Cómo reemplazar la autenticación de dos factores por una clave de hardware en Windows 11

Solución rápida: La cuenta Microsoft admite claves de seguridad FIDO2 (YubiKey, Google Titan, Feitian). Visite account.microsoft.com/security → Opciones de seguridad avanzadas → Agregar una nueva forma de iniciar sesión o verificar → Usar una clave de seguridad. Siga las indicaciones para registrar su clave de hardware. Después del registro, use la clave para iniciar sesión en lugar de SMS o códigos del autenticador.

Usted usa SMS o Microsoft Authenticator para la autenticación de dos factores en su MSA. El SMS es inseguro (ataques de intercambio de SIM) y Authenticator en su teléfono resulta molesto. Una clave FIDO2 de hardware se conecta a USB-A/USB-C o NFC, requiere posesión física y elimina la escritura de códigos. La configuración toma 5 minutos.

Qué causa esto

FIDO2 es un estándar de autenticación sin contraseña compatible con las cuentas Microsoft. La clave de hardware almacena un par de claves criptográficas; iniciar sesión requiere posesión física de la clave (insertar en USB o tocar NFC). Mejor que SMS porque el intercambio de SIM no lo elude; mejor que la aplicación autenticadora porque no hay códigos que escribir. Claves compatibles: YubiKey serie 5 ($45–75), Google Titan ($30 USB / $50 NFC), Feitian ePass ($25).

Puede registrar varias claves (por ejemplo, una para uso diario y otra de respaldo). Microsoft admite claves FIDO2 tanto NFC como USB.

Método 1: Registrar una clave de hardware en la cuenta Microsoft

La configuración estándar.

1. Compre una clave de seguridad certificada FIDO2. Para portátiles con USB-C: YubiKey 5C, Yubico Security Key C NFC o cualquier clave FIDO2 USB-C. Para USB-A: YubiKey 5 NFC o 5C con adaptador. Evite claves antiguas no FIDO2 (solo U2F).
2. En un PC donde haya iniciado sesión en su MSA, visite account.microsoft.com/security. Inicie sesión.
3. Haga clic en Opciones de seguridad avanzadas.
4. En Formas de iniciar sesión o verificar, haga clic en Agregar una nueva forma de iniciar sesión o verificar.
5. Elija Usar una clave de seguridad. Haga clic en Dispositivo USB o Dispositivo NFC según corresponda.
6. Siga las indicaciones: inserte la clave de seguridad cuando se le solicite. Toque el botón metálico en la parte superior de la clave.
7. Establezca un PIN para la clave (4–6 dígitos). Este PIN protege la clave contra uso no autorizado si se pierde.
8. Asigne un nombre descriptivo a la clave (por ejemplo, “YubiKey principal”).
9. Confirme el registro. La clave ahora aparece en sus opciones de seguridad.
10. Pruebe cerrando sesión y volviendo a iniciarla en account.microsoft.com. Elija Iniciar sesión con una clave de seguridad. Inserte la clave, toque el botón e inicie sesión.

El registro es único. Después del registro, la clave funciona para cada inicio de sesión.

Método 2: Usar la clave de seguridad para el inicio de sesión de Windows Hello

Para que los PC con Windows 11 usen la misma clave para el inicio de sesión local.

1. Abra Configuración → Cuentas → Opciones de inicio de sesión.
2. Busque Clave de seguridad. Haga clic para expandir.
3. Haga clic en Administrar.
4. Inserte su clave de seguridad cuando se le solicite. Toque el botón.
5. Establezca un PIN para la clave de seguridad (separado de su PIN de la cuenta Microsoft).
6. Para el inicio de sesión sin contraseña en Windows: use la clave de seguridad en la pantalla de bloqueo.
7. Para cuentas de Azure AD o Active Directory (trabajo o escuela): el inicio de sesión con clave de seguridad se configura mediante directivas de Intune o AD. Consulte con TI.

Esta es la ruta correcta para los usuarios que desean el inicio de sesión con clave de hardware tanto en MSA como en la cuenta local de Windows.

Método 3: Configurar una clave de respaldo y recuperación

Para cuando no desea perder el acceso si se pierde la clave principal.

1. Compre una segunda clave FIDO2. Regístrela de la misma manera que la primera (Método 1, paso 4 en adelante).
2. Guarde la segunda clave en un lugar seguro (caja de seguridad, cajón con llave).
3. Verifique que ambas claves funcionen: cierre sesión y vuelva a iniciarla dos veces, usando cada clave.
4. Para la recuperación de la cuenta: Microsoft también requiere un correo electrónico o número de teléfono de recuperación para la recuperación completa de la cuenta. Asegúrese de que estén configurados:
   • account.microsoft.com/security → Administrar cómo inicio sesión en Microsoft.
   • Verifique que aparezcan tanto un correo electrónico de recuperación como un número de teléfono.
   • Si no hay ninguno, la recuperación de la cuenta puede ser imposible si pierde ambas claves.
5. Para la aplicación Microsoft Authenticator como respaldo: también registre Authenticator en un teléfono. Proporciona otro factor si las claves de hardware no están disponibles.
6. Guarde los códigos de recuperación impresos de account.microsoft.com/security/recovery. Genérelos una vez y guárdelos de forma segura.

No omita la configuración de respaldo. Las claves de hardware son pequeñas y fáciles de perder.

Cómo verificar que la solución funcionó

• Cierre sesión en cualquier servicio de Microsoft. Vuelva a iniciar sesión. Elija “Iniciar sesión con una clave de seguridad”. Inserte la clave, toque el botón. El inicio de sesión se realiza correctamente.
• Desde account.microsoft.com/security, confirme que la clave aparece en Formas de iniciar sesión.
• Intente iniciar sesión desde otro dispositivo (por ejemplo, el navegador de su teléfono). Debería aceptar la clave (mediante NFC) o solicitar el factor alternativo (Authenticator).

Si nada de esto funciona

Si no se reconoce la clave, la causa puede ser: Tipo de clave incorrecto: las claves solo U2F (modelos más antiguos) no admiten FIDO2 sin contraseña. Compre una clave certificada FIDO2. Consulte la lista de productos certificados de FIDO Alliance. Compatibilidad del navegador: el inicio de sesión FIDO2 requiere un navegador moderno. Edge, Chrome y Firefox lo admiten. Internet Explorer no. Problemas de controlador USB: inserte la clave, compruebe el Administrador de dispositivos — debería aparecer como Dispositivo compatible con HID. Si el controlador falla, pruebe otro puerto USB. Para claves NFC: el PC debe tener lector NFC (la mayoría de los portátiles no lo tienen). Use la conexión USB o compre una clave solo USB. Para versiones anteriores de Windows: el inicio de sesión FIDO2 requiere Windows 10 1809 o posterior. Las versiones anteriores solo admiten U2F.

En resumen: Compre una clave FIDO2, regístrela en account.microsoft.com/security → Opciones de seguridad avanzadas → Agregar clave de seguridad. Úsela para iniciar sesión. Configure siempre una clave de respaldo.