todas partes: en el webmail, en su teléfono y en su programa de correo.
Aquí es donde suelen surgir problemas. Sanne de Vries cambia el lunes la contraseña de sanne@example.com. Actualiza su portátil enseguida, pero se olvida de su vieja tableta de la cocina. Esa tableta sigue intentando iniciar sesión cada pocos minutos con la contraseña antigua. Tras varios intentos fallidos, el cortafuegos del servidor detecta una conexión que prueba una y otra vez una contraseña incorrecta y bloquea la dirección IP. Como la tableta y el portátil comparten en casa la misma dirección IP, de repente Sanne tampoco puede acceder a su correo desde el portátil, y a veces tampoco a su sitio web.
Por eso, después de un cambio, actualice de inmediato todos los dispositivos: teléfono, tableta, programa de correo del ordenador y, si la tiene, la impresora o el escáner que envía correo.
Verificación en dos pasos: algo que sabe y algo que tiene
Con la verificación en dos pasos (en el webmail se llama Doble factor de autenticación (2FA)) necesita dos cosas para iniciar sesión: su contraseña (algo que sabe) y un código de su teléfono (algo que tiene). Así, alguien que consiga su contraseña mediante phishing o una filtración todavía no puede entrar.
El código procede de una aplicación de autenticación, como la de su gestor de contraseñas o una aplicación independiente para este tipo de códigos. El método se llama TOTP, time-based one-time password (contraseña de un solo uso basada en el tiempo), y está descrito en el RFC 6238. Funciona así:
- Al activarlo, el webmail crea un secreto compartido: una serie aleatoria de caracteres. Lo verá como clave secreta y como código QR.
- Usted escanea el código QR con la aplicación. A partir de ese momento, el servidor y su teléfono conocen el mismo secreto.
- Cada 30 segundos, ambos combinan el secreto con la hora actual para calcular un código de seis cifras.
- Al iniciar sesión, el servidor compara su código con el resultado que ha calculado él mismo.
De aquí se deducen dos cosas. La aplicación no necesita internet: solo calcula con el secreto y el reloj. Y el reloj tiene que estar en hora. Si su teléfono va unos minutos adelantado o atrasado, calcula con otro intervalo de tiempo y el código no coincide. Configure la hora de su teléfono en automático.
Una tercera consecuencia: el código QR es precisamente el secreto. Quien tenga una foto o una captura de pantalla de él puede generar los mismos códigos. Así que no lo comparta nunca ni lo guarde como imagen.
En la imagen puede ver la pantalla en la que se activa la verificación en dos pasos, con la clave secreta, los códigos de recuperación y el código QR.
Códigos de recuperación y un teléfono perdido
Al activarla también recibe cuatro códigos de recuperación. Cada uno sirve una sola vez, en lugar de un código de la aplicación. Son su llave de repuesto si su teléfono se estropea, se lo roban o lo cambia por otro. Guárdelos en un lugar distinto a su teléfono: en su gestor de contraseñas o en papel, en un cajón.
Si usa un código de recuperación, vuelva a configurar enseguida la verificación en dos pasos con su nuevo teléfono. Así recibirá también nuevos códigos de recuperación. Si ya no le quedan códigos de recuperación, su proveedor de correo puede desactivar el segundo paso de su buzón tras comprobar su identidad.
En su propio ordenador puede indicar al iniciar sesión que el webmail no vuelva a pedirle un código durante 30 días. En un ordenador compartido no lo haga nunca.
Lo que la verificación en dos pasos no protege
Esta es la trampa más importante, y mucha gente no la conoce. La verificación en dos pasos del webmail se aplica solo al webmail. Su programa de correo y la aplicación de correo de su teléfono inician sesión mediante IMAP (recibir) y SMTP (enviar), y estos solo piden la contraseña. Por tanto, un atacante que tenga su contraseña puede seguir leyendo su correo y enviando mensajes en su nombre con un programa de correo.
Por eso la verificación en dos pasos es un complemento, no un sustituto. Su contraseña debe seguir siendo larga y única. La verificación en dos pasos de su cuenta de cliente se configura por separado; es otra cuenta con su propia seguridad.
En grandes servicios como Gmail u Outlook.com funciona de forma algo distinta: allí el segundo paso suele aplicarse a toda la cuenta, y un programa de correo necesita una contraseña de aplicación aparte o su propio método de inicio de sesión. La idea es la misma: contraseña más algo que usted tiene.
En la práctica: así funciona en el webmail
La contraseña se cambia en Configuración > Contraseña, y la verificación en dos pasos se activa en Configuración > Doble factor de autenticación (2FA). Allí marca la casilla Activar, deja que el webmail rellene los campos, escanea el código QR, comprueba un código y guarda. Los pasos se explican en el manual de Roundcube (10.3, 10.4 y 10.5). Otros webmails tienen opciones parecidas, a menudo en Seguridad.
Resumen
- Su buzón es la llave de sus demás cuentas: protéjalo con una contraseña larga y única generada por un gestor de contraseñas.
- Después de cambiar la contraseña, actualice todos los dispositivos; un dispositivo con la contraseña antigua puede hacer que se bloquee su dirección IP.
- TOTP genera cada 30 segundos un código a partir de un secreto compartido y la hora; el reloj de su teléfono debe estar en hora y el código QR es el secreto.
- Guarde los cuatro códigos de recuperación fuera de su teléfono; cada código sirve una sola vez.
- La verificación en dos pasos del webmail solo protege el webmail, no IMAP ni SMTP en su programa de correo.
Cuestionario
Ejercicio
Ejercicio A8.1: Practique con una aplicación de autenticación. Haga clic en el botón para obtener un secreto de práctica. Recibirá el código QR de una cuenta de práctica. Escanéelo con la aplicación de autenticación que prefiera (o escriba la clave que se muestra) e introduzca el código de seis cifras que le muestre la aplicación. El programa calcula con el mismo secreto de práctica y la hora si su código es correcto; un código del intervalo anterior o siguiente también se acepta, de modo que un pequeño desfase del reloj no es un problema. Verde: el código es correcto. Rojo: el código no es correcto; compruebe entonces el reloj de su teléfono y si está usando la línea correcta de la aplicación. El secreto de práctica no pertenece a su buzón, no tiene ningún valor y desaparece en un plazo de 24 horas. Después, elimine la cuenta de práctica de su aplicación.
Para saber más
Cuando se describen pasos en el webmail, se refieren al webmail de WebOké; en otros webmails funciona de forma parecida.
- Roundcube Webmail 10.3: Activar la verificación en dos pasos
- Roundcube Webmail 10.4: Iniciar sesión con la verificación en dos pasos
- Roundcube Webmail 10.5: Cambiar la contraseña de su buzón de correo
- Cambiar la contraseña o los límites de una dirección de correo electrónico
- Gestor de contraseñas y passkeys: así gestiona su inicio de sesión de forma segura
- Curso gratuito Seguridad online para empresarios 2.1: Qué es realmente una contraseña fuerte
- Curso gratuito Seguridad online para empresarios 2.3: Verificación en dos pasos: códigos, aplicaciones y SMS
- RFC 6238, TOTP: Time-Based One-Time Password Algorithm (en inglés): https://www.rfc-editor.org/rfc/rfc6238