WhatsApp empezó a reforzar la verificación en dos pasos sustituyendo el antiguo PIN de seis dígitos por una contraseña más completa. Meta anunció el cambio el 25 de agosto de 2026: la nueva credencial puede ser más larga, alfanumérica e incluir caracteres especiales. Al mismo tiempo, las claves de acceso, o passkeys, siguen siendo un mecanismo de seguridad diferente, vinculado al bloqueo del propio dispositivo.
En la práctica, PIN, contraseña y passkey no pasan a ser lo mismo. El PIN es el formato heredado de la verificación en dos pasos; la contraseña asume esa función con un secreto más difícil de adivinar; y la passkey utiliza una credencial criptográfica protegida por el dispositivo. El Centro de ayuda de WhatsApp describe el proceso como una actualización del PIN a una contraseña e indica que quienes todavía usan PIN pueden migrar cuando la opción esté disponible en su cuenta.
Qué cambió en la verificación en dos pasos de WhatsApp
La verificación en dos pasos es una capa opcional diseñada para dificultar el robo de la cuenta incluso si alguien consigue el código de registro de un solo uso. Antes de esta actualización, el secreto adicional era un PIN numérico de seis dígitos. Ahora WhatsApp admite una contraseña más larga, con letras, números y caracteres especiales, lo que amplía mucho el número de combinaciones posibles.
- El PIN de seis dígitos está en transición: las cuentas que todavía lo usan pueden seguir viendo ese formato hasta que se actualicen.
- La contraseña pasa a ser la credencial de la verificación en dos pasos: no es el mismo código de seis dígitos enviado por SMS, llamada o, en algunos casos, correo electrónico.
- El correo y los dispositivos de confianza siguen siendo importantes: en la configuración de verificación en dos pasos, WhatsApp permite gestionar la contraseña, actualizar el correo y revisar los dispositivos de confianza.
- La passkey es distinta: usa la biometría o el bloqueo de pantalla del dispositivo y puede facilitar un nuevo acceso sin depender de códigos o PIN.
PIN vs. contraseña vs. passkey: qué hace cada uno
| Mecanismo | Finalidad | Cuándo se solicita o usa | Recuperación o gestión | Riesgo que ayuda a reducir |
|---|---|---|---|---|
| PIN de 6 dígitos | Formato heredado de la verificación en dos pasos. | Después de confirmar el número, en los flujos que activan la verificación en dos pasos; las cuentas que aún usan el formato anterior también pueden recibir recordatorios periódicos para introducir el PIN. | Un correo verificado puede ayudar a restablecerlo. En situaciones concretas, como un número con propietario anterior o la falta de la credencial, puede haber una espera de hasta siete días antes de restablecer el método. | Dificulta que el código de registro de un solo uso sea suficiente por sí solo para tomar la cuenta. |
| Contraseña | Nueva credencial más fuerte de la verificación en dos pasos que sustituye al PIN. | En los flujos en los que WhatsApp solicita autenticación adicional después de confirmar el número o durante un nuevo registro, según la configuración de la cuenta. | El Centro de ayuda ofrece un flujo para contraseña olvidada y permite gestionar la contraseña, el correo y los dispositivos de confianza en la configuración de verificación en dos pasos. | Reduce el riesgo de adivinar un secreto corto y refuerza la protección incluso si se expone el código de registro. |
| Passkey | Credencial criptográfica vinculada al sistema de seguridad del dispositivo. | Al volver a iniciar sesión en WhatsApp o registrar la cuenta en un dispositivo compatible, si la passkey está configurada y se ofrece. | La passkey se gestiona desde el dispositivo y su gestor de credenciales; para cambiarla, WhatsApp indica que hay que eliminar la actual y crear otra. Meta también permite ahora más de una passkey en una cuenta. | Reduce la dependencia de secretos escritos y de códigos que pueden compartirse o capturarse en estafas. |
La nueva contraseña no es el código de seis dígitos que llega por SMS
Esta distinción evita una de las confusiones más comunes. El código de registro confirma que controlas el número de teléfono y cambia con cada nuevo intento de registro. La contraseña de la verificación en dos pasos es una protección adicional configurada para la cuenta. El Centro de ayuda diferencia explícitamente el PIN de la verificación en dos pasos del código recibido por SMS o llamada.
Para cuentas existentes, puede ofrecerse un código de verificación por correo electrónico si la dirección se añadió y verificó anteriormente, pero el dispositivo todavía necesita una SIM activa con el número asociado. En el primer registro de una cuenta, la confirmación se realiza por SMS o llamada. En cualquier caso, no compartas códigos de registro que no hayas solicitado; WhatsApp recomienda mantenerlos en privado.
Cómo reforzar la protección sin desactivar funciones
- Actualiza WhatsApp: usa la versión más reciente disponible en la tienda de tu dispositivo para recibir los controles de seguridad más nuevos.
- Abre la configuración de la cuenta y revisa la verificación en dos pasos: si aparece la opción para actualizar el PIN a una contraseña, elige una contraseña larga, única y que no reutilices en otros servicios.
- Mantén un correo verificado: en Configuración > Cuenta > Dirección de correo electrónico, confirma una dirección a la que realmente tengas acceso. Puede ayudar en los procesos de verificación y recuperación previstos por WhatsApp.
- Revisa los dispositivos de confianza: la configuración de verificación en dos pasos permite revisar esa lista. Si sospechas una intrusión, revisa también los dispositivos vinculados a la cuenta.
- Configura una passkey cuando esté disponible: en Configuración > Cuenta > Claves de acceso, sigue el flujo del dispositivo. La documentación de WhatsApp explica que una passkey usa huella digital, reconocimiento facial o bloqueo de pantalla y está protegida criptográficamente.
- No uses la passkey como motivo para desactivar la verificación en dos pasos: las funciones protegen partes diferentes del acceso y funcionan mejor como capas complementarias.
Qué cambia para quien ya tenía un PIN
Si ya usabas un PIN, no debes asumir que la protección desaparece de un día para otro. El Centro de ayuda afirma que WhatsApp está actualizando el PIN de seis dígitos a una contraseña y que los usuarios con PIN pueden migrar. Como la documentación todavía usa un lenguaje de transición, no cabe esperar que todas las cuentas muestren exactamente la misma pantalla al mismo tiempo.
Hasta que aparezca la opción, mantén el PIN activado, el correo actualizado y la aplicación al día. Cuando la migración esté disponible, elige una contraseña fuerte en vez de recrear el antiguo patrón numérico dentro del nuevo campo.
Las passkeys siguen siendo diferentes de las contraseñas
Una passkey no es una contraseña guardada dentro de WhatsApp. Es una credencial criptográfica conectada al sistema de seguridad del dispositivo y normalmente se desbloquea con biometría, reconocimiento facial o el código de bloqueo de pantalla. Según Meta, más de mil millones de personas ya configuraron una clave de acceso en WhatsApp, y ahora quienes usan dispositivos Android e iOS pueden añadir más de una passkey a la misma cuenta.
Esto también ayuda a explicar por qué las passkeys suelen resistir mejor el phishing: no existe un secreto equivalente a una contraseña que se pueda copiar y enviar a un estafador. Aun así, dependen de la seguridad del dispositivo, de la cuenta del gestor de credenciales y del bloqueo de pantalla, por lo que esos elementos también deben estar protegidos.
Si olvidaste la contraseña o sospechas que tomaron tu cuenta
Si el problema es solo una contraseña olvidada, utiliza el flujo oficial de recuperación de WhatsApp y confirma que el correo y los dispositivos de confianza de la cuenta siguen bajo tu control. Evita probar combinaciones al azar de forma repetida.
Si sospechas un robo de la cuenta, el procedimiento es distinto. WhatsApp indica que debes volver a registrar el número con el código de seis dígitos recibido por SMS o llamada. Al completar ese registro, se cierran las sesiones de otros dispositivos que estén usando la cuenta. La propia documentación de WhatsApp también aclara que cambiar solo la contraseña no elimina a alguien que ya tomó el control de la cuenta.
En algunos casos, si la verificación en dos pasos exige una credencial que no conoces, puede ser necesario esperar siete días antes de volver a intentarlo. Aun así, después de introducir correctamente el código de registro, la persona que estaba usando la cuenta queda desconectada. Y si recibes un código de verificación que no solicitaste, no lo compartas.
Checklist práctico
- Si tu cuenta todavía usa PIN, actualízalo a una contraseña cuando WhatsApp ofrezca la opción.
- Elige una contraseña larga, única y diferente de las usadas en otros servicios.
- Confirma un correo de recuperación que controles.
- Añade una o más passkeys en dispositivos compatibles si encaja con tu rutina.
- Nunca compartas códigos de registro recibidos por SMS, llamada o correo electrónico.
- Si sospechas que tomaron tu cuenta, vuelve a registrar el número y revisa los dispositivos vinculados.
El cambio principal de 2026 es sencillo: la verificación en dos pasos deja de depender solo de un secreto numérico corto y puede usar una contraseña más robusta. Las passkeys no sustituyen automáticamente esa protección; ofrecen una forma distinta, basada en el dispositivo, de demostrar que eres tú. Para la mayoría de las personas, la configuración más segura es mantener activa la verificación en dos pasos, usar una contraseña fuerte, mantener actualizado el correo y añadir passkeys en los dispositivos de confianza.
