Una cuenta con público costó años de construir y se puede perder en una tarde. Las medidas que lo evitan son aburridas, rápidas y casi siempre aplazadas.
Doble factor, y de qué tipo
Actívalo en todas partes. Pero el método importa: los códigos por SMS son mejores que nada y son la opción más débil, porque un número puede acabar en la SIM de otro. Una app de autenticación es el valor por defecto sensato; una llave física es mejor todavía si la cuenta es el negocio.
La parte que se salta
- Guarda los códigos de respaldo en algo que no sea el teléfono con la app de autenticación
- Comprueba que el correo de recuperación sigue siendo tuyo, no una dirección de una empresa que dejaste
- Añade un segundo administrador en Páginas y canales, para que un teléfono perdido no sea el final
- Sepas dónde está el proceso de recuperación antes de necesitarlo, cuando aún puedes leer con calma
La recuperación es algo que configuras por adelantado o algo que lamentas. No hay un tercer estado.
La amenaza que ocurre de verdad
No un ataque sofisticado. Un mensaje ofreciendo una colaboración, un enlace a un «portal de marca», una página de inicio de sesión que parece correcta y una contraseña escrita en ella. Todo lo demás sale de ese único momento.
La regla que sobrevive a todas las variantes: nunca escribas una contraseña en una página a la que llegaste por un enlace. Abre la app o teclea la dirección. Cuesta diez segundos y liquida la categoría entera.
Dónde encaja un programador
Debe guardar un token revocable, no una contraseña, y no debería pedirla nunca. Una herramienta que quiere tus credenciales reales te está pidiendo la cuenta entera.