2FASync
TOTP: un código temporal calculado con una clave compartida
El servicio y tu autenticador pueden calcular el mismo resultado sin enviarse el código en cada inicio de sesión. Para ello comparten una clave secreta al configurar el segundo factor.
La clave se configura una vez; el código dura poco
Cuando activas un autenticador compatible, el servicio te muestra un QR de configuración o una clave en texto. El algoritmo TOTP combina esa clave con un intervalo temporal y genera un código que se renueva, con frecuencia cada 30 segundos.
El QR de alta y la clave Base32 merecen protección: quien los copia puede generar códigos futuros mientras el servicio mantenga esa misma configuración. El número de seis u ocho cifras que ves es temporal; la clave subyacente es mucho más sensible a largo plazo.
El reloj importa tanto como los dígitos
Si el móvil, el ordenador o el servidor tienen horas muy desajustadas, el servicio puede rechazar un código correcto para otro intervalo. Revisa la hora automática del dispositivo antes de borrar y volver a configurar un autenticador.
TOTP es una modalidad de contraseña de un solo uso, no un sustituto de tu contraseña principal ni una garantía contra páginas fraudulentas. Introduce siempre el código únicamente en el dominio del servicio que realmente has abierto.
Una distinción que evita confusiones
Para un lector no técnico, un SMS de confirmación y un código de autenticador pueden parecer iguales. Solo el segundo, cuando responde al estándar TOTP y se ha facilitado la configuración compatible, se puede calcular desde la clave.
Si tu banco o proveedor exige confirmar una operación en su propia aplicación, no busques una clave TOTP inexistente. Sigue la guía de seguridad del proveedor para no perder el acceso.
¿Todos los códigos 2FA son TOTP?
No. Los códigos por SMS, las aprobaciones push, las llaves físicas y los códigos basados en contador funcionan de otras maneras.