SP 800-63B-4 exige que las aplicaciones evaluadas en AAL2 ofrezcan una opción resistente al phishing. Es un repaso del estándar, no una noticia de una regla nueva hoy ni una obligación legal automática para todo servicio privado.
Un código de un solo uso puede retransmitirse desde una página falsa. Pregunta por el mecanismo concreto y su disponibilidad para tu tipo de cuenta. El rótulo «dos factores» no basta.
La recuperación importa: un acceso diario sólido pierde valor si un dispositivo perdido se sustituye mediante una vía débil. Revisa si puedes registrar varios autenticadores, retirar uno perdido y consultar la actividad de la cuenta.
Anota por separado mecanismo, compatibilidad, recuperación y controles administrativos. Los niveles NIST tienen un ámbito definido; ayudan a comparar, pero no son un sello universal de conformidad para apps de consumo.