2FA en Cobalt: cómo configurar una app de autenticación

Cobalt es una plataforma de pentesting como servicio, y su app en app.cobalt.io es donde los equipos de seguridad siguen las pruebas de penetración y los hallazgos. Que tengas que ocuparte ahí de la autenticación de dos factores (2FA) depende de cómo inicies sesión. Si usas tu correo y tu contraseña, la página de ajustes de la cuenta de Cobalt dice que no puedes entrar en la cuenta hasta configurar la 2FA, y la app te pide hacerlo justo después de iniciar sesión (Cobalt). Si inicias sesión mediante inicio de sesión único SAML o con Google, la 2FA de Cobalt no se te aplica en absoluto.

El único segundo factor que documenta Cobalt es una app de autenticación, respaldada por un único código de recuperación. Esta guía usa Authenticator App - Novaz en el iPhone, pero cualquier app de autenticación funciona igual.

Cómo comprobamos esta guía: los pasos de Cobalt proceden de su propia documentación en docs.cobalt.io, enlazada más abajo, que consultamos el 21 de octubre de 2026. No los hemos probado en una cuenta de Cobalt, así que alguna etiqueta puede variar ligeramente. Los pasos de Novaz están comprobados en la app, versión 1.0.5.

Quién la necesita

• Inicio de sesión con correo y contraseña: obligatoria, según la página de ajustes de la cuenta de Cobalt (Cobalt).
• SSO SAML o inicio de sesión con Google: no hace falta. Tu proveedor de identidad o Google se encargan de la comprobación adicional (Cobalt).

Las páginas de Cobalt no coinciden del todo. El artículo sobre el inicio de sesión todavía trata la 2FA como algo que una organización puede imponer, pero la página de ajustes de la organización no muestra ese interruptor, solo opciones de SAML y SCIM (Cobalt). En cualquier caso, cuenta con que te la pidan.

Activar la 2FA con una app de autenticación

Si Cobalt te lo pide después de iniciar sesión, sigue la pantalla. Si no, empieza desde tu perfil (Cobalt):

1. En la app de Cobalt, selecciona el icono de tu perfil y luego Security Settings (ajustes de seguridad) en el menú de usuario. La dirección directa es app.cobalt.io/settings/security/2fa.
2. Sigue las instrucciones en pantalla de Cobalt para añadir una app de autenticación. Cobalt cita Authy y Google Authenticator como ejemplos, pero te deja elegir cualquier app.
3. Cuando Cobalt muestre un código QR, abre Novaz, toca +, luego Escanear código QR, y apunta la cámara hacia él. Si el código está en la pantalla de tu propio iPhone, haz una captura de pantalla, toca + y luego Elegir una foto. Consulta cómo escanear un código QR en el mismo iPhone.
4. La documentación de Cobalt no dice si también muestra una clave en texto que puedas escribir. Si encuentras una, toca + en Novaz, luego Introducir clave manualmente, y pégala en Clave de configuración. Consulta ¿Qué es una clave de configuración de 2FA?
5. La página de Cobalt no detalla las pantallas restantes. Complétalas, escribiendo el código actual de Novaz si Cobalt te lo pide, y selecciona Continue (continuar).
6. Cobalt muestra ahora tu código de recuperación. Guárdalo antes de cerrar esa ventana, porque Cobalt no volverá a mostrarlo.

Después, la app de autenticación aparece como un dispositivo en la página de seguridad de tu cuenta (Cobalt).

Un solo código de recuperación, no una lista

Muchos servicios te dan diez códigos de respaldo. Cobalt te da uno. Su glosario describe el código de recuperación como la forma de volver a entrar si pierdes tu dispositivo o tu app de autenticación (Cobalt). Cuando lo usas, Cobalt te pide guardar uno nuevo antes de dejarte entrar (Cobalt). Así que, después de cualquier recuperación, sustituye el código antiguo allí donde lo guardes.

Sin una Copia en iCloud o un archivo de copia de seguridad de Novaz, las claves solo existen en tu iPhone, así que ese código de recuperación es tu forma de volver a entrar. Guárdalo en otro sitio que no sea el teléfono, como un gestor de contraseñas o una hoja impresa. Más información en Códigos de respaldo de 2FA.

Cuándo te pide Cobalt un código

Introduces un código de tu app de autenticación al iniciar sesión. En ese paso puedes seleccionar Remember this device for 30 days (recordar este dispositivo durante 30 días), que cubre un dispositivo y un navegador. Cambiar de navegador o de red, borrar las cookies, el modo incógnito o que otra persona inicie sesión en ese navegador hacen que vuelva a aparecer la petición (Cobalt).

Si Cobalt rechaza tu código

Cobalt aconseja escribir el código rápido, dentro de los 30 segundos que se muestra, y asegurarte de que la hora del teléfono es correcta. Si pusiste a mano la zona horaria del teléfono, vuelve a la zona horaria del sistema (Cobalt). En el iPhone, abre Ajustes › General › Fecha y hora y activa Ajuste automático. Novaz también te avisa cuando el reloj va desfasado 15 segundos o más. Encontrarás otras causas en ¿El código de autenticación no funciona?

Cambiar de teléfono

Hazlo mientras sigas con la sesión iniciada, o desde un navegador que marcaste para recordar. Ve a app.cobalt.io/settings/security/2fa, selecciona Manage (gestionar) en Two-Factor Authentication (2FA), busca el dispositivo antiguo y selecciona el icono de la papelera. Después añade el teléfono nuevo como un dispositivo de 2FA nuevo (Cobalt). Si tienes una Copia en iCloud o un archivo de copia de seguridad de Novaz, puedes restaurar tus cuentas en el iPhone nuevo; sin ellos, el teléfono nuevo necesita esta configuración desde cero. Consulta Cómo pasar tu app de autenticación a un iPhone nuevo.

Si pierdes tu app de autenticación

Tienes dos vías (Cobalt):

• Tu código de recuperación. Inicia sesión con tu correo y tu contraseña. En Verify Your Identity (verifica tu identidad), selecciona Try another method (probar otro método), luego Recovery code (código de recuperación), e introdúcelo. Guarda el código nuevo que te da Cobalt y vuelve a configurar la 2FA.
• El Organization Owner (propietario de la organización). Pídele que desactive la 2FA de tu cuenta. Lo hace en la página People (personas): el icono de tres puntos junto a tu nombre, luego Turn Off 2FA (desactivar la 2FA) y luego Confirm (confirmar). Cobalt sugiere que antes compruebe quién eres. Recibes un correo cuando está hecho y puedes iniciar sesión sin código.

Si eres el único Organization Owner, contacta con tu Customer Success Manager o con support@cobalt.io. Cobalt no dice qué pruebas pide ni cuánto tarda. Más información en ¿Has perdido el teléfono con tu app de autenticación?

Desactivarla

Cobalt lo desaconseja. Las únicas formas documentadas de quitar la app de autenticación son eliminar tú mismo el dispositivo, como se explica arriba, o pedírselo a un Organization Owner.

Ayuda oficial de Cobalt

• Account Settings (ajustes de la cuenta)
• Sign In to Cobalt (iniciar sesión en Cobalt)
• Troubleshoot Sign-in Issues (resolver problemas de inicio de sesión)
• Configure Organization Settings (configurar los ajustes de la organización)
• Glossary (glosario)