Revisar el recorrido completo, no solo la pantalla de entrada
Una pantalla de acceso convincente no describe todo el mecanismo de autenticación. También importan el alta del método, la entrada habitual, la comprobación antes de un cambio sensible, la duración de sesiones, la recuperación y la sustitución tras una pérdida. Crea siete columnas: alta, entrada, control añadido, acción sensible, sesión, recuperación y retirada o sustitución. En cada una anota autenticador, verificador, canal de aviso, resultado visible, alternativa y evidencia de cierre. Así el desbloqueo local no se confunde con la autenticación remota y un método cómodo no oculta una recuperación más débil.
Inventariar funciones, factores y entradas
Enumera identificador, servicio de credenciales o identidad, verificador, aplicación, autenticadores registrados, contactos de recuperación, dispositivos fiables y sesiones. El modelo de identidad del NIST separa prueba de identidad, autenticador, verificador, federación y sesión. Una contraseña es conocimiento; un dispositivo o llave criptográfica es posesión; una huella puede activar un autenticador local sin ser por sí sola la credencial remota. Incluye web, móvil, identidad externa, restablecimiento, aprobación de dispositivo y asistencia. Lo que la documentación actual y una prueba controlada no respondan queda como desconocido.
Separar acceso normal y cambio sensible
Lista acciones que alteran el control: añadir o retirar método, cambiar correo de recuperación, exportar, apagar verificación adicional, vincular identidad, ver códigos, borrar cuenta o cerrar sesiones. Comprueba si piden autenticación reciente y qué factor aceptan. OWASP trata reautenticación sensible, recuperación y sesiones como controles distintos. Haber desbloqueado el teléfono no prueba un control nuevo. Abre en tu cuenta una configuración inocua, cancela en la solicitud y confirma que configuración y sesiones siguen iguales. Registra origen del aviso, factor, destino y efecto de cancelar, sin provocar bloqueos ni restablecimientos repetidos.
Comparar propiedades sin una clasificación única
Por método anota requisitos de alta, vínculo al dispositivo, sincronización, copia, resistencia al phishing, verificación del usuario, sustitución y revocación. NIST explica que las contraseñas no son resistentes al phishing y que una salida de un solo uso escrita manualmente puede ser retransmitida por un verificador impostor. Algunos métodos criptográficos vinculan la salida al nombre o canal protegido. No hay un ganador universal: compatibilidad, recuperación y dispositivos compartidos siguen importando. La recomendación de MFA de CISA también requiere factores realmente distintos y una alternativa que no sea un atajo sin explicar. Usa propiedades documentadas, no adjetivos comerciales.
Dibujar por separado sesiones y recuperación
Una sesión puede seguir hasta caducar, salir, un evento de riesgo o revocación del servidor. La recuperación puede registrar un método nuevo, restablecer contraseña, recuperar identidad externa o recurrir a soporte. Dibuja ambas secuencias. Observa si salir de un equipo afecta a otro, si cambiar factor cierra sesiones anteriores y si la lista diferencia perfiles y dispositivos. Revisa requisitos y notificaciones sin ejecutar recuperaciones innecesarias. Un buzón abandonado, número a punto de darse de baja o códigos en una nota ordinaria pueden ser el camino más débil. No guardes contraseña, código, enlace ni respuesta secreta en el mapa.
Cerrar con tres pruebas acotadas
Primero entra normalmente desde un dispositivo propio y registra factor, origen del aviso, sesión y cuenta visible. Después abre un ajuste sensible pero inocuo, cancela la nueva comprobación y verifica que nada cambió. Solo si el servicio documenta una vuelta segura, añade un autenticador prescindible, úsalo una vez, retíralo y confirma que dejó de funcionar. Si no es reversible, limita la revisión a observar. Registra versión, dispositivo, expectativa, resultado y desconocidos. Decide por la transición más débil y vuelve al mapa cuando cambie dispositivo principal, recuperación, proveedor, autenticador o versión, no por rutina sin evidencia nueva.
Preguntas frecuentes
¿El bloqueo de la app es autenticación de la cuenta?
No. El bloqueo local, las sesiones remotas y la recuperación son controles distintos.
¿La MFA protege todos los cambios automáticamente?
No. Acceso, recuperación, retirada de factores y acciones sensibles se revisan por separado.
¿Hay que probar a menudo la recuperación?
No. Haz una prueba acotada solo cuando exista una vuelta segura documentada.