Google Authenticator: configurar y recuperar códigos

Google Authenticator genera códigos temporales para iniciar sesión en servicios que admiten una app de autenticación. Los códigos pueden funcionar sin conexión, pero la protección no es absoluta: un sitio falso puede pedirte el código y usarlo antes de que caduque.

La configuración se inicia en la cuenta que quieres proteger, no en Authenticator. Activa allí la verificación en dos pasos, elige “aplicación de autenticación” y escanea el QR que muestre el servicio. No compartas ese QR ni la clave secreta: permiten crear los mismos códigos en otro dispositivo.

Qué hace Google Authenticator

La app guarda una credencial para cada cuenta y genera contraseñas de un solo uso basadas en el tiempo. Normalmente introduces primero tu contraseña y después el código que aparece junto al nombre del servicio. No necesita cobertura ni Internet para calcular un código ya configurado.

Authenticator no comprueba la dirección web donde escribes el código, no recupera por sí mismo una cuenta ajena y no sustituye los métodos de recuperación que ofrece cada servicio. Tampoco convierte una contraseña reutilizada en una buena contraseña.

Antes de añadir una cuenta

1. Entra escribiendo la dirección oficial del servicio o desde su app legítima.
2. Busca Seguridad, Inicio de sesión o Verificación en dos pasos.
3. Guarda los códigos de recuperación que proporcione el servicio en un lugar separado del móvil.
4. Elige una app de autenticación y abre Google Authenticator.
5. Decide si vas a sincronizar los códigos con una cuenta de Google o a mantenerlos solo en el dispositivo.

Los códigos de recuperación pertenecen a la cuenta que proteges. Por ejemplo, los códigos de respaldo de Google sirven para una cuenta de Google, pero no para recuperar Facebook, Amazon u otro servicio.

Cómo configurar una cuenta con un código QR

1. En el servicio, activa la verificación en dos pasos y selecciona la opción de aplicación Authenticator.
2. En Google Authenticator, pulsa el botón para añadir un código.
3. Elige escanear un QR o introducir manualmente la clave que muestra el servicio.
4. Identifica la entrada con un nombre que distinga la cuenta y el proveedor.
5. Escribe en el servicio el código temporal generado para terminar la vinculación.
6. Cierra sesión y prueba el acceso antes de borrar el QR, retirar el teléfono anterior o dar por terminada la configuración.

No fotografíes el QR ni lo guardes sin protección en correo, notas o una galería compartida. Si crees que otra persona lo vio, desactiva ese método desde la cuenta afectada y vuelve a configurarlo para generar una credencial nueva.

Sincronizar con Google o usar Authenticator sin cuenta

La versión actual permite dos formas de almacenamiento:

• Con una cuenta de Google: los códigos se sincronizan en los dispositivos donde inicies sesión en Authenticator con esa cuenta. Google indica que los cifra en tránsito y en reposo.
• Sin una cuenta de Google: los códigos permanecen en el dispositivo y no aparecen automáticamente en otros. Debes transferirlos manualmente antes de cambiar o borrar el móvil.

La ayuda oficial de Google Authenticator explica ambos modos. Usarlo sin cuenta evita esa sincronización, pero aumenta el riesgo de quedarte sin los códigos si pierdes o restableces el teléfono y no preparaste alternativas. Sincronizar facilita la recuperación, pero hace aún más importante proteger la cuenta de Google y revisar sus dispositivos activos.

Cómo pasar los códigos a un teléfono nuevo

Si están sincronizados

Instala Authenticator desde la tienda oficial e inicia sesión con la misma cuenta de Google. Comprueba que aparezcan todas las entradas y prueba el inicio de sesión en las cuentas importantes antes de borrar el teléfono anterior.

Si lo usas sin cuenta

1. En el teléfono antiguo, abre el menú de transferencia y elige exportar cuentas.
2. Selecciona solo las entradas que quieres mover.
3. En el teléfono nuevo, abre la opción de importar y escanea el QR de transferencia.
4. Haz la operación en privado: ese QR contiene material que permite generar los códigos.
5. Prueba varias cuentas y conserva el dispositivo anterior hasta confirmar el acceso.

Si una cuenta no se transfiere, entra en su configuración de seguridad y vuelve a vincular una aplicación de autenticación. No desactives el segundo factor de todas tus cuentas a la vez.

Qué hacer si pierdes el teléfono

• Códigos sincronizados: instala Authenticator en un dispositivo de confianza y accede con la cuenta de Google correspondiente.
• Códigos solo locales: usa un código de recuperación, otro factor ya configurado o el procedimiento de recuperación del servicio.
• Teléfono perdido o robado: bloquea el dispositivo con las herramientas del sistema, cierra sesiones desconocidas y revisa los métodos de acceso de tus cuentas prioritarias.
• Sin ningún método alternativo: contacta con el soporte oficial de cada servicio. Google Authenticator no puede crear de nuevo una credencial que solo estaba en el dispositivo perdido.

No pagues a alguien que prometa recuperar los códigos ni entregues una contraseña o un código temporal a un supuesto técnico. Los servicios legítimos no necesitan que les dictes un código vigente para “verificar” una devolución o cancelar un ataque.

Por qué un código puede aparecer como incorrecto

1. Comprueba que elegiste la entrada correcta si tienes varias cuentas con nombres parecidos.
2. Espera al siguiente código si el actual está a punto de caducar.
3. Activa fecha, hora y zona horaria automáticas en el sistema operativo.
4. Confirma que terminaste la vinculación con el QR más reciente. Un QR anterior puede quedar invalidado al repetir la configuración.
5. Usa un código de recuperación o inicia el proceso oficial si el servicio ya no acepta esa credencial.

Las instrucciones antiguas que hablan de “Corrección de hora para códigos” dentro de Authenticator ya no son válidas. Google retiró ese ajuste en la versión 7.0 y la app utiliza la hora configurada por el sistema operativo.

Protege mejor los códigos

• Bloquea el teléfono con un PIN largo o biometría y mantén el sistema actualizado.
• Usa contraseñas únicas y un gestor de contraseñas.
• No dictes, copies ni pegues un código tras una llamada o un mensaje inesperado.
• Revisa el dominio antes de introducir contraseña y código.
• Guarda los códigos de recuperación separados del dispositivo principal.
• Cuando el servicio lo permita, valora una llave de seguridad o una clave de acceso.

Los códigos temporales añaden una barrera frente al robo de contraseña, pero no son resistentes al phishing en tiempo real. El NIST explica que introducir manualmente un código OTP no lo vincula al sitio legítimo; un impostor puede retransmitirlo. Las claves de acceso y llaves compatibles pueden ofrecer resistencia al phishing porque verifican el dominio.

Revisión editorial: 5 de septiembre de 2026. Guía documental basada en la ayuda de Cuenta de Google y en NIST SP 800-63B-4. Los nombres de menús pueden variar por sistema, versión y servicio; sigue siempre la pantalla de seguridad de la cuenta que estás protegiendo.