Blog · seguridad
Contraseñas y doble factor en la empresa
Publicado el 2026-08-28
En un negocio pequeño la seguridad informática suele resumirse en una contraseña que sabe todo el mundo. Funciona hasta que deja de funcionar, y entonces no hay término medio.
Por qué la contraseña sola ya no basta
No es que las contraseñas sean malas: es que se filtran por sitios que no controlas. Alguien usa el mismo correo y la misma clave en una tienda online, esa tienda sufre una brecha, y a partir de ahí la combinación circula. Quien la tenga la probará en decenas de servicios.
Ahí está el fallo real: reutilizar. Una contraseña larga y única por servicio resuelve la mayor parte del problema sin más tecnología. Lo que la hace sostenible es un gestor de contraseñas, porque nadie memoriza veinte claves distintas y quien lo intenta acaba usando la misma con un número al final.
El segundo factor, y cuál elegir
El doble factor añade algo que no viaja con la contraseña. No todos valen lo mismo:
Aplicación de códigos temporales (TOTP). Un código de seis dígitos que cambia cada treinta segundos, generado en el móvil. Es el equilibrio razonable: gratis, funciona sin cobertura y no depende de tu operadora.
Llave física. Lo más seguro que hay, y lo más incómodo si se pierde.
SMS. Mejor que nada y peor que los dos anteriores: el número se puede duplicar convenciendo a la operadora, y eso pasa.
Para una empresa pequeña, TOTP en el móvil de cada persona es la respuesta en casi todos los casos.
Lo que casi nadie prevé: los códigos de recuperación
Cuando activas el doble factor, el sistema te da unos códigos de un solo uso. Son la salida si pierdes el móvil.
Guardarlos en el propio móvil es como dejar la llave de repuesto dentro de casa. Van impresos en un cajón con llave, o en el gestor de contraseñas al que accedes desde otro dispositivo.
Y hay que probar la salida antes de necesitarla: usa un código de recuperación una vez, a propósito, el día que lo configuras. Descubrir que no funcionan el día que pierdes el móvil es la peor manera de enterarse.
Un equipo pequeño: quién entra a qué
Lo que más se ve en negocios de cinco personas es una sola cuenta que usa todo el mundo. Es cómodo y tiene dos problemas que solo se notan cuando ya han pasado:
No sabes quién hizo qué. Si alguien anula una factura o cambia un precio, el registro dice que lo hizo «la cuenta», que no es nadie.
Cuando alguien se va, no puedes cerrarle la puerta sin cambiar la contraseña a todos.
La alternativa cuesta media hora: una cuenta por persona, con los permisos que necesita y no más. Quien lleva la caja no tiene por qué poder tocar las nóminas.
El día que alguien se va
Es el momento en que se descubre si la casa estaba ordenada. La lista mínima:
- Desactivar su cuenta el mismo día, no «cuando haya tiempo».
- Cambiar las contraseñas compartidas que conociera —si las había.
- Revisar si tenía el certificado digital de la empresa instalado.
- Comprobar qué se queda sin dueño: avisos que solo le llegaban a él, cuentas a su nombre.
Ese punto tercero se olvida siempre y es el que más duele: un certificado de representante identifica a esa persona, y lo que se firme con él se le atribuye a ella.
Qué hace Zeva
Las contraseñas nunca se guardan tal cual: se derivan con scrypt y una sal distinta por
usuario, así que ni siquiera desde dentro se pueden leer. Una filtración de la base no entrega
las claves de nadie.
El doble factor por aplicación (TOTP) está disponible, y no es solo para entrar: hay operaciones que vuelven a pedirlo en el momento, por sensibles que sea la sesión que ya tienes abierta. Entre ellas, las que tocan dinero o datos personales: nóminas, presentaciones fiscales, gastos y caja del TPV. Que hayas entrado esta mañana no autoriza por sí solo a lanzar una nómina esta tarde.
Y una cuenta por persona con permisos por rol: quien cobra en el TPV no accede a las nóminas si no le corresponde. Qué implica tener —o no— el certificado digital de la empresa está en certificado digital de empresa; qué se respalda de todo esto, en copias de seguridad; y qué datos de cada cliente maneja quien tenga acceso, en ficha de cliente.
El correo es la llave maestra, y casi nadie lo trata así
Hay una cuenta que vale más que todas las demás: el correo electrónico.
Con acceso a tu correo, cualquiera puede pedir «he olvidado mi contraseña» en el banco, en Hacienda, en tu programa de facturación y en la tienda de aplicaciones. No necesita romper nada más: los demás servicios le abrirán la puerta por su cuenta.
De ahí salen dos consecuencias prácticas:
- El correo es lo primero que debe llevar doble factor, antes que ningún otro servicio. Si solo vas a proteger una cosa, protege esta.
- La dirección de recuperación importa. Si tu correo de empresa se recupera mediante una cuenta personal antigua que ya no usas ni proteges, esa cuenta olvidada es tu verdadero punto débil.
Y un detalle que se pasa por alto en las empresas pequeñas: si el correo del negocio está a nombre personal de alguien que trabaja ahí, el día que esa persona se marche puede quedarse con la llave de todo sin haber hecho nada malo.
Errores que se repiten
- Una cuenta para todo el equipo. Ni trazas ni forma de cerrar la puerta.
- La misma contraseña en el banco y en una tienda online. Una brecha ajena te alcanza.
- Códigos de recuperación guardados en el móvil que iban a recuperar.
- Doble factor por SMS cuando había opción de aplicación.
- Nadie desactiva la cuenta de quien se fue. A veces durante años.
Antes de dar el mes por cerrado
- ¿Cada persona tiene su cuenta, o compartís una?
- ¿Está el doble factor activo en lo que da acceso al dinero?
- ¿Dónde están los códigos de recuperación? ¿Has probado uno?
- Si alguien se fuera mañana, ¿en cuánto tiempo le cerrarías el acceso?
Nada de esto se nota mientras va bien. Todo se nota el día que no.
Solicitar demo