2FA en Bitbucket: cómo configurar una app de autenticación

Bitbucket Cloud, el alojamiento de Git de Atlassian en bitbucket.org, te hace iniciar sesión con una cuenta de Atlassian (Bitbucket), pero su verificación en dos pasos es un ajuste aparte. Atlassian describe dos comprobaciones, una para la cuenta y otra para Bitbucket. Con ambas activadas, puedes encontrarte con dos solicitudes de código seguidas, y el código de una no sirve para la otra (Atlassian).

El ajuste propio de Bitbucket, que es el que trata esta guía, admite una app de autenticación basada en tiempo (TOTP) o una llave de seguridad FIDO U2F. Su página de ayuda no menciona los mensajes de texto (Bitbucket). Es opcional, salvo que un espacio de trabajo de Bitbucket Premium la exija para acceder a sus repositorios privados (Bitbucket). Para la capa de la cuenta, consulta la ayuda de Atlassian sobre la verificación en dos pasos.

Los pasos usan Authenticator App - Novaz en el iPhone; otras apps de autenticación funcionan de forma parecida.

Cómo comprobamos esta guía: los pasos de Bitbucket proceden de las propias páginas de ayuda de Bitbucket Cloud de Atlassian, de los artículos de su base de conocimiento y del registro de cambios para desarrolladores, enlazados más abajo, que consultamos el 20 de octubre de 2026. No los hemos probado en una cuenta de Bitbucket, así que alguna etiqueta puede variar ligeramente. Los pasos de Novaz están comprobados en la app, versión 1.0.5.

Antes de empezar: SSH y una contraseña

Bitbucket enumera estos requisitos (Bitbucket):

• Una clave SSH en tu cuenta. Con la verificación en dos pasos activada, se espera que las acciones remotas de Git pasen por SSH, así que cambia antes tus remotos, tus clientes de Git y tus herramientas de compilación.
• Una dirección de correo confirmada y una contraseña de la cuenta de Atlassian. ¿Aún no tienes contraseña? Bitbucket dice que la establezcas mediante la recuperación de contraseña y vuelvas a iniciar sesión.

La página sobre la verificación en dos pasos aún sugiere las contraseñas de app para HTTPS y la API, pero el registro de cambios de Bitbucket programó su retirada total para el 28 de julio de 2026 (Bitbucket). Su sustituto, los tokens de API, no requiere la verificación en dos pasos (Bitbucket).

Activar la 2FA con una app de autenticación

1. En Bitbucket, selecciona el engranaje Settings (ajustes) y luego Personal Bitbucket settings (ajustes personales de Bitbucket) (Bitbucket).
2. En Security (seguridad), selecciona Two-step verification (verificación en dos pasos). La dirección directa es bitbucket.org/account/settings/two-step-verification/manage (Bitbucket).
3. Revisa los requisitos, introduce la contraseña de tu cuenta de Atlassian y selecciona Set up two-step verification (configurar la verificación en dos pasos).
4. Cuando aparezca el código QR, toca + en Novaz, elige Escanear código QR y apunta la cámara hacia él. En el mismo iPhone, haz una captura de pantalla y usa Elegir una foto. Consulta cómo escanear un código QR en el mismo iPhone.
5. Si el escaneo falla, los campos Account (cuenta) y Key (clave) de Bitbucket contienen los mismos datos. En Novaz, toca +, luego Introducir clave manualmente, escribe Bitbucket en Servicio y pega la Key en Clave de configuración. Consulta ¿Qué es una clave de configuración de 2FA?
6. Escribe el código actual de Novaz en Verification code (código de verificación).
7. Descarga o apunta tus códigos de recuperación.

Los códigos tienen 6 dígitos (Bitbucket), pero ninguna página indica el intervalo, y una clave escrita siempre genera códigos de 30 segundos en Novaz, así que escanea si puedes. A partir de ahí, cada inicio de sesión pide un código en Verification code y luego Verify (verificar). Bitbucket no menciona que recuerde los dispositivos.

Seis códigos de recuperación

Recibes 6 códigos de recuperación, cada uno válido una vez, que se escriben en Verification code igual que un código de la app. Conserva al menos dos sin usar: Bitbucket pide esa cantidad para generar códigos nuevos o para desactivar la verificación en dos pasos. Show recovery codes (mostrar códigos de recuperación), en la página Two-step verification, los muestra; cuando hayas usado los 6, selecciona allí Can't find codes? (¿no encuentras los códigos?) (Bitbucket).

Si pierdes el iPhone y no tienes copia de seguridad de Novaz, o solo una de antes de añadir Bitbucket, estos códigos son tu forma de volver a entrar. Guárdalos lejos del teléfono. Más información en Códigos de respaldo de la 2FA.

Si Bitbucket rechaza tu código

La ayuda de Bitbucket sugiere estas comprobaciones (Bitbucket, Bitbucket):

• Escribe los dígitos seguidos, sin espacios.
• Mira la entrada correcta. Si también tienes activada la verificación de la cuenta de Atlassian, tendrás dos, y no son intercambiables.
• No reutilices un código de recuperación.
• Corrige el reloj: un desfase de 30 a 60 segundos estropea los códigos. En el iPhone, activa Ajustes › General › Fecha y hora › Ajuste automático, o desactívalo y vuelve a activarlo si ya lo estaba, y espera a un código nuevo. Novaz muestra un aviso en cuanto el reloj se desfasa 15 segundos o más.

¿Sigues sin poder entrar? Usa un código de recuperación y consulta ¿El código de autenticación no funciona?

Pasar a un teléfono nuevo

El método de Bitbucket es desactivar la verificación en dos pasos y volver a activarla (Bitbucket). Mientras el teléfono antiguo funcione, abre Two-step verification, introduce su código o un código de recuperación, selecciona Disable two-step verification (desactivar la verificación en dos pasos) y luego configúrala con el teléfono nuevo y guarda los códigos nuevos.

En Novaz, una Copia en iCloud o un archivo de copia de seguridad restauran tus cuentas en el iPhone nuevo, así que los códigos siguen funcionando sin hacer esto. Sin ninguno de los dos, cada cuenta se añade desde cero en el iPhone nuevo. Consulta Cómo pasar tu app de autenticación a un iPhone nuevo.

Si pierdes tu app de autenticación

Empieza por un código de recuperación. Bitbucket también menciona que se pueden obtener por SSH, sin dar los pasos.

Si no te quedan códigos, un artículo de la base de conocimiento de marzo de 2026 describe la recuperación por correo (Atlassian):

1. En la solicitud del código, selecciona Forgot code (he olvidado el código) y luego Send recovery email (enviar correo de recuperación). La página de ayuda principal llama a esta opción Can't find codes?, así que las etiquetas pueden variar.
2. El primer correo solo te dice que esperes. 24 horas después, un segundo correo trae un enlace de inicio de sesión de un solo uso (revisa el correo no deseado).
3. El enlace caduca a las 24 horas y te hace iniciar sesión con la verificación en dos pasos desactivada. Configúrala de nuevo.

La espera no se puede acortar: «Atlassian cannot disable two-step verification for any Bitbucket user account» (Atlassian no puede desactivar la verificación en dos pasos de ninguna cuenta de usuario de Bitbucket) (Bitbucket). Si el correo falla, el artículo sugiere abrir un ticket con el soporte de Atlassian.

Si tu cuenta de Atlassian también tiene la verificación en dos pasos, supera primero esa capa con su clave de recuperación de emergencia de 24 caracteres. Más información en ¿Has perdido el teléfono con tu app de autenticación?

Desactivar la 2FA

En Two-step verification, introduce un código de la app o de recuperación, selecciona Disable two-step verification y confirma con Disable (desactivar) (Bitbucket). Si exiges la verificación en dos pasos en contenido que gestionas, desmarca antes Require two-step verification (exigir la verificación en dos pasos) en Access controls (controles de acceso) (Bitbucket). Después, borra la entrada de Bitbucket de Novaz con Eliminar cuenta.

Ayuda oficial de Bitbucket y Atlassian

• Enable two-step verification (activar la verificación en dos pasos)
• Log into or connect to Bitbucket Cloud (iniciar sesión o conectarse a Bitbucket Cloud)
• Navigating Bitbucket Cloud and Atlassian Two-Step Verification for Bitbucket Cloud Users (la verificación en dos pasos de Bitbucket Cloud y de Atlassian para usuarios de Bitbucket Cloud)
• How to Disable/Reset 2FA on Bitbucket Cloud and Atlassian Account (cómo desactivar o restablecer la 2FA en Bitbucket Cloud y en la cuenta de Atlassian)
• Bitbucket Cloud Login Fails with "Invalid two step verification code" error (el inicio de sesión en Bitbucket Cloud falla con el error «Invalid two step verification code»)
• Enforce two step verification (access control) option is greyed out on premium plan (la opción de exigir la verificación en dos pasos aparece atenuada en el plan Premium)
• Control access to private content in a workspace (controlar el acceso al contenido privado de un espacio de trabajo)
• Control access to your private content (controlar el acceso a tu contenido privado)
• API tokens (tokens de API)
• Bitbucket Cloud changelog (registro de cambios de Bitbucket Cloud)
• Manage two-step verification for your Atlassian account (gestionar la verificación en dos pasos de tu cuenta de Atlassian)