Como muchos gestores de contraseñas ya permiten almacenar y generar códigos TOTP, surge una pregunta importante:

¿Es más seguro guardar los tokens TOTP en el gestor de contraseñas o conviene usar una app de autenticación independiente?

La respuesta no es unívoca. Ambos enfoques tienen ventajas claras, pero también inconvenientes relevantes. Quien entiende las diferencias puede tomar decisiones de seguridad fundamentadas, tanto en el ámbito privado como en la empresa.

1. ¿Qué son los tokens TOTP?

El TOTP es un método para generar contraseñas de un solo uso basadas en el tiempo. Los códigos se generan a partir de un secreto compartido y la hora actual, y normalmente cambian cada 30 segundos.

Al iniciar sesión se combinan dos factores:

1. una contraseña (algo que sabes) y
2. un código de duración limitada (algo que tienes).

El TOTP se utiliza a menudo para:

• cuentas de correo electrónico
• plataformas en la nube
• accesos VPN
• interfaces de administración
• aplicaciones empresariales

El principio de seguridad básico de la MFA es la separación de factores: aunque un factor se vea comprometido, por sí solo no basta para acceder.

2. Guardar los tokens TOTP en el gestor de contraseñas

Cómo funciona

Los gestores de contraseñas modernos pueden guardar el secreto TOTP junto con las credenciales. Al iniciar sesión, el código actual se genera automáticamente y se rellena o se copia al portapapeles.

Ventajas

Gran comodidad y facilidad de uso: una sola herramienta para contraseñas y TOTP simplifica considerablemente el inicio de sesión. Ya no hay que alternar entre varias apps.

Menos fricción, menos errores: la menor complejidad reduce el riesgo de errores, códigos olvidados o de saltarse la MFA por comodidad.

Copia de seguridad y recuperación centralizadas: si se pierde un dispositivo, el acceso suele poder restablecerse sin problemas mediante el proceso de recuperación del gestor de contraseñas, un factor clave para la continuidad del negocio.

Mayor aceptación en el equipo: sobre todo en pymes y con usuarios no técnicos, un enfoque sencillo suele traducirse en un mejor uso global de la MFA.

Inconvenientes

Punto único de fallo: si la bóveda de contraseñas se ve comprometida, la contraseña y el código TOTP pueden quedar expuestos al mismo tiempo.

Separación de factores debilitada: aunque formalmente se use MFA, ambos factores están en un mismo sistema, lo que debilita el modelo de seguridad original.

Mayor riesgo con dispositivos comprometidos: un malware en el dispositivo puede, en determinadas circunstancias, permitir el acceso completo.

3. Usar una app de autenticación dedicada

Cómo funciona

Una app independiente en el smartphone u otro dispositivo genera los códigos TOTP. Los tokens suelen estar vinculados al dispositivo y funcionan también sin conexión.

Ventajas

Separación clara de los factores de seguridad: la contraseña y el TOTP están en dispositivos distintos o en aplicaciones separadas.

Daño limitado si se roba la contraseña: una contraseña comprometida no basta por sí sola mientras el atacante no tenga acceso a la app de autenticación.

Mejor alineación con los principios Zero Trust: la separación de factores respalda una estrategia de seguridad multicapa.

Recomendada para las cuentas más críticas: accesos de administrador, sistemas de producción o plataformas financieras se benefician de este enfoque.

Inconvenientes

Menor comodidad de uso: el cambio constante entre aplicaciones ralentiza el trabajo, sobre todo con inicios de sesión frecuentes.

Mayor riesgo de bloqueo de cuentas: si se pierde el smartphone y no hay copias de seguridad, el acceso puede perderse para siempre.

Procesos de copia de seguridad laboriosos: los códigos QR y las claves de recuperación deben guardarse manualmente y de forma segura, algo que en la práctica a menudo se descuida.

Menor aceptación por parte de los usuarios: las configuraciones MFA complejas se eluden o se usan mal con más frecuencia.

4. Comparativa de seguridad: escenarios de riesgo típicos

Dispositivo comprometido

• TOTP en el gestor de contraseñas: riesgo alto si la bóveda es accesible
• App de autenticación: protección adicional gracias a la separación de dispositivo y app

Ataques de phishing

• Ambos métodos protegen frente a la reutilización de contraseñas
• Ninguno de los dos es totalmente resistente al phishing sin medidas adicionales (p. ej. passkeys)

Pérdida del dispositivo

• Gestor de contraseñas: la recuperación suele ser más sencilla
• App de autenticación: depende de las copias de seguridad y los códigos de recuperación

5. La perspectiva empresarial: pymes frente a grandes empresas

Pymes y equipos pequeños

• Recursos de TI limitados
• Gran énfasis en la facilidad de uso
• La continuidad del negocio es prioritaria

Para muchas pymes, guardar el TOTP en el gestor de contraseñas es un compromiso práctico entre seguridad y usabilidad.

Grandes empresas

Características:

• Requisitos de cumplimiento más exigentes
• Gestión de accesos privilegiados
• Modelos de amenaza más sofisticados

Aquí se opta a menudo por un enfoque escalonado: apps de autenticación dedicadas para las cuentas privilegiadas y TOTP en el gestor de contraseñas para los usuarios estándar.

6. Buena práctica: un enfoque híbrido

Un modelo híbrido combina seguridad y eficiencia:

• Riesgo bajo: TOTP en el gestor de contraseñas
• Riesgo alto / cuentas privilegiadas: app de autenticación dedicada o llave de seguridad de hardware

Este enfoque basado en el riesgo permite reforzar las medidas de seguridad de forma selectiva allí donde tienen mayor efecto.

7. Alternativas al TOTP

El TOTP está muy extendido, pero no es la única opción:

• Passkeys (FIDO2 / WebAuthn): resistentes al phishing y sin contraseña
• Llaves de seguridad de hardware: protección muy alta
• Métodos basados en notificaciones push: cómodos, pero no siempre resistentes al phishing

Cuando estén disponibles, estos métodos pueden aumentar aún más la seguridad.

8. Guía para decidir

Hazte las siguientes preguntas:

• ¿Qué grado de criticidad tiene la cuenta?
• ¿Qué modelo de amenaza se aplica?
• ¿Qué nivel técnico tienen los usuarios?
• ¿Qué importancia tienen la recuperación y la disponibilidad?
• ¿Existen requisitos normativos o de cumplimiento?

9. Conclusión: el contexto es decisivo

No existe una respuesta universal sobre dónde deben guardarse los tokens TOTP.

Los gestores de contraseñas destacan por comodidad y aceptación, mientras que las apps de autenticación dedicadas ofrecen una separación de factores más fuerte.

La seguridad no es una decisión absoluta, sino una cuestión de contexto.

La mejor solución es la que se adapta a la organización, al riesgo y a los usuarios, complementada con directrices claras, revisiones periódicas y medidas de protección multicapa.

Ten en cuenta que PassSecurium™, nuestro gestor de contraseñas, permite almacenar y generar de forma segura códigos TOTP.

Los clientes empresariales pueden solicitar una demostración en directo o un acceso de prueba, mientras que los usuarios particulares pueden registrarse directamente en nuestra web para obtener una versión privada gratuita.