Verificación en dos pasos

Manual de Primeros pasos — web · capítulo 3 de 13

La verificación en dos pasos (también llamada 2FA o MFA) pide, además de la contraseña, un código de 6 dígitos generado por una app autenticadora en su celular. El código cambia cada 30 segundos, así que quien descubra su contraseña no puede ingresar sin su celular. Este capítulo lo explica todo, paso a paso: qué es la app autenticadora, cómo activarla, cómo ingresar, qué guardar y qué hacer cuando algo sale mal.

Es obligatoria para todos los usuarios, salvo los que el administrador exima. La exigencia ocurre en tres fases:

Fase	Qué ocurre
Plazo de 7 días	El plazo empieza en su primer acceso (por la web o por la app) sin la verificación activa. Usted ingresa normalmente, y la web muestra en la parte superior de todas las pantallas la franja Active la verificación en dos pasos. Su cuenta la exigirá en N días.
Plazo vencido	El ingreso no termina sin configurarla: después de la contraseña, la pantalla pide escanear el código QR allí mismo.
Activa	Cada ingreso pide el código — excepto en los navegadores y dispositivos que usted marcó como de confianza.

Figura 3. La franja amarilla del plazo, en la parte superior de todas las pantallas: Active la verificación en dos pasos. Su cuenta la exigirá en 7 días., con el botón Configurar ahora y la X para descartarla.

1. 1Días que faltan para que la verificación sea obligatoria.
2. 2Configurar ahora — abre Mi Perfil, en el bloque de la verificación.
3. 3X (Descartar) — oculta la franja solo hasta que usted cierre esta pestaña.

Atención

No espere a que venza el plazo: actívela desde Mi Perfil con calma, siguiendo la sección “Paso a paso”. La app H2O también avisa: durante el plazo, la pantalla de inicio de la app muestra la tarjeta ámbar Active la verificación en dos pasos, con los días que faltan y la dirección del H2O web de su empresa. Pero la configuración solo se hace en el navegador, en Mi Perfil — quien solo usa la app tiene que abrir la web para activarla.

Qué es una app autenticadora

Es una aplicación de celular que guarda “cuentas” de verificación y muestra, para cada una, un código de 6 dígitos que se renueva cada 30 segundos (el estándar llamado TOTP). Funciona sin internet: el código se calcula en el propio celular, a partir de la hora correcta.

• Sirve cualquier app autenticadora TOTP: Google Authenticator, Microsoft Authenticator, Authy, 1Password y otras. Use la que recomiende su empresa o la que ya usa.
• H2O no envía códigos por SMS ni por email. El único código es el de la app autenticadora (o un código de recuperación, si pierde el celular).
• Instale la app en el celular antes de empezar y déjela abierta: al momento de activar, la pantalla de H2O muestra el código QR y espera el primer código.
• La app autenticadora es una app distinta de la app H2O. La app H2O no genera códigos.

Regla del sistema

Verifique que la fecha y la hora del celular estén en automático (ajuste del sistema, algo como “Fecha y hora automáticas”). El código depende del reloj: un celular adelantado o atrasado genera códigos que H2O rechaza.

Paso a paso: activar desde Mi Perfil

Hágalo en la computadora, con el celular en la mano.

1. En el celular: instale la app autenticadora y ábrala.
2. En la computadora: abra Mi Perfil — desde la tarjeta con su nombre, al pie del menú, o con el botón Configurar ahora de la franja amarilla.
3. En el bloque Verificación en Dos Pasos (que muestra Desactivada), haga clic en Activar ahora.
4. Aparece Configurar verificación en dos pasos, con un código QR y el campo Código de la app.
5. En el celular: en la app autenticadora, toque agregar una cuenta — suele ser un +, o una opción como “Agregar cuenta” / “Escanear código QR” (el nombre cambia de una app a otra). Si la app pregunta el tipo de cuenta, elija la opción de otra cuenta / cuenta personal.
6. Apunte la cámara del celular al código QR en la pantalla de la computadora. La app crea la cuenta H2O — nombre de su empresa, con su login, y empieza a mostrar un código de 6 dígitos.
7. ¿No pudo leer el QR? En H2O, haga clic en ¿No puede escanear?: aparece Ingrese esta clave manualmente en la app: y una secuencia de letras y números. En la app autenticadora, elija la opción de escribir la clave (algo como “Ingresar clave de configuración”), escríbala exactamente como está y, si la app lo pide, elija el tipo basado en tiempo.
8. En la computadora: escriba en Código de la app el código que la app muestra ahora. Si está a punto de cambiar (la app muestra el tiempo restante), espere el siguiente.
9. Haga clic en Activar.
10. H2O muestra los 8 códigos de recuperación. Guárdelos (sección siguiente) y haga clic en Guardé los códigos, continuar. El bloque pasa a decir Activada — Su cuenta está protegida con una app de autenticación. — y aparece el mensaje Verificación en dos pasos configurada.

Figura 4. Mi Perfil › Verificación en Dos Pasos antes de activarla: el estado Desactivada, el recordatorio Recomendada. Usted tiene 7 día(s) para configurarla antes de que sea obligatoria. y el botón Activar ahora.

1. 1Estado: Desactivada.
2. 2Cuántos días quedan del plazo.
3. 3Activar ahora.

Figura 5. Después de Activar ahora: el título Configurar verificación en dos pasos, la explicación, el código QR para la app autenticadora, el atajo ¿No puede escanear?, el campo Código de la app y los botones Cancelar y Activar.

1. 1Código QR — léalo con la app autenticadora del celular.
2. 2¿No puede escanear? — muestra la clave para escribir en la app.
3. 3Código de la app: los 6 dígitos que la app muestra ahora.
4. 4Activar — verifica el código y activa la verificación.

Figura 6. ¿No puede escanear? abierto: la frase Ingrese esta clave manualmente en la app: y la clave, para escribir en la app autenticadora cuando el QR no se pueda leer.

1. 1¿No puede escanear?
2. 2La clave para escribir en la app autenticadora.

Regla del sistema

Cada vez que usted hace clic en Activar ahora, H2O genera un código QR nuevo, y solo vale el que usted active con el código. Cancelar no cambia nada en su cuenta. Si leyó un QR y canceló, borre de la app autenticadora la cuenta H2O que quedó sobrando antes de intentar de nuevo.

Los códigos de recuperación

Al activarla, H2O muestra 8 códigos de recuperación, con el formato XXXX-XXXX (letras de la A a la F y números). Cada uno vale una sola vez y reemplaza al código de la app cuando usted no tiene el celular. No vuelven a aparecer — la pantalla avisa: Estos códigos no se mostrarán de nuevo. Guárdelos antes de continuar.

• Copiar códigos — copia los ocho para pegarlos en un gestor de contraseñas.
• Descargar PDF — guarda el archivo h2o-recovery-codes-empresa.pdf, con los códigos numerados y la fecha.
• Guárdelos fuera del celular donde está la app autenticadora (impresos en un cajón, en un gestor de contraseñas en la computadora): quien pierde el celular pierde los dos juntos.
• No envíe los códigos por email ni por mensaje, y no los guarde junto con la contraseña.

Figura 7. Verificación en dos pasos activada: los 8 códigos de recuperación en dos columnas, Copiar códigos, Descargar PDF, el aviso amarillo de que no se mostrarán de nuevo y el botón Guardé los códigos, continuar.

1. 1Los 8 códigos — cada uno funciona una vez.
2. 2Copiar códigos y Descargar PDF.
3. 3Aviso: los códigos no vuelven a aparecer.
4. 4Guardé los códigos, continuar.

Consejo

¿Usó casi todos los códigos, o sospecha que alguien los vio? En Mi Perfil, use Cambiar de app de autenticación: el cambio genera un código QR y 8 códigos nuevos, y los antiguos dejan de valer cuando usted confirma la app nueva.

Configuración obligatoria al ingresar

Con el plazo vencido, después de la contraseña H2O muestra Configure la verificación en dos pasos — Su cuenta ahora exige verificación en dos pasos. Escanee el código con una app autenticadora para continuar. El camino es el mismo del paso a paso: lea el QR con la app autenticadora (o, en ¿No puede escanear?, escriba la clave en la app), escriba el código que la app muestra ahora y haga clic en Activar. Luego vienen los 8 códigos de recuperación, con Copiar códigos y Descargar PDF; el botón Guardé los códigos, continuar termina el ingreso.

Figura 8. Ingreso con el plazo vencido: la tarjeta Configure la verificación en dos pasos, el código QR, el atajo ¿No puede escanear?, el campo del código y el botón Activar.

1. 1Título y explicación de la obligatoriedad.
2. 2Código QR para la app autenticadora.
3. 3Campo del código de 6 dígitos — el botón Activar, justo debajo, solo se habilita con los 6 dígitos.

Atención

Cada nuevo intento de ingreso genera un QR (y una clave) diferente — si leyó un QR y no terminó, borre esa cuenta de la app autenticadora antes de leer el siguiente. Si no lo logra de ninguna manera, pida al administrador que restablezca su verificación (última sección): usted obtiene un nuevo plazo y la configura con calma desde Mi Perfil.

Ingresar con el código

1. Escriba usuario y contraseña y haga clic en Ingresar.
2. Aparece Ingrese el código de 6 dígitos de su app autenticadora. Abra la app en el celular y busque la cuenta H2O — nombre de su empresa (verifique el login, si hay más de una).
3. Escriba el código que aparece ahora (si está a punto de cambiar, espere el siguiente) y haga clic en Verificar — o presione Enter.

El código debe escribirse pocos minutos después de la contraseña. Pasado ese tiempo, la pantalla responde Sesión expirada. Inicie sesión de nuevo.: use Volver al inicio de sesión e ingrese otra vez.

Figura 9. El pedido del código al ingresar: el campo de 6 dígitos (aquí, con un código ya escrito), la casilla Confiar en este dispositivo por 30 días marcada, el botón Verificar, la sugerencia ¿Perdió el acceso a la app? Use un código de recuperación en el campo de arriba. y el enlace Volver al inicio de sesión.

1. 1Campo del código — acepta también un código de recuperación (XXXX-XXXX).
2. 2Confiar en este dispositivo por 30 días.
3. 3Verificar.
4. 4Sugerencia del código de recuperación.

Consejo

¿Sin el celular? Escriba un código de recuperación en el mismo campo del código, con el guion (por ejemplo A1B2-C3D4; da igual mayúsculas o minúsculas), y haga clic en Verificar. Cada código vale una vez. Después de ingresar, cambie la aplicación (sección “Perdí el celular o cambié de dispositivo”).

Confiar en este dispositivo

Si marca Confiar en este dispositivo por 30 días antes de Verificar, H2O deja de pedir el código en este navegador durante 30 días contados desde ese momento — el plazo no se renueva con el uso. La confianza se guarda para el usuario exactamente como fue escrito: si usted suele ingresar con el login y un día ingresa con el email, el navegador se trata como nuevo.

Los navegadores y dispositivos de confianza aparecen en Mi Perfil › Verificación en Dos Pasos › Dispositivos de confianza, con el nombre (por ejemplo, Chrome · Windows, o el modelo del celular en el caso de la app) y la fecha en que vencen. La X de cada línea quita uno; Olvidar todos los quita todos — en el próximo ingreso, el código se vuelve a pedir.

Figura 10. Mi Perfil con la verificación Activada: el enlace Cambiar de app de autenticación y la lista Dispositivos de confianza, con dos dispositivos — Chrome · macOS (un navegador) y Samsung SM-A546E (un celular con la app H2O) —, la fecha en que vence cada uno, la X para quitarlo y Olvidar todos.

1. 1Estado: Activada — Su cuenta está protegida con una app de autenticación.
2. 2Cambiar de app de autenticación.
3. 3Un dispositivo de confianza y la fecha en que vence.
4. 4Olvidar todos.

Atención

No marque Confiar en este dispositivo en una computadora compartida o pública: cualquier persona que sepa su contraseña ingresaría allí sin el código.

En la app H2O, la confianza en el dispositivo dura 60 días y se renueva en cada ingreso con la contraseña; en un dispositivo marcado como compartido, la app pide el código en cada ingreso — vea el capítulo 3 del manual de la app.

Problemas frecuentes

Problema	Por qué	Qué hacer
Código incorrecto. Verifique la app e inténtelo de nuevo. con el código correcto	la hora del celular está mal: H2O acepta el código del período actual y, como máximo, el del período anterior o siguiente (unos 30 segundos para cada lado)	active la fecha y la hora automáticas del celular e intente de nuevo con el código que aparece ahora
el código fue rechazado justo después de escribirlo	el código cambió mientras usted lo escribía	espere el siguiente código y escríbalo sin demora
hay varias cuentas H2O en la app autenticadora	el QR se leyó más de una vez — cada Activar ahora, y cada intento de la configuración obligatoria, genera un QR nuevo; solo vale el último que se activó	use la cuenta agregada en último lugar; borre las demás. Ante la duda, ingrese con un código de recuperación y haga Cambiar de app de autenticación, borrando antes de la app todas las cuentas H2O de esa empresa
el código es de otra empresa o de otro usuario	la app autenticadora tiene varias cuentas H2O — empresa, una por empresa y usuario	elija la cuenta con el nombre de la empresa y el login correctos
cambié de celular	la cuenta de la app autenticadora quedó en el celular anterior	con el celular anterior todavía en mano, ingrese y haga Cambiar de app de autenticación leyendo el QR con el celular nuevo; sin él, ingrese con un código de recuperación y haga el cambio
perdí el celular, o borré la app autenticadora sin querer	las cuentas de la app se fueron con ella (algunas apps autenticadoras guardan una copia en la nube — verifique en la suya)	ingrese con un código de recuperación y haga Cambiar de app de autenticación; sin códigos, pida al administrador que restablezca su verificación
Sesión expirada. Inicie sesión de nuevo.	pasaron algunos minutos entre la contraseña y el código	Volver al inicio de sesión e ingresar de nuevo
el código de recuperación fue rechazado	faltó el guion, el código ya se usó, o es de una lista antigua (el cambio de aplicación genera códigos nuevos)	escríbalo con el formato XXXX-XXXX, con un código aún no usado de la lista más reciente
Demasiados intentos. Espere un momento.	demasiados códigos incorrectos en poco tiempo	espere un minuto, verifique la hora del celular e intente con el código actual

Perdí el celular o cambié de dispositivo

• Todavía tiene el celular anterior, o los códigos de recuperación: ingrese con el código (o con un código de recuperación) y, ya dentro, haga el cambio que se describe abajo.
• No tiene el celular ni los códigos: solo el administrador de H2O en su empresa puede restablecer la verificación (sección siguiente).

Para cambiar de aplicación o de celular:

1. Instale la app autenticadora en el celular nuevo.
2. En Mi Perfil › Verificación en Dos Pasos, haga clic en Cambiar de app de autenticación.
3. Aparece Confirme su contraseña para cambiar de aplicación. A continuación escaneará un nuevo código — su cuenta sigue protegida. Escriba la contraseña y haga clic en Continuar.
4. Lea el código QR nuevo con el celular nuevo, escriba el código que muestra ahora y haga clic en Activar.
5. Guarde los 8 códigos de recuperación nuevos y haga clic en Guardé los códigos, continuar. La cuenta H2O antigua se puede borrar de la app autenticadora anterior: dejó de valer.

Regla del sistema

Hasta que usted haga clic en Activar con el código de la app nueva, nada cambia: la app autenticadora actual y los códigos de recuperación antiguos siguen valiendo, y Cancelar en el QR nuevo abandona el cambio sin desactivar la verificación. Termine el cambio en un máximo de 15 minutos después de escribir la contraseña; pasado ese tiempo, aparece El cambio de aplicación expiró. Comience de nuevo; la aplicación actual sigue activa. — haga clic de nuevo en Cambiar de app de autenticación.

Para el administrador: restablecer y eximir

En Personas › Usuarios, abra el usuario; en la pestaña Datos, al final, está el bloque Seguridad — Verificación en dos pasos (se necesita el derecho de editar usuarios). La lista de usuarios también tiene la columna MFA, con Activo, Exento o Inactivo.

• Restablecer MFA (el usuario perdió el acceso) — pide la confirmación ¿Restablecer el MFA de este usuario? Entrará normalmente en su próximo inicio de sesión y tendrá un nuevo plazo de 7 días para configurar la app de autenticación; después, la configuración será obligatoria. y, en Restablecer, borra la app autenticadora, los códigos de recuperación y los dispositivos de confianza del usuario. El nuevo plazo de 7 días empieza en el próximo acceso: el usuario ingresa solo con la contraseña, ve la franja amarilla y la configura desde Mi Perfil. Pídale que borre la cuenta H2O antigua de la app autenticadora.
• Eximir a este usuario de la obligatoriedad de MFA — el usuario exento nunca está obligado (ni después del plazo), pero puede activar la verificación por su cuenta. Úselo para cuentas de servicio o casos que la empresa decida.

Figura 11. Registro del usuario (Personas › Usuarios › pestaña Datos): el bloque Seguridad — Verificación en dos pasos, con el estado (MFA activo), el enlace Restablecer MFA (el usuario perdió el acceso) y la casilla Eximir a este usuario de la obligatoriedad de MFA.

1. 1Estado de la verificación del usuario: MFA activo o MFA no configurado (y la etiqueta exento, cuando corresponda).
2. 2Restablecer MFA (el usuario perdió el acceso).
3. 3Eximir a este usuario de la obligatoriedad de MFA.

Regla del sistema

Restablecer la verificación no cambia la contraseña. Si el usuario perdió el celular y olvidó la contraseña, defina también una contraseña nueva (capítulo 4).