DobleFactor genera los códigos de un solo uso (2FA) que te piden servicios como GitHub, AWS o Google. Funciona como Authy: tus cuentas se cifran en tu dispositivo, se sincronizan entre tus equipos y solo tú puedes descifrarlas.
El acceso tiene dos pasos, y cada uno sirve para algo distinto:
La primera vez creas la contraseña maestra (mínimo 8 caracteres). Elígela bien y guárdala donde guardes tus contraseñas importantes.
La app se bloquea sola a los cinco minutos, tanto si la dejas en segundo plano como si la pestaña sigue delante sin que la toques; cualquier uso reinicia la cuenta. También puedes bloquearla a mano con el candado de la cabecera. Al bloquearse solo pide la contraseña maestra, no vuelve a pasar por Sesame.
El acceso pasó de Google a Sesame. Tus cuentas no se pierden: la primera vez que entres con Sesame en un navegador donde ya tenías la bóveda, la pantalla de desbloqueo te avisa de que ha encontrado la bóveda del acceso con Google y te pide su contraseña maestra. Al introducirla, la bóveda pasa a tu identidad de Sesame y se sube al servidor, juntándose con lo que ya hubiera sincronizado.
Pulsa el botón + y elige una de las tres formas:
| Forma | Cuándo usarla |
|---|---|
| Escanear QR | Lo normal. El servicio te muestra un código QR y lo apuntas con la cámara. Requiere HTTPS (ver problemas). |
| Subir imagen | Cuando el QR está en una captura de pantalla o en un correo, o cuando no hay cámara disponible. |
| Manual | Cuando el servicio te da la clave secreta escrita («setup key») en lugar de un QR. Pega la clave tal cual: son letras de la A a la Z y cifras del 2 al 7. |
Si intentas añadir dos veces la misma cuenta (mismo servicio y misma clave), la app te avisa y no la duplica.
Al terminar de añadir una cuenta, la app genera 8 códigos de seguridad
y te los muestra una única vez. Sirven para volver a añadir esa cuenta en
DobleFactor si algún día la eliminas: cada uno guarda una copia cifrada de su clave
secreta, y solo el código la abre. Cópialos, descárgalos en .txt o imprímelos,
y guárdalos fuera de este dispositivo (un gestor de contraseñas o papel en un cajón).
Como no se pueden volver a mostrar, esa pantalla no se cierra al pulsar fuera y mientras está abierta la app no se bloquea sola: tienes tiempo de copiarlos o imprimirlos sin que te desaparezcan al volver.
Cada código vale una sola vez. Puedes ver cuántos te quedan, generar unos nuevos (los anteriores dejan de valer) o recuperar una cuenta eliminada en Ajustes → Códigos de seguridad. Las cuentas que llegan por CSV no traen códigos: genéraselos ahí si los quieres.
Cuando activas el doble factor, el propio servicio te enseña una lista de códigos de un solo uso para entrar si te quedas sin la app. Esos no los genera DobleFactor —solo el servicio los reconoce—, pero puedes guardarlos aquí en lugar de en un papel que se pierde: abre el lápiz de la tarjeta → Códigos de respaldo del servicio.
1234 5678), se guardan enteros.Pasa el ratón por una tarjeta (o simplemente míralas en el móvil) y verás dos iconos: el lápiz para editar y la papelera para eliminar.
Puedes cambiar el nombre del servicio y la cuenta, que es lo habitual cuando el QR trae un nombre poco claro. También los parámetros técnicos (dígitos, periodo, algoritmo), aunque solo deberías tocarlos si el servicio los dio mal al darla de alta: cambiarlos cambia los códigos que genera.
La clave secreta no se puede cambiar. Si cambia la clave, ya es otra cuenta: bórrala y añádela de nuevo.
Renombrar no invalida los códigos de seguridad que ya tengas impresos: van atados a la clave secreta, no al nombre. Y la cuenta que recuperes con uno de ellos vuelve con el nombre y los parámetros que tenga en ese momento, no con los de cuando la diste de alta.
El lápiz es además desde donde se guardan los códigos de respaldo del servicio.
En un ordenador, arrastra las tarjetas para colocarlas donde quieras. En el móvil, abre el lápiz y usa ↑ Subir y ↓ Bajar. El orden se guarda y viaja a tus otros dispositivos.
Al confirmar, la app te dice cuántos códigos de seguridad le quedan a esa cuenta, para que sepas si vas a poder volver a añadirla desde la propia app.
Ten en cuenta además que los borrados no se propagan a los demás dispositivos (se explica en la sección de sincronización): hay que borrar la cuenta en cada uno.
Entra en Ajustes → Códigos de seguridad. Las cuentas que borraste pero que aún tienen códigos aparecen en «cuentas eliminadas recuperables»: escribe uno de sus códigos y pulsa Recuperar. Vuelve con su clave secreta intacta, así que sigue generando los mismos códigos que antes.
El código queda gastado y no vale una segunda vez, ni aquí ni en tus otros dispositivos. Cuando una cuenta eliminada se queda sin códigos sin usar, ya no se puede recuperar: la app te ofrece descartar sus datos de recuperación.
Tu bóveda cifrada se guarda también en el servidor, para que puedas usar los mismos códigos en el ordenador, el móvil o una tablet.
En un dispositivo nuevo, entra con la misma cuenta de Sesame: la app detecta que ya tienes una bóveda y te ofrece «Restaurar y desbloquear». Introduce tu contraseña maestra y aparecen todas tus cuentas.
El indicador de la cabecera te dice cómo va:
| Indicador | Significa |
|---|---|
| Sincronizado | Todo al día con el servidor. |
| Sincronizando | Subiendo o bajando cambios en este momento. |
| Sin conexión | No se alcanza el servidor. La app sigue funcionando y lo reintenta. |
| Reconecta con Sesame | Tu sesión de Sesame ha caducado. Pulsa el indicador para volver a entrar; tus cuentas siguen en el dispositivo. |
| Sin sincronizar | Todavía no ha habido intercambio con el servidor. |
Puedes pulsar el indicador para forzar una sincronización.
Si añades cuentas en dos dispositivos a la vez, se quedan todas: la app junta las dos listas. Lo que no se propaga son los borrados, y es deliberado: sin esa regla, un móvil que llevara semanas sin abrirse podría borrar cuentas que añadiste en otro sitio. En una bóveda 2FA una cuenta de sobra es una molestia, pero una cuenta perdida te deja fuera de un servicio.
Con los códigos de seguridad pasa lo mismo, y además se propaga lo que ya has gastado: si recuperas una cuenta con un código desde el móvil, ese código aparece como usado también en el portátil en cuanto sincronicen. Lo contrario —verlo disponible cuando ya no sirve— es lo que te haría contar con un código que no va a funcionar.
Los códigos de respaldo del servicio se juntan en lugar de que una lista sustituya a la otra, porque puedes haber tecleado unos en el ordenador y otros en el móvil; y si marcas uno como usado en cualquiera de los dos, queda usado en todos.
En Ajustes (el engranaje) tienes la lista de dispositivos donde está tu bóveda, con la última vez que se conectó cada uno. El actual aparece marcado.
Si pierdes un móvil, pulsa Revocar en su fila. A partir de ese momento deja de sincronizar y, la próxima vez que se conecte, borra su copia local de la bóveda.
En Ajustes → Cambiar la contraseña maestra. Te pide la actual (se comprueba de verdad contra la bóveda guardada) y la nueva dos veces.
La bóveda se vuelve a cifrar y se sube. Ten en cuenta que:
.json antiguos se siguen abriendo con la
contraseña que tenían cuando los exportaste. Conviene exportar uno nuevo.En Ajustes → Copias de seguridad e importación. Hay un solo formato de
copia, el backup cifrado .json: se cifra con tu contraseña
maestra, así que si el archivo acaba donde no debe sigue siendo inservible sin ella.
Guarda todo —cuentas, parámetros y los
códigos de respaldo del servicio— y puedes dejarlo en cualquier
sitio: la nube, un pendrive, el correo.
Para importarlo, la app prueba primero con tu contraseña actual y, si el backup es de otra época, te pide la que tenía.
La importación de CSV sí sigue, porque es como llegan las cuentas desde Aegis, 2FAS, Bitwarden o Authy. Ese archivo lo genera la otra aplicación, no esta, y lleva tus claves en claro: bórralo en cuanto termine la importación y no lo dejes en Descargas, en el correo ni en un disco compartido.
Al importar un CSV, la app reconoce las cabeceras habituales
(issuer, account, secret, digits,
period, algorithm) y también los nombres que usan otras apps
(service, name, username, key…), además
de una columna uri con enlaces otpauth://. Las líneas con errores
se informan y se omiten, sin cancelar el resto.
Un código TOTP se calcula a partir de la clave y de la hora. Si el reloj de tu dispositivo va desviado, los códigos serán rechazados y nada en pantalla lo explicaría.
La app compara su hora con la del servidor y corrige la diferencia automáticamente. Puedes ver el estado en Ajustes → Hora del dispositivo. Si el desfase es grande, revisa también la hora del sistema: la corrección solo funciona mientras haya conexión con el servidor.
Puedes tenerla como una app, con su propio icono y sin la barra del navegador:
Se abre a pantalla completa y usa la misma bóveda del navegador.
Lo que no incluye, para que lo sepas: no hay huella ni Face ID (el desbloqueo es con contraseña maestra), no hay recuperación si olvidas esa contraseña, y los borrados de cuentas no se propagan entre dispositivos.
Si la página de Sesame da un error o al volver a la app no has entrado, prueba de nuevo desde el botón: no recargues ni reutilices una pestaña antigua, porque cada intento solo vale para la vuelta que él mismo inició. Si sigue fallando, lo más probable es que la dirección de la app no esté autorizada en la configuración del SSO de Sesame. Es cosa del administrador.
La app necesita HTTPS (o abrirse en localhost). Sin eso el
navegador desactiva el cifrado y la bóveda no puede ni crearse. También la cámara para
escanear QR necesita HTTPS.
Comprueba que has entrado con la misma cuenta de Sesame. Si es así, la app debería ofrecerte «Restaurar y desbloquear»; si en su lugar te ofrece crear una bóveda, es que el servidor no tiene ninguna guardada para esa cuenta (mira el indicador de sincronización) o que estás usando otra cuenta de Sesame.
Si venías del acceso con Google y ese móvil no tenía copia local, la bóveda llega al servidor cuando migras desde otro dispositivo que sí la tenga: entra allí con Sesame, desbloquéala y deja que sincronice. Mientras tanto no crees una bóveda nueva en el móvil, o acabarás con dos contraseñas maestras distintas (ver el caso siguiente).
Pasa cuando en dos dispositivos se crearon bóvedas por separado con contraseñas distintas. No se pueden combinar sin conocer ambas. La salida es quedarte con la que quieras conservar: exporta un backup cifrado del dispositivo bueno, borra la bóveda del otro e impórtalo.
Si el móvil era tu único acceso y no puedes entrar en ninguna parte, ahí es donde sirven los códigos de respaldo del servicio: cada uno te deja entrar una vez en ese servicio para volver a configurar el doble factor. Son los que te dio el servicio, no los que genera esta app.