This is the Trace Id: 98b5013c8d48af62569fd9dfc7acb88c
Saltar al contenido principal Por qué Seguridad de Microsoft Ciberseguridad con tecnología de IA Seguridad en la nube Seguridad y gobernanza de datos Identidad y acceso a la red Administración de riesgo y privacidad Seguridad para IA SecOps unificadas Confianza cero Microsoft Defender Microsoft Entra Microsoft Intune Microsoft Priva Microsoft Purview Microsoft Sentinel Microsoft Security Copilot Id. de Microsoft Entra (Azure Active Directory) Agente de Microsoft Entra ID Id. externa de Microsoft Entra Gobierno de Microsoft Entra ID Protección de Microsoft Entra ID Acceso a Internet de Microsoft Entra Acceso privado de Microsoft Entra Administración de permisos de Microsoft Entra Id. verificada por Microsoft Entra Id. de carga de trabajo de Microsoft Entra Microsoft Entra Domain Services Azure Key Vault Microsoft Sentinel Microsoft Defender for Cloud Microsoft Defender XDR Microsoft Defender para punto de conexión Microsoft Defender para Office 365 Microsoft Defender for Identity Microsoft Defender for Cloud Apps Administración de exposición de seguridad de Microsoft Administración de vulnerabilidades de Microsoft Defender Inteligencia contra amenazas de Microsoft Defender Conjunto de aplicaciones de Microsoft Defender para empresas Premium Microsoft Defender for Cloud Administración de la posición de seguridad en la nube de Microsoft Defender Administración de superficie expuesta a ataques externos de Microsoft Defender Seguridad avanzada de GitHub Microsoft Defender para punto de conexión Microsoft Defender XDR Microsoft Defender para Empresas Capacidades básicas de Microsoft Intune Microsoft Defender para IoT Administración de vulnerabilidades de Microsoft Defender Análisis avanzado de Microsoft Intune Administración con privilegios para puntos de conexión de Microsoft Intune Administración de aplicaciones de Microsoft Intune para empresas Ayuda remota de Microsoft Intune PKI en la nube de Microsoft Cumplimiento de comunicaciones de Microsoft Purview Administrador de cumplimiento de Microsoft Purview Administración del ciclo de vida de Microsoft Purview Microsoft Purview eDiscovery Auditoría de Microsoft Purview Administración de riesgos de Microsoft Priva Solicitudes de datos personales Microsoft Priva Gobierno de datos de Microsoft Purview Conjunto de aplicaciones de Microsoft Purview para empresas Premium Funciones de seguridad de datos de Microsoft Purview Precios Servicios Partners Concienciación sobre la ciberseguridad Casos de clientes Fundamentos de seguridad Pruebas de producto Reconocimiento del sector Microsoft Security Insider Informe de defensa digital de Microsoft Centro de respuestas de seguridad Blog de Seguridad de Microsoft Eventos de Seguridad de Microsoft Microsoft Tech Community Documentación Biblioteca de contenido técnico Capacitación y certificaciones Programa de cumplimiento de Microsoft Cloud Centro de confianza de Microsoft Portal de confianza de servicios Microsoft Iniciativa para un futuro seguro Business Solutions Hub Contacto con ventas Inicia la prueba gratuita Microsoft 365 Azure Dynamics 365 Seguridad de Microsoft Microsoft Teams Windows 365 Microsoft AI Azure Space Realidad mixta Microsoft HoloLens Microsoft Viva Computación cuántica Sostenibilidad Educación Automotriz Servicios financieros Gobierno Sanidad Fabricación Comercios minoristas Encuentra un asociado Conviértete en asociado Red de asociados Microsoft Marketplace Marketplace Rewards Empresas de desarrollo de software Blog Microsoft Advertising Centro de desarrolladores Documentación Eventos Licenciamiento Microsoft Learn Microsoft Research Ver mapa del sitio
Dos profesionales de pie juntos en un salón de oficina, sosteniendo una tableta y hablando sobre el trabajo.

¿Qué es la autenticación?

Descubra cómo se verifican las identidades de personas, aplicaciones y servicios antes de que se les otorgue acceso a recursos y sistemas digitales.
Descubra Microsoft Entra ID

Definición de la autenticación

La autenticación es el proceso que usan las empresas para confirmar que solo las personas, servicios y aplicaciones adecuados con los permisos correctos puedan tener acceder a recursos de la organización. Es una parte importante de la ciberseguridad porque la prioridad número uno de un actor malintencionado es obtener acceso no autorizado a los sistemas. Para llevar esto a cabo, roban el nombre de usuario y las contraseñas de los usuarios que sí tienen acceso. El proceso de autenticación incluye tres pasos principales:
 

  • Identificación: Los usuarios establecen quiénes son a través de un nombre de usuario, normalmente.
  • Autenticación: Normalmente, los usuarios prueban que son quienes dicen ser al escribir una contraseña (algo que, supuestamente, solo conoce el propio usuario); sin embargo, para fortalecer la seguridad, muchas organizaciones también solicitan que prueben su identidad mediante algo que poseen (un teléfono o dispositivo de tokens) o algo que son (una huella dactilar o escáner facial).
  • Autorización: El sistema comprueba que los usuarios tengan permisos para el sistema al que intentan acceder.

¿Por qué es importante la autenticación?

La autenticación ese importante porque ayuda a las organizaciones a proteger sus sistemas, datos, redes, sitios webs y aplicaciones frente a ataques. También ayuda a las personas a mantener la confidencialidad de sus datos personales y las capacita para llevar a cabo sus negocios online, como operaciones de banca o inversión, con un riesgo menor. Cuando los procesos de autenticación son deficientes, es más fácil que un atacante vulnere una cuenta, ya sea al adivinar contraseñas individuales o al engañar a personas para que les entreguen sus credenciales. Esto puede desembocar en los siguientes riesgos:
 

  • Vulneración o filtración de datos.
  • Instalación de malware, como de ransomware.
  • Incumplimiento de los reglamentos de privacidad de datos regionales o del sector.

Cómo funciona la autenticación

Para las personas, la autenticación consiste en establecer un nombre de usuario, una contraseña y otros métodos de autenticación como el escáner facial, la huella dactilar o un PIN. Para proteger las identidades, ninguno de estos métodos de autenticación se guarda en la base de datos del servicio. Las contraseñas no se cifran, sino que se genera para ellas un hash que se guarda en la base de datos. Cuando un usuario escribe una contraseña, se genera un hash para la contraseña introducida y se compara con el que está guardado. Si ambos hash coinciden, se otorga el acceso. Para huellas dactilares y escáneres faciales, la información se codifica, se cifra y se guarda en el dispositivo.

Tipos de métodos de autenticación

En la autenticación moderna, el proceso se delega en un sistema de identidad independiente de confianza, al contrario que en la autenticación tradicional, en la que cada sistema verifica identidades por sí mismo. También ha habido un cambio en el tipo de métodos de autenticación que se usan. La mayoría de las aplicaciones necesitan un nombre de usuario y una contraseña, pero a medida que los actores malintencionados se han familiarizado con el robo de contraseñas, la comunidad de seguridad ha desarrollado varios métodos nuevos para ayudar a proteger las identidades.

Autenticación basada en contraseña

La autenticación basada en contraseña es la forma de autenticación más frecuente. Muchas aplicaciones y servicios requieren que las personas creen contraseñas formadas por una combinación de números, letras y símbolos para reducir el riesgo de que un infiltrado las adivine. Sin embargo, las contraseñas también crean desafíos respecto a la seguridad y el uso. A las personas les resulta difícil crear y memorizar una contraseña exclusiva para cada una de sus cuentas online, razón por la que suelen reutilizar contraseñas. Además, los atacantes utilizan muchas tácticas para adivinar o robar contraseñas, o para engañar a las personas para que las compartan involuntariamente. Por esta razón, las organizaciones han ido buscando otros métodos de autenticación más seguros en detrimento de las contraseñas.

Autenticación basada en certificado

La autenticación basada en certificado es un método cifrado que permite que los dispositivos y las personas se identifiquen en otros dispositivos y sistemas. Dos ejemplos frecuentes son las tarjetas inteligentes y el envío de certificados digitales a una red o servidor por parte del dispositivo de un empleado.

Autenticación biométrica

La autenticación biométrica se basa en la verificación de la identidad de una persona mediante sus características biológicas. Por ejemplo, muchas personas utilizan un dedo para iniciar sesión en sus teléfonos, y algunos ordenadores escanean la cara o la retina de una persona para verificar su identidad. Además, los datos biométricos se vinculan a un dispositivo específico, lo que hace que los atacantes no puedan usarlos sin obtener también acceso al dispositivo. Este tipo de autenticación es cada vez más popular debido a su facilidad de uso para las personas (ya que no necesitan memorizar nada) y a su dificultad de robo para los infiltrados, lo que lo hace más seguro que las contraseñas.

Autenticación basada en tokens

En la autenticación basada en tokens, tanto el dispositivo como el sistema generan un nuevo número singular llamado PIN temporal de un solo uso (TOTP) cada 30 segundos. Si los números coinciden, el sistema comprueba que el usuario tiene el dispositivo.

Contraseña de un solo uso

Las contraseñas de un solo uso (OTP) son códigos generados para un evento de inicio de sesión específico que expiran al poco de expedirse. Se entregan mediante mensaje SMS, correo electrónico o un token de hardware.

Notificación push

Algunas aplicaciones y servicios usan notificaciones push para autenticar a los usuarios. En estos casos, las personas reciben un mensaje en su teléfono que les solicita la aprobación o denegación del acceso solicitado. Debido a que las personas en ocasiones aprueban notificaciones push accidentalmente aunque estén intentando iniciar sesión en el servicio que envió la notificación, este método a veces se combina con un método de OTP. Con OTP, el sistema genera un número singular que el usuario tiene que escribir. Esto hace que la autenticación sea más resistente al phishing.

Autenticación por voz

En la autenticación por voz, la persona que intenta acceder a un servicio recibe una llamada telefónica en la que se les solicita introducir un código o identificarse de forma verbal.

Autenticación multifactor

Una de las mejores formas de reducir el riesgo de vulneración de cuentas es requerir dos o más métodos de autenticación, entre los que se pueden incluir cualquiera de los enumerados anteriormente. Un procedimiento recomendado eficaz es requerir dos de los siguientes métodos:
 
  • Algo que el usuario conozca, normalmente una contraseña.
  • Algo que el usuario posea, como un dispositivo de confianza que no se pueda duplicar fácilmente; por ejemplo, un teléfono o token de hardware.
  • Algo que el usuario sea, como una huella dactilar o escáner facial.
Por ejemplo, muchas organizaciones solicitan una contraseña (algo que el usuario conoce) y también envían una OTP mediante SMS a un dispositivo de confianza (algo que el usuario posee) antes de permitir el acceso.

Autenticación con dos factores

La autenticación de dos factores es un tipo de autenticación multifactor que requiere dos formas de autenticación.

Autenticación frente a autorización

Los términos “autenticación” (a veces denominada AuthN) y “autorización” (a veces denominada AuthZ) se suelen usar indistintamente, pero son dos cosas diferentes, pero independientes. La autenticación confirma que el usuario que inicia sesión es quien dice ser, mientras que la autorización confirma que tiene los permisos adecuados para acceder a la información que busca. Por ejemplo, alguien de recursos humanos podría tener acceso a sistemas confidenciales, como archivos de nóminas o empleados, que otros no pueden ver. Tanto la autenticación como la autorización son fundamentales para permitir la productividad y proteger los datos confidenciales, la propiedad intelectual y la privacidad.
 

Procedimientos recomendados para la seguridad en la autenticación

Debido a que los atacantes utilizan frecuentemente la vulneración de cuentas para obtener acceso no autorizado a los recursos de una empresa, es importante instituir una seguridad sólida en la autenticación. A continuación se describen algunas medidas que puede tomar para proteger su organización:

Implementar la autenticación multifactor

Lo más importante que puede hacer para reducir el riesgo de vulneración de cuentas es activar la autenticación multifactor y requerir, al menos, dos factores de autenticación. Es mucho más difícil para los atacantes robar más de un método de autenticación, especialmente si uno de ellos se basa en datos biométricos o algo que el usuario posee físicamente, como un dispositivo. Para facilitarles las cosas a los empleados, clientes y partners, deja que elijan entre varios factores diferentes. De todos modos, es importante tener en cuenta que no todos los métodos de autenticación son igual de efectivos. Algunos son más seguros que otros. Por ejemplo, recibir un SMS es útil para mejorar la protección, pero una notificación push es más segura.

Sin contraseña

Una vez configurada la autenticación multifactor, puede limitar el uso de contraseñas y animar a las personas a que usen dos o más métodos de autenticación distintos a ese, como un PIN o datos biométricos. Reducir el uso de contraseñas y adoptar la autenticación sin contraseña simplificará el proceso de inicio de sesión y disminuirá el riesgo de compromiso de cuentas.

Aplicar la protección de contraseñas

Además de educar a los empleados, hay otras herramientas que puede usar para reducir el uso de contraseñas fáciles de adivinar. Las soluciones de protección de contraseñas te permiten prohibir las que se usen más frecuentemente, como Contraseña1. Además, puede crear una lista personalizada específica para su empresa o región, como los nombres de equipos deportivos o lugares famosos a nivel local.

Habilitar la autenticación multifactor basada en riesgos

Algunos eventos de autenticación son indicadores de una vulneración, como cuando un empleado intenta acceder a la red desde un nuevo dispositivo o una ubicación sospechosa. Otros eventos de inicio de sesión podrían no ser atípicos pero aun así presentar un mayor riesgo, como cuando un profesional de recursos humanos necesita acceder a la información de identificación personal de un empleado. Para reducir el riesgo, configure la solución de Administración de identidades y accesos (IAM) de manera que requiera al menos dos factores de autenticación cuando detecte este tipo de incidentes.

Darle prioridad a la funcionalidad

Una seguridad eficaz requiere la participación de los empleados y otras partes interesadas. Las directivas de seguridad pueden prevenir que las personas tomen parte en actividades de riesgo online, pero, si estas directivas causan demasiados inconvenientes, buscarán alguna forma de saltárselas. Las mejores soluciones tienen en cuenta la realidad del comportamiento humano. Implementa características como el autoservicio de restablecimiento de contraseñas para que las personas no dependan del servicio de asistencia técnica si olvidan una contraseña. Esto también puede animarlas a elegir una contraseña más segura, ya que saben que será fácil de restablecer si la olvidan más adelante. Otra forma eficaz de facilitar el inicio de sesión es dejar que cada persona elija el método de autorización que prefiera.

Implementar el inicio de sesión único

Una característica excelente que mejora la facilidad de uso y mejora la seguridad es Inicio de sesión único (SSO). A nadie le gusta que se le solicite una contraseña cada vez que cambia de aplicación, lo cual puede fomentar el uso de la misma contraseña en distintas cuentas para ahorra tiempo. Con el inicio de sesión único, los empleados solo necesitan iniciar sesión una vez para acceder a la mayoría de las aplicaciones que necesitan para trabajar. Esto reduce la fricción y le permite aplicar directivas de seguridad universales o condicionales, como la autenticación multifactor, a todo el software que usan los empleados.

Usar el principio de privilegio mínimo

Limita el número de cuentas con privilegios basados en roles y otorga a las personas la cantidad mínima de privilegios necesaria para que realicen su trabajo. Establecer un control de acceso ayuda a garantizar que menos personas puedan acceder a los datos y sistemas más críticos. Cuando alguien necesite realizar una tarea sensible, usa la administración de acceso privilegiado, como la activación justo a tiempo (just-in-time) con duración limitada, para reducir aún más el riesgo. También es de ayuda requerir que las actividades administrativas se realicen solo en dispositivos altamente seguros independientes de los equipos que las personas utilizan en sus tareas cotidianas.

Dar por supuesto que ha ocurrido una vulneración y realizar auditorías periódicas

En muchas organizaciones, el rol y el estado de contratación de los empleados cambia periódicamente. Los empleados abandonan la empresa o cambian de departamento. Los partners entran y salen de los proyectos. Esto puede resultar un problema si las reglas de acceso se mantienen al día. Es importante garantizar que las personas no conserven el acceso a sistemas y archivos que ya no necesitan para su trabajo. Para reducir el riesgo de que un atacante obtenga información confidencial, use una solución de gobernanza de identidades para ayudarle a auditar de forma coherente sus cuentas y roles. Estas herramientas también le ayudan a garantizar que las personas solo tengan acceso a lo que necesiten y que las cuentas de las personas que hayan abandonado la organización no sigan activas.

Proteger las identidades frente a amenazas

Las soluciones de administración de identidades y accesos ofrecen muchas herramientas que lo ayudan a reducir el riesgo de que se comprometa una cuenta; sin embargo, es aconsejable anticiparse a una posible vulneración. Incluso los empleados mejor educados pueden dejarse engañar por estafas de phishing. Para detectar la vulneración de cuentas anticipadamente, invierta en soluciones de protección frente a amenazas a la identidad e implementa directivas que le ayuden a descubrir y responder a actividad sospechosa. Muchas soluciones modernas, como Microsoft Security Copilot, usan la inteligencia artificial no solo para detectar amenazas, sino también para responderlas automáticamente.

Soluciones de autenticación en la nube

La autenticación es crítica tanto para disponer de un programa de ciberseguridad sólido como para facilitar la productividad del personal. Una completa solución de administración de identidades y acceso basada en la nube, como Microsoft Entra, proporciona herramientas para ayudar a las personas a obtener fácilmente lo que necesitan para hacer su trabajo, al tiempo que aplica controles eficaces que reducen el riesgo de que los atacantes pongan en peligro una cuenta y obtengan acceso a datos confidenciales.
Una mujer está mirando el equipo.

Microsoft Entra ID

Proteja su organización con la administración de identidades y acceso.
Aprender más
Tres compañeros mirando un portátil juntos

Gobierno de Microsoft Entra ID

Asegúrese automáticamente de que las personas adecuadas tengan el acceso adecuado a las aplicaciones adecuadas en el momento adecuado.
Aprender más
Dos mujeres jóvenes en una oficina iluminada por el sol: una, con gafas, trabaja con un ordenador portátil; la otra, con una chaqueta vaquera, sonríe mirando su teléfono.

Id. verificada por Microsoft Entra

Descentralice sus identidades con un servicio administrado de credenciales verificables basado en estándares abiertos.
Aprender más
compañeros de trabajo revisando el trabajo en monitores

Id. de carga de trabajo de Microsoft Entra

Administre y proteja las identidades otorgadas a aplicaciones y servicios.
Aprender más
Volver a la sección de productos relacionados
Preguntas más frecuentes

Preguntas más frecuentes

  • Hay muchos tipos diferentes de autenticación. Algunos ejemplos son:
    • Muchas personas inician sesión en sus teléfonos mediante el uso de reconocimiento facial o una huella dactilar. 
    • Los bancos y otros servicios a menudo requieren que las personas inicien sesión mediante el uso de una contraseña y, adicionalmente, un código enviado automáticamente por SMS. 
    • Algunas cuentas solo requieren un nombre de usuario y contraseña, aunque muchas organizaciones están empezando a implementar autenticación multifactor para aumentar la seguridad.
    • Los empleados a menudo inician sesión en su equipo para obtener acceso a varias aplicaciones diferentes a la vez, lo cual se conoce como inicio de sesión único.
    • También hay cuentas que permiten a los usuarios iniciar sesión mediante el uso de una cuenta de Facebook o Google. En este caso, Facebook, Google o Microsoft son los responsables de autenticar el usuario y pasar la autorización al servicio al que usuario quiere acceder.
  • La autenticación en la nube es un servicio que confirma que solo las personas y aplicaciones correctas con los permisos adecuados puedan obtener acceso a redes y recursos en la nube. Muchas aplicaciones en la nube tienen autenticación integrada basada en la nube, pero también hay soluciones más generales, como Microsoft Entra ID, diseñadas para controlar la autenticación en varias aplicaciones y servicios en la nube. Estas soluciones por lo general usan el protocolo SAML para permitir que un servicio de autenticación funcione en varias cuentas.
  • Los términos “autenticación” y “autorización” se suelen usar indistintamente, pero son dos cosas diferentes, aunque relacionadas. La autenticación confirma que el usuario que inicia sesión es quien dice ser, mientras que la autorización confirma que tiene los permisos adecuados para acceder a la información que busca. En conjunto, la autenticación y la autorización ayudan a reducir el riesgo de que un atacante obtenga acceso a datos confidenciales.
  • La autenticación se utiliza para comprobar que las personas y entidades son quienes dicen ser antes de proporcionarles acceso a redes y recursos digitales. Aunque el objetivo principal es la seguridad, las soluciones de autenticación modernas también están diseñadas para mejorar la funcionalidad. Por ejemplo, muchas organizaciones implementan soluciones de inicio de sesión único para que los empleados puedan encontrar lo que necesitan para realizar su trabajo más fácilmente. Los servicios de consumidor suelen permitir a las personas iniciar sesión a través del uso de su cuenta de Facebook, Google o Microsoft para acelerar el proceso de autenticación.

Seguir a Seguridad de Microsoft

Copilot para organizaciones Copilot para uso personal Microsoft 365 Explora los productos de Microsoft Aplicaciones de Windows 11 Perfil de la cuenta Centro de descargas Devoluciones Seguimiento de pedidos Microsoft Educación Dispositivos para el sector educativo Microsoft Teams para Educación Microsoft 365 Educación Office Educación Entrenamiento y desarrollo para educadores Ofertas para estudiantes y padres Azure para estudiantes
Microsoft AI Seguridad de Microsoft Azure Dynamics 365 Microsoft 365 Microsoft Advertising Microsoft 365 Copilot Microsoft Teams Desarrollador de Microsoft Microsoft Learn Admite aplicaciones del Marketplace de IA Comunidad de Microsoft Tech Microsoft Marketplace Microsoft Power Platform Marketplace Rewards Visual Studio Trabajos Acerca de Microsoft Privacidad en Microsoft Inversionistas Sustentabilidad
Español (Argentina) Privacidad de la salud del consumidor Ponte en contacto con Microsoft Privacidad Administrar cookies Aviso legal Marcas Registradas Sobre nuestra publicidad