Autenticación de dos factores (2FA)
La autenticación de dos factores (2FA) agrega una capa de seguridad adicional para iniciar sesión. Además de la contraseña, el usuario deberá presentar un código generado por una aplicación de autenticación (TOTP). Si se pierde el acceso a la aplicación, los códigos de respaldo permiten recuperar la cuenta.Habilitación de 2FA en su cuenta
- Vaya a
Profile → Security. - Haga clic en Habilitar autenticación de dos factores.
- Escanee el código QR con una aplicación de autenticación (Google Authenticator, Authy, 1Password, Bitwarden, etc.).
- Escriba el código de 6 dígitos que muestra la aplicación para confirmar.
- Guarde los códigos de respaldo que se muestran en la pantalla en un lugar seguro (administrador de contraseñas, bóveda física).
- Confirmar.
A partir de ahora, cada inicio de sesión requerirá contraseña + código de aplicación.
Códigos de respaldo
Los códigos de respaldo son códigos de un solo uso que permiten iniciar sesión sin la aplicación de autenticación; útiles si pierde su teléfono, cambia de dispositivo o la aplicación falla.Cómo funcionan
- Cada código se puede utilizar sólo una vez. Después de su uso, queda invalidado.
- Recibes un conjunto de códigos al activar 2FA. Cuando estén a punto de agotarse, regenera el conjunto.
- Los códigos se almacenan como hashes BCrypt en la base de datos (comenzando en
v1.0.0-rc3— WTO-991). Ni siquiera el instalador puede leer códigos en texto plano.
Códigos regeneradores
Profile → Security → Regenerate backup codes.
Atención: cuando regeneras, los códigos antiguos dejan de funcionar. Haga esto solo cuando tenga acceso a la aplicación de autenticación en ese momento, para confirmar la regeneración.
Cuándo regenerarse
- Después de usar un código — para mantener el stock completo.
- Después de una sospecha de compromiso: si cree que alguien pudo haber visto su lista de códigos.
- Después del cambio organizacional: si cambió de rol y la lista anterior estaba en algún lugar accesible para otros.
Para instalaciones que existieron antes de v1.0.0-rc3: los códigos generados en ese momento se almacenaron como texto sin formato en la base de datos. Si cualquier persona ajena al operador de instalación podía acceder al historial de la base de datos, se recomienda regenerarla.
Recuperación de cuenta sin 2FA ni códigos de respaldo
Si pierdes ambas la aplicación de autenticación y los códigos de respaldo:- Póngase en contacto con el administrador de instalación (
super_admin). - El administrador puede desactivar 2FA en su cuenta a través de la consola de administración.
- Después del inicio de sesión posterior, vuelva a habilitar 2FA inmediatamente con un nuevo dispositivo y guarde nuevos códigos de respaldo.
El administrador de instalación no puede leer sus códigos (almacenados como hashes). La única operación posible es poner a cero la 2FA en la cuenta para que puedas reconfigurarla.
Recomendaciones de seguridad
- Utilice una aplicación de autenticación, no SMS. Los SMS son vulnerables al intercambio de SIM.
- Guarde los códigos de respaldo en un administrador de contraseñas. Evite imprimirlos y tirarlos en un cajón.
- No compartas códigos de respaldo. Son equivalentes a tu segundo factor.
- Habilite 2FA en cuentas administrativas. Especialmente
super_adminyaccount_owner.