Capítulo 7: Quien eres en internet.

En los capítulos anteriores hemos visto dónde vive el software, cómo se conectan las herramientas, cómo guardan tus datos y qué ocurre por dentro cuando pulsas un botón. Hoy abordamos la pregunta que el software se hace antes que cualquier otra, cada vez que apareces: ¿y tú quién eres?

Parece una pregunta trivial. Metes tu correo, metes tu contraseña, entras. Pero por debajo de ese gesto que repites veinte veces al día ocurre uno de los procesos más importantes y peor entendidos de toda la tecnología. Entenderlo no es un capricho técnico: es la diferencia entre proteger tu negocio o dejar la puerta abierta sin saberlo.

1. Las dos preguntas que el software siempre se hace.

Cuando accedes a cualquier herramienta, el sistema necesita resolver dos cosas distintas, y confundirlas es el origen de la mayoría de los problemas de seguridad.

La primera pregunta es la autenticación: ¿eres quien dices ser? Es el control del portero en la puerta de una discoteca: comprueba que tu carné es de verdad y que la foto eres tú. En el software, ese carné es tu contraseña, tu huella o el código que te llega al móvil.

La segunda pregunta es la autorización: vale, ya sé quién eres, pero ¿qué tienes permiso para hacer aquí dentro? Una vez has pasado la puerta, no todos los que están dentro pueden entrar a la zona VIP ni a la oficina del dueño. En el software ocurre igual: un empleado puede ver facturas pero no borrarlas, un administrador puede cambiar configuraciones que el resto no toca.

Autenticación es saber quién eres. Autorización es saber qué puedes hacer. Un buen software gestiona las dos cosas por separado y con cuidado. Un software mediocre las mezcla, y ahí es donde empiezan los desastres: cuentas que pueden hacer mucho más de lo que deberían, sin que nadie se diera cuenta.

2. La contraseña: el peor sistema de seguridad, salvo todos los demás.

La contraseña es el método de identificación más antiguo y más odiado de internet, y sin embargo seguimos dependiendo de ella. El problema no es la contraseña en sí, sino cómo la usamos.

Aquí conviene entender algo que cambia la perspectiva: un software bien construido nunca guarda tu contraseña tal cual la escribes. Si lo hiciera, cualquiera con acceso a su base de datos podría leerla. En su lugar, la transforma mediante un proceso matemático en una especie de huella ilegible e irreversible. Cuando vuelves a entrar, el sistema vuelve a transformar lo que escribes y compara las dos huellas. Nunca compara la contraseña real, porque nunca la tiene guardada.

¿Por qué te importa esto a ti, que no eres programador? Porque te da una herramienta de evaluación. Cuando una empresa sufre una brecha y te dice "tus contraseñas estaban cifradas y no corren peligro", está diciendo que hizo los deberes. Cuando una empresa te envía tu propia contraseña por correo en texto legible, te está confesando, sin saberlo, que la guarda mal y que su seguridad es un coladero. Esa segunda empresa no merece tus datos.

La regla práctica para tu negocio: una contraseña distinta para cada servicio importante y un gestor de contraseñas que las recuerde por ti. Reutilizar la misma contraseña en cinco sitios significa que la brecha de cualquiera de los cinco te abre los otros cuatro.

3. El sello en la mano: qué es una sesión y por qué no tienes que loguearte cada vez.

Aquí hay algo que casi nadie se plantea: si la autenticación ocurre al entrar, ¿por qué no tienes que meter la contraseña en cada página que visitas dentro de la herramienta? ¿Cómo te "recuerda" el software mientras navegas?

La respuesta vuelve a la discoteca. Cuando pasas el control, no te hacen enseñar el carné en cada sala. Te ponen un sello en la mano. A partir de ahí, te mueves libremente y cada portero interno solo mira el sello.

En el software, ese sello es la sesión. Una vez te has autenticado, el sistema te entrega una credencial temporal (técnicamente, un token) que tu navegador guarda y enseña automáticamente en cada petición. El servidor ve el sello, sabe que eres tú y te deja pasar sin volver a preguntar.

Esto explica varias cosas de tu día a día. Explica por qué, si tardas mucho sin hacer nada, el software te echa y tienes que volver a entrar: el sello caduca por seguridad. Explica por qué cerrar sesión es importante en un ordenador compartido: si te vas sin borrar el sello, el siguiente que se siente entra como si fuera tú. Y explica por qué ese aviso de "cerrar sesión en todos los dispositivos" existe: es la forma de invalidar todos los sellos repartidos de golpe, por si alguno cayó en malas manos.

4. La segunda llave: por qué el doble factor lo cambia todo.

Llegamos al concepto que, si te llevas solo una cosa de este capítulo, debería ser esta. La contraseña tiene un defecto de origen: es algo que sabes, y todo lo que sabes se puede robar, adivinar o filtrar. La solución no es una contraseña más larga. Es añadir una segunda llave de naturaleza distinta.

Eso es la verificación en dos pasos (o doble factor, o 2FA). La idea es combinar dos tipos de prueba diferentes: algo que sabes (la contraseña) con algo que tienes (tu móvil, donde llega un código) o algo que eres (tu huella o tu cara). Para entrar hacen falta las dos. Un atacante puede robarte la contraseña desde la otra punta del mundo, pero no puede robarte el móvil que tienes en el bolsillo al mismo tiempo.

Esto no es teoría. En los grandes robos de cuentas de los últimos años, el patrón se repite hasta el aburrimiento: las cuentas que caen son casi siempre las que solo tenían contraseña, y las que resisten son las que tenían activado el doble factor. Es, con diferencia, la medida de seguridad con mejor relación entre esfuerzo (un minuto de configuración) y protección (enorme).

Si en tu negocio solo vas a hacer una cosa después de leer esto, que sea esta: activa la verificación en dos pasos en tu correo, tu banca, tu gestoría online y tu software de gestión. Hoy, no mañana.

Lección Final: tu identidad es el verdadero perímetro.

Durante años se pensó que proteger un negocio digital consistía en levantar un muro alrededor de los sistemas: cortafuegos, antivirus, redes cerradas. Pero el trabajo remoto, la nube y las herramientas online han disuelto ese muro. Hoy tus datos no están detrás de una pared; están en servicios a los que se accede desde cualquier sitio con la credencial correcta.

Esto significa que el nuevo muro de tu negocio no es un sitio físico: es tu identidad. La pregunta de seguridad más importante ya no es "¿está protegida mi red?", sino "¿quién puede demostrar que es yo, y qué puede hacer una vez dentro?".

Cada contraseña débil, cada cuenta sin doble factor y cada permiso de administrador regalado a quien no lo necesita es una grieta en ese muro. No hace falta ser técnico para cerrarlas. Hace falta entender que, en internet, tú no eres tu nombre. Eres la prueba de que puedes demostrarlo. Protégela como lo que es: la llave de todo lo demás.