Checklist de seguridad multi-cuenta para operaciones digitales

Si gestionas más de una cuenta profesional — ya seas social media, afiliado, gestor de tráfico, agencia o equipo de monetización — la seguridad no es opcional. Es rutina.

Este checklist no promete evitar bloqueos ni suspensiones. Nadie puede prometer eso. Lo que sí hace es organizar las prácticas que reducen el riesgo y te dan visibilidad sobre lo que ocurre con cada cuenta.

Cómo usarlo: repasa punto por punto. Marca lo que ya haces, implementa lo que falta. Vuelve cada 30 días.

1. Contraseñas y acceso

La base de todo. Si la contraseña se filtra, el resto no se sostiene.

Contraseña única por cuenta. Nunca repitas la misma contraseña en cuentas diferentes. Usa un gestor (Bitwarden, 1Password, KeePass).
Mínimo 16 caracteres. Combina mayúsculas, minúsculas, números y símbolos. El gestor lo hace por ti.
Generador automático activado. Si todavía creas contraseñas manualmente, déjalo. Que el gestor las genere.
Contraseña del correo diferente a todas las demás. El email es la llave maestra. Si lo invaden, invade todo lo demás.
Cambio inmediato ante cualquier sospecha. ¿Notaste un acceso extraño? Cambia la contraseña antes de investigar.
Sin SMS como único factor. Siempre que sea posible, evita depender solo de SMS para la recuperación de cuentas.

2. Autenticación de dos factores (2FA)

La contraseña se filtra. El 2FA es la segunda barrera.

2FA activado en todas las cuentas que lo permitan. Empieza por las más críticas: correo, redes de anuncios, plataformas de pago.
App autenticadora (Google Authenticator, Authy, Aegis) en lugar de SMS. Siempre que la plataforma lo admita.
Copia de seguridad de los códigos 2FA guardada offline. Imprime o anota los códigos de recuperación y guárdalos en un lugar seguro (caja fuerte, sobre lacrado).
Llave de seguridad física (YubiKey / Titan) en las cuentas principales. Si el volumen de cuentas es pequeño, vale la inversión en las más críticas.
2FA del correo configurado obligatoriamente. Es la cuenta que recupera todas las demás.
Número de teléfono de recuperación actualizado y al que todavía tengas acceso.

3. Perfiles y aislamiento de cuentas

Que las cuentas profesionales compartan el mismo navegador que las personales es un riesgo seguro.

Navegador o perfil separado para cada operación. Firefox Containers, perfiles de Chrome, o navegadores con aislamiento de perfil (Dolphin Anty, AdsPower, Multilogin).
Caché, cookies y localStorage separados. Cuentas del mismo servicio (ej.: dos cuentas de Google) no deben compartir almacenamiento.
Proxy o IP diferente por operación si hay restricción geográfica o de plataforma. Prueba antes de ponerlo en producción.
Sin extensiones cruzadas. Una extensión instalada en un perfil no aparece en los demás.
Marcadores e historial separados por proyecto. Facilita el día a día y evita publicar en el perfil equivocado.
Identidad digital documentada. Saber qué email, teléfono, nombre y datos están asociados a cada cuenta.

4. Monitoreo y alertas

Si no monitoreas, no sabes si te han comprometido.

Notificaciones de inicio de sesión activadas en todas las plataformas que lo ofrezcan (email y/o SMS cuando un nuevo dispositivo acceda).
Revisión mensual de sesiones activas. Plataformas como Facebook, Google y TikTok muestran qué dispositivos están conectados. Revoca los que no reconozcas.
Alerta de cambio de contraseña y de correo. Activa notificaciones para cualquier modificación en los datos de la cuenta.
Registro de actividad configurado. Algunas plataformas ofrecen historial de acciones (inicio de sesión, publicaciones, cambios de configuración). Revísalo periódicamente.
Dispositivos autorizados revisados — desconecta equipos antiguos o que ya no uses.

5. Buenas prácticas operativas

La seguridad también es un proceso, no solo una herramienta.

Política clara de quién accede a qué. En agencia o equipo, define qué miembro accede a cada cuenta y con qué nivel de permiso.
Contraseñas no compartidas por mensaje. Nada de “mándame la contraseña por WhatsApp”. Usa un gestor compartido (Bitwarden Organizations, LastPass Teams).
Acceso revocado de inmediato cuando alguien sale del equipo. No esperes a fin de mes.
Cuentas personales y profesionales separadas. Esto aplica al correo, al celular e incluso al banco.
Documentación de acceso. Dónde está cada cuenta, qué email registró, qué 2FA, qué teléfono. Una hoja de cálculo cifrada ya sirve.
Copia de seguridad periódica de configuraciones. En navegadores con perfil, exporta la configuración de cada perfil con regularidad.

6. Respuesta a incidentes

No es cuestión de si ocurrirá, sino de cuándo. Estate preparado.

Flujo definido de recuperación de cuenta. ¿Sabes el paso a paso para recuperar cada plataforma? Anótalo en un documento accesible offline.
Códigos de respaldo guardados. Ya lo mencionamos en 2FA, pero insisto: tenlos offline.
Contacto de soporte de las plataformas guardado. El soporte de Facebook Business, la ayuda de Google Ads y el soporte de TikTok Creator — ten los enlaces a mano.
Plan de comunicación en caso de invasión. Si una cuenta es comprometida, a quién avisar, qué publicar, cómo comunicarlo a clientes o socios.
Registro de fecha y hora de cualquier incidente. Para documentar y, si es necesario, reportar a la plataforma.
Prueba periódica de recuperación. Simula la pérdida de acceso a una cuenta menos crítica y verifica que el proceso de recuperación funciona.

📋 Resumen de los 35 puntos

Categoría	Puntos
Contraseñas y acceso	6
Autenticación de dos factores	6
Perfiles y aislamiento	6
Monitoreo y alertas	5
Buenas prácticas operativas	6
Respuesta a incidentes	6

Total: 35 puntos para revisar mensualmente.

Recuerda: la seguridad digital no es un destino, es un hábito. Dedica 30 minutos al mes a repasar este checklist. El tiempo invertido hoy puede ahorrarte días de dolor de cabeza mañana.