Revisión de seguridad de tu cuenta de Google, paso a paso

7 de noviembre de 2026 · PlayCISO

Para hacer la Revisión de seguridad de tu cuenta de Google, abre tu propia cuenta de Google, ve a Seguridad e inicio de sesión y empieza la Revisión de seguridad; después repasa los dispositivos, la protección del inicio de sesión, la información de recuperación, las apps vinculadas, las contraseñas guardadas y los ajustes de Gmail. La propia página de ayuda de Google dice que la Revisión de seguridad ofrece recomendaciones personalizadas, y que debes seguir sus pasos de seguridad de forma periódica. Esta guía recorre el mismo terreno en lenguaje llano, dice contra qué protege cada paso y qué te cuesta cada uno. Los nombres de los menús cambian con el tiempo, así que, cuando la ruta exacta importa, la describimos de forma aproximada y enlazamos la página de ayuda de Google.

Esta es la revisión de seguridad: quién puede entrar en la cuenta y cómo vuelves a entrar tú. Google tiene también una revisión de privacidad aparte, que cubre cosas como los controles de actividad, los ajustes de anuncios y el historial de ubicaciones. La tratamos en una guía hermana, la guía de la revisión de privacidad de Google, y la dejamos fuera de esta. Si tu cuenta ya ha sido secuestrada, salta a Gmail hackeado: qué hacer en la primera hora.

Hazlo ahora: el repaso de 20 minutos

Empieza desde tu cuenta, no desde un correo. Abre tú mismo tu cuenta de Google y ve a Seguridad e inicio de sesión. Un mensaje que te urge a «revisar tu seguridad» y lleva su propio botón es una forma clásica de phishing.
Mira las Acciones recomendadas. Google dice que un signo de exclamación azul, amarillo o rojo significa un consejo, un paso importante o una notificación urgente, y que un escudo verde significa que no hace falta ninguna acción inmediata.
Revisa tus dispositivos y cierra sesión en los que no sean tuyos o que ya no uses.
Revisa la actividad de seguridad reciente por si hay inicios de sesión o cambios que no hiciste.
Activa la verificación en dos pasos y valora una clave de acceso en un dispositivo que solo uses tú.
Actualiza el teléfono y el correo de recuperación para poder volver a entrar siempre.
Elimina las apps vinculadas que ya no uses y revisa los vínculos de Iniciar sesión con Google.
Ejecuta la Revisión de contraseñas sobre tus contraseñas guardadas.
Comprueba en Gmail si hay reenvíos, filtros y delegados que no configuraste.

Puedes ensayar estas decisiones en el Laboratorio de revisión de la cuenta de Google, un escenario con personas ficticias donde no hay nada real en juego.

1. Dispositivos con sesión iniciada

La página de ayuda de Google dice que puedes ver los ordenadores, teléfonos y otros dispositivos en los que has iniciado sesión o en los que la iniciaste hace poco. Los encuentras en tu cuenta de Google, en Seguridad e inicio de sesión, en el panel de dispositivos, y luego en Gestionar todos los dispositivos. Selecciona un dispositivo o una sesión para ver los detalles. Google explica que una sesión es un periodo con la sesión iniciada desde un navegador, una app o un servicio, y que es normal tener varias sesiones en un mismo dispositivo: un dispositivo nuevo, volver a introducir la contraseña, un navegador o una app nuevos, conceder acceso a una app o usar una ventana privada pueden crear una cada uno.

Google aconseja cerrar sesión en los dispositivos perdidos, que ya no tienes o que no te pertenecen. También señala por qué una entrada legítima puede parecer rara: puede que hayas usado un ordenador público, restablecido de fábrica un dispositivo, viajado por un aeropuerto, o que la ubicación mostrada sea un lugar cercano. El coste de cerrar sesión es pequeño: volverás a iniciar sesión en ese dispositivo más tarde. Si aun así no reconoces algo, sigue los pasos de Google para proteger tu cuenta.

2. Actividad de seguridad reciente

La misma zona de Seguridad e inicio de sesión tiene un panel de eventos de seguridad recientes, que la ayuda de Google sobre cuentas hackeadas describe como el lugar donde comprobar la actividad sospechosa. En cada evento puedes decir si fuiste tú. Si no lo fuiste, la página de Google dice que selecciones eso y sigas los pasos en pantalla.

La página de Google sobre métodos de inicio de sesión en riesgo añade un detalle útil: si sospecha que se añadió un método de inicio de sesión sin tu permiso, lo restringe, te envía por correo una alerta de seguridad y lo marca como en riesgo. Si no haces nada, Google lo elimina automáticamente a los 30 días. Si lo reconoces, puedes volver a activarlo, pero para eso necesitas una clave de acceso o una llave de seguridad de confianza. Si no lo reconoces, elimínalo, cambia tu contraseña y revisa tus ajustes por si hay otra actividad sospechosa.

3. Verificación en dos pasos y claves de acceso

Google dice que la verificación en dos pasos añade una capa extra por si te roban la contraseña. Puedes activarla en Seguridad e inicio de sesión, en la sección «Cómo inicias sesión en Google». Google recomienda segundos pasos más robustos que los mensajes de texto: su página de ayuda llama a las llaves de seguridad el paso de verificación más seguro y a las solicitudes de Google más seguras que los códigos por SMS, y dice que las solicitudes pueden ayudar a protegerte contra el intercambio de SIM y otros hackeos basados en el número de teléfono. Para las personas con mayor riesgo de ataques dirigidos, como periodistas y activistas, Google remite a su Programa de Protección Avanzada.

Las claves de acceso te permiten iniciar sesión con una huella, un escaneo facial o el bloqueo de pantalla del teléfono en lugar de una contraseña. Google dice que las claves de acceso no se pueden compartir, copiar, escribir ni entregar por accidente, lo que las hace más seguras frente al phishing, y que tus datos biométricos permanecen en tu dispositivo. Las contrapartidas son reales, y Google las expone:

Crear una clave de acceso te adhiere a un inicio de sesión sin contraseña que prioriza la clave de acceso. Puedes cambiar ese valor por defecto en los ajustes de tu cuenta.
Crea claves de acceso solo en dispositivos que sean tuyos y que uses tú. Incluso después de cerrar sesión, cualquiera que pueda desbloquear el dispositivo puede usar la clave de acceso para entrar.
Una clave de acceso se salta el segundo paso, porque ya demuestra que tienes tu dispositivo.
Google enumera los dispositivos, navegadores y versiones de sistema operativo compatibles, así que consulta la página de ayuda.

Para ver cómo funcionan las claves de acceso, prueba nuestro Laboratorio de claves de acceso.

4. Teléfono y correo de recuperación

Google dice que la información de recuperación te ayuda a volver a entrar en tu cuenta si olvidas la contraseña, si otra persona usa tu cuenta o si te quedas bloqueado por otro motivo. Puedes añadir o cambiar un teléfono de recuperación y un correo de recuperación en «Cómo inicias sesión en Google». El consejo de Google es concreto:

Usa un teléfono móvil que reciba mensajes de texto, que sea solo tuyo y que lleves contigo.
No uses un número de Google Voice como teléfono de recuperación. Si no puedes iniciar sesión, el código iría a la cuenta de la que estás bloqueado.
Elige un correo de recuperación que uses con regularidad, pero que no sea con el que inicias sesión.
Valora un contacto de recuperación: alguien a quien conozcas bien y en quien confíes. Google dice que puede ayudarte a entrar pero no recibe tus alertas y notificaciones de seguridad.

El problema es el retraso. Google dice que un teléfono de recuperación nuevo puede tardar hasta 7 días en surtir efecto, y que los códigos pueden ir a tu información anterior durante 7 días después de un cambio. La espera es deliberada: te da tiempo para proteger la cuenta si es otra persona quien hace el cambio. Una clave de acceso o una llave de seguridad de confianza puede acelerarlo. Además, no puedes añadir información de recuperación estando bloqueado, así que hazlo ahora.

5. Apps vinculadas e Iniciar sesión con Google

Google explica que puedes dar a apps de otros desarrolladores cierto acceso a los datos de tu cuenta de Google, por ejemplo un editor de fotos que pide tus fotos, y que puedes revisarlas o eliminarlas en cualquier momento en la página de apps vinculadas. También dice que nunca compartas tu contraseña de Google con una app de terceros, porque entonces la app tendría acceso total a tu cuenta.

Eliminar el acceso: selecciona la app y luego elimina el acceso. Google dice que la app ya no puede acceder a tu cuenta, lo que puede hacer que algunas funciones dejen de estar disponibles.
Iniciar sesión con Google: si eliminas el vínculo, Google deja de iniciar sesión automáticamente en esa app. No borra tus datos en la app, pero asegúrate antes de tener otra forma de iniciar sesión.
La propia página de Google sobre la Revisión de seguridad también enumera «desactivar el acceso de las apps vinculadas que usan una tecnología de inicio de sesión menos segura» como un paso.

El coste es la comodidad: una app que elimines te lo volverá a pedir si quieres usarla. Para la mayoría de la gente, una app sin usar desde hace años es un acceso sin beneficio.

6. Contraseñas guardadas y Revisión de contraseñas

Si guardas contraseñas en el Gestor de contraseñas de Google, la página de ayuda de Chrome dice que puedes comprobarlas todas a la vez para detectar contraseñas expuestas en una filtración de datos y contraseñas débiles y fáciles de adivinar. En un ordenador, abres el Gestor de contraseñas de Google en Chrome y seleccionas Revisión. Chrome también puede avisarte cuando una contraseña se ha visto comprometida en una filtración de datos, siempre que Navegación segura esté activada.

Cuando la Revisión marque una contraseña, cámbiala en ese sitio y haz que cada una sea única. Empieza por tu correo, porque los enlaces para restablecer contraseñas van allí, y luego por las cuentas de dinero. Las contraseñas que guardas solo en un dispositivo, en lugar de en tu cuenta de Google, se gestionan de otra forma, así que lee la página de ayuda de tu plataforma.

7. Ajustes de Gmail que importan

Un ladrón que llega a tu bandeja de entrada suele querer quedarse allí en silencio. Merece la pena mirar tres ajustes de Gmail, todos en los ajustes de Gmail en un ordenador:

Reenvío. Google dice que el reenvío automático envía los mensajes nuevos a otra dirección. Si ves un aviso de reenvío que nunca configuraste, cambia tu contraseña de inmediato, porque alguien más podría tener acceso, y luego desactiva el reenvío en los ajustes de Gmail.
Filtros. Los filtros pueden reenviar mensajes o archivarlos automáticamente. La página de Google sobre el reenvío muestra que un filtro puede enviar mensajes elegidos a otra dirección, y dice que recibes un aviso en tu bandeja de entrada durante la primera semana después de crear uno. Un filtro que no creaste merece eliminarse.
Delegados. Google dice que un delegado puede leer, enviar y eliminar correo de tu cuenta en tu nombre. Un delegado no puede chatear ni cambiar tu contraseña. Los delegados se añaden desde Gmail en un ordenador, tras comprobar que realmente eres tú, así que uno desconocido es una señal de alarma. Elimínalo en la sección «Dar acceso a tu cuenta».

El coste de desactivar el reenvío es que el correo dejará de llegar a la otra dirección, así que comprueba que realmente no lo necesitas. Para saber qué hacer si algo de esto resulta ser un secuestro, consulta Gmail hackeado: qué hacer en la primera hora.

8. «Se han encontrado problemas de seguridad» y acciones recomendadas

La página de ayuda de Google dice que puede usar iconos de colores para recomendar acciones en tu cuenta, y describe los signos de exclamación de colores en Acciones recomendadas, que llevan a la Revisión de seguridad. Lee cada aviso antes de descartarlo. Algunos son un consejo rápido; otros, como un método de inicio de sesión marcado o una contraseña comprometida, merecen que actúes de inmediato. No actúes nunca sobre un aviso que te haya llegado solo por un enlace de un correo o un SMS: abre tú mismo tu cuenta y comprueba si el mismo elemento aparece allí.

Cómo saber que tu cuenta está en buen estado

Seguridad e inicio de sesión muestra un escudo verde y ninguna recomendación abierta.
La lista de dispositivos muestra solo dispositivos que son tuyos o que reconoces.
La verificación en dos pasos está activada, preferiblemente con una clave de acceso o una llave de seguridad.
Tu teléfono de recuperación es uno que tienes tú, y tu correo de recuperación no es la dirección con la que inicias sesión.
Las apps vinculadas se limitan a las que todavía usas.
La Revisión de contraseñas no muestra contraseñas expuestas ni débiles.
Gmail no muestra ningún reenvío, filtro ni delegado que no configuraste.

Para que no vuelva a pasar: una lista de comprobación

Repite la revisión cada pocos meses y después de perder un teléfono o cambiar de número.
Llega a los ajustes de tu cuenta con tu propio marcador o con la app, nunca con un enlace de un mensaje.
Prefiere una clave de acceso, una llave de seguridad o las solicitudes de Google a los códigos por SMS, en dispositivos que solo uses tú.
Mantén un teléfono de recuperación y un correo de recuperación que controles de verdad.
Da a una app el mínimo acceso que necesite y elimínala cuando dejes de usarla.
Usa una contraseña única para cada sitio, empezando por el correo.
Consulta qué se puede encontrar públicamente sobre ti con la Comprobación de huella digital.

Preguntas frecuentes

¿Cómo ejecuto la Revisión de seguridad de mi cuenta de Google?

Abre tu propia cuenta de Google en un navegador o app, ve a Seguridad e inicio de sesión y empieza la Revisión de seguridad. La página de ayuda de Google dice también que uses Acciones recomendadas desde tu foto de perfil, que lleva a la Revisión de seguridad con recomendaciones personales. Empieza desde tu cuenta, no desde un enlace de un correo.

¿Con qué frecuencia debería hacerla?

Google dice que sigas sus pasos de seguridad de forma periódica. Un ritmo razonable es cada pocos meses, y después de perder un teléfono, cambiar de número o ver una alerta de seguridad.

¿Qué significa un escudo verde?

Google dice que un escudo verde con una marca de verificación significa que tu cuenta está sana y no hace falta ninguna acción inmediata. Los signos de exclamación de colores significan que tiene recomendaciones: azul para consejos, amarillo para pasos importantes y rojo para notificaciones urgentes.

¿Es mejor una clave de acceso que la verificación en dos pasos?

Funcionan juntas. Google dice que las claves de acceso son una alternativa sencilla y segura a las contraseñas y son más seguras frente al phishing, y que iniciar sesión con una clave de acceso se salta el segundo paso porque ya demuestra que tienes tu dispositivo. Google advierte también de que crees claves de acceso solo en dispositivos que sean tuyos, porque cualquiera que pueda desbloquear ese dispositivo puede usarlas.

¿Por qué hay una espera de siete días cuando cambio la información de recuperación?

Google dice que un nuevo número de teléfono de recuperación puede tardar hasta 7 días en surtir efecto, para que, si alguien intenta usar tu cuenta sin permiso, tengas tiempo de protegerla. Si tienes una clave de acceso o una llave de seguridad de confianza, es posible que puedas acelerarlo.

¿Y si encuentro un reenvío o un dispositivo que yo no configuré?

Trátalo como una señal de alarma. Google dice que cambies la contraseña de inmediato y desactives el reenvío, y que cierres sesión en los dispositivos que no reconozcas. Si hay un secuestro completo, sigue nuestra guía de Gmail hackeado y los pasos de Google para una cuenta comprometida.

Fuentes

Esta es una guía general. Los menús y la redacción de Google cambian; sigue las páginas oficiales de arriba para ver los pasos actuales.