Seguridad y autenticación de dos factores

Introducción

Fotostudio incluye varios mecanismos para proteger tu cuenta: autenticación de dos factores (MFA), detección de inicios de sesión inusuales, historial de inicios de sesión e invalidación automática de las sesiones cuando cambias la contraseña.

Autenticación de dos factores (MFA)

¿Qué es?

La autenticación de dos factores añade un segundo paso al inicio de sesión. Después de escribir tu contraseña, tienes que introducir un código de 6 dígitos generado por una aplicación de autenticación en tu teléfono. Aunque alguien robe tu contraseña, no puede entrar en tu cuenta sin tu teléfono.

¿Qué aplicación usar?

El MFA de Fotostudio se basa en el protocolo TOTP (estándar abierto RFC 6238), compatible con todas las apps de autenticación del mercado:

• Google Authenticator (iOS / Android)
• Authy
• Microsoft Authenticator
• 1Password, Bitwarden, etc.

Activar el MFA

1. Ve a Mi cuenta > Seguridad y haz clic en Activar la autenticación de dos factores
2. Instala una app de autenticación en tu teléfono
3. Escanea con tu app el código QR que aparece
4. Introduce el código de 6 dígitos generado por la app para confirmar
5. Elige la frecuencia de verificación (ver más abajo)
6. Guarda tus códigos de recuperación (paso fundamental, ver la sección correspondiente)

Frecuencia de verificación

Al activarlo, eliges cuándo se te pide el código:

Ten en cuenta: en el modo «navegador desconocido», si vuelves siempre al mismo navegador sin borrar las cookies, no se te pedirá el código durante 90 días. Es una opción de comodidad deliberada, parecida a la de grandes sitios como Google.

Desactivar el MFA

Ve a Mi cuenta > Seguridad, haz clic en Gestionar junto a la autenticación de dos factores y luego en Desactivar. Se te pedirá una confirmación.

Códigos de recuperación

Por qué son importantes

Si pierdes el acceso a tu teléfono (robo, avería, nueva app), los códigos de recuperación son la única forma de iniciar sesión. Sin ellos, no podrías acceder a tu cuenta.

Cómo funcionan

• Al activar el MFA, se generan 10 códigos de recuperación que se muestran una sola vez
• Cada código tiene el formato XXXX-XXXX-XXXX
• Cada código es de un solo uso: una vez utilizado, queda invalidado para siempre
• Se usan en lugar del código TOTP en la página de inicio de sesión con MFA

Cómo guardarlos

• En tu gestor de contraseñas (1Password, Bitwarden…)
• En un archivo cifrado
• Impresos y guardados en un lugar seguro

Regenerar los códigos

Si te quedan muy pocos códigos o crees que tus códigos se han visto comprometidos:

1. Ve a Mi cuenta > Seguridad y haz clic en Gestionar junto a la autenticación de dos factores
2. Haz clic en Regenerar códigos de recuperación
3. Los códigos antiguos quedan invalidados de inmediato
4. Guarda los nuevos códigos

El número de códigos que te quedan aparece en la página de seguridad. Se muestra un aviso automáticamente cuando quedan 2 o menos.

Detección de inicios de sesión inusuales

Fotostudio analiza automáticamente cada inicio de sesión y compara el país de la dirección IP actual con el del último inicio de sesión conocido.

¿Qué pasa si un inicio de sesión parece sospechoso?

Email de alerta automático: recibes un email que indica:

• El país detectado
• La dirección IP
• La fecha y la hora del inicio de sesión
• Un enlace directo para cambiar tu contraseña
• Un enlace para activar el MFA si aún no lo has hecho

Si tienes el MFA activado: aunque tu navegador estuviera marcado como «de confianza», se te vuelve a pedir el código TOTP automáticamente si inicias sesión desde otro país.

Lo que no genera una alerta

• Mismo país, dirección IP distinta (cambio de red, de 4G a WiFi, etc.)
• Inicios de sesión desde direcciones locales (red interna, desarrollo)

Si recibes un email de alerta y no has sido tú quien ha iniciado sesión, cambia tu contraseña de inmediato con el enlace del email.

Historial de inicios de sesión y página Seguridad

La página Mi cuenta > Seguridad reúne toda la información de seguridad de tu cuenta:

Estado del MFA

• Si el MFA está activado: fecha de activación, número de códigos de recuperación restantes y botón Gestionar
• Si el MFA está desactivado: botón Activar la autenticación de dos factores

Historial de inicios de sesión

Muestra los 50 últimos inicios de sesión en tu cuenta con:

Cambio de contraseña

Cuando cambias tu contraseña desde Mi perfil (sección Contraseña), se activan automáticamente varias medidas de seguridad:

1. Se invalidan todas las demás sesiones activas: cualquier persona conectada a tu cuenta en otro dispositivo se desconecta al instante
2. Se revoca la confianza de todos los dispositivos MFA: el código TOTP se volverá a pedir en todos los dispositivos en el próximo inicio de sesión, incluso en los que estaban recordados

Protección contra ataques de fuerza bruta

Además del MFA, Fotostudio limita automáticamente los intentos de inicio de sesión:

Por encima de estos límites, el acceso se bloquea temporalmente.

Si al intentar iniciar sesión ves un mensaje que dice que tu cuenta está bloqueada, tienes que esperar 1 hora para que se desbloquee automáticamente, o contactar con el soporte para que la desbloquee al momento.

Preguntas frecuentes

P: No se acepta mi código TOTP.
Comprueba que la hora de tu teléfono se sincroniza automáticamente. Un reloj desajustado impide validar el código. Si el problema continúa, usa un código de recuperación y vuelve a activar el MFA.

P: He perdido el teléfono y ya no tengo mis códigos de recuperación.
Contacta con el soporte de Fotostudio. Será necesaria una verificación de identidad para desactivar el MFA de tu cuenta.

P: Recibo un email de alerta cada vez que inicio sesión, aunque lo hago desde casa.
Puede que tu proveedor de internet cambie tu dirección IP con regularidad (IP dinámica). Si el país no cambia, no se envía ningún email. Si usas una VPN, el país detectado puede variar según el servidor VPN.

P: ¿Es obligatorio el MFA?
No, es opcional. Pero te lo recomendamos encarecidamente, sobre todo si tu cuenta contiene datos de clientes, información de facturación o accesos bancarios vinculados.

Actualizado el: 30/10/2026