Hay una pantalla que casi todo el mundo se salta. Activas la verificación en dos pasos, el servicio muestra un bloque de códigos aleatorios, te dice que los guardes en lugar seguro, y pulsas Continuar. Meses después tu teléfono ha desaparecido y esa pantalla era lo único que habría servido.
Qué son realmente
Un código de recuperación, también llamado código de respaldo, es una credencial de un solo uso que hace las veces de segundo factor. No de contraseña: esa sigue haciendo falta. Sustituye lo que ya no tienes, normalmente el teléfono con la aplicación de autenticación, o la llave de seguridad que quedó en un cajón en otra ciudad.
La documentación de GitHub es precisa sobre el mecanismo y merece citarse en vez de parafrasearse. Proporciona 16 códigos y afirma que "una vez que usas un código de recuperación para recuperar el acceso a tu cuenta, no se puede reutilizar". Agotados los dieciséis, generas una lista nueva. Otros servicios dan cantidades distintas: trata dieciséis como la cifra de GitHub y no como una regla universal.
El consejo que junta tus dos factores
Aquí la recomendación habitual se vuelve incómoda. GitHub te dice que no compartas ni distribuyas los códigos, y recomienda "guardarlos en un gestor de contraseñas seguro". Es razonable frente al fallo más común, que es perder un papel. También tiene una consecuencia que conviene decir con claridad.
Tu contraseña vive en esa caja fuerte. Si los códigos viven ahí también, quien abra la caja tiene ambos factores: la contraseña y lo que sustituye al segundo. La separación que hacía útil la verificación en dos pasos ha desaparecido sin ruido.
No es un argumento contra los gestores de contraseñas ni una razón para ignorar el consejo. Es una razón para decidir a conciencia en lugar de por omisión.
Dónde pueden vivir razonablemente
Impresos y guardados físicamente, es poco moderno y funciona: una hoja en un cajón de casa, o con documentos que ya custodias. Un segundo gestor de contraseñas, distinto del que guarda la contraseña de esa cuenta, mantiene separados los dos factores. Un dispositivo que no sea aquel con el que te autenticas, guardado sin conexión, hace lo mismo.
Lo que no funciona: una nota en el teléfono que ejecuta la aplicación de autenticación, o un correo a ti mismo en la cuenta que esos códigos protegen. Ambos colocan el rescate dentro de aquello de lo que hay que rescatarte.
El escenario para el que existen
Recorre el fallo real. Tu teléfono se pierde, te lo roban, cae al agua o lo borra un servicio técnico. Tu aplicación de autenticación se fue con él y, salvo que exportaras las semillas, los códigos que generaba ya no existen. En ese momento necesitas una segunda llave de seguridad, o los códigos de recuperación, o un proceso de soporte que puede tardar días y puede fracasar.
Por eso también una segunda llave de seguridad y los códigos de recuperación no son redundantes entre sí. La llave es lo que usas a diario cuando la primera no está; los códigos son lo que usas cuando faltan las dos.
Después de usar uno
Como cada código se gasta al usarlo, la lista mengua en silencio. La mayoría de servicios permite regenerar el conjunto, lo que invalida el anterior. Hacerlo tras una recuperación es la buena costumbre: sabes cuántos te quedan, y cualquier copia vieja por ahí queda inservible.
Si nunca activaste la verificación en dos pasos, nada de esto se aplica todavía, y esa es la carencia más urgente.
El resumen honesto
Los códigos de recuperación son la parte menos interesante de una configuración de seguridad y la que con más probabilidad decidirá si conservas una cuenta. Cuestan cinco minutos, una vez. La única decisión real es dónde ponerlos, y la respuesta por defecto, junto a tu contraseña, es la que merece pensarse dos veces.
★ Audit Cure53 2024 · ✓ Plan gratuit · Cross-platform
Blinda tus cuentas → NordPassContraseñas fuertes y únicas · escáner de filtraciones · plan gratis→Preguntas frecuentes
¿Para qué sirven los códigos de recuperación?
Hacen las veces de segundo factor cuando no puedes usarlo. Si el teléfono con la aplicación de autenticación se pierde o la llave de seguridad no está disponible, un código de recuperación permite completar el segundo paso del inicio de sesión. No sustituye a la contraseña, que sigue haciendo falta.
¿Se puede usar un código de recuperación más de una vez?
No. La documentación de GitHub afirma que una vez que usas un código de recuperación para recuperar el acceso a tu cuenta, no se puede reutilizar. Cada código se gasta al usarse, por eso los servicios entregan un lote en lugar de uno solo y por eso puedes generar una lista nueva cuando se agoten.
¿Cuántos códigos de recuperación se reciben?
Depende del servicio. GitHub proporciona dieciséis y permite generar una lista nueva cuando se acaban. Otros proveedores usan cantidades distintas, así que la cifra que manda es la de tu propia pantalla. Lo constante es que cada código sirve una vez.
¿Dónde debo guardar mis códigos de recuperación?
En un sitio separado de tu contraseña. GitHub recomienda un gestor de contraseñas seguro, lo que protege de perderlos pero pone ambos factores en la misma caja. Impresos y guardados físicamente, o en un segundo gestor distinto del que guarda la contraseña de esa cuenta, la separación se mantiene. Nunca en el teléfono que ejecuta la aplicación de autenticación.
¿Y si pierdo los códigos y el segundo factor?
Recurres al proceso de recuperación de cuenta del servicio, que es más lento, varía muchísimo entre proveedores y a veces fracasa. Es justo la situación que los códigos existen para evitar, y por eso los cinco minutos dedicados a guardarlos bien valen más de lo que parece.
