VKT Toolkit · 18 de octubre de 2026 · 6 min de lectura

Cómo proteger con contraseña tus secretos 2FA en el navegador (2026)

Un secret TOTP no es una contraseña. Es la semilla que genera cada código de 6 dígitos de una cuenta. Si alguien lo copia una vez, puede producir códigos válidos para siempre, en cualquier dispositivo y sin que lo notes. Una contraseña filtrada se cambia en un minuto; un secret filtrado se duplica en silencio, y el único remedio es desactivar el 2FA y volver a registrar la cuenta, una por una.

Ese secret vive en el popup de la extensión, a un clic. Sin aviso, sin PIN, sin segundo paso. Cualquiera que se siente en tu equipo sin bloquear, o que copie tu perfil, puede leer la lista. La contraseña maestra opcional de LocalBox2FA existe para ese hueco: esto es lo que hace y cómo usarla sin quedarte fuera.

La segunda llave está en un cajón abierto

El 2FA da por hecho que el segundo factor está donde el atacante no llega. En el móvil, detrás del bloqueo de pantalla. En una extensión, el secret es un valor en chrome.storage.local protegido por tu cuenta del sistema y nada más. En un puesto compartido o un portátil abierto en una sala, esa línea es fina.

LocalBox2FA es deliberadamente pequeño: Manifest V3, un solo permiso (storage) más un permiso de host para el servidor de licencias —contactado solo para activar, validar o desactivar una clave de licencia, nunca con tus datos—, TOTP calculado con Web Crypto dentro del navegador, sin cuenta con nosotros ni analítica. La sincronización entre dispositivos es opcional y está desactivada por defecto; al activarla, los registros sellados se reflejan mediante chrome.storage.sync en tu propia cuenta del navegador y la contraseña maestra permanece en el dispositivo. Eso mantiene los secretos en tu máquina por defecto. No los protege de quien usa tu máquina.

Qué cifra realmente la contraseña maestra

Es opcional y viene desactivada. Al activarla:

• Solo se cifra el campo secret, con AES-GCM y una clave de 256 bits.
• La clave se deriva de tu contraseña con PBKDF2-SHA256, 600.000 iteraciones y una salt aleatoria. La contraseña nunca se guarda.
• El CryptoKey derivado vive solo en la memoria del popup y nunca se escribe en el almacenamiento.

name, digits, period, algorithm y la fecha de alta siguen sin cifrar en el almacenamiento. La separación es intencionada, pero con el bloqueo activo la interfaz oculta la lista entera; de eso trata el siguiente apartado. El cifrado ocurre donde se calculan los códigos: nada sale del dispositivo.

Por qué la escribes cada vez — es intencional

Sin recordarme, sin desbloqueo de 24 horas, sin atajo biométrico. Cada vez que abres el popup, escribes la contraseña.

Piensa qué costaría evitarlo: la extensión tendría que guardar la clave derivada, o una que la abra, de forma permanente. Quien consiguiera ese valor entraría en tu caja fuerte sin contraseña, justo lo que esta función evita. El precio es una escritura por popup; la ventaja, que cerrarlo termina el acceso: un portátil robado con la pantalla bloqueada solo entrega texto cifrado.

Qué pasa con el bloqueo activo

Con el bloqueo activo el popup muestra solo la pantalla de desbloqueo. La lista de cuentas no se renderiza, así que no ves qué servicios tienes guardados hasta desbloquear.

Es el compromiso deliberado. Solo se cifra el secret, pero dibujar la lista revelaría qué cuentas usas; por eso se oculta todo y se pide la contraseña primero. Al desbloquear vuelven los códigos, la búsqueda, el renombrado y la marca 🔐 de los registros cifrados.

Los nombres siguen en claro en el almacenamiento, así que quien copie tu perfil del navegador los lee. Mantenlos aburridos: «Correo del trabajo» está bien; números de cuenta y PIN no pintan nada ahí.

Cómo activarla y desactivarla

Abre el popup, entra en ajustes y define una contraseña maestra. Único requisito: que no esté vacía. Sin longitud mínima, mayúsculas ni símbolos. Decisión consciente del autor: la complejidad empuja a patrones cortos y previsibles; una frase larga que puedas teclear a diario es más útil.

Puedes desactivarla cuando quieras en ajustes. Al hacerlo se borra el material de clave y los registros vuelven al texto en claro.

Registros antiguos: sin migración ni reinicio

No se migra nada, no se vacía nada y no hay que pegar secretos otra vez. La storage key no cambia, así que los registros en claro y los cifrados conviven en la misma lista. Lo que añadas con la protección activa se guarda cifrado; lo anterior sigue funcionando, sin la marca 🔐.

Si olvidas la contraseña: no hay vuelta atrás

AES-GCM no tiene puerta trasera, y no hay enlace de restablecimiento, clave de recuperación ni excepción de soporte. Si olvidas la contraseña, los secretos se pierden; el soporte tampoco puede descifrarlos.

La única salida es Borrar todo: pide confirmación dos veces y elimina todos los registros. Es lo correcto para una herramienta local, y la razón de una costumbre: exporta antes de activar el cifrado. La exportación es gratis y genera un archivo de texto con líneas name:secret. Guárdalo fuera de línea y trátalo como los secretos.

Apunta la contraseña en papel también es razonable: una herramienta local no tiene recuperación de cuenta.

Qué frena esta capa y qué no

Frena a quien abre el icono en tu equipo sin bloquear, a quien lee los valores de un perfil copiado y a un portátil robado sin protección. No frena malware con tus permisos, un keylogger, un proceso que lea la memoria del popup desbloqueado ni a quien sepa tu contraseña; tampoco sustituye al cifrado de disco ni al bloqueo de pantalla.

Es un segundo cerrojo en un cajón, no la puerta de una cámara acorazada.

Preguntas frecuentes

Descubre más herramientas en el catálogo de extensiones VKT o escríbenos a [email protected].