App de autenticación o códigos por SMS: ¿qué es más seguro?
Por el equipo de Novaz · Actualizado el 29 de octubre de 2026
Pasos de Novaz comprobados con la versión 1.0.5
Traducido de la guía en inglés. En la web del servicio, los botones y menús pueden tener nombres algo distintos en tu idioma.
En esta página
Respuesta corta: los códigos de una app de autenticación son más seguros que los que se envían por SMS. No se envía nada por la red telefónica, así que alguien que se haga con tu número de teléfono no recibe tus códigos. Aun así, los dos son códigos de un solo uso que escribes tú, y una página de inicio de sesión falsa y convincente puede robar cualquiera de ellos. Si una web ofrece una llave de acceso o una llave de seguridad, es más fuerte que ambos.
Por qué los códigos por SMS son la opción más débil
Un SMS va a tu número de teléfono, no a tu teléfono. Quien controle el número recibe el código.
- Duplicado de SIM y portabilidad fraudulenta. Un estafador convence a tu operador de telefonía para que pase tu número a su SIM o a otro operador. La FCC explica que, a partir de ahí, el estafador controla los mensajes y llamadas privados de la víctima («the victim's private texts and calls») (FCC). El FBI advierte que, tras el duplicado, las llamadas, los mensajes y otros datos se desvían al dispositivo del delincuente («calls, texts, and other data are diverted to the criminal's device») (FBI IC3).
- Las directrices del Gobierno de EE. UU. lo restringen. Las directrices de identidad digital del NIST (SP 800-63B-4, julio de 2025) clasifican los códigos de un solo uso enviados por la red telefónica como un autenticador restringido. Los servicios que los usan deben vigilar los cambios de SIM y la portabilidad de números, y tienen que ofrecer otra opción a todos los usuarios (NIST).
- Los grandes proveedores lo están abandonando. Microsoft dice que empezará a retirar los SMS («start phasing out SMS») para iniciar sesión en las cuentas personales de Microsoft y para recuperarlas (Microsoft).
Por qué son mejores los códigos de una app de autenticación
Una app de autenticación genera cada código en tu teléfono a partir de dos cosas: una clave de configuración que escaneaste una vez y la hora actual. El código nunca se te envía, así que:
- hacerse con tu número de teléfono no le sirve de nada a un atacante,
- no hay ningún SMS que interceptar ni que leer en la pantalla bloqueada, y
- los códigos funcionan sin ninguna cobertura. Como dice Google, puedes seguir generando códigos sin conexión a internet ni servicio móvil (Google).
El FBI recomienda métodos sólidos de autenticación multifactor («strong multi-factor authentication methods»), entre ellos las apps de autenticación independientes («standalone authentication applications») (FBI IC3).
De qué no te protege ninguno de los dos: el phishing
Los dos tipos de código los escribes tú, y ese es el punto débil. Una página de inicio de sesión falsa puede pedirte la contraseña y el código actual, y pasarlos a la web real en cuestión de segundos. El NIST lo dice sin rodeos: «OTP authentication is not phishing-resistant» (la autenticación con contraseñas de un solo uso no resiste el phishing) (NIST, sección 3.1.4).
Lo que ayuda:
- Comprueba la barra de direcciones antes de escribir un código, siempre.
- Nunca le digas un código a nadie que te llame, te escriba o te envíe un correo, por muy oficial que parezca.
- Si está disponible, usa una llave de acceso o una llave de seguridad física. Están vinculadas a la dirección de la web real, así que no funcionan en una web falsa. El NIST considera que este tipo de inicio de sesión criptográfico resiste el phishing.
Comparación
| Código por SMS | App de autenticación | Llave de acceso o de seguridad | |
|---|---|---|---|
| Alguien se hace con tu número de teléfono | Recibe tus códigos | No consigue nada | No consigue nada |
| Funciona sin cobertura | No | Sí | Sí |
| Página de inicio de sesión falsa | Puede robar el código | Puede robar el código | No funciona en ella |
| Pierdes el teléfono | Pide una SIM nueva a tu operador | Depende de la copia de seguridad de la app, así que guarda los códigos de respaldo | Las llaves de acceso sincronizadas vuelven en un dispositivo nuevo; si es una llave física, ten una de repuesto |
Desactiva la alternativa por SMS cuando puedas
Algunas webs mantienen el SMS como alternativa incluso después de que configures una app de autenticación. Si la vía del SMS sigue abierta, alguien que se haga con tu número podría usarla en su lugar. Cuando ya tengas configurados la app y los códigos de respaldo, elimina el número de teléfono de las opciones de 2FA si la web te lo permite.
En Authenticator App - Novaz
Novaz genera códigos estándar basados en tiempo en tu iPhone. Las claves de configuración se quedan en el llavero del iPhone, en ese dispositivo, y nunca se envían a Novaz. Solo va una copia a iCloud si activas la Copia en iCloud (PRO), y en ese caso Apple la cifra de extremo a extremo en el Llavero de iCloud. También puedes guardar un archivo de copia de seguridad cifrado (gratis). Puedes bloquear la app con Face ID o con un código. Como cualquier app de autenticación, sus códigos no resisten el phishing. Si pierdes el teléfono y no tienes copia de seguridad de Novaz, los códigos de respaldo que te da cada web son lo que te devuelve el acceso, así que guárdalos en cualquier caso. Tienes más detalles en ¿Es segura Novaz Authenticator?