Qué es una clave secreta 2FA: Base32, TOTP y URI otpauth explicados

Una clave secreta 2FA es la cadena corta de letras y números que una app autenticadora convierte en el código de seis dígitos que escribes al iniciar sesión. Si la entrega de tu pedido incluye una, es el campo más importante de la línea después de la contraseña, y también el que los compradores más suelen escribir mal o confundir con otra cosa. Esta guía explica qué es esa cadena, cómo se ve el Base32 y en qué se diferencia una clave secreta de los códigos de respaldo y del contenido de un QR.

También aprenderás a localizar la clave dentro de una línea de entrega y a comprobar en segundos que funciona, para que ante cualquier cadena de tu archivo puedas distinguir si es la clave secreta, un código de respaldo u otra cosa.

Qué es una clave secreta 2FA y cómo genera los códigos de seis dígitos

Las contraseñas de un solo uso basadas en tiempo (TOTP, definidas en la RFC 6238) se construyen con dos ingredientes: un secreto compartido y la hora actual. Cuando se configura el 2FA, la plataforma genera la clave y guarda una copia, y tu app autenticadora guarda la otra. Cada 30 segundos, ambas partes hacen el mismo cálculo con la clave y el reloj, y llegan a los mismos seis dígitos.

Esto tiene tres consecuencias prácticas:

• La clave secreta es la segunda llave de la cuenta. Quien la tenga puede generar códigos válidos desde cualquier dispositivo mientras esa configuración de 2FA siga activa.
• Los códigos no se guardan en ningún sitio. Cada código se recalcula cada 30 segundos, así que una captura de pantalla de un código antiguo no sirve.
• La hora importa. Si el dispositivo que genera los códigos va un minuto o más desfasado, incluso una clave correcta produce códigos rechazados.

Base32: cómo son los caracteres y los errores de escritura más habituales

Las claves se escriben en Base32, un alfabeto formado por las 26 letras mayúsculas de la A a la Z y los dígitos del 2 al 7. Ese es todo el alfabeto. Los dígitos 0, 1, 8 y 9 nunca aparecen, ni tampoco la puntuación. Un ejemplo ilustrativo (no es la clave de una cuenta real) es este: JBSWY3DPEHPK3PXP. Las claves reales suelen tener entre 16 y 32 caracteres.

Como solo hay 32 caracteres válidos, la mayoría de los errores al teclear son fáciles de detectar:

• Un 0, un 1 o un 8 en medio de la clave indica que se leyó mal un carácter. Un 0 suele ser la letra O, un 1 suele ser la letra I o la L, y un 8 suele ser la letra B.
• Las minúsculas normalmente no son un problema, porque la mayoría de las apps las convierten.
• Uno o más signos "=" al final son relleno (padding). Muchas apps aceptan la clave con ellos o sin ellos.
• Los extras invisibles, como un espacio o un salto de línea al final copiados de un archivo de texto, suelen provocar el mensaje de "clave no válida".

URI otpauth, códigos QR y claves en texto plano

La misma clave puede llegarte de tres formas, y mezclarlas causa mucha confusión:

• Clave en texto plano. La cadena Base32 sola. Las apps autenticadoras la llaman clave de configuración o clave de entrada manual.
• Código QR. Una imagen que codifica una URI otpauth para que el móvil la escanee en lugar de que teclees la clave.
• URI otpauth. Una línea de texto como otpauth://totp/Example:user?secret=JBSWY3DPEHPK3PXP&issuer=Example. El valor que sigue a secret= es la clave Base32. El resto son la etiqueta y ajustes como issuer, algorithm, digits y period.

Si solo tienes una imagen QR o un enlace otpauth, la clave es el texto que va después de secret= y antes del siguiente &. Las configuraciones estándar usan SHA-1, seis dígitos y un periodo de 30 segundos, y la app asume esos valores por defecto cuando escribes solo la clave. Al escanear el QR o importar la URI completa también se aplican los ajustes no estándar que contenga.

Clave secreta 2FA, códigos de respaldo y correo de recuperación

Estos tres elementos protegen la misma cuenta, pero cumplen funciones totalmente distintas:

• Clave secreta 2FA. Una cadena Base32 de larga duración que genera un código nuevo cada 30 segundos. Solo cambia cuando se restablece o se vuelve a configurar el 2FA.
• Códigos de respaldo. Códigos de un solo uso que una plataforma puede ofrecer para el día en que no puedas acceder a tu autenticador. Cada uno funciona una vez. No son claves Base32, así que una app autenticadora o una herramienta TOTP no puede usarlos.
• Correo de recuperación. Es una bandeja de entrada, no un código. Recibe confirmaciones de inicio de sesión y enlaces de restablecimiento. En una línea de entrega aparece como una dirección de correo, normalmente seguida de la contraseña de ese buzón.

La clave secreta genera tus códigos diarios, los códigos de respaldo son la rueda de repuesto y el correo de recuperación es el camino de vuelta cuando algo más falla. Etiquétalos por separado en tus registros.

Cómo encontrar la clave en una línea de entrega y probarla

Las entregas llegan como un archivo TXT con líneas como username:password:email:email_password:auth_token, y los campos exactos varían según la categoría. Cuando una categoría incluye una clave 2FA, es un campo más de esa línea. No cuentes posiciones a ciegas: lee la descripción de la categoría y compárala con la primera línea de tu archivo.

También puedes reconocer los campos por su forma:

• La clave secreta tiene 16 o más caracteres, con letras mayúsculas y los dígitos del 2 al 7, sin puntuación.
• El auth_token es una cadena hexadecimal larga. Es un token de sesión, no un generador de códigos, y no puede sustituir a la clave secreta. Para ese flujo, consulta cómo iniciar sesión en Twitter con un auth token.
• Las contraseñas pueden contener dos puntos, por eso dividir una línea de forma ingenua por ":" a veces la rompe.

Para comprobar que todas las líneas siguen el mismo formato, pega una muestra en el identificador de formato. Para extraer solo la columna que contiene las claves, usa la herramienta para dividir por delimitador.

Después prueba la clave en segundos. Abre el generador de códigos 2FA gratuito, pega la clave y aparecerá un código de seis dígitos con una cuenta atrás. Si la herramienta indica que la clave no es válida, vuelve a la lista de errores de escritura de arriba. Si aparece un código pero el inicio de sesión lo rechaza, revisa el reloj de tu dispositivo y sigue qué hacer cuando un código 2FA no funciona.

Cómo guardar las claves de forma segura cuando gestionas muchas cuentas

Una línea de entrega suele contener juntas la contraseña y la clave 2FA, así que quien abra el archivo tiene ambos factores. Protege el archivo en su conjunto, no cada campo por separado:

• Guarda el archivo en una sola carpeta privada con acceso limitado y evita las apps de chat, los documentos compartidos y las capturas de pantalla.
• Prueba cada clave poco después de la entrega y anota la fecha junto a la cuenta, para que cualquier problema salga pronto.
• Etiqueta qué es cada cadena, para que un código de respaldo de un solo uso nunca acabe en una app autenticadora.
• Cuenta tus copias. Cargar la misma clave en una segunda app autenticadora es un respaldo razonable, pero cada copia es un lugar más por donde puede filtrarse.

Para un plan más amplio, lee autenticación de dos factores y planificación de la recuperación, y para el vocabulario de los anuncios consulta el glosario de cuentas. Cuando compares categorías como cuentas antiguas verificadas por teléfono, lee la descripción para ver qué contiene el archivo de entrega. Si dependes de una clave 2FA, confírmalo antes de pedir o consulta con el soporte por Telegram.

Preguntas frecuentes

¿Cómo es una clave secreta 2FA?

Es una cadena de letras mayúsculas de la A a la Z y dígitos del 2 al 7, normalmente de entre 16 y 32 caracteres, por ejemplo JBSWY3DPEHPK3PXP en los ejemplos de la documentación. Algunas plataformas la muestran en grupos separados por espacios o guiones.

¿La clave secreta 2FA es lo mismo que un código de respaldo?

No. La clave secreta genera un código nuevo cada 30 segundos mientras esa configuración de 2FA siga activa. Un código de respaldo es de un solo uso: funciona una vez y no se puede usar en una app autenticadora.

¿Puedo convertir un código QR en una clave secreta?

Sí. El QR de configuración codifica una URI otpauth, y la clave secreta es el valor que sigue a secret= en ese texto. Mantén ese texto en privado, porque es tan sensible como la propia clave.

¿Por qué algunas claves tienen espacios o guiones?

Los espacios son solo para facilitar la lectura, a menudo en grupos de cuatro caracteres. Si una app rechaza la clave, quita los espacios y los guiones; el generador de códigos 2FA gratuito los acepta tal cual.

¿Se puede usar la misma clave en dos apps a la vez?

Sí. Cualquier app o dispositivo que tenga la misma clave y el reloj correcto muestra el mismo código. Es útil como respaldo, pero cada copia es un lugar más donde la clave puede quedar expuesta.