Cómo activar 2FA en AWS
Una cuenta de AWS comprometida no solo filtra datos: genera facturas reales. AWS ya exige MFA a los usuarios root de las cuentas de administración, y un «dispositivo MFA virtual» no es más que TOTP estándar: sirve cualquier autenticador, incluido 2FAA.
Ruta rápida: Consola AWS → menú de cuenta (arriba a la derecha) → Security credentials → Assign MFA device
Paso a paso: configurar 2FA en AWS
- 1
Abre Security credentials
Inicia sesión en la consola de AWS, haz clic en el nombre de tu cuenta arriba a la derecha y elige «Security credentials». (Para un usuario IAM: IAM → Users → selecciona el usuario → pestaña «Security credentials».)
- 2
Asigna un dispositivo MFA
En la sección «Multi-factor authentication (MFA)», haz clic en «Assign MFA device». Ponle nombre y elige «Authenticator app».
- 3
Escanea el QR con 2FAA
AWS muestra un código QR («Show QR code») y una clave secreta. Abre 2FAA y escanéalo — el código de 6 dígitos de AWS empieza a rotar.
- 4
Introduce dos códigos consecutivos
AWS pide dos códigos MFA consecutivos para confirmar la sincronización: escribe el código actual de 2FAA en la primera casilla, espera ~30 segundos a que cambie y escribe el siguiente en la segunda.
- 5
Repite para root y cada usuario IAM
La MFA es por identidad. Asegura primero la cuenta root (AWS lo exige) y luego asigna dispositivos a los usuarios IAM — cada uno con su propio QR y su propia entrada en 2FAA.
Genera códigos 2FA de AWS con 2FAA
No necesitas una app autenticadora aparte. 2FAA es un generador TOTP gratuito en el navegador — tu clave secreta nunca sale de tu dispositivo y funciona offline como PWA. Puedes usar la misma clave en paralelo con Google Authenticator o Authy si prefieres redundancia.
Preguntas frecuentes
¿Por qué AWS pide dos códigos consecutivos?
Para verificar que el reloj de tu autenticador está sincronizado con AWS. Introducir dos códigos seguidos demuestra que el dispositivo genera la secuencia correcta, no una coincidencia afortunada.
¿La MFA en root es obligatoria de verdad?
Sí — desde 2024 AWS la impone a los usuarios root, empezando por las cuentas de administración de AWS Organizations y extendiéndose a las cuentas independientes. No esperes el correo de aviso.
¿Cómo uso la MFA con la AWS CLI?
Ejecuta «aws sts get-session-token --serial-number <arn-del-mfa> --token-code <código de 2FAA>» para obtener credenciales temporales, o configura mfa_serial en tu perfil. Para automatización con IA, el servidor MCP de 2FAA puede suministrar el código programáticamente.
¿Cuántos dispositivos MFA admite un usuario de AWS?
Hasta 8 por usuario (root incluido). Registrar un segundo dispositivo — por ejemplo 2FAA en el navegador más una llave física — te protege de perder cualquiera de ellos.