Recommended Free Tools
iTechGuides is reader-supported. When you buy through links on our site, we may earn an affiliate commission. As an Amazon Associate I earn from qualifying purchases. Learn more
Exija autenticación multifactor (MFA) para el correo, la VPN y las cuentas con acceso privilegiado. Priorice para esos accesos un método resistente al phishing, como FIDO2/WebAuthn o PKI, siempre que el proveedor de identidad y las aplicaciones lo admitan. Si todavía no es viable, use la alternativa más sólida que sí sea compatible —por ejemplo, una aplicación con coincidencia de número— y defina cómo migrar después.
La recomendación práctica es desplegar primero donde una cuenta comprometida tendría mayor impacto y acompañar MFA con controles de privilegios, dispositivos, inscripción y recuperación. MFA reduce el riesgo de robo de credenciales, pero no elimina los riesgos de sesión, endpoint ni administración.
Por qué correo, VPN y cuentas administrativas son prioridades
El correo suele ser una puerta de entrada a información empresarial y a procesos de restablecimiento de cuentas. La VPN puede dar acceso a la red interna, y una cuenta administrativa puede modificar sistemas críticos. Por eso, CISA destaca los servicios de correo electrónico, las VPN y las cuentas que acceden a sistemas críticos como objetivos prioritarios para MFA resistente al phishing.
CISA recomienda habilitar MFA en todos los sistemas donde esté disponible, empezando por administradores y personas que manejan datos sensibles. En la práctica, conviene ordenar el trabajo por impacto del acceso y privilegio, no limitarse a activar un ajuste genérico de MFA en una sola aplicación. Estas son recomendaciones del gobierno estadounidense; las obligaciones legales concretas dependen del sector y la jurisdicción de cada organización.
#1 Best Overall
- POWERFUL SECURITY KEY: The YubiKey 5C NFC is the most versatile physical passkey, protecting your digital life from phishing attacks. It ensures only you can access your accounts
- WORKS WITH 1000+ ACCOUNTS: Compatible with popular accounts like Google, Microsoft, and Apple. A single YubiKey 5C NFC secures 100+ of your favorite accounts, including email, password managers, and more
- FAST & CONVENIENT LOGIN: Plug in your YubiKey 5C NFC via USB and tap it, or tap it against your phone (NFC), to authenticate. No batteries, no internet connection, and no extra fees required
- MOST SECURE PASSKEY: Supports FIDO2/WebAuthn, FIDO U2F, Yubico OTP, OATH-TOTP/HOTP, Smart card (PIV), and OpenPGP. That means it’s versatile, working almost anywhere you need it
- PRIMARY & SPARE KEYS: Just like having a spare house key, we recommend buying two YubiKeys - one for daily use and one as a spare. That way you’ll never get locked out of your accounts
Qué métodos resisten mejor el phishing
No todos los segundos factores ofrecen la misma protección. La diferencia importante es si el protocolo puede impedir que un atacante reutilice una respuesta de autenticación obtenida mediante una página impostora. NIST define la resistencia al phishing en términos de evitar que secretos o resultados válidos se divulguen a un verificador impostor, sin depender de que el usuario lo detecte.
FIDO2/WebAuthn puede vincular la autenticación al dominio verificado: el autenticador selecciona una credencial asociada al dominio legítimo. Una página impostora no puede reutilizar esa respuesta como si estuviera en el dominio correcto. En cambio, un código OTP que el usuario introduce manualmente no está ligado a la sesión concreta y puede ser retransmitido a un verificador legítimo desde un sitio impostor; NIST no lo considera resistente al phishing. NIST SP 800-63B-4 describe esta distinción en su sección de autenticadores y resistencia al phishing, publicada en julio de 2025.
Rank #2
- POWERFUL SECURITY KEY: The Security Key C NFC is the essential physical passkey for protecting your digital life from phishing attacks. It ensures only you can access your accounts.
- WORKS WITH 1000+ ACCOUNTS: Compatible with Google, Microsoft, and Apple. A single Security Key C NFC secures 100 of your favorite accounts, including email, password managers, and more.
- FAST & CONVENIENT LOGIN: Plug in your Security Key C NFC via USB-C and tap it, or tap it against your phone (NFC) to authenticate. No batteries, no internet connection, and no extra fees required.
- TRUSTED PASSKEY TECHNOLOGY: Uses the latest passkey standards (FIDO2/WebAuthn & FIDO U2F) but does not support One-Time Passwords. For complex needs, check out the YubiKey 5 Series.
- BUILT TO LAST: Made from tough, waterproof, and crush-resistant materials. Manufactured in Sweden and programmed in the USA with the highest security standards.
| Método | Resistencia al phishing según las fuentes | Cuándo considerarlo |
|---|---|---|
| FIDO2/WebAuthn: llave física o autenticador de plataforma compatible | Resistente cuando se configura correctamente; puede vincular la autenticación al verificador. | Objetivo preferido para correo, VPN y cuentas privilegiadas cuando el proveedor de identidad, las aplicaciones y los dispositivos necesarios lo admiten. |
| PKI: certificado o tarjeta inteligente compatible | CISA incluye PKI entre las formas resistentes al phishing; NIST describe PIV/CAC como autenticación con vinculación al canal. | Adecuado para organizaciones que ya pueden operar la PKI y gestionar certificados, dispositivos y su ciclo de vida. |
| Aplicación autenticadora con coincidencia de número | CISA la presenta como una opción mejor que la aprobación push simple, pero no como equivalente a FIDO2/WebAuthn. | Alternativa intermedia cuando no se puede desplegar de inmediato un método resistente al phishing. |
| OTP introducido manualmente o códigos por SMS o correo | La introducción manual de códigos no es resistente al phishing según NIST; CISA clasifica SMS y correo entre las opciones más débiles. | No es el método objetivo para accesos de alto riesgo. Si las limitaciones de un servicio obligan a mantenerlo, defina una ruta para mejorar. |
CISA recomienda que administradores y otros objetivos de alto valor implementen MFA resistente al phishing o planifiquen su migración. Su material práctico considera las llaves de seguridad una de las opciones más fuertes de las que presenta, mientras que la coincidencia de número es una alternativa de transición. Ningún método elimina por sí solo los riesgos de una sesión ya comprometida, un dispositivo vulnerable o un proceso de recuperación débil.
Cómo organizar el despliegue
- Inventar accesos y dependencias. Identifique qué proveedor de identidad controla el correo, qué mecanismo autentica la VPN y qué sistemas permiten acceso administrativo. Registre qué métodos admite cada servicio, aplicación, sistema operativo, navegador y dispositivo; el soporte varía y no debe suponerse que una llave funcione en todas partes.
- Priorizar por impacto y privilegio. Empiece por cuentas administrativas y accesos a sistemas críticos, además de correo y VPN. Amplíe después a los demás sistemas que permitan MFA. CISA respalda una cobertura amplia, no dejar servicios importantes sin segundo factor por haber protegido solo una parte de la organización.
- Elegir el método objetivo por integración. Para cada flujo, compruebe si el proveedor de identidad y la aplicación admiten FIDO2/WebAuthn o PKI, y si el método funciona con los equipos de escritorio y móviles utilizados. Si no es posible aún, elija la alternativa compatible más sólida, como coincidencia de número, y documente qué falta para migrar.
- Planificar inscripción y recuperación. Defina cómo se inscribirán las personas, cómo se gestionarán credenciales de respaldo y cómo se recuperará el acceso tras perder un dispositivo o una llave. Verifique esos procesos antes de exigir el método a toda la población objetivo; una llave física no resuelve automáticamente la recuperación.
- Desplegar y revisar excepciones. Active la política en los sistemas priorizados, confirme que los flujos habituales y administrativos funcionan, y registre las excepciones por incompatibilidad. A cada excepción asígnele un control alternativo y un camino de migración, en vez de convertir un método débil en la solución permanente por defecto.
Controles adicionales para administradores
MFA debe formar parte de un modelo de acceso privilegiado, no sustituirlo. CISA recomienda separar las cuentas estándar de las administrativas, aplicar mínimo privilegio, retirar cuentas innecesarias y revisar los privilegios concedidos. Para administrar infraestructura, también recomienda estaciones administrativas dedicadas, zonas de gestión y restricciones al acceso de administración.
Rank #3
- POWERFUL SECURITY KEY: The YubiKey 5 NFC is the most versatile physical passkey, protecting your digital life from phishing attacks. It ensures only you can access your accounts
- WORKS WITH 1000+ ACCOUNTS: Compatible with popular accounts like Google, Microsoft, and Apple. A single YubiKey 5 NFC secures 100+ of your favorite accounts, including email, password managers, and more
- FAST & CONVENIENT LOGIN: Plug in your YubiKey 5 NFC via USB and tap it, or tap it against your phone (NFC), to authenticate. No batteries, no internet connection, and no extra fees required
- MOST SECURE PASSKEY: Supports FIDO2/WebAuthn, FIDO U2F, Yubico OTP, OATH-TOTP/HOTP, Smart card (PIV), and OpenPGP. That means it’s versatile, working almost anywhere you need it
- PRIMARY & SPARE KEYS: Just like having a spare house key, we recommend buying two YubiKeys - one for daily use and one as a spare. That way you’ll never get locked out of your accounts
En infraestructura de comunicaciones con AAA centralizado, una guía específica de CISA aconseja usar un servidor que admita MFA y advierte que no debe estar enlazado al almacén principal de identidades corporativas. Esa recomendación se dirige a ese contexto técnico; no debe trasladarse sin más a cualquier arquitectura empresarial.
Qué comprobar antes de comprar llaves de seguridad
Una llave física es solo una parte de la implementación: el servicio debe admitir el protocolo requerido y la organización debe poder inscribirla, respaldarla y recuperar el acceso. Antes de comprar, confirme en el proveedor de identidad y en cada aplicación que se usa el soporte FIDO2/WebAuthn, no solo que la llave anuncie compatibilidad con ese estándar.
Rank #4
- FIDO2 & Passkey Ready: Business-ready and FIDO2 L1 certified. This key is supported by major management suites and is ideal for both individual and enterprise deployment. Works seamlessly with Gmail, Facebook, GitHub, Dropbox, Coinbase, and more.
- Universal Connectivity (USB-A ): Features a built-in USB-A connector—simply unfold the key and plug it into your compatible PC or laptop for seamless authentication on the go.
- Dedicated Manager App: Use the Thetis Manager App for the initial hardware PIN setup. Setting the PIN on the device first ensures a smooth registration process. Once the PIN is configured, you can begin registering the key across your favorite FIDO2-compatible online services.
- Ultra-Durable & Portable: Featuring a rotating metal cover, this key is water, crush, and tamper-resistant. It fits easily on a keychain and requires no batteries or network connectivity.
- Check FIDO2 compatibility before purchase - Known limitations: ID Austria is not supported (requires FIDO2 Level 2). Windows Hello login only works with Windows Enterprise editions that support Entra ID, and NFC is NOT supported.
- Compruebe los conectores disponibles en los equipos y si los modelos previstos permiten USB o NFC cuando sea necesario.
- Revise la compatibilidad de móviles, estaciones compartidas, navegadores y flujos de inicio de sesión de la VPN.
- Defina si las personas necesitan una llave adicional y cómo se gestionan la pérdida, sustitución y recuperación.
- Pruebe la política con las integraciones y los tipos de dispositivo realmente utilizados antes de una compra a gran escala.
Por ejemplo, Yubico documenta su Security Key Series como compatible con FIDO2/WebAuthn y FIDO U2F, con uso USB o NFC en escritorio y móvil. Esa información confirma las capacidades declaradas de la serie, no la compatibilidad con una VPN o servicio de correo empresarial específico. La compatibilidad de cada integración debe confirmarse por separado.
Fuentes y alcance
Las recomendaciones sobre cobertura y métodos se apoyan en las guías de CISA Require Multifactor Authentication, Implementing Phishing-Resistant MFA, #StopRansomware Guide, Identity and Access Management: Recommended Best Practices for Administrators y Enhanced Visibility and Hardening Guidance for Communications Infrastructure. La definición técnica y la distinción entre WebAuthn y OTP manual se basan en NIST SP 800-63B-4, publicado en julio de 2025; las características de producto citadas proceden de la documentación de Yubico Security Key Series.
Best Value
- Ultra-Compact FIDO2 Security Key - Plug-and-stay or carry on a keychain. This USB-A hardware security key offers portable, always-on protection for desktop and mobile use. (Item Size: 0.75 X 0.74 IN x 0.25 IN)
- USB-A Hardware Key for All Devices - Works with USB-A ports on PC, Mac, Android, and other laptop/notebook device. Enables secure, cross-platform login with FIDO2.0 passkey support.
- FIDO Certified Security Key - Meets FIDO and FIDO2 standards. Works with Google, Microsoft, GitHub, Dropbox, and more. Please check service compatibility before purchase.
- Passwordless Login with Passkey - Supports passkey login via WebAuthn and CTAP2. Enjoy password-free sign-ins where supported. Not all websites or services currently support passkeys.
- Advanced Multi-Factor Authentication - Offers 200 FIDO2 passkey slots and 50 OATH-TOTP slots. Strong, flexible 2FA/MFA support across various apps and authentication platforms.
Las guías de CISA son orientación estadounidense, no requisitos legales universales. La compatibilidad y las políticas regulatorias varían por arquitectura, sector y jurisdicción; las fuentes citadas no establecen una cifra de adopción o eficacia específica para MFA empresarial en correo, VPN y cuentas administrativas.
Quick Recap
Product prices and availability are accurate as of the date/time indicated and are subject to change. Any price and availability information displayed on Amazon at the time of purchase will apply.
