Per què és important el 2FA?
Les contrasenyes es filtren, es reutilitzen o es poden endevinar. El 2FA combina una cosa que saps (contrasenya) amb una cosa que tens (codi, dispositiu) o ets (biometria) per impedir l’accés il·lícit.
Mètodes habituals
SMS (menys segur)
Malgrat ser fàcil de desplegar, l’SMS pot patir SIM swapping o interceptació. Utilitza’l només si no tens alternativa.
Missatgeria (WhatsApp, Telegram)
Millora una mica l’SMS, però continua depenent del número de telèfon i del control de les teves apps de missatgeria.
Aplicacions autenticadores (TOTP)
Generen codis locals cada 30 segons. Són l’opció recomanada per a la majoria de serveis. Exemples: Google/Microsoft Authenticator, Authy, Aegis, 2FAS o els generadors integrats als gestors.
Notificacions push
Serveis com Duo o Okta envien una notificació per aprovar o rebutjar l’inici de sessió. Molt còmodes, però vigila les sol·licituds inesperades.
Claus físiques
Dispositius FIDO2/WebAuthn (YubiKey, Feitian, SoloKeys) ofereixen resistència al phishing, ja que validen el domini abans de completar l’autenticació.
Passkeys i biometria
Windows Hello, Touch ID, Face ID i passkeys aprofiten el teu dispositiu com a autenticador. Són molt segurs i cada cop més comuns.
Taula comparativa
| Mètode | Seguretat | Comoditat | Riscos |
|---|---|---|---|
| SMS | Baixa | Molt alta | Robatori de SIM, interceptació |
| App autenticadora | Alta | Mitjana | Perdre el dispositiu sense còpia de seguretat |
| Push | Alta | Alta | Fatiga per sol·licituds massives |
| Clau física | Molt alta | Mitjana | Cost, necessitat de clau de recanvi |
| Passkey/biometria | Molt alta | Molt alta | Compatibilitat parcial, depèn del dispositiu |
Consells pràctics
- Tria apps TOTP o claus físiques abans que SMS.
- Configura factors de reserva (segona app, clau addicional, codis d’emergència).
- Guarda els codis de recuperació fora de línia.
- Forma l’equip per reconèixer i rebutjar sol·licituds push sospitoses.
- Incorpora passkeys allà on estiguin disponibles.
Preguntes freqüents
Què passa si perdo la clau física?
Utilitza la clau de recanvi o els codis de recuperació. Sempre enregistra com a mínim dues claus.
Com puc migrar els codis d’una app TOTP?
Aplicacions com Authy sincronitzen al núvol; altres permeten exportar o tornar a escanejar QR. Mantén el dispositiu antic fins que el nou estigui configurat.
El TOTP es pot pescar amb phishing?
Sí, amb atacs en temps real. Les claus físiques i les passkeys eviten aquesta tècnica, perquè verifiquen el domini abans de signar.
Checklist 2FA
- Activa 2FA en tots els comptes crítics (correu, banca, treball).
- Genera contrasenyes úniques amb password.es i desa-les en un gestor zero knowledge.
- Prioritza claus físiques per a perfils amb privilegis elevats.
- Educa el personal i la família sobre phishing, smishing i vishing.
- Renova els codis de recuperació després de qualsevol incident.
Limitació de garanties
password.es es proporciona «tal com és». No garantim la disponibilitat ni la seguretat absoluta de les contrasenyes generades. L’usuari és responsable de combinar el 2FA amb altres mesures de protecció.