- No formatee su teléfono antiguo todavía: Mantenga el dispositivo anterior totalmente funcional hasta haber comprobado el inicio de sesión exitoso en al menos dos servicios clave utilizando los códigos de 6 dígitos de su nuevo móvil.
- Atención a los códigos QR segmentados: Si gestiona más de 10 cuentas, Google Authenticator dividirá la exportación en varios códigos QR consecutivos (p. ej., 1 de 3, 2 de 3). Debe escanearlos todos sin omitir ninguno.
- La sincronización en la nube es un arma de doble filo: Aunque la sincronización con la cuenta de Google facilita la restauración, el compromiso de su contraseña de Google expondría de golpe todos sus factores secundarios de autenticación.
- Adopte una arquitectura de redundancia multidispositivo: Escanear simultáneamente el código QR en dos terminales al dar de alta cada servicio o guardar copias de seguridad cifradas fuera de línea le protegerá de pérdidas accidentales o averías.
Sincronización en la nube vs QR sin conexión: Riesgos de seguridad
Google incorporó la sincronización de cuentas en la nube (Google Cloud Sync) para resolver el histórico problema de aquellos usuarios que perdían para siempre el acceso a sus plataformas tras la avería o extravío de un teléfono sin copia de seguridad. Hoy en día, al iniciar sesión con su cuenta principal de Google, todos los tokens TOTP se sincronizan automáticamente entre sus dispositivos registrados.
A pesar de su innegable comodidad, los arquitectos de seguridad informática y cualquier persona con un perfil de riesgo moderado o elevado deben sopesar las implicaciones criptográficas y operativas de ambos modelos:
| Dimensiones | Sincronización en la nube activada | Exportación QR punto a punto sin conexión recomendada |
|---|---|---|
| Simplicidad de transferencia | Instantánea (iniciar sesión con la cuenta de Google en el nuevo terminal) | Moderada (requiere escaneo óptico directo entre pantallas) |
| Dependencia de red | Requiere conexión a Internet activa y disponibilidad de servidores de Google | 100% sin conexión, transferencia óptica de cámara a pantalla |
| Punto único de fallo (SPOF) | Grave: una brecha en la cuenta de Google expone todas las claves 2FA almacenadas | Nulo: claves aisladas y circunscritas al hardware del dispositivo |
| Compatibilidad multiplataforma | Requiere mantener abierta la sesión del ecosistema Google en ambos equipos | Impecable entre Android e iOS sin vincular cuentas en la nube |
| Soberanía de Conocimiento Cero | Las semillas se almacenan de forma remota en la infraestructura de servidores de Google | Absoluta: las claves secretas en bruto nunca salen de la memoria física del cliente |
Lista de verificación previa a la migración y reglas de seguridad
Para prevenir bloqueos imprevistos, cierres forzados de la aplicación o errores de reconocimiento óptico con la cámara, verifique los siguientes requisitos previos antes de iniciar la transferencia:
- Verifique que ambos teléfonos cuenten con al menos un 50% de batería o permanezcan conectados al cargador.
- Realice el proceso en un espacio interior bien iluminado, evitando reflejos de luz directa sobre la pantalla emisora.
- Limpie la lente de la cámara trasera del nuevo teléfono para impedir desenfoques durante la lectura óptica.
- Descargue la aplicación oficial Google Authenticator desde Google Play Store o Apple App Store (evite imitaciones engañosas).
- Otorgue a la aplicación los permisos de acceso a la cámara en el dispositivo nuevo.
- Actualice Google Authenticator a su versión más reciente en el móvil antiguo antes de iniciar la exportación.
Compatibilidad entre plataformas: Google Authenticator emplea una carga útil basada en Protocol Buffers (Protobuf) estandarizada y codificada en un esquema URI otpauth-migration://. Esto permite realizar transferencias directas de Android a iPhone y de iPhone a Android con total compatibilidad y sin fricciones técnicas.
Tutorial paso a paso: Transferencia fluida mediante código QR
Siga el flujo de exportación óptica oficial para migrar sus claves secretas 2FA directamente entre dispositivos, sin que las semillas transiten por servidores intermediarios:
Paso 1: Abrir el menú de transferencia en el teléfono antiguo
Abra Google Authenticator en el dispositivo antiguo. Pulse sobre el icono de su perfil en la esquina superior derecha (o el icono de menú de tres líneas/puntos) y elija la opción "Transferir cuentas" del menú desplegable.
Paso 2: Autenticación biométrica y selección de cuentas
El sistema operativo le solicitará validar su identidad mediante Face ID, huella dactilar o el código de bloqueo de pantalla. Una vez autorizado, se mostrará la lista completa de tokens 2FA registrados.
💡 Por defecto, todas las cuentas aparecen seleccionadas. Puede desmarcar aquellas personales si está realizando la migración hacia un terminal de propiedad empresarial.
Paso 3: Generación del código QR de exportación (Comprobar paginación)
Pulse en "Exportar" o "Siguiente". Se generará en pantalla un código QR de alta densidad de información.
Paso 4: Escanear con el nuevo móvil mediante "Importar cuentas"
Abra Google Authenticator en el teléfono nuevo. Si es una instalación limpia, elija "¿Transferir cuentas existentes?", o bien toque el icono de perfil ➔ "Transferir cuentas" ➔ "Importar cuentas".
Enfoque con la cámara la pantalla del teléfono antiguo. La aplicación vibrará con cada escaneo exitoso y le pedirá deslizar al siguiente código QR en el dispositivo emisor hasta completar la ingestión total de claves.
Paso 5: Verificación obligatoria de inicio de sesión (¡No omita este paso!)
Todas las cuentas transferidas se incorporarán al instante en la lista de su nuevo móvil, actualizando los códigos numéricos de 6 dígitos cada 30 segundos.
La Regla de Oro: Abra de inmediato su ordenador u otro navegador secundario, inicie sesión en 1 o 2 servicios fundamentales (como GitHub o su correo electrónico de recuperación) e introduzca el código de 6 dígitos que muestra el nuevo teléfono. Solo cuando el acceso sea satisfactorio se podrá dar por concluida la migración.
Limpieza del dispositivo antiguo: Política de cero residuos
Gran parte de los incidentes de seguridad digital ocurren cuando un teléfono antiguo se cede a familiares, se entrega en planes renove o se vende en plataformas de segunda mano sin una desinfección criptográfica rigurosa:
myaccount.google.com ➔ Seguridad ➔ Tus dispositivos. Localice el teléfono antiguo y haga clic en "Cerrar sesión" para revocar inmediatamente todos los tokens de sesión activos.
Redundancia fría multidispositivo sin conexión
Confiar exclusivamente en un único smartphone físico le expone a pérdidas irreparables por robo, caídas al agua o fallos súbitos de la placa base. Aplique la arquitectura de redundancia 2FA 3-2-1 para garantizar una disponibilidad continua sin interrupciones:
Smartphone de uso diario
Llevado consigo diariamente para la autenticación biométrica y la generación dinámica de códigos.
iPad / Teléfono secundario doméstico
Escaneado de forma sincronizada durante la configuración inicial y guardado en un cajón seguro o caja fuerte doméstica.
Bóveda KeePassXC / Respaldo en papel
Claves secretas Base32 sin procesar archivadas en un contenedor cifrado desconectado de la red o en copias impresas físicamente protegidas.
Verificación con 2FA-Tool: Cada vez que active el 2FA en un servicio nuevo o guarde una clave secreta alfanumérica en formato Base32 (por ejemplo, JBSWY3DPEHPK3PXP), puede comprobar su exactitud localmente con 2FA-Tool. Ponga su navegador en modo avión o desconecte la red, introduzca la clave en el generador y verifique que el código de 6 dígitos generado coincide con el de su aplicación móvil. Todos los algoritmos se procesan estrictamente en el cliente mediante la Web Crypto API nativa de su navegador.
Preguntas frecuentes y solución de problemas
P1: Los códigos de 6 dígitos del nuevo teléfono son rechazados como inválidos en todas partes. ¿A qué se debe?
El 99% de los fallos de verificación se deben al desfase horario del reloj del sistema (Clock Drift). El estándar TOTP genera códigos basados en intervalos estrictos de 30 segundos del tiempo Unix. Si el reloj interno de su nuevo móvil tiene una desviación de tan solo 15 o 20 segundos, el código generado corresponderá a una ventana temporal errónea.
Cómo resolverlo:
• Android: En Google Authenticator, vaya a Ajustes (icono de tres puntos/perfil) ➔ "Corrección de hora para códigos" ➔ "Sincronizar ahora".
• iPhone: Abra Ajustes de iOS ➔ General ➔ Fecha y hora ➔ Desactive y vuelva a activar "Ajuste automático" para obligar al sistema a resincronizar la hora mediante NTP con los servidores de red.
P2: ¿Qué hago si la pantalla de mi móvil antiguo está rota y no puede mostrar códigos QR?
Si la sincronización en la nube de Google estaba activada en el teléfono averiado, simplemente inicie sesión con esa misma cuenta de Google en la app Google Authenticator de su nuevo móvil. Todas las cuentas se restaurarán de forma automática.
Si la sincronización en la nube estaba desactivada y no contaba con un segundo dispositivo de respaldo, los datos ópticos no podrán extraerse de la pantalla rota. Deberá emplear los códigos de recuperación de emergencia (Recovery Codes) proporcionados por cada servicio al configurar el 2FA o completar los trámites de verificación de identidad con el equipo de soporte de cada plataforma.
P3: ¿Pueden el teléfono antiguo y el nuevo generar códigos idénticos al mismo tiempo?
Prueba tu Clave Secreta 2FA en 2FA-Tool
¿Completó la transferencia de sus dispositivos? Verifique sus semillas secretas Base32 respaldadas con nuestro generador local Web Crypto. Totalmente sin conexión, rápido y privado.
📚 Guías de seguridad recomendadas
Cumplimiento obligatorio de 2FA, guardado seguro de códigos de rescate, claves SSH y flujos de recuperación.
Cómo recuperar el acceso en Google, Microsoft, Steam, Binance, Apple y Discord tras perder tu terminal.
De RFC 4226 a RFC 6238: truncamiento criptográfico por hash, desincronización y adopción en la web.