- No formateu encara el telèfon antic: Mantingueu el dispositiu antic intacte fins que hàgiu comprovat que com a mínim 2 inicis de sessió clau funcionen correctament amb els codis de 6 dígits generats pel telèfon nou.
- Atenció als codis QR multipàgina: Si teniu més de 10 comptes, Google Authenticator segmenta les dades d'exportació en codis QR consecutius (p. ex., 1 de 3, 2 de 3). Escanegeu-los tots.
- La sincronització al núvol és una espasa de doble tall: Tot i que la sincronització amb el compte de Google facilita la recuperació, una contrasenya de Google compromesa exposa tots els vostres testimonis d'autenticació de segon factor alhora.
- Adopteu una política de redundància multidispositiu: Escanejar doblement en configurar el 2FA o desar claus de còpia de seguretat xifrades fora de línia garanteix que mai us quedareu bloquejats per un dispositiu espatllat.
Sincronització al núvol de Google vs. Exportació QR fora de línia: Balanç de seguretat i privadesa
Google va introduir la sincronització de comptes al núvol (Google Cloud Sync) per resoldre l'històric dilema dels usuaris que perdien permanentment l'accés als seus comptes en perdre un telèfon sense còpia de seguretat. Avui dia, per defecte, si inicieu sessió amb el vostre compte principal de Google, tots els testimonis TOTP es sincronitzen automàticament entre els dispositius registrats.
Tot i ser còmode, els arquitectes de seguretat i les persones amb un model d'amenaça elevat han d'avaluar detingudament els compromisos criptogràfics fonamentals:
| Dimensió | Sincronització al núvol de Google activada | QR punt a punt fora de línia (Recomanat) |
|---|---|---|
| Simplicitat de transferència | Instantània (iniciar sessió al compte de Google al nou dispositiu) | Moderada (requereix escaneig òptic físic de codis QR) |
| Dependència de la xarxa | Requereix connexió activa a Internet i servidors al núvol de Google | 100% fora de línia, transferència òptica de càmera a pantalla |
| Punt únic de fallada (SPOF) | Greu: el compromís del compte de Google exposa totes les claus 2FA | Zero: emmagatzematge de testimonis aïllat i vinculat al maquinari |
| Compatibilitat multiplataforma | Requereix iniciar sessió a l'ecosistema de Google a tots dos dispositius | Impecable entre Android i iOS sense necessitat de compte al núvol |
| Sobirania de coneixement zero (Zero-Knowledge) | Les llavors s'allotgen remotament a la infraestructura de Google | Absoluta: les llavors en brut mai no surten de la memòria física del client |
Llista de verificació prèvia a la migració i normes de seguretat
Eviteu tancaments sobtats de l'aplicació o fallades de reconeixement òptic comprovant els requisits previs següents abans d'iniciar el procés de transferència:
- Assegureu-vos que tots dos telèfons tinguin com a mínim un 50% de bateria o estiguin connectats al corrent.
- Treballeu en un entorn interior ben il·luminat, sense reflexos directes a les pantalles dels telèfons.
- Netegeu la lent de la càmera posterior del telèfon nou per evitar un escaneig borrós.
- Baixeu l'aplicació oficial Google Authenticator des de l'App Store o Google Play Store (eviteu còpies enganyoses).
- Concediu a l'aplicació permisos d'accés a la càmera al dispositiu nou.
- Actualitzeu Google Authenticator al telèfon antic a l'última versió disponible.
Compatibilitat multiplataforma: Google Authenticator utilitza una càrrega útil estàndard Protobuf codificada en un URI otpauth-migration://. Es transfereix a la perfecció d'Android a iPhone i d'**iPhone a Android** sense cap problema de compatibilitat.
Tutorial pas a pas: Transferència fluida mitjançant QR fora de línia
Seguiu el procediment oficial d'exportació òptica per migrar les vostres llavors de 2FA directament, sense fer passar cap clau per servidors intermediaris:
Pas 1: Obrir el menú «Transferir comptes» al telèfon antic
Obriu Google Authenticator al dispositiu antic. Toqueu la vostra imatge de perfil a la cantonada superior dreta (o la icona de menú de tres línies/tres punts) i seleccioneu «Transferir comptes» al menú desplegable.
Pas 2: Autenticació biomètrica i selecció de comptes
El sistema operatiu us demanarà la verificació per Face ID, empremta dactilar o codi de bloqueig de pantalla. Un cop autoritzat, apareixerà una llista de selecció amb tots els testimonis 2FA emmagatzemats.
💡 Per defecte, tots els comptes estan seleccionats. Podeu desseleccionar els comptes personals si esteu migrant estrictament a un dispositiu d'empresa.
Pas 3: Generar el codi QR d'exportació (comproveu la paginació)
Toqueu «Exportar» o «Següent». Es generarà a la pantalla un codi QR d'alta densitat.
Pas 4: Escanejar amb el telèfon nou mitjançant «Importar comptes»
Obriu Google Authenticator al telèfon nou. En una configuració inicial nova, seleccioneu «Voleu transferir comptes existents?», o toqueu la icona de perfil ➔ «Transferir comptes» ➔ «Importar comptes».
Apunteu la càmera cap al telèfon antic. L'aplicació vibrarà després de cada pàgina escanejada correctament i us demanarà que passeu al següent codi QR al telèfon antic fins que s'hagin incorporat tots els testimonis.
Pas 5: Verificació obligatòria d'inici de sessió (no us la salteu!)
Tots els comptes transferits apareixeran a l'instant a la llista del nou telèfon, actualitzant els codis de 6 dígits cada 30 segons.
La regla d'or: Obriu immediatament l'ordinador portàtil o un navegador secundari, inicieu sessió en 1 o 2 serveis crítics (com ara GitHub o el vostre correu principal) i introduïu el codi de 6 dígits que mostra el telèfon nou. Només quan l'inici de sessió tingui èxit podreu considerar la migració certificada com a completada.
Neteja del dispositiu antic: Política de seguretat de residu zero
Molts incidents de seguretat es produeixen quan un telèfon intel·ligent antic es cedeix a familiars, es lliura en un programa de renovació o es ven a plataformes de segona mà sense una neteja criptogràfica adequada:
myaccount.google.com ➔ Seguretat ➔ Els vostres dispositius. Localitzeu el telèfon antic i feu clic a «Tancar la sessió» per revocar tots els testimonis de sessió actius.
Arquitectura de redundància en fred multidispositiu fora de línia
Confiar en un únic telèfon físic us exposa a robatoris, immersió en aigua o fallades inesperades de la placa base. Seguiu l'arquitectura de redundància 2FA 3-2-1 per garantir zero temps d'inactivitat:
Telèfon d'ús diari
Es porta a sobre cada dia per a l'autenticació biomètrica i la generació de codis.
iPad / Telèfon de recanvi domèstic
Escanejat simultàniament durant la configuració i desat de manera segura en un calaix o caixa forta.
KeePassXC / Caixa forta en paper
Claus secretes Base32 en brut emmagatzemades en una caixa forta xifrada aïllada de la xarxa o en un document imprès físicament.
Comprovació amb 2FA-Tool: Cada vegada que configureu un nou servei 2FA o deseu una llavor secreta alfanumèrica en Base32 (p. ex., JBSWY3DPEHPK3PXP), podeu verificar-la localment a 2FA-Tool. Poseu l'ordinador en mode avió, introduïu la clau al generador i confirmeu que el codi resultant de 6 dígits coincideix amb el de la vostra aplicació d'autenticació. Tots els càlculs s'executen al client mitjançant la Web Crypto API nativa del navegador.
Resolució de problemes i preguntes freqüents (PMF / FAQ)
P1: Els codis de 6 dígits acabats de transferir es rebutgen com a no vàlids a tot arreu. Per què passa?
El 99% de les fallades de verificació són causades per la desviació del rellotge (Clock Drift). El TOTP calcula els testimonis HMAC basant-se en intervals estrictes de 30 segons de temps Unix (Unix epoch). Si el rellotge del vostre telèfon nou es desvia fins i tot 15-20 segons, el testimoni generat pertany a una franja de temps incorrecta.
Com solucionar-ho:
• Android: A Google Authenticator, aneu a Configuració ➔ «Correcció de l'hora per als codis» ➔ «Sincronitza ara».
• iPhone: Aneu a la Configuració d'iOS ➔ General ➔ Data i hora ➔ Desactiveu i torneu a activar «Definició automàtica» per forçar la resincronització de xarxa per NTP.
P2: Què passa si la pantalla del meu telèfon antic està totalment trencada i no pot mostrar els codis QR?
Si la sincronització al núvol de Google estava activada al telèfon espatllat, només heu d'iniciar sessió amb aquest mateix compte de Google a l'aplicació Google Authenticator del nou dispositiu. Tots els comptes es tornaran a carregar automàticament.
Si la sincronització al núvol estava desactivada i no teniu cap dispositiu de còpia secundari, les dades òptiques no es poden recuperar d'una pantalla trencada. En aquest cas, heu d'utilitzar els codis de recuperació d'emergència (Recovery Codes) de cada servei o omplir els formularis de verificació d'identitat / KYC amb el servei d'atenció al client.
P3: Poden el meu telèfon antic i el nou generar codis idèntics simultàniament?
Proveu la vostra clau secreta de 2FA a 2FA-Tool
Heu completat la transferència? Verifiqueu les vostres llavors secretes Base32 desades utilitzant el nostre generador Web Crypto al costat del client. Completament fora de línia, ràpid i segur.
📚 Guies de seguretat recomanades
Compliment obligatori del 2FA, desat de codis de recuperació, interacció amb claus SSH i procediments de rescat.
Com recuperar l'accés a Google, Microsoft, Steam, Binance, Apple i Discord.
De l'RFC 4226 a l'RFC 6238: truncament matemàtic de hash, desincronització i adopció web.