Cómo activar la autenticación de dos factores (2FA) en tu cuenta de cPanel

Ya hemos hablado en esta sección de contraseñas fuertes, de estafas de phishing dirigidas a dueños de dominios, y de fallas que permitieron a cuentas normales de cPanel escalar privilegios sobre todo un servidor. Todas esas amenazas tienen algo en común que la autenticación de dos factores neutraliza de raíz: incluso si alguien consigue tu contraseña —por un correo de phishing, una filtración de datos en otro sitio, o cualquier otro medio—, sin el segundo factor no puede entrar a tu cuenta.

Antes de empezar, instala una app de autenticación en tu teléfono si todavía no tienes una — Google Authenticator, Microsoft Authenticator o Authy son las más comunes, todas gratuitas, y cualquiera funciona igual de bien para este propósito porque todas usan el mismo estándar (TOTP).

Entra a cPanel y busca "Autenticación de Dos Factores" (Two-Factor Authentication), normalmente en la sección de Seguridad.

Haz clic en "Configurar la Autenticación de Dos Factores". cPanel te va a mostrar un código QR y, debajo, la misma clave en formato de texto por si prefieres escribirla a mano en vez de escanear.

Abre tu app de autenticación y agrega una cuenta nueva escaneando ese código QR. La app va a empezar a generar un código de seis dígitos que cambia automáticamente cada 30 segundos — ese código es tu segundo factor, y solo tu teléfono (o cualquier dispositivo donde hayas guardado esa misma clave) puede generarlo.

Escribe el código de seis dígitos que te muestra la app en el campo de verificación de cPanel y confirma. Este paso es lo que le prueba a cPanel que configuraste la app correctamente antes de activar la protección — si el código no coincide, revisa que la hora de tu teléfono esté sincronizada correctamente, porque el código depende de la hora exacta.

A partir de este momento, cada vez que inicies sesión en cPanel vas a necesitar tu contraseña y, además, el código de seis dígitos del momento. Sin el teléfono (o el dispositivo donde tengas la app configurada), la contraseña sola ya no alcanza para entrar.

Guarda en un lugar seguro y separado cualquier código de recuperación que cPanel te ofrezca al activar 2FA. Si alguna vez pierdes acceso a tu teléfono —se rompe, lo cambias, lo pierdes—, esos códigos son la única forma de recuperar el acceso a tu cuenta sin depender de soporte técnico. Guárdalos en un gestor de contraseñas o impresos en un lugar físico seguro, nunca en el mismo dispositivo donde vive la app de autenticación.

Un punto importante que conviene aclarar, porque genera confusión con frecuencia: este 2FA protege tu acceso al panel de cPanel específicamente — no es lo mismo que la seguridad de tu cuenta en el registrador donde compraste tu dominio, que es un sistema completamente separado con su propio inicio de sesión. Si ya activaste 2FA aquí pero nunca revisaste si tu cuenta de registrador de dominios también lo tiene disponible, esa es la siguiente cuenta que vale la pena asegurar de la misma forma — sobre todo después de haber visto, como comentamos hace poco, qué tan convincentes se volvieron los correos de estafa dirigidos específicamente a dueños de dominios.

Activar 2FA no cuesta nada y toma menos tiempo del que tomó leer esta guía. Es, junto con una contraseña única y fuerte, la medida individual con mejor relación entre esfuerzo y protección real que puedes tomar hoy mismo para tu cuenta de hosting.