Verificación en dos pasos
Además de la contraseña, el inicio de sesión pide un código enviado a tu teléfono por WhatsApp (o por SMS). Cómo activarla en Mi Cuenta › Seguridad, los 10 códigos de recuperación, recordar el dispositivo durante 90 días, el paso extra antes de las acciones sensibles, la obligación del equipo y la opción para los miembros.
La verificación en dos pasos protege tu cuenta con un segundo paso al iniciar sesión: después de la contraseña, Memberfy envía un código de 6 dígitos a tu teléfono, por WhatsApp (o por SMS), y solo entras con él. Aunque alguien descubra tu contraseña, no podrá entrar sin el código de tu teléfono.
No necesitas una app de autenticación ni cuesta nada: Memberfy paga los mensajes, y el código no cuenta en la cuota de SMS y WhatsApp de la comunidad.
Como la cuenta es una por comunidad, la verificación también: activada aquí, vale para tu inicio de sesión en esta comunidad.
Para qué sirve
| Quién | Qué cambia |
|---|---|
| Propietario, administrador y finanzas | El saldo, los retiros, la cuenta de cobro y los datos de los miembros dejan de depender solo de la contraseña |
| Moderador | La moderación y los datos de los miembros quedan detrás de un segundo paso |
| Miembro | Tu cuenta y lo que compraste quedan protegidos, aunque se filtre la contraseña |
| Comunidad de empresa o RR. HH. | Cumple la exigencia de un segundo factor para quien accede a datos de personas |
Cómo funciona
Quién debe tenerla
| Quién | Regla |
|---|---|
| Equipo (propietario, administrador, moderador y finanzas) | Siempre obligatoria. Quien todavía no la tiene recibe 7 días de plazo, con un aviso arriba de la pantalla: "Activa la verificación en dos pasos antes del {fecha}. Después, las pantallas y acciones del equipo quedan bloqueadas hasta que la actives." |
| SuperAdmin (el soporte de Memberfy) | Siempre obligatoria |
| Miembro | Opcional. Si el propietario activó la opción para los miembros, la persona recibe la invitación a activarla, nunca un bloqueo |
El plazo del equipo empieza la primera vez que la persona usa una pantalla o acción del equipo sin la verificación. Pasado el plazo, las pantallas y acciones del equipo quedan bloqueadas ("Las pantallas y acciones del equipo están bloqueadas: activa la verificación en dos pasos para continuar."), y las claves de API de esa persona tampoco alcanzan las rutas del equipo. El camino para activarla siempre queda abierto: Mi Cuenta › Seguridad y el botón Activar ahora del aviso. Al activarla, todo vuelve a funcionar al momento.
La opción para los miembros
En Configuración › Acceso y registro, la tarjeta Verificación en dos pasos de los miembros tiene la opción Pedir la verificación en dos pasos a los miembros. Solo el propietario la cambia ("Solo el owner cambia esta opción.").
- Desactivada (por defecto): cada miembro decide si activa la suya.
- Activada: los miembros sin la verificación ven la invitación "Esta comunidad te pide activar la verificación en dos pasos para proteger tu cuenta.", con Activar ahora y Ahora no. Nadie queda bloqueado. Quien la activa ya no puede desactivarla mientras la opción siga activada.
El inicio de sesión con código
Con la verificación activada, el inicio de sesión con la contraseña correcta abre el paso Verificación en dos pasos:
- "Te enviamos un código por WhatsApp a {teléfono}.", con el número enmascarado. Escribe los 6 dígitos en Código de 6 dígitos y toca Entrar.
- Recibir por SMS envía el código por SMS. Si WhatsApp no acepta el número, el código ya va por SMS.
- Recordar este dispositivo durante 90 días: en este navegador, los próximos inicios de sesión piden solo la contraseña, hasta que venza.
- Usar un código de recuperación: entra con uno de los códigos de recuperación, si no tienes el teléfono contigo.
Una contraseña incorrecta no envía código. Un código incorrecto muestra cuántos intentos quedan; agotados, pide un código nuevo. Si la solicitud de código vence, la pantalla pide entrar de nuevo con la contraseña. La conexión de un asistente de IA pasa por el mismo inicio de sesión y también pide el código.
Los códigos de recuperación
Al activarla, la pantalla muestra 10 códigos de recuperación, una sola vez, con Copiar y Descargar. Solo termina después de que marques Guardé los códigos en un lugar seguro. Cada código vale una vez, en lugar del código del teléfono.
- Al entrar con un código de recuperación, deja de valer, la pantalla dice cuántos quedan y recibes un correo de alerta.
- Con pocos códigos restantes, Mi Cuenta › Seguridad avisa. Generar nuevos códigos de recuperación cambia los 10: los antiguos dejan de valer.
Los dispositivos recordados
En Mi Cuenta › Seguridad, Dispositivos recordados lista los navegadores en los que el inicio de sesión no pide el código, con el navegador y el sistema, el último uso y hasta cuándo vale. Quitar olvida uno; Quitar todos los olvida todos (la sesión actual sigue). Cambiar la contraseña o desactivar la verificación también los quita todos.
El paso extra
Con la verificación activada, algunas acciones piden un código nuevo al momento, aunque ya hayas entrado: la ventana Confirma que eres tú envía el código al teléfono y solo sigue después de él.
| Acción | Dónde |
|---|---|
| Desactivar la verificación | Mi Cuenta › Seguridad |
| Cambiar el teléfono de la verificación | Mi Cuenta › Seguridad |
| Generar nuevos códigos de recuperación | Mi Cuenta › Seguridad |
| Crear una clave de API | Integraciones y APIs y Mi Cuenta › Claves de API |
| Solicitar un retiro | Retiro |
| Cambiar la cuenta de cobro | Configuración › Cobros |
Después de confirmar, las próximas acciones de la lista no piden otro código durante unos minutos. En la sesión de soporte de Memberfy (el Entrar del SuperAdmin), estas acciones no están disponibles: solo la propia persona las hace, en su cuenta.
La actividad de seguridad
Actividad de seguridad muestra los eventos recientes de la verificación de tu cuenta: activada, desactivada, teléfono cambiado, dispositivo recordado o quitado, código de recuperación usado, nuevos códigos generados y verificación restablecida por soporte. Activar, desactivar, usar un código de recuperación y el restablecimiento por soporte también te envían un correo.
Paso a paso
Activar la verificación
Rol: cualquier persona, en su propia cuenta.
- Abre Mi Cuenta › Seguridad (
/account?tab=security). - En Verificación en dos pasos, toca Activar la verificación en dos pasos.
- Indica el Teléfono (un número con WhatsApp), elige Enviar el código por WhatsApp o SMS y toca Enviar código.
- Escribe el código y toca Activar. El número pasa a ser el teléfono confirmado de tu cuenta.
- Guarda los 10 códigos de recuperación (Copiar o Descargar), marca Guardé los códigos en un lugar seguro y toca Terminar.
La sección pasa a mostrar Activada, el teléfono, la fecha, los códigos de recuperación restantes y los dispositivos recordados. En un país sin WhatsApp ni SMS disponibles no se puede activar, y la pantalla explica el motivo.
Cambiar el teléfono
- En Mi Cuenta › Seguridad, toca Cambiar el teléfono y confirma que eres tú con el código del teléfono actual.
- Indica el número nuevo, recibe el código en él y confirma. Los próximos códigos van al número nuevo.
Desactivar la verificación
Solo quien no está obligado: un miembro en una comunidad sin la opción activada.
Toca Desactivar, confirma que eres tú con el código y confirma. El inicio de sesión vuelve a pedir solo la contraseña, los códigos de recuperación dejan de valer y los dispositivos recordados se quitan. Para el equipo y el SuperAdmin, la sección explica que la verificación siempre se usa, sin el botón.
Pedirla a los miembros
Rol: propietario.
- Abre Configuración › Acceso y registro.
- En la tarjeta Verificación en dos pasos de los miembros, activa Pedir la verificación en dos pasos a los miembros.
Perdí el teléfono
- En el paso del código, toca Usar un código de recuperación y escribe uno de los códigos que guardaste.
- Ya dentro, cambia el teléfono en Mi Cuenta › Seguridad y genera nuevos códigos.
Sin el teléfono y sin ningún código de recuperación, habla con el soporte de Memberfy. No hay código por correo: el SuperAdmin comprueba antes tu identidad, desactiva la verificación de la cuenta con el motivo registrado, y recibes un correo avisándote. Si tu rol exige la verificación, actívala de nuevo en el próximo acceso.
Ejemplos
Administradora nueva. Ana pasa a ser administradora. Al abrir el panel, ve el aviso con el plazo de 7 días, toca Activar ahora, confirma el WhatsApp y guarda los códigos. En el portátil de la oficina, marca Recordar este dispositivo durante 90 días.
Retiro protegido. El propietario solicita un retiro. Antes de enviarlo, la ventana Confirma que eres tú pide el código de WhatsApp; con él, el retiro sigue.
Comunidad que la pide a todos. El propietario activa la opción para los miembros. Quien entra ve la invitación, la activa en un minuto y pasa a entrar con el código.
Errores comunes y cómo resolverlos
| Mensaje o situación | Qué hacer |
|---|---|
| "Código incorrecto. Te quedan N intentos." | Comprueba el código más reciente; los anteriores dejan de valer cuando llega uno nuevo |
| "No quedan intentos para este código. Pide un código nuevo abajo." | Pide otro código, por WhatsApp o por SMS |
| "Se pidieron demasiados códigos. Inténtalo más tarde." | Espera un poco, o usa un código de recuperación |
| "Esta solicitud de código venció. Vuelve a entrar con tu contraseña." | Toca Entrar de nuevo y repite el inicio de sesión |
| El código no llega por WhatsApp | Toca Recibir por SMS |
| "Las pantallas y acciones del equipo están bloqueadas…" | El plazo de 7 días terminó: activa la verificación en Mi Cuenta › Seguridad |
| "Esta acción no está disponible en una sesión de soporte…" | La acción es de la propia persona, en su cuenta |
Preguntas frecuentes
¿Cuánto cuesta? Nada, ni para la comunidad ni para quien la usa. Memberfy paga los mensajes, fuera de la cuota de la comunidad.
¿Necesito una app de autenticación? No. El código llega por WhatsApp, o por SMS.
¿Tendré que escribir un código cada día? No, si marcas Recordar este dispositivo durante 90 días. El código solo vuelve después de ese plazo, si cambias la contraseña o si quitas el dispositivo.
¿El propietario puede obligarme? El equipo (administrador, moderador, finanzas y el propio propietario) siempre usa la verificación. A los miembros, el propietario puede pedírsela, pero nadie queda bloqueado.
¿Recuperar la contraseña se salta la verificación? No. El siguiente inicio de sesión, con la contraseña nueva, pide el código.
¿Y las claves de API? Una clave sigue funcionando sin código. Crear una nueva pide el paso extra. Para el equipo, pasado el plazo sin la verificación, las claves también dejan de alcanzar las rutas del equipo.
Con el asistente
El asistente consulta tu verificación con get_two_factor_status: si está activada, si tu rol la exige y hasta cuándo, el teléfono enmascarado, los códigos de recuperación restantes y los dispositivos recordados. Activar, desactivar y escribir códigos ocurre solo en la app, nunca en la conversación: el asistente devuelve el enlace de Mi Cuenta › Seguridad y nunca pide un código. Una acción que pide el paso extra (como un retiro) vuelve con el enlace para hacerla en la app. Consulta Seguridad y límites.
En la API
El inicio de sesión con la verificación activada responde twoFactorRequired: true y un challengeId, y termina en POST /api/auth/login/two-factor; la gestión está en /api/auth/two-factor/*, y el paso extra va en la cabecera X-Step-Up-Token. Consulta Autenticación › Verificación en dos pasos y los errores.