Verificación en dos pasos y sesiones

Resultado

Tu llave maestra pide dos cerraduras, tus códigos de respaldo están fuera del teléfono, tu agencia cierra las sesiones olvidadas y controlas el gafete de soporte de HighLevel.

Tiempo estimado

35 minutos

Costo

US$ 0. Esta lección no consume saldo.

Analogía

Guía paso a paso

Las rutas van como aparecen con la interfaz en inglés. Si tu cuenta está en español, verás entre paréntesis el nombre que muestra HighLevel, que a veces deja rótulos en inglés.

1. 01

   Comprueba tu segunda cerradura

   Settings → My Profile → SecurityCopiar ruta

   En tu cuenta en español: Configuración → Mi perfil → Seguridad

   Desde la vista de agencia, abre Settings → My Profile → Security. Es la pestaña de la misión 1.

   Busca la sección Two-factor Authentication (2FA) App. Si todavía ves el botón Setup Two-factor Authentication (2FA) App, tu app no está configurada: hazlo hoy, como en la misión 1.

   Si ya está activa, la sección lo muestra. Esa es la pantalla de tu captura 1.

   Abre tu app de autenticación y confirma que tiene la entrada de HighLevel. Puede aparecer con el nombre de tu agencia.

   Si alguien más tiene usuario en tu cuenta, pregúntale hoy si ya activó la suya y anótalo. Cada persona la activa en su propio perfil, también dentro de una sub-cuenta.

   Claves

   • La verificación es de cada usuario. Solo la persona conectada puede configurar su app; un administrador no puede hacerlo por otra, ni entrando como ella con Login As.
   • HighLevel no documenta un interruptor para exigirla a todo tu equipo, y en Advanced Settings de tu agencia no hay uno. Los usuarios lo piden en el tablero de ideas de HighLevel, donde sigue como «Planned».
   • Por eso tu política es una regla más una revisión: pides que cada quien la active y revisas que lo haya hecho.
   • Esto no es solo un consejo de AXIS. Los Términos de HighLevel (junio de 2026) te hacen responsable de activar la verificación en tu cuenta y en las de todos tus usuarios. Si una brecha viene de no hacerlo, HighLevel no responde.
   • Por qué una app: CISA deja los códigos por SMS como último recurso, y NIST restringe el SMS y no acepta el correo como segundo factor.
   • Aun así, ningún código de seis dígitos frena solo un engaño por phishing. La verificación reduce el riesgo; no lo borra.
   • Con la interfaz en español, la ruta es «Configuración → Mi perfil → Seguridad» y la sección se llama «Aplicación de autenticación de dos factores (2FA)».

   Fuente: F1, F2, F3, F14, F15

2. 02

   Saca tus códigos de respaldo del teléfono

   Settings → My Profile → SecurityCopiar ruta

   En tu cuenta en español: Configuración → Mi perfil → Seguridad

   Ubica dónde quedaron los 10 códigos de respaldo de la misión 1.

   Si están en una foto, una nota o un chat del mismo teléfono que tiene la app, muévelos hoy. HighLevel pide guardarlos en un lugar seguro separado de tu contraseña: impresos bajo llave, o en un gestor de contraseñas distinto del que guarda tu contraseña de HighLevel.

   Si ya usaste alguno, si los perdiste o si alguien los vio, genera un juego nuevo en esta misma pestaña Security.

   Revisa también si guardaste una captura del código QR del primer día, en tu galería o en tu correo. Si existe, bórrala. Si estuvo en un correo, un chat o una carpeta en la nube, trata la clave como vista: vuelve a configurar la app en Security para que cambie.

   Antes de cambiar de celular, pasa tus códigos con la función de tu app. Google Authenticator los sincroniza con tu cuenta de Google o los exporta; Microsoft Authenticator los respalda en la nube para un teléfono del mismo sistema.

   Para tu evidencia, anota solo el lugar: «impresos bajo llave» o «gestor aparte de mi contraseña». Nunca escribas los códigos.

   Claves

   • Si pierdes el teléfono, un código de respaldo es la única entrada que documenta HighLevel. Cada código sirve una vez.
   • Si pierdes el teléfono y también los códigos, HighLevel no documenta qué pasa. Es justo el día en que no quieres averiguarlo.
   • El código QR de configuración es tu clave en forma de imagen. Quien vea una foto de él puede generar tus códigos, así que nunca va en una captura ni en un chat.
   • Si pierdes el teléfono, lo primero es que nadie use los códigos que guarda: bloquéalo o bórralo a distancia. Luego entra con un código de respaldo. Si no pudiste borrarlo o tu app no tenía respaldo, vuelve a configurar la app en Security; si lo borraste, recupera tus códigos con el respaldo de tu app.
   • Si además cambias de número, HighLevel pide un código por un canal ya verificado antes de actualizarlo. Nunca manda ese código al número nuevo.

   Fuente: F1, F4, F16, F17, F18, F13

   1Bloquea o borra el teléfono a distancia

   2¿Tienes tus códigos de respaldo fuera del teléfono?

   Sí

   Entra con un código de respaldoSi borraste el teléfono, recupera la app con su respaldo; si no, vuelve a configurarla en Security

   Genera códigos nuevos y usa Sign Out Everywhere

   No

   Contacta al soporte oficial de HighLevelHighLevel no documenta este caso; AXIS Tutor redacta el mensaje

   Antes de cambiar de celular

   Pasa los códigos con el respaldo o la exportación de tu appNunca fotografíes el QR

   Settings → My Profile → Security

3. 03

   Ten a mano la salida de emergencia

   Settings → My Profile → SecurityCopiar ruta

   En tu cuenta en español: Configuración → Mi perfil → Seguridad

   En la misma pestaña Security, ubica Sign Out Everywhere. Cierra tus sesiones en todos los dispositivos, incluida la que estás usando.

   Úsalo si pierdes la laptop o el teléfono, si entraste desde una computadora que no controlas o si alguien pudo ver tu contraseña.

   Si sospechas de tu contraseña, el orden es este: primero la cambias en la sección Password con Update password; después pulsas Sign Out Everywhere.

   Hoy no necesitas pulsarlo. Solo ubícalo, para no buscarlo el día que lo necesites.

   Claves

   • Según la ayuda de HighLevel, cambiar la contraseña en la web «puede» cerrar tus otras sesiones; en la app móvil, las cierra todas. Por eso, después del cambio, usa Sign Out Everywhere.
   • Para la contraseña, HighLevel exige al menos 12 caracteres, con mayúsculas, minúsculas, números y un símbolo, y rechaza la que no cumple. Pide además que no la uses en ninguna otra cuenta. NIST pide 15 para una contraseña que va sola. Una frase larga de 15 caracteres o más, con esos elementos y guardada en tu gestor, cumple con los dos.
   • Con Login As, un administrador de agencia entra a una sub-cuenta como uno de sus usuarios, sin su contraseña, y lo que hace queda a nombre de ese usuario. Tu llave maestra abre todas las demás: protégela primero.
   • Un administrador de agencia también puede sacar a un usuario de todas sus sesiones: entra como él con Login As y usa Sign Out Everywhere. Lo usas en la lección 3, cuando alguien deja tu equipo.
   • Tu usuario es solo tuyo. Los Términos de HighLevel te hacen responsable de todo lo que se haga con tu acceso, lo hayas autorizado o no.
   • Quien trabaje contigo recibe su propio usuario. En la lección 2 le das solo los permisos que necesita.
   • Con la interfaz en español verás «Cerrar sesión en todas partes» y, en «Contraseña», el botón «Actualizar la contraseña».

   Fuente: F5, F4, F6, F12, F14, F3

4. 04

   Haz que la puerta se cierre sola

   Settings → Company → Advanced SettingsCopiar ruta

   En tu cuenta en español: Configuración → Empresa → Advanced Settings

   Desde la vista de agencia, abre Settings → Company y entra a la pestaña Advanced Settings.

   Busca Session Timeout. Si alguien queda inactivo el tiempo que elijas, HighLevel cierra su sesión y tendrá que volver a entrar.

   Las opciones son 15 min, 1 hrs, 4 hrs, 8 hrs, 12 hrs, 1 day, 2 days, 3 days y Never. Viene en Never.

   AXIS recomienda 1 hrs como regla general. Si en tu negocio hay una computadora que usan varias personas, como la de recepción, elige 15 min.

   Guarda el cambio y anota en tu registro el valor que elegiste y por qué.

   Claves

   • HighLevel recomienda de 30 a 60 minutos para la mayoría de las agencias, pero su lista salta de 15 minutos a 1 hora. Una hora también es el techo de inactividad de NIST.
   • OWASP sugiere de 15 a 30 minutos para aplicaciones de bajo riesgo, y HighLevel presenta este ajuste como especialmente útil en equipos compartidos. Por eso, en una computadora compartida va el valor más corto.
   • Es un solo ajuste para toda tu agencia. HighLevel dice que Advanced Settings afecta a la agencia y a sus sub-cuentas, pero no lo dice de Session Timeout por nombre ni habla de la app móvil.
   • Un tiempo corto te pide entrar más seguido, con tu código. Es el precio de que ninguna sesión olvidada pase la noche abierta.
   • En Never, la computadora de recepción de la escena seguiría abierta con la llave maestra de Alba.

   Fuente: F7, F8, F14, F19

5. 05

   Revisa el gafete de visitante

   Settings → Company → Advanced SettingsCopiar ruta

   En tu cuenta en español: Configuración → Empresa → Advanced Settings

   En la misma pestaña Advanced Settings, busca Support Access. Permite que el equipo de HighLevel entre a tu cuenta para resolver un problema, hasta una fecha.

   Si está encendido, dice hasta qué día puede entrar soporte, con dos botones: Extend access y Revoke access.

   Si no tienes ningún caso abierto con el soporte de HighLevel, pulsa Revoke access y vuelve a pulsarlo para confirmar.

   Si tienes un caso abierto, déjalo hasta que se cierre y anota la fecha de vencimiento en tu registro.

   Más arriba, en Enhanced Security, revisa que Enhanced Account Security diga Enabled. Si dice Disabled, pregúntale a AXIS Tutor antes de encenderlo: puede afectar integraciones con las API antiguas de HighLevel.

   Toma tu captura 2: Session Timeout con tu valor y Support Access a la vista, con la pestaña del navegador.

   Claves

   • Support Access no es una llave de tu equipo: es un gafete temporal para HighLevel, aparte de tus usuarios. Al revocarlo, el acceso se bloquea en ese momento.
   • La propia ayuda de HighLevel pide encenderlo solo mientras hace falta y dejar que venza. Puede que lo encuentres encendido con una fecha lejana, aunque no recuerdes haberlo activado: por eso se revisa.
   • Solo un usuario de agencia puede abrir un caso con el soporte de HighLevel. Y soporte no hace cambios en tu cuenta de agencia sin el consentimiento de un administrador o usuario de agencia validado.
   • Enhanced Account Security no tiene que ver con el inicio de sesión: protege las claves de API de tus sub-cuentas. Viene encendido, y HighLevel advierte que apagarlo sube el riesgo.

   Fuente: F9, F10, F11, F7

   Tu perfil · cada usuario el suyo

   Settings → My Profile → Security

   ContraseñaPassword · Update password

   Verificación en dos pasosCon app y sus 10 códigos de respaldo

   Sign Out EverywhereLa salida de emergencia

   Tu agencia · uno para todos

   Settings → Company → Advanced Settings

   Session TimeoutViene en Never · regla de AXIS: 1 hora; 15 min con computadora compartida

   Support AccessGafete con fecha · encender solo con un caso abierto

   Enhanced Account SecurityProtege claves de API · Enabled

   Ningún interruptor exige la verificación a todo el equipo: cada persona la activa y tú lo revisas

Interactivo

Una semana con las llaves de Estudio Alba

Este interactivo se usa dentro de tu cuenta de AXIS.

Si se rompe

Los errores que más se repiten, y su salida.