Activar la verificación en dos pasos se convirtió en el primer escalón de defensa para quienes buscan proteger su cuenta de Instagram, según la guía oficial de configuración que la propia aplicación pone a disposición de los usuarios dentro del menú Configuración, en el apartado Cuenta de Meta, bajo la denominación Inicio de sesión y seguridad.

Una vez habilitada esa capa adicional, cualquier intento de acceso desde un dispositivo no reconocido dispara automáticamente una solicitud de código extra, de manera tal que conocer la contraseña alcanza para vulnerar el perfil; el segundo factor, en cambio, obliga a quien intenta ingresar a contar también con esa clave temporal.

Tres caminos para configurar el segundo factor

• Vincular una aplicación de autenticación, como Duo Mobile o Google Authenticator, que genera códigos temporales y permite asociar varios dispositivos al mismo perfil. Esta alternativa sólo está disponible en las versiones de Instagram para Android e iPhone.
• Recibir el código por SMS o por WhatsApp al número de teléfono registrado en la cuenta.
• Generar códigos de respaldo de antemano, una opción pensada para los casos en los que el usuario pierde acceso a su teléfono o a su correo y no puede recibir el código habitual.

En criollo: la app de autenticación funciona como una calculadora de claves que cambia cada treinta segundos y que sirve aunque no haya señal de celular, porque las claves se generan adentro del teléfono.

Para poner en marcha el esquema, la plataforma exige activar al menos uno de los dos primeros métodos; los códigos de respaldo, en cambio, operan como complemento y no alcanzan por sí solos para iniciar la verificación en dos pasos.

Dispositivos de confianza, alertas y revisión de sesiones

Una vez configurado el segundo factor, el sistema permite marcar equipos como dispositivos de confianza: en esos aparatos la plataforma deja de pedir el código en los ingresos posteriores. La advertencia es clara y apunta a no aplicar esa etiqueta en computadoras públicas o compartidas, porque hacerlo volvería inútil la protección adicional.

Cada vez que alguien intenta ingresar a la cuenta desde un equipo o navegador desconocido, la aplicación envía una alerta con el tipo de dispositivo y la ubicación aproximada del intento, y desde cualquier sesión activa se puede aprobar o rechazar ese acceso en el momento.

El historial de los ingresos recientes también puede consultarse en Configuración, sección Actividad de inicio de sesión, y si alguno no resulta reconocible, la plataforma permite cerrar esa sesión específica y reportarla.

Para los casos en los que se sospecha que una cuenta pudo haber sido comprometida, existe una comprobación rápida de seguridad que guía al usuario por los pasos básicos: revisar la actividad reciente, verificar los datos del perfil, confirmar qué cuentas comparten credenciales y actualizar teléfono y correo de recuperación.