El código QR de tu app de autenticación: qué contiene en realidad

Qué es (respuesta en un párrafo)

Ese código QR que tu banco, tu proveedor de correo o el acceso de tu trabajo muestra al configurar la verificación en dos pasos no es una imagen de nada. Es un enlace otpauth:// que contiene una clave secreta compartida. Lo escaneas una vez con tu app de autenticación, y esta guarda ese secreto, generando un nuevo código de 6 dígitos cada 30 segundos a partir de entonces. Compáralo con cómo funciona el inicio de sesión por código QR, donde el código es un intercambio de sesión de corta duración que expira en segundos. Un código de configuración 2FA funciona al revés: una vez escaneado, el secreto que contiene es válido para siempre, en cualquier dispositivo que tenga una copia.

Cómo funciona en realidad

El enlace otpauth://, parte por parte

Todo código QR de configuración 2FA se decodifica en una URI que se ve más o menos así:

otpauth://totp/YourBank:you@email.com?secret=JBSWY3DPEHPK3PXP&issuer=YourBank&digits=6&period=30

Solo un campo es obligatorio: secret, una clave codificada en Base32 que tanto tu teléfono como el servidor ya conocen. Todo lo demás —emisor, etiqueta de cuenta, algoritmo, dígitos, intervalo— solo indica a tu app cómo formatear el código. Casi todas las apps de autenticación de consumo usan TOTP, basado en tiempo, con un código que cambia cada 30 segundos por defecto. La alternativa menos común, HOTP, avanza un contador en lugar de un reloj.

Codificado no es lo mismo que cifrado

Base32 es una codificación de texto, no un cifrado — reversible por diseño. La misma propiedad que permite que tu cámara decodifique el código al instante también significa que cualquier otra persona que lo lea decodifica el mismo secreto exacto. La especificación técnica de TOTP lo dice sin rodeos: un atacante con acceso al secreto compartido puede generar códigos válidos cuando quiera. Detrás no hay ninguna contraseña; el secreto mismo es todo el límite de seguridad.

Dónde lo verás

Estos códigos aparecen en cualquier lugar donde el 2FA esté activado: apps bancarias, correo, portales de trabajo, gestores de contraseñas como 1Password o Bitwarden. La mayoría de las pantallas también ofrecen "¿no puedes escanear? introduce este código manualmente" — ese texto es exactamente el mismo secreto en Base32, solo escrito en lugar de codificado.

Por qué una captura de pantalla es una copia permanente

Es tentador tomar una captura del código QR "por si acaso". No lo hagas. Una captura es una copia en texto plano de tu segundo factor: se sincroniza con la nube, queda en una grabación de pantalla, o termina en un ticket de soporte por accidente. El mismo truco que te permite importar un código escaneando un código QR desde una captura de pantalla es justo lo que hace peligrosa una captura filtrada: cualquiera que la abra también puede escanearla, y no hay alerta de "nuevo dispositivo conectado" que te avise.

Y empeora, porque la mayoría de los códigos no son mínimos. La especificación recomienda incluir emisor y etiqueta de cuenta junto al secreto, por usabilidad. Así que un código filtrado suele decirle a un atacante exactamente qué servicio y cuenta desbloquea, no solo una clave anónima. Una guía sobre generar tus propios códigos TOTP defiende lo contrario: "economía de datos": poner solo el secreto en el código y etiquetar la entrada a mano después.

Consejos, trucos y una guía rápida con QRDock

• Escanéalo una vez, cierra la pantalla de configuración y no le tomes una captura "para después".
• ¿Necesitas un respaldo? Usa la función de exportación o sincronización cifrada de tu propia app de autenticación (Authy, 1Password y otras lo permiten) en lugar de una foto.
• Guarda los códigos de respaldo de un solo uso que te dé el servicio por separado del código QR: son un mecanismo de recuperación completamente distinto.
• ¿No estás seguro de si un código que vas a escanear es una pantalla de configuración real? Es seguro escanear un código QR cubre el panorama general.

El escáner de QRDock marca contenido QR sospechoso antes de que toques para continuar, lo cual es útil para cualquier código del que no estés seguro, incluido uno que te muestre inesperadamente un sitio o correo que dice ser un aviso de 2FA.

Preguntas frecuentes

¿El código QR de mi app de autenticación es lo mismo que mi contraseña?

No exactamente, pero merece el mismo cuidado. Es un código de inscripción que contiene el secreto compartido que tu app usa para generar códigos de 6 dígitos, y cualquiera que lo capture también puede generar códigos válidos.

¿Puedo tomarle una captura de pantalla a mi código QR de 2FA para respaldarlo?

Puedes, pero esa captura es una copia permanente en texto plano de tu segundo factor. Si termina en una copia de seguridad en la nube o se comparte por error, tu 2FA queda comprometido. Usa la función de exportación o sincronización cifrada de tu propia app de autenticación en su lugar.

¿Qué se codifica realmente en un código QR de una app de autenticación?

Un enlace otpauth:// con una clave secreta codificada en Base32, además de campos opcionales para la etiqueta de la cuenta, el nombre del emisor, el algoritmo (normalmente SHA1), la cantidad de dígitos (normalmente 6) y el intervalo de tiempo (normalmente 30 segundos).

¿El secreto del código QR está cifrado?

No: está codificado en Base32, un formato de texto reversible, no un cifrado. Cualquiera que lea el código QR, ya sea escaneándolo o decodificando una imagen guardada, puede leer el secreto en texto plano.

Conclusión

Un código QR de 2FA es un secreto compartido disfrazado, no una imagen. Está codificado para que la cámara de tu teléfono lo lea al instante, pero no cifrado, así que cualquier otra persona que lo lea también puede hacerlo. Trátalo como tratarías una contraseña: escanéalo una vez, respáldalo mediante la exportación cifrada de tu propia app de autenticación si necesitas una copia, y nunca dejes una captura de pantalla suya dando vueltas.