No me aparece la opción de contraseñas de aplicación en Gmail: las 4 causas reales y cómo solucionarlo

Llevas diez minutos dando vueltas por la configuración de tu cuenta de Google, buscando "Contraseñas de aplicaciones" en Seguridad, y no está. No es un fallo tuyo ni un error de carga de la página. Google oculta esa opción deliberadamente cuando tu cuenta no cumple ciertas condiciones, y la mayoría de los tutoriales genéricos que circulan por ahí ni se molestan en explicarte cuáles son. Se limitan a decirte "activa la verificación en dos pasos", como si eso resolviera siempre el problema. Spoiler: no siempre lo resuelve.

Esto le pasa sobre todo a gente que quiere configurar Gmail en Thunderbird, Outlook de escritorio, un router con reenvío de correo, o cualquier cliente que todavía pide usuario y contraseña en lugar de OAuth. Google lleva años empujando a los usuarios hacia "Acceder con Google" y las llaves de acceso (passkeys), y las contraseñas de aplicación han quedado como una opción de segunda fila que, en ciertos casos, ni siquiera se ofrece.

Por qué crees que es un problema técnico (y no lo es)

El error de diagnóstico más común: la gente asume que si no ve la opción es porque algo se ha roto — su cuenta, el navegador, la caché. Y se pone a probar en modo incógnito, a borrar cookies, a cambiar de navegador. Todo eso es tiempo perdido. La opción no aparece porque tu cuenta, tal y como está configurada ahora mismo, no es elegible. Es una decisión de Google, no un bug.

Antes de tocar nada, comprueba en qué situación estás. Aquí las cuatro causas reales, ordenadas de más a menos frecuente:

Ojo con esto: las cuatro pueden solaparse. He visto casos de gente con cuenta personal y verificación en dos pasos activa desde hace años a la que, de repente, le desaparece la opción — porque Google fue endureciendo silenciosamente los requisitos y la cuenta dejó de cumplirlos sin que nadie tocara nada.

Causa 1: la verificación en dos pasos no está realmente activa

Es la más habitual, con diferencia. Mucha gente cree que tiene la verificación en dos pasos activada porque en algún momento aceptó una notificación push de "¿eres tú quien intenta acceder?" — pero eso es la verificación en dos pasos sin contraseña (Google la activó por defecto en muchas cuentas), y no es lo mismo que tener el sistema de verificación en dos pasos completo habilitado desde cero.

La solución pasa por entrar en myaccount.google.com/security, localizar "Verificación en dos pasos" y comprobar que el estado sea explícitamente "Activada", con al menos un método de respaldo configurado (app de autenticación, SMS o llamada). Si aparece como "Activada solo mediante notificaciones", tendrás que forzar la configuración completa desde ahí mismo, añadiendo un segundo factor tradicional. En cuanto lo hagas, dale al navegador un par de minutos — la propagación del cambio en los servidores de Google no es instantánea, y buscar la opción de contraseñas de aplicación treinta segundos después de activar el 2FA suele acabar en frustración innecesaria.

Causa 2: solo tienes registrada una llave de seguridad física

Este caso pilla a mucha gente con la guardia baja porque, en teoría, "tienen el 2FA activado". Pero si el único segundo factor configurado es una llave de seguridad USB o NFC (tipo YubiKey), Google no permite generar contraseñas de aplicación, y no lo va a permitir aunque insistas. Es una decisión de diseño: las llaves de seguridad físicas están pensadas como el nivel más alto de protección, y las contraseñas de aplicación se consideran un método más débil que rompería esa cadena de confianza.

La solución aquí no es técnica sino de criterio: añade un segundo método de verificación (una app de autenticación como Google Authenticator sirve, y aquí conviene decidir bien cuál usar — puedes comparar Google Authenticator frente a Microsoft Authenticator antes de elegir) sin eliminar la llave física. Con dos métodos activos, Google vuelve a mostrar la opción de contraseñas de aplicación, aunque sigas usando la llave como método principal el resto del tiempo.

Causa 3: tu cuenta es de trabajo, centro educativo o Workspace

Si tu correo no termina en @gmail.com, el problema deja de estar en tus manos. Las cuentas de Google Workspace (empresas, universidades, colegios) dependen de las políticas que fije el administrador del dominio, y muchas organizaciones desactivan las contraseñas de aplicación por completo como medida de seguridad — con buen criterio, porque es un vector de ataque conocido si alguien roba esa contraseña.

Puedes comprobarlo tú mismo: entra en la configuración de seguridad de tu cuenta y, si ves un aviso de que ciertas funciones están "gestionadas por tu organización", ahí tienes la confirmación. La única solución real es pedir al administrador que habilite el acceso IMAP/SMTP con contraseñas de aplicación desde la consola de administración de Google Workspace, o —mejor todavía, si tienes margen de decisión— plantear si de verdad conviene seguir usando ese sistema en lugar de una integración vía OAuth, que es lo que Google recomienda para cuentas de correo con dominio propio.

Causa 4: Protección Avanzada activa

El Programa de Protección Avanzada de Google es el escalón de seguridad más restrictivo que ofrece la compañía, pensado originalmente para periodistas, activistas y cargos públicos con riesgo real de ataques dirigidos. Si te inscribiste (o alguien lo hizo por ti, en el caso de cuentas gestionadas), Google revoca automáticamente las contraseñas de aplicación existentes y bloquea la creación de nuevas, sin excepciones.

Aquí no hay atajo. Si necesitas usar un cliente de correo tradicional con esa cuenta, tendrás que salir del programa desde la sección de Protección Avanzada en tu configuración de seguridad — y evaluar si el riesgo que intentabas cubrir con ese programa sigue siendo mayor que la comodidad de usar Thunderbird u Outlook de escritorio. Si tu cuenta se ha visto comprometida recientemente y por eso activaste medidas extra, revisa antes los pasos de nuestra guía sobre qué hacer si te hackean Gmail para asegurarte de que no queda ningún acceso sospechoso abierto antes de bajar el nivel de protección.

Un matiz que casi nadie menciona: Google está retirando esto poco a poco

Aunque encuentres la opción y generes tu contraseña de aplicación sin problema, conviene saber que Google lleva tiempo recomendando activamente no depender de este sistema. La tendencia de la compañía es clara: quiere que todo pase por OAuth ("Acceder con Google") o por llaves de acceso, y las contraseñas de aplicación son, cada vez más, un parche temporal para clientes de correo que todavía no soportan esos métodos modernos. Si estás configurando Gmail en Thunderbird, comprueba primero si tu versión ya soporta inicio de sesión OAuth directo — te ahorras este dolor de cabeza por completo y, de paso, tienes una cuenta más segura.

Qué hacer, en orden

1. Entra en myaccount.google.com/security y confirma el estado exacto de tu verificación en dos pasos (no te fíes de memoria).
2. Si solo tienes una llave física registrada, añade una app de autenticación como segundo método antes de nada.
3. Si el correo es de empresa o centro educativo, contacta con el administrador — no sigas intentándolo por tu cuenta.
4. Si estás en Protección Avanzada, decide conscientemente si quieres salir del programa o buscar una alternativa vía OAuth.
5. Una vez generada la contraseña de aplicación, espera un par de minutos antes de introducirla en el cliente de correo.

La verdad es que, a la larga, cuanto menos dependas de las contraseñas de aplicación, mejor. Son cómodas hoy, pero Google las trata cada vez más como un método de segunda categoría, y no sería raro que en un par de años desaparezcan del todo para cuentas personales. Si tu cliente de correo soporta OAuth, ese es el camino que yo elegiría sin dudarlo.