Qué es
Autenticar es comprobar que quien entra es quien dice ser. Establece una
identidad y nada más: no decide qué se le permite hacer adentro. Esa segunda
parte se llama autorización y es un control distinto.
Se apoya en tres tipos de factores: algo que sabes, como una contraseña; algo
que tienes, como el teléfono que recibe el código; y algo que eres, como la
huella. Exigir dos de categorías distintas es el doble factor: no elimina el
riesgo, pero deja de bastar con adivinar una contraseña.
En palabras de contador
Es acreditar quién eres al entrar: antes de que alguien abra un expediente, el
sistema quiere saber a nombre de quién queda lo que haga.
Aquí viene la pareja que casi siempre se confunde: una cosa es acreditar
quién eres y otra distinta qué te dejan hacer. En el despacho todos entran; no
todos pueden firmar ni timbrar. Puedes tener impecable lo primero y flojo lo
segundo. Ahí entra OAuth, el mecanismo con el
que se concede lo segundo sin entregar lo primero.
Ejemplo aplicado
Una cuenta compartida entre cinco personas. Autentica, pero ya no
identifica a nadie: cuando hay que reconstruir quién cargó qué, los
logs repiten siempre el mismo nombre.
La misma contraseña en dos lados. La del sistema del despacho es la de un
servicio externo. Si ese servicio se filtra, quien tenga la lista la
prueba contra tu herramienta y entra como si fuera tu equipo.
El correo como llave maestra. Casi cualquier acceso se recupera por correo.
Si esa cuenta vive con pura contraseña, vale por todas las demás.
Para qué sirve en un despacho
- Saber con nombre y apellido quién entró a cada herramienta y cuándo.
- Poder atribuir a una persona lo que quedó en la bitácora: con cuenta compartida el registro existe, pero no señala a nadie.
- Retirar accesos persona por persona cuando alguien sale.
- Evaluar al proveedor por cómo administra identidades, no solo por su producto.
Riesgos o limitaciones
Ninguna medida alcanza por sí sola. El doble factor encarece suplantar a
alguien, pero no elimina el riesgo: hay campañas de correo armadas para que la
persona entregue el código. Y autenticar bien no compensa permisos mal
repartidos: si una sola cuenta puede todo, basta comprometer una identidad para
que la trazabilidad señale a quien no
actuó.
Algo que no cambia: aunque la herramienta procese la información, la
responsabilidad sobre los datos de tus clientes es del despacho. El proveedor
administra el acceso; el secreto profesional es tuyo.
Buena práctica
Antes de contratar, pregunta y guarda las respuestas por escrito: ¿un usuario
por persona o hay que compartir cuenta? ¿Hay segundo factor y puedo exigirlo a
todo el equipo? ¿Puedo retirar a alguien y comprobar que quedó fuera? ¿Los
permisos se separan por perfil?
Adentro, lo que sí controlas: una cuenta por persona, un gestor de contraseñas
en vez de claves repetidas, revisión de accesos cuando alguien entra o sale y
el correo del despacho tratado como la puerta de todas. Súmale
cifrado en lo que se guarda: son controles
que se acompañan.
Preguntas frecuentes
¿Basta con una contraseña larga? Ayuda, pero no basta: se filtra por vías
que no dependen de su longitud; para eso está el segundo factor.
Se fue alguien del equipo, ¿por dónde empiezo? Por la lista de lo que tenía
a su nombre: correo, portales, herramientas. Si no existe, armarla es el primer
trabajo.
El proveedor me ofrece "entrar con Google", ¿eso qué implica? Que la
identidad la acredita Google y la herramienta solo recibe la confirmación, sin
ver tu contraseña. Ese inicio de sesión monta una capa de identidad sobre
OAuth; si además pide leer tu correo, eso ya
es permiso: otra decisión.
Términos relacionados
Conexión NexFiscal
En NexBot este punto se resolvió en un detalle concreto: el identificador del usuario no se guarda en claro. De cada identidad queda una huella criptográfica y nada más, de modo que el sistema reconoce que se trata del mismo usuario sin conservar quién es. Conviene nombrarlo con precisión: eso es seudonimización, no anonimización, porque la huella sigue distinguiendo a una persona de otra, y por eso vale preguntar cómo se genera y qué más se guarda junto a ella. Esa es la conversación que conviene tener con cualquier proveedor al que le vayas a dar acceso: qué conserva de tu identidad, en qué forma, con qué se puede cruzar y por cuánto tiempo.
Escrito y revisado por Ernesto Sobrino, contador.
Última revisión: 24 de agosto de 2026.