Un QR de autenticador puede equivaler a una copia de la clave

No todos los QR significan lo mismo

Un QR otpauth:// de alta incluye a menudo el secreto TOTP necesario para generar futuros códigos. El QR de exportación de Google Authenticator también puede transportar varias credenciales sensibles. Fotografiarlo o enviarlo a un tercero facilita que alguien duplique el segundo factor.

Por eso conviene utilizar el escaneo local de una herramienta de confianza, limitar el acceso de cámara y borrar imágenes temporales que ya no necesites. No insertes QR de autenticador en incidencias, repositorios, capturas de formación ni documentos públicos.

Comprueba el origen antes de guardar

Un QR puede mostrar una cuenta o un emisor parecido a otro; los nombres de presentación no acreditan quién lo creó. Revisa el dominio donde activaste el segundo factor y compara las entradas de la vista previa con tus cuentas reales.

Al importar, 2FASync avisa de elementos incompatibles o repetidos en vez de sustituirlos a ciegas. Si el QR se hizo público, la medida efectiva es restablecer el secreto en el servicio correspondiente, no simplemente eliminar la imagen.

Cámara, archivo e historial de descargas

Una cámara solo debería activarse tras tu decisión y el permiso del navegador. Si optas por una imagen local, comprueba que el archivo procede de tu propia exportación y no de un repositorio público o de un mensaje reenviado.

No dejes fotografías de configuración entre documentos compartidos, copias de pantalla sincronizadas o carpetas públicas. Una vez terminada la operación, revisa con cuidado las copias existentes y renueva la clave si hubo exposición.

¿Una captura de pantalla del QR es más segura que el texto de la clave?

No. Si contiene el mismo secreto, puede dar a quien la posea la capacidad de generar los mismos códigos TOTP.