Un código de verificación de Google es una secuencia temporal, generalmente de seis dígitos, generada o enviada al iniciar sesión en una cuenta de Google protegida por la verificación en dos pasos. Este código constituye la segunda capa de autenticación, después de la contraseña. Existen varios métodos para recibirlo o generarlo, y la elección del método influye directamente en el nivel de protección de la cuenta.
TOTP, SMS o notificación de Google: los mecanismos detrás del código de verificación
No todos los códigos de verificación son iguales. Comprender su funcionamiento técnico permite elegir el método más adecuado para su uso.
El protocolo TOTP (contraseña de un solo uso basada en el tiempo) se basa en una clave secreta compartida entre el servidor de Google y el dispositivo durante la configuración inicial. La aplicación Google Authenticator genera un código de seis dígitos que cambia cada treinta segundos, sin necesidad de conexión a internet ni red móvil.
El código por SMS o llamada vocal transita por la red telefónica. Este método sigue siendo funcional, pero es vulnerable a la interceptación (intercambio de SIM, redirección de llamadas). En Google Workspace, los administradores ahora pueden restringir los métodos de segundo paso y excluir los códigos recibidos por SMS o llamada, considerados menos confiables, a favor de las llaves de seguridad o aplicaciones de autenticación.
El procedimiento para obtener un código de verificación de Google depende, por lo tanto, del modo de validación configurado en la cuenta. La notificación de Google (notificación push en un dispositivo de confianza) constituye una tercera vía, más fluida, que simplemente requiere aprobar la conexión desde el teléfono asociado.
Configurar la verificación en dos pasos en una cuenta de Google
La verificación en dos pasos se activa desde los ajustes de seguridad de la cuenta de Google. El proceso sigue una lógica progresiva que asocia la contraseña a un segundo método de autenticación.
Pasos de configuración en los ajustes de seguridad
Accede a tu cuenta de Google, luego a la sección Seguridad. Selecciona “Verificación en dos pasos” y sigue las instrucciones. Google primero ofrece la notificación en el teléfono, y luego permite agregar otros métodos.
- Instalar Google Authenticator (versión 6.0 o posterior en Android, 4.0 o posterior en iOS) y escanear el código QR mostrado por Google para asociar la cuenta
- Agregar un número de teléfono de recuperación para recibir códigos por SMS como solución de respaldo
- Generar un conjunto de códigos de respaldo (diez códigos de un solo uso) para conservar en un lugar seguro, como se haría con un pasaporte
Una vez activada, cada nueva conexión desde un dispositivo no reconocido solicitará la contraseña y luego el código de verificación.
Sincronización de los códigos Authenticator entre dispositivos
Google Authenticator ahora permite sincronizar los códigos de verificación en varios dispositivos al iniciar sesión en su cuenta de Google en la aplicación. Los códigos están cifrados en tránsito y en reposo. Perder un teléfono ya no significa perder el acceso a todas sus cuentas, siempre que se haya activado esta sincronización previamente.
Códigos de respaldo de Google: la red de seguridad a menudo ignorada
Los códigos de respaldo son un conjunto de diez códigos de un solo uso, descargables desde la página de seguridad de la cuenta. Cada código solo funciona una vez. Cuando se genera un nuevo conjunto, el anterior se desactiva automáticamente.
Estos códigos son útiles cuando el teléfono se pierde, es robado o no se puede acceder a él. Sin ellos, la recuperación de la cuenta se vuelve considerablemente más compleja y puede requerir un largo proceso de verificación de identidad.
Un punto de atención: Google nunca solicitará un código de respaldo fuera de un procedimiento de inicio de sesión iniciado por el usuario. Cualquier solicitud por correo electrónico o mensaje pidiendo que se comunique un código de respaldo es un intento de phishing.
Passkeys y futuro del código de verificación de Google
Desde 2023-2024, Google está generalizando las passkeys (claves de acceso basadas en el estándar FIDO/WebAuthn). Esta tecnología modifica la lógica del código de verificación clásico. Con una passkey, la validación se realiza directamente en el dispositivo de confianza a través de la biometría (huella digital, reconocimiento facial) o el código de bloqueo del dispositivo.
Concretamente, en una cuenta configurada con una passkey, ya no hay código SMS ni código TOTP que ingresar en cada conexión. El segundo paso está integrado en el gesto de desbloqueo. Para las cuentas de Google Workspace, los administradores pueden imponer el uso de passkeys o llaves de seguridad físicas y definir un período de inscripción obligatorio.
Las passkeys no hacen obsoletos los códigos de respaldo. En caso de perder todos los dispositivos de confianza, los códigos de respaldo siguen siendo el último recurso para recuperar el acceso a la cuenta. Conservar un juego impreso en un lugar seguro sigue siendo una precaución pertinente, independientemente del método de autenticación principal elegido.
El código de verificación de Google coexiste, por lo tanto, con tecnologías más recientes. Las cuentas que aún no han migrado a las passkeys continúan apoyándose en Authenticator, SMS o notificaciones. La recomendación técnica sigue siendo clara: priorizar la aplicación de autenticación o las passkeys, mantener los códigos de respaldo actualizados y desactivar el SMS como método principal tan pronto como haya una alternativa más robusta disponible.
