2FA en balena: cómo configurar una app de autenticación para balenaCloud

Una cuenta de balenaCloud controla flotas de dispositivos conectados: el código que ejecutan, el acceso SSH a ellos y las claves de API que pueden cambiarlo todo. Por eso merece algo más que una contraseña. La autenticación de dos factores (2FA) de balena es opcional y usa un único método: un código basado en tiempo de una app de autenticación (TOTP). La documentación no recoge ninguna opción por SMS (balena, balena). Esta guía usa Authenticator App - Novaz en el iPhone, pero cualquier app de autenticación funciona igual.

Cómo comprobamos esta guía: los pasos de balena proceden de su propia documentación, enlazada más abajo, que consultamos el 21 de octubre de 2026. Para los casos de pérdida de acceso, también leímos respuestas del equipo de balena en su foro oficial. No hemos probado nada de esto en una cuenta de balenaCloud, así que alguna etiqueta puede ser ligeramente distinta. Los pasos de Novaz están comprobados en la app, versión 1.0.5.

Activar la 2FA con una app de autenticación

La documentación de cuentas de balena describe estos pasos (balena):

1. Inicia sesión en el panel de balenaCloud. Haz clic en tu perfil, arriba a la derecha, y abre la página Preferences (preferencias).
2. Abre la pestaña Two-factor Authentication (autenticación de dos factores) y haz clic en Enable two-factor authentication (activar la autenticación de dos factores).
3. balena muestra un código QR y un campo Pairing code (código de vinculación). En Novaz, toca +, luego Escanear código QR, y apunta la cámara al código que aparece en tu monitor. Si tienes el panel abierto en el mismo iPhone, haz una captura de pantalla, toca + y luego Elegir una foto. Consulta cómo escanear un código QR en el mismo iPhone.
4. Escribe el código de 6 dígitos de Novaz en Pairing code.
5. A continuación, balena muestra tus códigos de recuperación. Descárgalos y guárdalos en un lugar seguro, y luego haz clic en OK.

La documentación señala que la 2FA solo se activa cuando la vinculación termina bien, así que no puedes quedarte sin acceso por dejarlo a medias.

La documentación de balena no menciona ninguna clave en texto que puedas escribir en lugar de escanear, ni dice cada cuánto cambian los códigos. Escanea el código QR: lleva a tu app los ajustes de los códigos. Si encuentras una clave y la escribes con Introducir clave manualmente, Novaz da por hecho 6 dígitos cada 30 segundos. Consulta ¿Qué es una clave de configuración de 2FA?

La lista de apps verificadas de balena cita Google Authenticator, Authy y 1Password. Novaz no está en ella, pero genera los mismos códigos TOTP estándar.

Si inicias sesión con SAML

Si usas el inicio de sesión único de tu empresa y te aparece un error cada vez que intentas activar la 2FA, balena sugiere cerrar sesión, volver a iniciarla y probar de nuevo enseguida (balena).

Cuándo pide balena un código

Después de la configuración, balena pide el código de tu app en el siguiente inicio de sesión, una vez que has introducido tu nombre de usuario y tu contraseña (balena). La documentación no menciona dispositivos recordados ni de confianza.

En la línea de comandos, balena login acepta tu correo, tu contraseña y un código de 2FA, o te deja autorizar la CLI desde el panel, o acepta un token de sesión o una clave de API (balena). Las claves de API no caducan nunca, salvo que se revoquen, y tienen todos tus permisos (balena), así que protégelas como tus códigos de recuperación.

Guarda tus códigos de recuperación

Los códigos de recuperación son el único respaldo que documenta balena. Son tu forma de volver a entrar si te quedas sin el teléfono y no tienes copia de seguridad de Novaz, o solo tienes una hecha antes de añadir balena. Guárdalos en un gestor de contraseñas o en papel, lejos del teléfono. Más información en Códigos de respaldo de la 2FA.

Si balena rechaza tu código

La documentación de balena dice que un código deja de funcionar cuando se agota la cuenta atrás de tu app, así que introdúcelo mientras todavía se muestra. Si los códigos nuevos siguen fallando, comprueba el reloj de tu iPhone: Ajustes › General › Fecha y hora › Ajuste automático. Novaz te avisa cuando el reloj va desfasado 15 segundos o más. Encontrarás otras causas en ¿El código de autenticación no funciona?

Cambiar de teléfono

La documentación de balena no explica cómo trasladar la 2FA a un teléfono nuevo. Los pasos que sí da son desactivarla y volver a activarla. Mientras todavía tengas el teléfono antiguo, desactiva la 2FA, actívala de nuevo y escanea el nuevo código QR con el iPhone nuevo. Si activaste la Copia en iCloud de Novaz o guardaste un archivo de copia de seguridad, restaurarlo en el iPhone nuevo es la forma más sencilla: los códigos siguen funcionando. Consulta Cómo transferir tu app de autenticación a un iPhone nuevo.

Si pierdes tu app de autenticación

Inicia sesión con uno de tus códigos de recuperación. Sin ellos, la documentación de balena no ofrece ninguna vía de autoservicio. El lugar documentado para pedir ayuda es la sección de soporte de producto de los foros de balena (balena).

En un hilo del foro de 2023, las respuestas del equipo de balena, entre ellas las de un moderador del foro identificado como tal, describían el proceso. Los códigos de recuperación son la forma más rápida de demostrar que la cuenta es tuya. Si no los tienes, balena comprueba que posees la parte privada de una llave SSH que añadiste a tu cuenta de balenaCloud. Firmas una cadena de texto que te dan y envías el resultado a un miembro del equipo de balena en privado, nunca en una publicación pública. Cuando la firma se verifica, balena elimina la 2FA para que puedas iniciar sesión solo con tu contraseña (balena forums). Esto procede de respuestas en el foro, no de la documentación, y balena no dice cuánto tarda. Si usas SSH con tus dispositivos, conserva esa llave. Más información en ¿Has perdido el teléfono con tu app de autenticación?

Desactivar la 2FA

Vuelve a la pestaña Two-factor Authentication de tus preferencias y haz clic en Disable two-factor authentication (desactivar la autenticación de dos factores). balena te pide antes la contraseña de tu cuenta (balena). Si te registraste con GitHub o Google y nunca definiste una contraseña, puedes añadir una en la pestaña Account details (datos de la cuenta) de la misma página.

Ayuda oficial de balena

• Account management (gestión de la cuenta)
• Security (seguridad)
• Enterprise Single Sign-On (SSO): Introduction (inicio de sesión único para empresas: introducción)
• Balena CLI reference (latest) (referencia de la CLI de balena, última versión)
• Getting Help (obtener ayuda)
• Disable 2FA Reset without recovery codes (hilo de balenaForums con respuestas del equipo de balena sobre cómo desactivar la 2FA sin códigos de recuperación)