Autenticación
Esta sección presenta las funciones de seguridad de la cuenta de usuario, incluida la autenticación multifactor (MFA/2FA) y las contraseñas de aplicación.
Autenticación de dos factores
La autenticación de dos factores (2FA) refuerza la seguridad de su cuenta de Sync-in al añadir una capa de protección contra el acceso no autorizado. Funciona solicitando dos pruebas distintas de su identidad:
- algo que conoce (por ejemplo, su contraseña),
- algo que posee (por ejemplo, un código generado en su teléfono o una clave de recuperación).
Gracias a esta combinación, aunque su contraseña se vea comprometida, nadie podrá acceder a su cuenta sin el segundo factor.
Esta característica requiere activación previa por parte del administrador.
Cuando se utiliza OIDC, se espera que el proveedor de identidad aplique MFA. Sync-in no añade una comprobación 2FA local después del callback de OIDC. La autenticación 2FA de Sync-in sigue pudiendo configurarse desde el perfil del usuario durante una sesión OIDC.
Requisitos previos
Para utilizar la autenticación de dos factores con Sync-in, necesita una aplicación compatible con TOTP (contraseña de un solo uso basada en tiempo). Estas aplicaciones generan códigos temporales únicos que deberá ingresar durante el inicio de sesión, además de su contraseña.
A continuación se muestran algunas aplicaciones TOTP de código abierto ampliamente utilizadas:
- Proton Authenticator (Android, iOS, escritorio)
- FreeOTP (Android, iOS)
- Aegis Authenticator (Android)
Puede elegir la aplicación que mejor se adapte a sus necesidades; todas funcionan de forma similar: simplemente escanee el código QR proporcionado durante la activación y luego utilice el código generado en cada inicio de sesión.
Configuración
En la sección Seguridad de la cuenta de usuario, el botón Activar de Autenticación de dos factores inicia el proceso de inscripción TOTP.
Habilitar, restablecer o deshabilitar la autenticación 2FA de Sync-in requiere verificar la contraseña local de Sync-in, incluso cuando la sesión actual del navegador se creó mediante OIDC. Las cuentas creadas por OIDC que aún no tengan una contraseña local conocida deben definir primero una desde el perfil de usuario.
Paso 1
Paso 2
Paso 1:
- Introduzca la contraseña de inicio de sesión de su cuenta
- Introduzca el código TOTP proporcionado por su aplicación de autenticación
Paso 2:
- Guarde o copie los códigos de recuperación
Los códigos de recuperación son esenciales: si pierde el acceso a su aplicación de autenticación, serán necesarios para restablecer la autenticación de dos factores. Cada código es de un solo uso y solo se puede utilizar una vez.
En adelante, se requerirá un código TOTP para iniciar sesión con la contraseña local de Sync-in y para las acciones sensibles protegidas por la comprobación adicional de Sync-in.
Los flujos específicos de la aplicación pueden tener reglas adicionales. En particular, WebDAV no puede solicitar un código TOTP interactivo durante la autenticación HTTP Basic, por lo que una cuenta protegida por TOTP debe utilizar una contraseña de aplicación WebDAV dedicada en lugar de la contraseña de la cuenta principal.
Pérdida de acceso a los métodos de autenticación
Si pierde tanto sus códigos de recuperación como su método de autenticación (por ejemplo, una aplicación TOTP o una clave de seguridad), ya no podrá acceder a su cuenta de forma autónoma.
En este caso, solo un administrador puede restablecer o deshabilitar la autenticación de dos factores para permitirle recuperar el acceso a su cuenta.
⚠️ La recuperación por correo electrónico no está disponible. Una dirección de correo electrónico constituye un factor de autenticación débil, fácil de comprometer y, por tanto, inadecuada para garantizar la seguridad de la 2FA.
Contraseñas de aplicación
Las contraseñas de aplicación son secretos específicos generados para autenticar clientes o servicios que no pueden utilizar una conexión interactiva.
Se utilizan principalmente con WebDAV, que no admite la autenticación multifactor (MFA), así como con clientes CLI que no admiten la autenticación OpenID Connect (OIDC).
Cuando TOTP está habilitado para su cuenta de Sync-in, WebDAV acepta únicamente una contraseña de aplicación asociada a la aplicación webdav. En ese caso, no se acepta la contraseña principal de la cuenta. Si TOTP está deshabilitado, WebDAV puede utilizar la contraseña principal o una contraseña de aplicación WebDAV válida.
Cada contraseña de aplicación está aislada y puede revocarse individualmente, lo que evita utilizar la contraseña principal y limita el impacto potencial de una vulneración. Este enfoque reduce la superficie de ataque global y se ajusta a las buenas prácticas de seguridad, en particular al principio de privilegio mínimo y a la segmentación de los accesos.
Configuración
En la sección Seguridad de la cuenta de usuario, los botones Generar / Gestionar de Contraseñas de aplicación permiten crear y administrar estas contraseñas.
Crear o revocar una contraseña de aplicación requiere la verificación reforzada habitual de Sync-in: TOTP cuando está habilitado o, en caso contrario, la confirmación mediante la contraseña local.
Características clave
- Nombre: identificador único que permite reconocer fácilmente la contraseña de aplicación.
- Aplicación: aplicación o cliente asociado con la contraseña (
webdavoclientpara clientes de escritorio o de línea de comandos) - Revocables: cada contraseña de aplicación puede revocarse individualmente en cualquier momento, sin afectar a la contraseña principal ni a otras contraseñas de aplicación.
- Con caducidad: posibilidad de definir una fecha de caducidad para limitar automáticamente el acceso en el tiempo.
- Trazabilidad: registro de los últimos accesos (fecha y dirección IP).
La contraseña se muestra solo una vez cuando se crea.