Autenticación multifactor de la CRA: la regla de la opción de respaldo explicada

¿Qué cambió en la autenticación multifactor de la CRA en 2026?

La autenticación multifactor, o MFA, significa que la CRA comprueba dos cosas cuando inicia sesión: algo que usted sabe, como su contraseña, y algo que usted tiene, como un teléfono que recibe un código. La CRA lleva años usando la MFA en sus servicios de inicio de sesión.

Los consejos de la CRA para la temporada de declaraciones, publicados el 27 de enero de 2026, anunciaron que a partir de febrero de 2026 los usuarios de una cuenta de la CRA tendrían que tener registrada una opción de MFA de respaldo, como una tabla de códigos o una aplicación de autenticación de terceros. El objetivo declarado era reforzar la seguridad de las cuentas y evitar que la gente quedara bloqueada en el paso del código.

Lo que se aplica hoy es más flexible. La página de ayuda de la CRA sobre autenticación multifactor, actualizada en septiembre de 2026, dice que por el momento solo una opción de MFA es obligatoria. A quienes se registran por primera vez se les invita a inscribirse en dos opciones y, si usted tiene solo una, la CRA le pide agregar un respaldo en Security settings (configuración de seguridad) y le permite omitir ese paso.

¿Es obligatoria la MFA de respaldo?

Por ahora, no. La MFA en sí es obligatoria para todo usuario de una cuenta de la CRA, pero actualmente solo se exige una opción. Omitir el respaldo sigue siendo arriesgado: si su único método es un número de teléfono y pierde el teléfono, no podrá terminar de iniciar sesión. Nada de esto afecta la presentación en sí: puede seguir declarando con un programa NETFILE sin iniciar sesión en la CRA.

Comparación de las opciones de MFA de respaldo de la CRA

La CRA ofrece cuatro opciones. La mejor combinación es un método vinculado a su teléfono más otro que no lo esté, para que la pérdida de un solo dispositivo no le quite ambos.

Los números de teléfono deben ser de un país del Plan de Numeración de América del Norte, que incluye Canadá, Estados Unidos y varios países del Caribe. Si viaja a menudo o vive en otro lugar, una aplicación de autenticación o una tabla de códigos es la opción práctica. Los números de telefonía por internet (VoIP) pueden funcionar, pero la CRA advierte que algunos servicios VoIP no son compatibles con la MFA; si no le llegan los mensajes de texto, elija mejor la opción de llamada telefónica.

¿Cómo se configura una opción de MFA de respaldo?

Agregar un segundo método toma unos minutos una vez que ha iniciado sesión.

1. Inicie sesión en su cuenta de la CRA a través de canada.ca.
2. En la página de bienvenida (Welcome), abra Security settings y luego Multi-factor authentication (autenticación multifactor).
3. Elija el método que quiere agregar. Para una aplicación de autenticación, escanee el código QR que aparece o escriba la clave de configuración en la aplicación.
4. Ingrese el código que genera el nuevo método para confirmar que funciona.
5. Si elige una tabla de códigos, imprímala o guárdela sin conexión, y anote la fecha para renovarla antes de que pasen 18 meses.

Si pierde el acceso a su opción principal de MFA

Lo que debe hacer depende de lo que todavía tenga.

• Teléfono perdido o reemplazado, mismo número: una nueva tarjeta SIM con su número anterior sigue recibiendo mensajes y llamadas. Las aplicaciones de autenticación hay que configurarlas de nuevo, así que inicie sesión con el mensaje de texto o la tabla y vuelva a inscribir la aplicación.
• Número de teléfono nuevo: inicie sesión con la otra opción en la que está inscrito y luego actualice el número en Security settings.
• Tabla de códigos perdida o vencida: inicie sesión por teléfono o con la aplicación y genere una tabla nueva.
• Ninguna opción funciona: no puede completar el inicio de sesión. Consulte nuestra página sobre la cuenta de la CRA bloqueada para saber cuándo comunicarse con la CRA.

Demasiados códigos incorrectos lo bloquean durante 30 minutos. Después de 3 de esos bloqueos, la cuenta queda bloqueada hasta que la CRA la libere, así que cambie a su respaldo en lugar de adivinar.

Cómo protegerse de solicitudes falsas de MFA

Un código de seguridad de la CRA solo le sirve a quien está iniciando sesión. Los únicos mensajes de texto de la CRA son los códigos que usted mismo solicita, así que un código que llega cuando no está iniciando sesión significa que otra persona tiene su contraseña. No lo comparta y cambie su contraseña.

A veces los estafadores llaman haciéndose pasar por la CRA y le piden que les lea un código "para verificar su identidad". Ese código les da acceso a su cuenta, donde pueden cambiar sus datos bancarios. Nuestra guía para detectar una carta falsa de la CRA describe otros engaños, y conviene revisar sus datos de depósito directo de la CRA si cree que compartió un código.

Para todo lo demás que ofrece la cuenta, consulte la guía de Mi Cuenta de la CRA.