Si ya leíste nuestro artículo sobre ciberseguridad para empresas, recordarás que el primer consejo -el más importante de todos- era activar MFA/2FA en todo. Este artículo es la continuación práctica de ese consejo: el “cómo” detallado, paso a paso, para que dejes de postergarlo y comiences a proteger tus cuentas hoy mismo.
Si llegaste directamente acá sin haber leído antes el articulo de ciberseguridad, no te preocupes: empezaremos desde cero, explicando qué es esto, y por qué importa, antes de pasar a las instrucciones para cada plataforma.
1. ¿Qué es MFA/2FA y por qué es tan importante?
2. Los tipos de factores (y cuál conviene más)
3. Antes de empezar: lo que necesitas tener a mano
4. Google / Google Workspace y Gmail
5. Microsoft / Outlook
6. Apple ID
7. Correos corporativos (cuando no pasan por Google)
8. WordPress
9. Zoom y plataformas de trabajo
10. Inteligencias Artificiales (Claude, ChatGPT y otras)
11. Bancos, plataformas estatales y financieras
12. El paso que casi todos olvidan: códigos de respaldo
13. Antes de que sea tarde: cambio o pérdida de teléfono
1. ¿Qué es MFA/2FA, y por qué es tan importante?
Empecemos por (o repasemos) lo básico, sin tecnicismos innecesarios:
- MFA: Multi-Factor Authentication (autenticación multi-factor).
Utiliza dos o más formas de acreditar identificación (comprobar que eres tú) al ingresar a una cuenta o servicio. Por ejemplo: contraseña, código de un solo uso enviado por correo electrónico, y código aleatorio generado por una aplicación de autenticación. - 2FA: Two-Factor Authentication (autenticación de dos factores).
Utiliza dos formas de acreditar identificación (comprobar que eres tú) al ingresar a una cuenta o servicio. Por ejemplo: contraseña, y código aleatorio generado por una aplicación de autenticación.
En la práctica, para la mayoría de la gente, 2FA y MFA se usan casi como sinónimos.
La idea de fondo es sencilla y poderosa: una contraseña sola ya no basta. Las contraseñas se filtran, se adivinan, se reutilizan, se roban en brechas de datos masivas o en intentos de hackeo dirigidos. Pero si para entrar a tu cuenta hace falta algo que sabes (la contraseña) y además algo que tienes (tu teléfono con una app autenticadora, por ejemplo), entonces aunque alguien consiga tu contraseña, no podrá entrar.
En pocas palabras: sin MFA o 2FA, una contraseña filtrada puede destruir tu empresa, tu privacidad, o tu presencia digital. Con MFA, esa misma contraseña filtrada es insuficiente.
Es, probablemente, la única acción de seguridad que te da más protección por menos esfuerzo. Vale cada minuto que le dediques. Por este motivo, queremos ayudarte a que puedas activar esta medida de seguridad, lo antes posible, a través de esta guía.
2. Los tipos de factores (y cuál conviene más)
No todos los segundos factores son igual de seguros. Aquí van, ordenados de más seguro a menos seguro:
- Llaves de seguridad físicas (hardware): dispositivos como YubiKey. Son lo más seguro que existe, pero también lo menos común para el usuario promedio. Una opción a considerar para cuentas extremadamente críticas.
- Apps autenticadoras: generan un código temporal que cambia cada 30 segundos. Es el punto justo entre seguridad y comodidad, y nuestra recomendación principal para la mayoría de las situaciones. Por ejemplo: Proton Authenticator (prioriza privacidad), entre otras.
- Notificaciones push: la plataforma te envía un aviso a tu teléfono y solo tienes que tocar “sí, soy yo”. Cómodo y razonablemente seguro.
- Códigos por correo electrónico: aceptable como complemento, pero recuerda: si tu correo es justamente la cuenta comprometida, este método pierde su sentido.
- Códigos por SMS: es el método más débil (los números de teléfono pueden ser secuestrados mediante “SIM swapping”). Dicho esto, tener SMS como segundo factor es muchísimo mejor que no tener ningún segundo factor. Si es lo único disponible en alguna plataforma, úsalo sin culpa.
Nuestra recomendación general: usa una app autenticadora siempre que puedas, y evita el SMS cuando exista una alternativa mejor.
3. Antes de empezar: lo que necesitas tener a mano
Para que el proceso sea fluido y no quedes a medias, ten esto listo:
- Tu teléfono con una app autenticadora instalada (puedes descargarla gratis desde la tienda de aplicaciones de tu teléfono).
- Un lugar seguro donde guardar los códigos de respaldo que cada plataforma te entregará (más sobre esto en el último punto; es ¡muy importante!).
- Unos minutos sin apuro por cada cuenta.
Un consejo que realmente te recomendamos seguir: activa MFA primero en tu correo electrónico principal, antes que en cualquier otra cuenta. Es la llave maestra de tu vida digital: desde el correo se pueden recuperar (o secuestrar) casi todas las demás cuentas.
Por último, por favor ten en cuenta que, si bien más abajo pondremos algunas imágenes de los menús que contienen la configuración de seguridad que permite activar MFA/2FA en los servicios más utilizados, es de considerar que estos menús y
4. Google, Google Workspace, y Gmail
Esto cubre tanto las cuentas personales de Gmail como las cuentas de empresa en Google Workspace. El camino es prácticamente el mismo.
Pasos generales:
- Ingresa a la administración de tu Cuenta de Google (desde tu correo, haz clic en tu foto de perfil, arriba a la derecha, y luego en “Gestionar tu cuenta de Google”).
- Busca la sección “Seguridad y acceso”.
- Dentro de Seguridad, busca la opción “Verificación en dos pasos” y actívala.
- Google te pedirá confirmar tu contraseña y luego elegir tu método. Selecciona la app autenticadora (o la opción que prefieras, según el punto 2 de esta guía).
- Sigue las instrucciones en pantalla para vincular tu app: normalmente escaneas un código QR con la app autenticadora, y luego ingresa el código que esta te muestra, para confirmar.
- Guarda los códigos de respaldo en un lugar seguro donde luego puedas encontrarlos.
Nota para administradores de Google Workspace: si gestionas las cuentas de tu equipo, desde la Consola de Administración puedes exigir que todos los miembros tengan la verificación en dos pasos activada. Es una de las medidas más efectivas para proteger a toda la organización de una sola vez.
5. Microsoft / Outlook
Aplica para cuentas personales de Outlook/Hotmail y para cuentas de Microsoft 365.
Pasos generales:
-
- Ingresa a la configuración de seguridad de tu cuenta Microsoft (desde tu cuenta, busca la sección de “Seguridad”).
- Busca “Verificación en dos pasos”.
- Actívala y elige tu método preferido. Microsoft ofrece su propia app (Microsoft Authenticator), pero también puedes usar otras apps autenticadoras de tu preferencia, seleccionando “configurar otra aplicación de autenticación”.
- Sigue las instrucciones para vincular la app mediante el código QR.
- Guarda los códigos de respaldo en un lugar seguro donde luego puedas encontrarlos.
Nota para administradores de Microsoft 365: si administras las cuentas de un equipo u organización, desde el panel de administración puedes puedes exigir que todos los miembros tengan la verificación en dos pasos activada. Es una de las medidas más efectivas para proteger a toda la organización de una sola vez.
6. Apple ID
Tu Apple ID protege tus dispositivos, iCloud, compras, fotos y mucho más. Vale mucho la pena asegurarlo.
Pasos generales:
- En un iPhone o iPad: entra en “Configuración”, selecciona tu nombre arriba, y busca “Inicio de sesión y seguridad”.
En el sitio web de Apple ID: en el menú de tu cuenta, busca la opción “Inicio de sesión y seguridad”, y dentro, ingresa en “Inicio de sesión y seguridad”. - Busca la opción de autenticación de doble factor y actívala.
- Apple usa principalmente la confirmación a través de tus propios dispositivos Apple de confianza, y/o un número de teléfono verificado a través de SMS o llamada telefónica.
- Sigue las instrucciones en pantalla para completar la configuración.
Nota: en el ecosistema Apple, la autenticación de doble factor a veces ya viene activada por defecto en cuentas más nuevas. Si ese es tu caso, verifica que esté correctamente configurada.
7. Correos corporativos (de cPanel a Webmail y gestores de correo IMAP/POP)
Esta es una de las dudas más frecuentes y menos explicadas, así que vamos con calma y con claridad, ya que aquí vamos a necesitar un poco más de profundidad.
Muchas empresas tienen correos del tipo nombre@empresa.cl que no están gestionados por Google Workspace ni por Microsoft 365, sino que viven en el hosting de la empresa, normalmente administrados a través de cPanel.
La pregunta entonces es: ¿cómo le pongo MFA a un correo así?
Si bien esto es posible, el sistema para ello opera en dos niveles distintos; y es importante entender la diferencia entre ambos, porque protegen cosas distintas.
Nivel 1: proteger el panel de administración (cPanel)
Este es el nivel más importante, porque cPanel es la “llave maestra” de todo tu hosting: desde ahí se administran los correos, los archivos del sitio, las bases de datos y más. Si alguien entra a tu cPanel, tiene acceso a todo.
- Entonces, para activar 2FA en cPanel:
- Inicia sesión en tu cPanel (normalmente en: tudominio.cl/cpanel).
- Busca la sección “Seguridad” y dentro de ella la opción “Autenticación de dos factores” (o Two-Factor Authentication).
- Vincula tu app autenticadora escaneando el código QR, igual que en las plataformas anteriores.
- Ingresa el código de 6 dígitos para confirmar, y listo.
Nivel 2: proteger cada casilla de correo individual (Webmail)
Aquí viene lo que muchos no saben: cada casilla de correo puede tener su propio 2FA, independiente del cPanel principal. Esto se configura desde el propio Webmail de cada cuenta, y cada usuario lo hace para su casilla.
- Ingresa al Webmail de la cuenta (normalmente en: tudominio.cl/webmail), con el correo y su respectiva contraseña.
- En la pantalla de gestión de Webmail, busca la opción “Autenticación de dos factores”.
- Escanea el código QR con tu app autenticadora (esto genera un código propio y separado para esa casilla).
- Confirma con el código de 6 dígitos.
Ahora, esta posibilidad obedece a dos condiciones importantes:
- Depende de la versión de tu hosting. El 2FA a nivel de casilla de Webmail requiere una versión suficientemente actualizada de cPanel y del sistema del servidor. No todos los planes de hosting lo tienen habilitado. Si no ves la opción, no es que estés haciendo algo mal: puede que tu proveedor necesite actualizar o habilitar la función. Vale la pena preguntar directamente a tu hosting si tu plan lo soporta.
- Mantener cPanel actualizado es tan crítico como el 2FA mismo. Durante 2026 se detectó una vulnerabilidad grave en la sección de Webmail de cPanel (en versiones desactualizadas) que permitía a atacantes acceder a cuentas de correo sin siquiera conocer la contraseña. Esto refuerza algo que ya sabes (sobre todo si leíste nuestro artículo acerca de ciberseguridad para empresas): el 2FA es fundamental, pero no reemplaza mantener todo actualizado. Un cPanel que no está al día, puede ser vulnerable incluso teniendo 2FA activado.
En resumen: sí puedes proteger tus correos corporativos con MFA, tanto a nivel del panel como de cada casilla, siempre que tu hosting esté actualizado y soporte la función. Si esto te suena a mucho, no te preocupes: en ialleite podemos revisar tu configuración, verificar la versión de tu cPanel, y reforzar la seguridad de tus correos corporativos como parte de nuestro servicio de mantención y seguridad.
¿Y qué pasa con Thunderbird, Outlook, BlueMail y otros gestores de correo?
Este es un punto muy importante, porque muchas personas no revisan sus correos desde el navegador (a través de Webmail), sino desde un programa gestor instalado en su computador o teléfono. La pregunta natural es: si activo el 2FA, ¿dejará de funcionar mi Thunderbird u Outlook?
Para responder bien, hay que entender una distinción clave. El 2FA que activas en Webmail protege específicamente el acceso por navegador. Los gestores de correo, en cambio, se conectan al servidor por otras vías técnicas (los protocolos IMAP o POP), que funcionan de forma separada al Webmail.
En la práctica, esto se traduce en distintos escenarios según cómo esté configurado tu hosting:
- Escenario más común: activas el 2FA en Webmail y tus gestores siguen funcionando con normalidad, usando tu contraseña habitual, sin pedir el código de 6 dígitos. Esto ocurre porque el 2FA cubre solo el acceso por navegador.
- Escenario con contraseña de aplicación: algunos servidores te piden generar una “contraseña de aplicación” (app password) específica para cada gestor: una clave distinta de tu contraseña normal para usarla en Thunderbird u Outlook. Tu gestor no deja de funcionar; solo requiere ese paso extra una vez por cada gestor y/o dispositivo donde configures el uso de tu cuenta de correo. Esta es la opción ideal -en cuanto a seguridad- si es que tu servidor la tiene disponible.
- Escenario menos frecuente: en configuraciones más antiguas o restrictivas, podría haber que elegir entre utilizar sólo Webmail con 2FA, o sólo gestor sin él. Es cada vez más raro, pero conviene saber que aún existe esta posibilidad.
Y aquí encontramos un punto de seguridad que casi nunca se explica, pero que es fundamental: en el primer escenario, si el 2FA protege sólo el Webmail, y tus gestores siguen entrando con la sola contraseña por IMAP/POP, entonces alguien que tenga tu contraseña todavía podría configurar tu cuenta en su propio gestor y leer tu correo, saltándose el 2FA del Webmail. Dicho de otro modo: el 2FA de Webmail es una capa real y valiosa de protección, pero no cierra por sí solo la puerta del acceso por gestor. Por eso, para correos corporativos críticos, el 2FA debe ir siempre acompañado de contraseñas fuertes y únicas, nunca compartidas (porque la contraseña sigue siendo la llave del acceso por IMAP/POP), e idealmente de restricciones adicionales a nivel de servidor.
Nuestra recomendación: como estas posibilidades varían según cada proveedor de hosting y la configuración de su servidor, antes de activar el 2FA en una cuenta que usas a diario en un gestor, verifica con tu proveedor cómo maneja su servidor la relación entre el 2FA de Webmail y las conexiones IMAP/POP. Así evitas sorpresas y te aseguras de que la protección sea completa. (Y, sí: esto también lo revisamos y configuramos por ti, si trabajas con nosotros. 😉)
8. WordPress
Si tienes un sitio en WordPress y actualizas contenido directamente en él, esto te incumbe especialmente. El panel de administración de WordPress es una de las puertas más atacadas de todo internet, y por defecto solo está protegido por usuario y contraseña.
A diferencia de Google o Microsoft, WordPress no trae MFA incorporado “de fábrica”: se agrega mediante un plugin.
¿Qué plugin elegir?
Existen varios plugins de confianza, y la mejor elección depende de cómo administres tu sitio:
- Two Factor: es el plugin oficial mantenido por el mismo equipo que desarrolla WordPress. Es liviano, gratuito, de código abierto, soporta apps autenticadoras (TOTP) y códigos de respaldo. Es nuestra recomendación para la mayoría de los casos: sitios con un solo administrador o un equipo pequeño y de confianza. Su única limitación es que cada usuario debe activar el 2FA desde su propio perfil; no se puede “obligar” a los demás a activarlo como requisito.
- WP 2FA: la mejor opción cuando varias personas acceden al sitio y quieres poder exigir que todas activen 2FA. Tiene un asistente de configuración muy amigable, permite definir “períodos de gracia” para que los usuarios se pongan al día, e incluso incluye passkeys en su versión gratuita.
- Wordfence Security: si además del 2FA quieres una capa de seguridad más completa, este plugin combina autenticación de dos factores con firewall, escáner de malware y bloqueo de ataques de fuerza bruta, todo en uno. Su versión gratuita es muy completa y ayuda muchísimo a mantener la seguridad general del sitio. Ten en cuenta que es más “pesado” que las opciones anteriores, así que en planes de hosting muy ajustados conviene probar su rendimiento.
Pasos generales (aplican a cualquiera de ellos):
- Desde el escritorio de WordPress, ve a “Plugins”, y una vez ahí, continúas a: “Añadir nuevo”.
- Busca el plugin elegido por su nombre, instálalo y actívalo.
- Dentro de la configuración del plugin (o del usuario), vincula tu app autenticadora mediante el código QR, igual que en los pasos anteriores.
- Guarda los códigos de respaldo.
Importante: si no eliges uno de los que te hemos recomendado, cuida siempre de elegir plugins activos, bien valorados y actualizados recientemente. Un plugin abandonado puede convertirse, con el tiempo, en una vulnerabilidad en lugar de una protección.
- Si quieres profundizar en esto, lo tratamos en nuestro artículo de ciberseguridad. Si tienes dudas respecto de qué alternativa se ajusta mejor a tu caso, con gusto podemos orientarte.
9. Zoom y plataformas de trabajo
Las herramientas de reuniones y trabajo colaborativo también guardan información sensible: grabaciones, conversaciones, documentos compartidos.
Zoom (pasos generales):
-
- Inicia sesión en tu cuenta de Zoom desde el navegador.
- Ve a la configuración de tu perfil y busca la sección de seguridad o “Ingresar”.
- Activa la autenticación de dos factores y vincula tu app autenticadora.
- Guarda los códigos de respaldo en un lugar seguro donde luego puedas encontrarlos.
Otras plataformas de trabajo (Slack, Trello, Notion, etc.): casi todas ofrecen MFA en la sección de “Seguridad” o “Configuración de cuenta”. El patrón es siempre el mismo: buscar la opción de autenticación de dos (o múltiples) factores, activarla, y vincular la app. Una vez que activas MFA en dos o tres plataformas, reconocerás el proceso en cualquier otra.
10. Inteligencias Artificiales (Claude, ChatGPT y otras)
Cada vez compartimos más información sensible con asistentes de IA: ideas de negocio, documentos, datos de clientes, código, etc. Por eso, proteger estas cuentas es tan relevante como proteger cualquier otra.
Pasos generales (aplican a Claude, ChatGPT, y la mayoría):
- Inicia sesión y ve a la configuración de tu cuenta (normalmente bajo tu perfil o “Settings”).
- Busca la sección de seguridad o “Multi-factor authentication”.
- Activa MFA y vincula tu app autenticadora mediante el código QR.
- Guarda los códigos de respaldo.
Nota: la disponibilidad de MFA puede variar según el tipo de cuenta (personal, de pago, empresarial) y la plataforma. Si tu plan actual no ofrece MFA, vale la pena revisar si hay una opción de cuenta que sí lo incluya, especialmente si manejas información delicada.
11. Bancos, plataformas estatales y fiscales
Si bien dejamos este punto casi al final, en términos de impacto es de los más críticos: aquí está tu dinero, tu información tributaria, y tus trámites legales. Son, sin duda, parte de lo que llamamos administración crítica.
La buena noticia es que la mayoría de estas plataformas ya incorporan alguna forma de autenticación reforzada, y muchas veces viene activada por defecto o es obligatoria. Aun así, vale la pena revisarla y fortalecerla donde se pueda:
- Bancos: casi todos los bancos en Chile usan sus propias apps con verificación adicional (tokens digitales, confirmación push, claves dinámicas). Revisa la configuración de seguridad de tu banco y activa todas las capas disponibles. Si tu banco ofrece confirmación por app en lugar de SMS, prefiérela.
- Plataformas estatales (SII, ClaveÚnica, Tesorería, etc.): la ClaveÚnica es la llave de acceso a gran parte del Estado chileno, así que protegerla es fundamental. Revisa si tiene opciones de seguridad reforzada activas y mantén su acceso tan cuidado como el de tu correo principal.
- Plataformas de pago y contabilidad (pasarelas de pago, sistemas de facturación, etc.): todas suelen ofrecer MFA en su configuración de seguridad. Actívalo sin excepción.
La lógica es la misma de todo el artículo: donde hay algo valioso, hay que reforzar la puerta. Y pocas puertas son tan valiosas como estas.
12. El paso más fácil de olvidar, negligir, o desconocer: códigos de respaldo
Este punto merece toda tu atención, porque es el que evita que tu medida de seguridad se transforme en un problema.
Cuando activas MFA, casi todas las plataformas te entregan un conjunto de códigos de respaldo (backup codes). Son códigos de un solo uso que te permiten entrar a tu cuenta si pierdes el acceso a tu segundo factor (por ejemplo, si pierdes, te roban o cambias de teléfono).
¿Por qué importan tanto? Imagina que activas MFA con tu app autenticadora, y un día pierdes el teléfono. Sin los códigos de respaldo, podrías quedar en bloqueo fuera de tu propia cuenta, a veces de forma muy difícil de revertir. Los códigos de respaldo son tu red de seguridad.
¿Qué hacer con ellos?
- Guárdalos apenas la plataforma te los entregue. No lo dejes “para después”.
- Almacénalos en un lugar seguro y accesible: un gestor de contraseñas de tu confianza en un dispositivo bien resguardado, o impresos en un lugar físico seguro.
- No los guardes en el mismo teléfono que usas como segundo factor (si pierdes el teléfono, perderías ambas cosas a la vez).
- Trátalos con el mismo cuidado que tratarías una llave de tu casa.
13. Antes de que sea tarde: prevenir ante cambio o pérdida de teléfono
Este es, en la vida real, el problema número uno que enfrenta la gente con MFA. Y casi siempre se puede prevenir con un poco de anticipación.
Piénsalo: si tu app autenticadora vive en tu teléfono, y ese teléfono se pierde, se rompe, te lo roban, o simplemente lo cambias por uno nuevo… ¿qué pasa con todos tus segundos factores?
Si se trata de un cambio de equipo: migra antes de despedirte del teléfono viejo.
Cuando cambies de teléfono, configura tu MFA en el dispositivo nuevo mientras todavía tienes acceso al viejo. La mayoría de las apps autenticadoras modernas ofrecen una función para transferir o exportar tus cuentas de un teléfono a otro. Si haces esto antes de borrar o entregar el equipo anterior, la transición es suave y sin sustos. El error más habitual es formatear o entregar el teléfono viejo, y recién ahí darse cuenta de que todos los códigos vivían ahí.
Qué hacer para estar tranquilo:
- Al cambiar de teléfono, transfiere primero tus cuentas de la app autenticadora al nuevo dispositivo.
- Verifica que el MFA funcione en el teléfono nuevo antes de deshacerte del viejo.
- Si tu app autenticadora ofrece respaldo cifrado en la nube, evalúa activarlo con una contraseña maestra fuerte.
- Ten siempre tus códigos de respaldo guardados (¿ves por qué insistíamos tanto en el punto anterior? 😊).
No pongas todos los huevos en la misma canasta.
Hay un error “silencioso” que muchas personas cometen: concentrar todo en un solo dispositivo. Si tu app autenticadora, tus códigos de respaldo, y tu correo de recuperación están todos en el mismo teléfono, entonces ese teléfono se convierte en un único punto de falla: si lo pierdes, pierdes el acceso a todo al mismo tiempo, y también le entregas todo a quien lo tome o simplemente lo encuentre.
La solución es simple: distribuye. Que tus códigos de respaldo estén en un lugar distinto (un gestor de contraseñas en otro dispositivo, o impresos físicamente), que tu correo de recuperación no dependa exclusivamente del mismo aparato, y que tengas más de una forma de recuperar el acceso. Distribuir no es paranoia: es exactamente lo que hace que un contratiempo siga siendo solo un contratiempo, y no un problema mayor.
Activar MFA en todas tus cuentas puede tomarte una tarde, pero es probablemente la mejor inversión de tiempo que harás por tu seguridad digital este año. Cada cuenta que proteges es una puerta menos por la que alguien podría entrar.
Y recuerda lo que ya hemos mencionado antes: la seguridad no se instala una vez y se olvida, es un hábito, y como tal: se practica. El MFA es una base, no un punto final. Si quieres que revisemos juntos la seguridad de tu empresa (correos corporativos, WordPress, hosting y todo lo demás) conversemos. Estamos para acompañarte en que todo siga funcionando bien y de manera segura.
-