# Verificación en dos pasos

> Además de la contraseña, el inicio de sesión pide un código enviado a tu teléfono por WhatsApp (o por SMS). Cómo activarla en Mi Cuenta › Seguridad, los 10 códigos de recuperación, recordar el dispositivo durante 90 días, el paso extra antes de las acciones sensibles, la obligación del equipo y la opción para los miembros.

La **verificación en dos pasos** protege tu cuenta con un segundo paso al iniciar sesión: después de la contraseña, Memberfy envía un **código de 6 dígitos a tu teléfono, por WhatsApp** (o por SMS), y solo entras con él. Aunque alguien descubra tu contraseña, no podrá entrar sin el código de tu teléfono.

No necesitas una app de autenticación ni cuesta nada: **Memberfy paga los mensajes**, y el código no cuenta en la cuota de SMS y WhatsApp de la comunidad.

Como la [cuenta](/conceitos/conta-e-perfil) es una por comunidad, la verificación también: activada aquí, vale para tu inicio de sesión en esta comunidad.

## Para qué sirve

| Quién | Qué cambia |
|---|---|
| Propietario, administrador y finanzas | El saldo, los retiros, la cuenta de cobro y los datos de los miembros dejan de depender solo de la contraseña |
| Moderador | La moderación y los datos de los miembros quedan detrás de un segundo paso |
| Miembro | Tu cuenta y lo que compraste quedan protegidos, aunque se filtre la contraseña |
| Comunidad de empresa o RR. HH. | Cumple la exigencia de un segundo factor para quien accede a datos de personas |

## Cómo funciona

### Quién debe tenerla

| Quién | Regla |
|---|---|
| **Equipo** (propietario, administrador, moderador y finanzas) | Siempre obligatoria. Quien todavía no la tiene recibe **7 días** de plazo, con un aviso arriba de la pantalla: *"Activa la verificación en dos pasos antes del {fecha}. Después, las pantallas y acciones del equipo quedan bloqueadas hasta que la actives."* |
| **SuperAdmin** (el soporte de Memberfy) | Siempre obligatoria |
| **Miembro** | Opcional. Si el propietario activó la opción para los miembros, la persona recibe la **invitación** a activarla, nunca un bloqueo |

El plazo del equipo empieza la primera vez que la persona usa una pantalla o acción del equipo sin la verificación. Pasado el plazo, las pantallas y acciones del equipo quedan bloqueadas (*"Las pantallas y acciones del equipo están bloqueadas: activa la verificación en dos pasos para continuar."*), y las [claves de API](/configuracoes/integracoes-e-apis) de esa persona tampoco alcanzan las rutas del equipo. El camino para activarla siempre queda abierto: **Mi Cuenta › Seguridad** y el botón **Activar ahora** del aviso. Al activarla, todo vuelve a funcionar al momento.

### La opción para los miembros

En **Configuración › Acceso y registro**, la tarjeta **Verificación en dos pasos de los miembros** tiene la opción **Pedir la verificación en dos pasos a los miembros**. Solo el propietario la cambia (*"Solo el owner cambia esta opción."*).

- **Desactivada** (por defecto): cada miembro decide si activa la suya.
- **Activada**: los miembros sin la verificación ven la invitación *"Esta comunidad te pide activar la verificación en dos pasos para proteger tu cuenta."*, con **Activar ahora** y **Ahora no**. Nadie queda bloqueado. Quien la activa ya no puede desactivarla mientras la opción siga activada.

### El inicio de sesión con código

Con la verificación activada, el inicio de sesión con la contraseña correcta abre el paso **Verificación en dos pasos**:

- *"Te enviamos un código por WhatsApp a {teléfono}."*, con el número enmascarado. Escribe los 6 dígitos en **Código de 6 dígitos** y toca **Entrar**.
- **Recibir por SMS** envía el código por SMS. Si WhatsApp no acepta el número, el código ya va por SMS.
- **Recordar este dispositivo durante 90 días**: en este navegador, los próximos inicios de sesión piden solo la contraseña, hasta que venza.
- **Usar un código de recuperación**: entra con uno de los [códigos de recuperación](#los-codigos-de-recuperacion), si no tienes el teléfono contigo.

Una contraseña incorrecta no envía código. Un código incorrecto muestra cuántos intentos quedan; agotados, pide un código nuevo. Si la solicitud de código vence, la pantalla pide entrar de nuevo con la contraseña. La conexión de un [asistente de IA](/mcp/seguranca#verificacion-en-dos-pasos) pasa por el mismo inicio de sesión y también pide el código.

### Los códigos de recuperación

Al activarla, la pantalla muestra **10 códigos de recuperación**, **una sola vez**, con **Copiar** y **Descargar**. Solo termina después de que marques **Guardé los códigos en un lugar seguro**. Cada código vale una vez, en lugar del código del teléfono.

- Al entrar con un código de recuperación, deja de valer, la pantalla dice cuántos quedan y recibes un correo de alerta.
- Con pocos códigos restantes, **Mi Cuenta › Seguridad** avisa. **Generar nuevos códigos de recuperación** cambia los 10: los antiguos dejan de valer.

### Los dispositivos recordados

En **Mi Cuenta › Seguridad**, **Dispositivos recordados** lista los navegadores en los que el inicio de sesión no pide el código, con el navegador y el sistema, el último uso y hasta cuándo vale. **Quitar** olvida uno; **Quitar todos** los olvida todos (la sesión actual sigue). Cambiar la contraseña o desactivar la verificación también los quita todos.

### El paso extra

Con la verificación activada, algunas acciones piden **un código nuevo al momento**, aunque ya hayas entrado: la ventana **Confirma que eres tú** envía el código al teléfono y solo sigue después de él.

| Acción | Dónde |
|---|---|
| Desactivar la verificación | **Mi Cuenta › Seguridad** |
| Cambiar el teléfono de la verificación | **Mi Cuenta › Seguridad** |
| Generar nuevos códigos de recuperación | **Mi Cuenta › Seguridad** |
| Crear una clave de API | [Integraciones y APIs](/configuracoes/integracoes-e-apis) y **Mi Cuenta › Claves de API** |
| Solicitar un retiro | [Retiro](/pagamentos/saque) |
| Cambiar la cuenta de cobro | **Configuración › Cobros** |

Después de confirmar, las próximas acciones de la lista no piden otro código durante unos minutos. En la sesión de soporte de Memberfy (el **Entrar** del SuperAdmin), estas acciones no están disponibles: solo la propia persona las hace, en su cuenta.

### La actividad de seguridad

**Actividad de seguridad** muestra los eventos recientes de la verificación de tu cuenta: activada, desactivada, teléfono cambiado, dispositivo recordado o quitado, código de recuperación usado, nuevos códigos generados y verificación restablecida por soporte. Activar, desactivar, usar un código de recuperación y el restablecimiento por soporte también te envían un correo.

## Paso a paso

### Activar la verificación

*Rol: cualquier persona, en su propia cuenta.*

1. Abre **Mi Cuenta › Seguridad** (`/account?tab=security`).
2. En **Verificación en dos pasos**, toca **Activar la verificación en dos pasos**.
3. Indica el **Teléfono** (un número con WhatsApp), elige **Enviar el código por** WhatsApp o SMS y toca **Enviar código**.
4. Escribe el código y toca **Activar**. El número pasa a ser el teléfono confirmado de tu cuenta.
5. Guarda los 10 códigos de recuperación (**Copiar** o **Descargar**), marca **Guardé los códigos en un lugar seguro** y toca **Terminar**.

La sección pasa a mostrar **Activada**, el teléfono, la fecha, los códigos de recuperación restantes y los dispositivos recordados. En un país sin WhatsApp ni SMS disponibles no se puede activar, y la pantalla explica el motivo.

### Cambiar el teléfono

1. En **Mi Cuenta › Seguridad**, toca **Cambiar el teléfono** y confirma que eres tú con el código del teléfono actual.
2. Indica el número nuevo, recibe el código en él y confirma. Los próximos códigos van al número nuevo.

### Desactivar la verificación

*Solo quien no está obligado: un miembro en una comunidad sin la opción activada.*

Toca **Desactivar**, confirma que eres tú con el código y confirma. El inicio de sesión vuelve a pedir solo la contraseña, los códigos de recuperación dejan de valer y los dispositivos recordados se quitan. Para el equipo y el SuperAdmin, la sección explica que la verificación siempre se usa, sin el botón.

### Pedirla a los miembros

*Rol: propietario.*

1. Abre **Configuración › Acceso y registro**.
2. En la tarjeta **Verificación en dos pasos de los miembros**, activa **Pedir la verificación en dos pasos a los miembros**.

### Perdí el teléfono

1. En el paso del código, toca **Usar un código de recuperación** y escribe uno de los códigos que guardaste.
2. Ya dentro, cambia el teléfono en **Mi Cuenta › Seguridad** y genera nuevos códigos.

Sin el teléfono y sin ningún código de recuperación, habla con el soporte de Memberfy. No hay código por correo: el SuperAdmin comprueba antes tu identidad, desactiva la verificación de la cuenta con el motivo registrado, y recibes un correo avisándote. Si tu rol exige la verificación, actívala de nuevo en el próximo acceso.

## Ejemplos

**Administradora nueva.** Ana pasa a ser administradora. Al abrir el panel, ve el aviso con el plazo de 7 días, toca **Activar ahora**, confirma el WhatsApp y guarda los códigos. En el portátil de la oficina, marca **Recordar este dispositivo durante 90 días**.

**Retiro protegido.** El propietario solicita un retiro. Antes de enviarlo, la ventana **Confirma que eres tú** pide el código de WhatsApp; con él, el retiro sigue.

**Comunidad que la pide a todos.** El propietario activa la opción para los miembros. Quien entra ve la invitación, la activa en un minuto y pasa a entrar con el código.

## Errores comunes y cómo resolverlos

| Mensaje o situación | Qué hacer |
|---|---|
| *"Código incorrecto. Te quedan N intentos."* | Comprueba el código más reciente; los anteriores dejan de valer cuando llega uno nuevo |
| *"No quedan intentos para este código. Pide un código nuevo abajo."* | Pide otro código, por WhatsApp o por SMS |
| *"Se pidieron demasiados códigos. Inténtalo más tarde."* | Espera un poco, o usa un código de recuperación |
| *"Esta solicitud de código venció. Vuelve a entrar con tu contraseña."* | Toca **Entrar de nuevo** y repite el inicio de sesión |
| El código no llega por WhatsApp | Toca **Recibir por SMS** |
| *"Las pantallas y acciones del equipo están bloqueadas…"* | El plazo de 7 días terminó: activa la verificación en **Mi Cuenta › Seguridad** |
| *"Esta acción no está disponible en una sesión de soporte…"* | La acción es de la propia persona, en su cuenta |

## Preguntas frecuentes

**¿Cuánto cuesta?**
Nada, ni para la comunidad ni para quien la usa. Memberfy paga los mensajes, fuera de la cuota de la comunidad.

**¿Necesito una app de autenticación?**
No. El código llega por WhatsApp, o por SMS.

**¿Tendré que escribir un código cada día?**
No, si marcas **Recordar este dispositivo durante 90 días**. El código solo vuelve después de ese plazo, si cambias la contraseña o si quitas el dispositivo.

**¿El propietario puede obligarme?**
El equipo (administrador, moderador, finanzas y el propio propietario) siempre usa la verificación. A los miembros, el propietario puede pedírsela, pero nadie queda bloqueado.

**¿Recuperar la contraseña se salta la verificación?**
No. El siguiente inicio de sesión, con la contraseña nueva, pide el código.

**¿Y las claves de API?**
Una clave sigue funcionando sin código. Crear una nueva pide el paso extra. Para el equipo, pasado el plazo sin la verificación, las claves también dejan de alcanzar las rutas del equipo.

## Con el asistente

El asistente consulta tu verificación con [`get_two_factor_status`](/mcp/ferramentas-membros#get-two-factor-status): si está activada, si tu rol la exige y hasta cuándo, el teléfono enmascarado, los códigos de recuperación restantes y los dispositivos recordados. Activar, desactivar y escribir códigos ocurre **solo en la app**, nunca en la conversación: el asistente devuelve el enlace de **Mi Cuenta › Seguridad** y nunca pide un código. Una acción que pide el paso extra (como un retiro) vuelve con el enlace para hacerla en la app. Consulta [Seguridad y límites](/mcp/seguranca#verificacion-en-dos-pasos).

## En la API

El inicio de sesión con la verificación activada responde `twoFactorRequired: true` y un `challengeId`, y termina en `POST /api/auth/login/two-factor`; la gestión está en `/api/auth/two-factor/*`, y el paso extra va en la cabecera `X-Step-Up-Token`. Consulta [Autenticación › Verificación en dos pasos](/api/autenticacao#verificacion-en-dos-pasos) y los [errores](/api/respostas-e-erros#verificacion-en-dos-pasos).

## Relacionados

- [Cuenta y perfil](/conceitos/conta-e-perfil)
- [Roles y permisos](/conceitos/papeis-e-permissoes)
- [Retiro](/pagamentos/saque)
- [Integraciones y APIs](/configuracoes/integracoes-e-apis)
- [Seguridad y límites del asistente](/mcp/seguranca)