Cómo elegir una app de autenticación: copias de seguridad, sincronización y recuperación

Una app de autenticación puede generar códigos temporales que se introducen además de la contraseña al iniciar sesión. En muchos servicios, el usuario registra la app escaneando un código QR durante la activación; después, la app genera códigos que cambian periódicamente. El código es un segundo factor, pero no sustituye a la contraseña ni a otros mecanismos de recuperación de la cuenta. Por tanto, conviene pensar en él como una pieza del acceso, no como un método independiente que resuelve todas las contingencias.

Conviene distinguir ese uso de las notificaciones de aprobación y de las claves de acceso. Aunque una misma aplicación pueda reunir varias funciones, no necesariamente se copian o restauran del mismo modo. Por ejemplo, la documentación de Google Authenticator describe la obtención de códigos de verificación; las instrucciones de Microsoft separan las copias de seguridad de las cuentas del proceso para restaurar credenciales. El nombre de la app no basta para saber qué tipo de credencial tienes ni cómo recuperarla.

Al configurar una cuenta, la app recibe o deriva el material necesario para generar códigos. El QR de inscripción puede contener información sensible: no es una imagen inocua y una copia accesible a terceros podría permitirles generar códigos para esa cuenta. Por eso no se debe publicar, enviar por mensajería sin protección ni guardar como captura en una carpeta compartida. La aplicación protege un secreto de autenticación; no convierte automáticamente en seguro cualquier lugar donde ese secreto se copie. Si el servicio ofrece un procedimiento oficial para volver a configurar el segundo factor, consúltalo antes de depender de una imagen guardada.

Antes de elegir, averigua qué significa exactamente «copia de seguridad» en la aplicación. Puede ser una exportación manual, un respaldo en una cuenta de nube o una transferencia directa entre dispositivos. Son mecanismos distintos, con requisitos y consecuencias diferentes. Una exportación descargable puede facilitar el cambio de plataforma, pero crea un archivo que debe protegerse; una sincronización puede reducir el riesgo de perder los códigos al romperse el teléfono, pero depende de cómo se autentica y protege la cuenta asociada. La etiqueta común de «copia» no describe por sí sola qué datos se incluyen ni cómo se recuperan.

Busca respuestas concretas en la documentación oficial, no solo una etiqueta en la tienda de aplicaciones. Comprueba si la función existe para los códigos de terceros, si requiere iniciar sesión, qué almacenamiento utiliza, si funciona entre Android e iOS, si el respaldo se cifra y qué pasos permiten restaurarlo. Si la documentación no explica un punto, anótalo como desconocido: no lo interpretes como una garantía implícita. También importa que las instrucciones correspondan a la plataforma y a la versión que vas a usar, pues los pasos disponibles pueden variar.

Las diferencias entre aplicaciones ilustran por qué hay que leer las condiciones particulares. Google documenta opciones para obtener códigos con Authenticator. Microsoft publica instrucciones separadas para hacer copias de seguridad y restaurar credenciales. WatchGuard, por su parte, indica que su copia en iCloud o Google Drive se aplica a tokens de terceros y no a sus propios tokens de WatchGuard. Esa distinción no permite generalizar las reglas de un producto a otro. Una función descrita para una categoría de credenciales no debe darse por supuesta para las demás.

Una copia disponible no equivale necesariamente a una restauración completa. Puede que el respaldo solo contenga ciertos tipos de cuentas, que la restauración dependa del mismo sistema operativo o que primero sea necesario iniciar sesión en una cuenta de nube. También puede haber cuentas que requieran volver a enrolar el segundo factor desde la web del servicio. La pregunta útil no es solo «¿hay copia?», sino «¿puedo recuperar cada cuenta en el escenario que me importa?»

Revisa las instrucciones para tres situaciones: pérdida del teléfono, cambio planificado de dispositivo y cambio entre plataformas. Busca si la app requiere el móvil antiguo, un PIN, una cuenta del proveedor, acceso a iCloud o Google Drive, o un paso de verificación adicional. La documentación de Microsoft contempla procedimientos de copia y restauración; eso no significa que todos los tipos de cuenta de Microsoft Authenticator se comporten de forma idéntica. Consulta la guía específica y las limitaciones vigentes para tu caso. De este modo, puedes diferenciar los requisitos de una migración preparada de los que se aplican cuando el dispositivo anterior ya no está disponible.

Una restauración tampoco recupera necesariamente el acceso a la cuenta protegida si se han perdido los códigos y no existe respaldo utilizable. Cada servicio puede ofrecer códigos de recuperación, una llave de seguridad, verificación alternativa o soporte. Guarda los códigos de recuperación fuera del teléfono y separados de la contraseña. No los confundas con los códigos temporales que genera la app: cumplen una función de emergencia y pueden ser de un solo uso. Comprueba también las indicaciones del servicio sobre cómo conservarlos, para que sigan disponibles cuando realmente hagan falta.

Compara qué datos quedan asociados a una cuenta y dónde se almacenan los respaldos. Si se utiliza una nube, la protección depende de la seguridad de esa cuenta, de sus opciones de recuperación y del diseño de la aplicación. La palabra «cifrado» por sí sola no responde a todo: interesa saber si el proveedor puede acceder al contenido, si hace falta una clave que solo controla el usuario y qué sucede si se olvida esa clave. La recuperación de la copia y la protección de su contenido son cuestiones relacionadas, pero no idénticas.

En una exportación local, el usuario puede evitar cierta dependencia de una cuenta de nube, pero asume la responsabilidad de proteger el archivo y conservarlo. Un archivo sin protección guardado en el ordenador, el correo o una carpeta sincronizada puede exponer los secretos. En la sincronización, en cambio, hay que evaluar el acceso a la cuenta, la recuperación de la misma y los dispositivos que ya están vinculados. La opción más cómoda no es automáticamente la más privada ni la más recuperable.

Toma las declaraciones de seguridad como información sobre el diseño anunciado, no como prueba absoluta de seguridad. Comprueba quién publica la documentación, cuándo se actualizó y a qué funciones se refiere. Las reseñas de terceros pueden ayudar a descubrir preguntas o alternativas, pero para conocer un procedimiento vigente es preferible la documentación del desarrollador. Si una app permite exportar, busca también si el formato exportado es legible por otras aplicaciones y cómo se protege. Así podrás valorar no solo dónde queda el respaldo, sino también qué margen tienes para trasladarlo o volver a utilizarlo.

Cuando el teléfono anterior todavía funciona, úsalo para preparar y comprobar la transferencia. No restaures el dispositivo ni elimines la app antigua hasta verificar que puedes iniciar sesión en las cuentas importantes con el nuevo. Si una cuenta permite registrar más de un método de segundo factor, considera habilitar una alternativa antes de migrar, siguiendo las instrucciones del propio servicio. Mantener el teléfono antiguo disponible durante las pruebas permite corregir un problema de transferencia sin perder de inmediato el método que ya funciona.

Una secuencia prudente es:

• Revisa la documentación de la app y de cada cuenta importante; identifica qué método se transferirá y qué necesita conexión a internet o la cuenta de nube.
• Prepara el teléfono nuevo y realiza la importación o restauración mediante la función documentada, no fotografiando los QR existentes.
• Prueba el acceso a cada servicio mientras conservas disponible el dispositivo antiguo.
• Guarda los códigos de recuperación en un lugar protegido y comprueba que sabes cómo usarlos.
• Solo después de verificar el nuevo acceso, retira el dispositivo anterior desde la configuración de seguridad de cada servicio y borra el teléfono antiguo de forma segura.

No hay una respuesta universal: la elección depende de si priorizas una transferencia local, la sincronización entre dispositivos, la integración con una cuenta o la independencia de un proveedor. La documentación disponible para Google Authenticator, Microsoft Authenticator y 2FAS Auth permite consultar funciones concretas, pero sus páginas no constituyen por sí solas una comparación exhaustiva de seguridad ni garantizan compatibilidad con todas las cuentas. Por eso, la comparación debe centrarse en las necesidades propias y en la información publicada para cada función, no en una clasificación general de aplicaciones.

Antes de instalar o migrar, completa esta lista con información de la versión y plataforma que realmente usarás:

• Transferencia: ¿hay exportación, restauración desde copia o migración directa? ¿Funciona entre sistemas operativos?
• Alcance: ¿incluye todos los códigos o excluye determinados tipos de cuenta?
• Dependencias: ¿exige una cuenta del proveedor, almacenamiento en nube, el dispositivo anterior o conexión?
• Protección: ¿qué explica la documentación sobre cifrado, bloqueo de la app y protección del archivo exportado?
• Recuperación: ¿qué ocurre si pierdes el teléfono, la contraseña de nube o la clave de cifrado?
• Salida: ¿puedes trasladar tus códigos a otra app o recuperar cada cuenta directamente con el servicio?
• Mantenimiento: ¿la guía corresponde a la versión y plataforma actuales, y hay instrucciones oficiales para el caso concreto?

Una app puede generar códigos correctamente y aun así no encajar con tus necesidades de migración o recuperación. La decisión debería considerar conjuntamente el método de autenticación, el control de los respaldos, la facilidad para cambiar de dispositivo y las alternativas que ofrece cada servicio protegido. No elijas solo por la presencia de sincronización: comprueba qué se sincroniza, cómo se restaura y quién puede acceder a la cuenta que lo guarda.

La documentación cambia, y las opciones pueden variar según plataforma, versión y tipo de cuenta. Por eso, antes de trasladar códigos, confirma el procedimiento en las páginas oficiales correspondientes y conserva el acceso anterior hasta completar pruebas. Si una afirmación sobre cifrado, recuperación o compatibilidad no está claramente documentada, trátala como una incógnita que debes resolver, no como una propiedad asumida. Esa comprobación previa no elimina todos los riesgos, pero permite tomar la decisión con una idea más clara de los pasos necesarios y de las dependencias que aceptarás.