2FA (autenticació en dos passos)

Per què cal, si ja tanquem sessió?

Una bona pràctica amb els teus comptes és obrir-los només quan els necessites i tancar-los quan acabes. Això redueix riscos: quan tens molts serveis oberts, encara que no te n’adonis, es poden estar fent crides invisibles o enviant informació sense que ho sàpigues.

De fet, és el que t’he anat explicant al llarg dels darrers capítols: cada connexió oberta és una porta més que deixes disponible.

No és de rebut tenir diversos serveis oberts i seguir navegant per diferents dominis. Recorda que cada cop que entres en un domini nou, o que cliques en enllaços externs, deixes la teva empremta digital i contribueixes a dibuixar el teu perfil. És una mala pràctica que incrementa riscos i exposa més informació de la que imagines.

Ara bé, potser et preguntes: si sempre tanques sessió, per què cal activar el 2FA? Doncs perquè, al final, l’únic que separa el teu compte d’una altra persona és la contrasenya. Si algú l’endevina, la troba en una filtració o simplement tu l’has reutilitzada en més d’un lloc, ja pot accedir a tot el que hi tens.

Potser penses: “Vah!, tampoc tinc res gaire interessant”. Però el problema no és tant què trobaran, sinó que et poden deixar fora. Poden canviar-te la contrasenya i fer que siguis tu qui no pugui tornar a entrar. La privacitat no va de si ets bona persona o tens res a amagar; va de protegir la teva identitat digital i assegurar-te que ningú més pugui controlar els teus comptes i serveis.

En definitiva, perquè et quedi molt clar: seria com si algú et robés el compte del banc. Potser no li importen gaire les teves dades, però el resultat és que tu ja no pots usar els teus diners. Amb els teus comptes digitals passa exactament el mateix. Ara sí que queda clar, oi?

Com funciona el 2FA (a grans trets)

• Pas 1: introdueixes usuari i contrasenya.
• Pas 2: reps un codi temporal, una notificació push o una clau física.
• Pas 3: introdueixes el codi (o toques la clau) i entres.
• Resultat: sense la segona prova, no hi ha accés, perquè només tu tens la segona clau.

Tipus de 2FA

1) Codi per SMS o correu

Reps un codi d’un sol ús al mòbil o a l’email. És millor que res, però vulnerable a duplicació de SIM i a comptes de correu compromesos.

2) Aplicacions d’autenticació (TOTP)

Apps com Google Authenticator, Aegis (Android), 1Password/Bitwarden o Proton Pass generen codis locals que canvien cada 30s. No depenen de cobertura ni SMS i són molt més segures que l’SMS. Es configuren escanejant un QR secret.

3) Notificacions “push”

Algunes plataformes envien una pregunta al teu dispositiu: “Ets tu qui està intentant entrar?”. És molt còmode i ràpid, però cal anar amb compte: si reps moltes notificacions seguides, pot ser fàcil prémer “Sí” per inèrcia. Només confirma-les si realment has iniciat la sessió tu mateix.

4) Claus físiques (U2F/FIDO2)

Dispositius com YubiKey o SoloKey (USB/NFC). Representen el nivell més alt de seguretat, sobretot contra el phishing. Són molt utilitzats per periodistes, activistes o empreses que necessiten protecció extra. El millor és registrar-ne dues: una d’ús diari i una de reserva ben guardada.

Comparativa ràpida

No tots els mètodes de 2FA ofereixen la mateixa seguretat: l’SMS és millor que res, però molt més segur és fer servir una app TOTP o una clau física. I un consell pràctic: guarda sempre una còpia de seguretat (com els codis de recuperació) o una clau de reserva, per no perdre l’accés als teus comptes.

Evitar perdre l’accés (la part important)

• Recovery codes: tracta’ls com un duplicat de casa.
• Doble dispositiu per TOTP (si l’app ho permet) o exporta segurs els tokens.
• Dos claus físiques registrades (principal + reserva a casa).
• Actualitza/elimina números de telèfon que ja no facis servir.

Bones pràctiques

• No repeteixis contrasenyes: cada servei ha de tenir la seva clau única.
• Contrasenyes fortes: combina minúscules, majúscules, números i símbols perquè siguin més difícils d’endevinar.
• Ús combinat: gestor de contrasenyes + 2FA. Contrasenyes úniques i llargues.
• Evita l’SMS quan hi hagi alternativa (TOTP o clau física).
• No acceptis “push” si tu no has iniciat l’entrada.
• Fes neteja: tanca sessions actives que no calen.
• Revisa regularment “Dispositius i activitats recents”.
• Quan sigui possible, valora Passkeys (cada cop més serveis les admeten).

Les Passkeys són una alternativa moderna a les contrasenyes. Funcionen amb claus criptogràfiques que es guarden al teu dispositiu (mòbil, ordinador o clau física) i s’autentiquen amb empremta, rostre o PIN local. Són molt més segures perquè no es poden robar ni reutilitzar en altres webs: només serveixen per al servei concret on les has creat.