2FA de GitHub: cómo configurar una app de autenticación

Tu cuenta de GitHub es donde están tus repositorios, issues y pull requests, y en ella la autenticación de dos factores (2FA) a menudo no es algo que puedas decidir tú. Desde marzo de 2023, GitHub la exige a las cuentas que contribuyen con código, y las organizaciones pueden exigírsela a sus miembros. GitHub recomienda como método principal una app de autenticación, que su documentación llama app TOTP. Los mensajes de texto son la única otra forma de empezar; las llaves de acceso, las llaves de seguridad y GitHub Mobile se pueden añadir después (GitHub, GitHub). Esta guía usa Authenticator App - Novaz en el iPhone, pero cualquier app de autenticación funciona igual.

Cómo comprobamos esta guía: los pasos de GitHub proceden de GitHub Docs y del blog de GitHub, enlazados más abajo, que leímos el 20 de octubre de 2026. No los hemos probado con una cuenta de GitHub, así que alguna etiqueta puede ser ligeramente distinta. Los pasos de Novaz están comprobados con la app, versión 1.0.5.

¿Es obligatoria la 2FA en tu cuenta?

GitHub selecciona las cuentas según lo que hacen: publicar una app o una action, crear una release, ser propietario de una organización o contribuir a repositorios que publican paquetes o que GitHub considera de gran importancia. Las cuentas seleccionadas reciben un correo y avisos, y tienen 45 días para configurar la 2FA, más un periodo de gracia de 7 días. Después, no pueden usar GitHub.com hasta que activen la 2FA. El inicio de sesión único (SSO) de tu empresa no te exime (GitHub).

Nunca tienes que darle un número de teléfono a GitHub: basta con una app de autenticación. Además, es la única opción en los lugares donde GitHub no ofrece mensajes de texto, y cuenta como método seguro para las organizaciones que solo permiten métodos seguros (GitHub).

Activa la 2FA con una app de autenticación

Los pasos en GitHub.com (GitHub):

1. Haz clic en tu foto de perfil, en la esquina superior derecha, y después en Settings (ajustes).
2. En la sección Access (acceso) de la barra lateral, haz clic en Password and authentication (contraseña y autenticación).
3. En Two-factor authentication (autenticación de dos factores), haz clic en Enable two-factor authentication (activar la autenticación de dos factores).
4. En Scan the QR code (escanea el código QR), GitHub muestra un código QR. En Novaz, toca + y, después, Escanear código QR. Si el código está en el mismo iPhone, haz una captura de pantalla y usa Elegir una foto. Consulta cómo escanear un código QR en el mismo iPhone.
5. ¿No puedes escanearlo? Haz clic en setup key (clave de configuración) para ver el secreto en texto. En Novaz, toca +, después Introducir clave manualmente, y escríbelo como Clave de configuración. GitHub usa 6 dígitos, 30 segundos y SHA-1, así que una clave escrita funciona. Consulta ¿Qué es una clave de configuración de 2FA?
6. Escribe el código de Novaz en Verify the code from the app (verifica el código de la app).
7. En Save your recovery codes (guarda tus códigos de recuperación), haz clic en Download (descargar) y, después, en I have saved my recovery codes (he guardado mis códigos de recuperación). Ese clic activa la 2FA.

La revisión de los 28 días

Las configuraciones nuevas de 2FA inician una revisión de 28 días. Si completas un inicio de sesión con 2FA en ese plazo, termina. Si no, GitHub te pide la 2FA en una de tus sesiones abiertas el día 28 (GitHub). El objetivo es detectar apps de autenticación mal configuradas. Si no puedes superarla, GitHub te ofrece un atajo para volver a configurar la 2FA sin quedarte sin acceso (GitHub). La forma fácil de superarla: cierra la sesión poco después de la configuración y vuelve a iniciarla con un código de Novaz.

Tus códigos de recuperación

Recibes 16 códigos de un solo uso con el formato xxxxx-yyyyy, que se guardan de forma predeterminada como github-recovery-codes.txt (GitHub, GitHub). GitHub recomienda apps de autenticación que hagan copia de seguridad en la nube (GitHub). En Novaz, eso es la Copia en iCloud (PRO). Un archivo de copia de seguridad que exportes tú también sirve, siempre que lo mantengas al día; sin ninguna de las dos, sus claves solo están en tu iPhone. Guarda estos códigos en cualquier caso, para el día en que no tengas el teléfono y la copia de seguridad no exista o esté desactualizada. GitHub sugiere guardarlos en un gestor de contraseñas.

Más adelante, haz clic en View (ver) junto a Recovery codes (códigos de recuperación) en Password and authentication para Download, Print (imprimir) o Copy (copiar). Generate new recovery codes (generar códigos de recuperación nuevos) anula el juego anterior, igual que desactivar y volver a activar la 2FA. Cambiar de app de autenticación no lo anula (GitHub). Consulta Códigos de respaldo de la 2FA.

Cuándo te pide GitHub un código

GitHub te pide un código después de la contraseña al iniciar sesión. Solo te lo vuelve a pedir si has cerrado la sesión, usas un dispositivo nuevo, tu sesión caduca o haces algo delicado (GitHub). Entre las acciones delicadas están cambiar una dirección de correo, añadir una clave SSH, crear un token de acceso personal y ver los códigos de recuperación. Después de una de ellas, GitHub no vuelve a pedírtelo durante dos horas (GitHub).

Git en la línea de comandos nunca pide el código: HTTPS usa un token de acceso personal, y SSH funciona como siempre (GitHub).

Si GitHub rechaza tu código

Un código incorrecto muestra Two-factor authentication failed (error en la autenticación de dos factores). Lo que GitHub recomienda comprobar: que lees el código de la app y de la entrada que configuraste, que la fecha y la hora del teléfono se ajustan automáticamente, y que escribes un código recién generado enseguida y sin espacios (GitHub). En el iPhone, es Ajustes › General › Fecha y hora › Ajuste automático. Novaz te avisa cuando el reloj va desfasado 15 segundos o más.

La misma página dice que el soporte de GitHub «cannot assist with troubleshooting your 2FA methods» (no puede ayudarte a resolver problemas de tus métodos de 2FA) (GitHub). Consulta ¿No funciona el código de autenticación?

Pasar a un iPhone nuevo

No necesitas desactivar la 2FA. En Password and authentication, en Two-factor methods (métodos de dos factores), haz clic en Edit (editar) junto a la app de autenticación (si tienes varios métodos, abre primero el menú que hay junto a ella). Escanea el código QR nuevo con Novaz en el iPhone nuevo, escribe un código y haz clic en Save (guardar). Tus códigos de recuperación no cambian (GitHub). Solo entonces elimina GitHub de Novaz en el iPhone antiguo: ábrelo y toca Eliminar cuenta. Hazlo antes de deshacerte del antiguo. Si tienes la Copia en iCloud o un archivo de copia de seguridad de Novaz, puedes restaurar tus cuentas en el iPhone nuevo, y la entrada de GitHub sigue funcionando. Consulta Cómo transferir tu app de autenticación a un iPhone nuevo.

Si pierdes tu app de autenticación

Las opciones de GitHub, en este orden (GitHub):

1. Otro método que hayas añadido: llave de acceso, llave de seguridad, GitHub Mobile o mensajes de texto.
2. Un código de recuperación. Después de la contraseña, elige 2FA recovery code (código de recuperación de 2FA) en More options (más opciones), escribe un código y haz clic en Verify (verificar).
3. Recuperación de cuenta. En esa pantalla, elige Begin account or email recovery (iniciar la recuperación de la cuenta o del correo) y, después, I understand, get started (entendido, empezar). Escribe la contraseña de un solo uso que GitHub te envía por correo y demuestra que eres tú con Verify with this device (verificar con este dispositivo; si ya has iniciado sesión en él antes), SSH key (clave SSH) o Personal access token (token de acceso personal). El soporte de GitHub revisa la solicitud y responde por correo en un plazo de tres días hábiles.

¿También has olvidado la contraseña? Empieza por restablecerla; después, GitHub te ofrece las mismas opciones.

La opción 3 solo funciona si te has preparado. GitHub sugiere una clave SSH añadida como clave de autenticación, o un token de acceso personal clásico con el ámbito repo (GitHub). No borres las cookies a diario: una cookie es la forma en que GitHub reconoce un dispositivo que ya has usado (GitHub).

Si nada funciona, la cuenta se pierde para siempre. El soporte no la restaurará y no acepta verificaciones de identidad (GitHub). Aun así, puedes desvincular tu dirección de correo y usarla en una cuenta nueva. Consulta ¿Has perdido el teléfono con tu app de autenticación?

Desactivar la 2FA

En Password and authentication, abre el menú de tres puntos, elige Disable two-factor authentication (desactivar la autenticación de dos factores) y confirma. Pierdes el acceso a las organizaciones que exigen la 2FA y, si GitHub te seleccionó para la 2FA obligatoria, no puedes desactivarla en absoluto (GitHub). Para cambiar de app, edita el método.

Ayuda oficial de GitHub

• About mandatory two-factor authentication
• Configuring two-factor authentication
• Accessing GitHub using two-factor authentication
• Configuring two-factor authentication recovery methods
• Changing your two-factor authentication method
• Troubleshooting two-factor authentication issues
• Recovering your account if you lose your 2FA credentials
• GitHub Account Recovery Policy
• Disabling two-factor authentication for your personal account
• Sudo mode
• Requiring two-factor authentication in your organization
• Raising the bar for software security: GitHub 2FA begins March 13 (blog de GitHub)