Si alguna vez ha perdido un smartphone con Google Authenticator y luego restauró manualmente decenas de cuentas, entenderá por qué se creó 2FAuth. Es un proyecto del tipo «me lo hice para mí y resultó útil para todos». El autor estaba cansado de depender de nubes, de interminables códigos QR y de que las contraseñas de un solo uso vivieran solo en el teléfono. Como resultado surgió una interfaz web propia para la autenticación de dos factores: minimalista, independiente y totalmente bajo su control.
Sentido y filosofía de 2FAuth
En esencia, 2FAuth es una alternativa personal a aplicaciones como Google Authenticator, Aegis o Authy, pero que funciona en el navegador y se despliega en su propio servidor. Se puede usar en escritorio, portátil o smartphone, sin preocuparse de que una actualización de iOS borre todos los tokens.
La idea principal es simple: almacenar los secretos OTP en su propia base de datos, no en alguna nube. No es solo paranoia: es una higiene consciente. 2FAuth es para quienes quieren recuperar el control de sus códigos y dejar de sentir que «todo depende de un solo teléfono».
Interfaz sin estridencias
Una de las razones por las que el desarrollador se puso manos a la obra fue el cansancio ante interfaces donde todos los tokens parpadean y cuentan los segundos hasta reiniciarse, como si fueran temporizadores de una bomba. 2FAuth propone un enfoque mucho más tranquilo: solo ve lo que necesita y cuando lo necesita. Puede agrupar cuentas en carpetas, buscar con comodidad, copiar el código con un clic, y todo esto sin estrés ni agitación.
Visualmente la interfaz es limpia, concisa y diseñada para ser multiplataforma. Funciona en navegadores móviles y de escritorio, y también mediante Docker, si desea ejecutar todo «dentro de una caja de cristal».
Funciones y capacidades
En el interior, 2FAuth ofrece el conjunto completo que necesita un generador moderno de códigos:
- Soporte de TOTP y HOTP según RFC 4226 y RFC 6238, además de generación de códigos Steam Guard;
- Escaneo de códigos QR directamente desde el navegador: añadir nuevas cuentas toma segundos;
- Añadir manualmente: si el código QR no está disponible, hay un formulario avanzado con los parámetros necesarios;
- Editar entradas ya importadas, incluyendo importación desde otras aplicaciones (Google Auth, Aegis, 2FAS);
- Localización de la interfaz (por ahora inglés y francés, pero se pueden añadir traducciones mediante Crowdin);
- Agrupación de cuentas y filtrado: cuando hay muchos tokens, evita el caos.
Todos los datos se almacenan en su base: Laravel es compatible con MySQL, PostgreSQL, SQLite y otros motores, por lo que las limitaciones son mínimas.
Seguridad: no es solo una formalidad
2FAuth no pretende ser un monstruo corporativo, pero las medidas básicas están bien implementadas. La aplicación está pensada para un solo usuario, por lo que no existe el riesgo de abrir acceso accidentalmente «a toda la oficina». La autorización puede ser por contraseña o por llave física (YubiKey, Titan), y además se puede desactivar por completo el formulario de inicio de sesión estándar. Eso es inusual en proyectos de código abierto de esta clase.
La base de datos puede cifrarse. Basta activar la opción de cifrado y guardar el valor APP_KEY del archivo .env. Esa cadena convierte sus tokens en basura incomprensible para quien acceda a la base. Y sí, 2FAuth cierra sesión automáticamente tras un periodo de inactividad: un detalle pequeño, pero agradable.
Instalación: sin complicaciones
Instalar 2FAuth se puede hacer de varias maneras, aunque la mayoría opta por Docker. Ejecutar con docker compose lleva un par de minutos: copiar el repositorio, configurar las variables de entorno y listo. Incluso existe un contenedor disponible en Docker Hub. Para quienes prefieren el enfoque manual, siguen funcionando los métodos clásicos en PHP: Laravel 8+ y cualquier base de datos compatible.
Y si desea probar sin desplegar, existe una versión de demostración con usuario demo@2fauth.app y contraseña demo. Puede explorar la interfaz sin romper ni configurar nada.
Importación y migración: nos vamos sin dramas
El traslado desde otras aplicaciones 2FA se organiza de la forma menos dolorosa posible. Puede importar datos desde el export JSON de Aegis, 2FAS Auth o el formato propio de 2FAuth. Incluso Google Authenticator se soporta parcialmente mediante códigos QR. En la práctica, la migración consiste en leer o subir el archivo necesario y todo funciona como antes, solo que ahora en su servidor.
La copia de seguridad también es facilísima: la base de datos más el archivo .env constituyen una imagen completa del proyecto. En caso de fallo o cambio de dispositivo, la restauración toma minutos, no días.
Quién se beneficiará de 2FAuth
Esta solución es ideal para quienes ya viven en el ecosistema del self-hosting: usan su propio Nextcloud, Vaultwarden, Bitwarden RS o Plausible. 2FAuth complementa perfectamente esa pila: usted controla sus datos y no depende de las políticas de Google o Microsoft.
También conviene a administradores y desarrolladores que manejan decenas de tokens para distintos servicios. Guardar todo eso en un solo smartphone no solo es incómodo, sino arriesgado. Aquí puede separar cuentas laborales y personales, cifrar la base e incluso alojar el servidor tras una VPN o Tor.
Desventajas y limitaciones
Por supuesto, no todo es perfecto. La aplicación está pensada para un solo usuario: no soporta múltiples cuentas. Esto tiene sentido, pero puede alejar a quien busca un «panel corporativo» para un equipo. Otro punto es la configuración manual de HTTPS y de las actualizaciones si no usa Docker. Para un usuario experimentado no es un problema, sino más bien un pasatiempo.
De vez en cuando aparecen pequeños fallos en la interfaz o en el escáner de QR en navegadores móviles, pero el proyecto está en activo y el autor acepta solicitudes de extracción. La licencia es AGPL-3.0, así que se puede bifurcar y mejorar libremente.
Conclusión: un pequeño héroe en el mundo de la autenticación de dos factores
2FAuth es uno de esos casos en los que el código abierto resuelve un problema real, no solo «para que exista». Una idea sencilla, ejecutada con atención al detalle: alojamiento propio, cifrado, Docker, YubiKey, importación desde aplicaciones populares y una interfaz tranquila sin temporizadores que corren. Todo esto hace de 2FAuth una excelente opción para quien quiere gestionar su autenticación de dos factores sin depender del smartphone y con menos estrés.
Se puede decir que es una especie de «anti-Google Authenticator»: sin anuncios, sin nubes, sin sorpresas. Solo usted, sus tokens y su servidor. Y si pierde el smartphone, esta vez solo abrirá el navegador y entrará con calma.
