Autenticación y acceso
El enfoque adecuado de la autenticación aumenta significativamente la seguridad de sus datos. Passwork admite varios métodos de autenticación: utilice llaves de acceso para el inicio de sesión sin contraseña y como segundo factor, habilite la autenticación de dos factores con aplicaciones móviles, configure el inicio de sesión único (SSO) y active el cifrado del lado del cliente.
Casos de uso
Autenticación de dos factores obligatoria
Objetivo: garantizar que todos los usuarios utilicen 2FA.
Solución:
La configuración de roles le permite habilitar la autenticación de dos factores obligatoria para varios usuarios a la vez. Abra el rol requerido en la sección de roles y desplácese hasta la configuración de Authentication.
Active la opción Mandatory two-factor authentication. Esta política se aplicará a todos los usuarios asignados a este rol.
Los usuarios pueden configurar la autenticación de dos factores usando la aplicación móvil Passwork 2FA o aplicaciones de terceros (por ejemplo, Google Authenticator o Microsoft Authenticator), así como utilizar llaves de acceso como segundo factor.
Después de activar la política, los usuarios sin 2FA configurado no podrán iniciar sesión en Passwork.
Llaves de acceso para el inicio de sesión y como segundo factor
Objetivo: aprovechar el inicio de sesión sin contraseña y reforzar 2FA con criptografía.
Solución:
Invite a los usuarios a añadir llaves de acceso en la página Authentication — son compatibles con biometría (Face ID, Touch ID, Windows Hello) y llaves de seguridad físicas basadas en WebAuthn.
Las llaves de acceso se pueden utilizar tanto en lugar de una contraseña como segundo factor al iniciar sesión con credenciales regulares.
Para garantizar una opción de acceso de emergencia, recomendamos añadir varias llaves (por ejemplo, una almacenada en el dispositivo y otra en una llave de seguridad física).
Configurar el inicio de sesión único (SSO)
Objetivo: permitir a los empleados iniciar sesión en Passwork con credenciales corporativas.
Solución:
Configure SSO en la página de configuración correspondiente de Passwork.
Active la opción de priorizar el inicio de sesión a través de SSO en la sección de configuración general para que los usuarios sean redirigidos automáticamente al sistema de inicio de sesión corporativo.
Si es necesario, puede desactivar otros métodos de inicio de sesión (contraseña local y LDAP) para usuarios específicos, dejando solo SSO para que estos empleados puedan iniciar sesión en Passwork exclusivamente a través del sistema corporativo.
Restaurar el acceso cuando se pierde una llave de acceso o un dispositivo 2FA
Objetivo: restaurar el acceso de un usuario a su cuenta si pierde una llave de acceso o un dispositivo con una aplicación de autenticación.
Solución:
Abra la página del usuario en la lista de Users y haga clic en Authentication en el panel de la derecha.
Si se ha perdido una llave de acceso, utilice la opción de restablecimiento de Passkey. Después de eso, el usuario podrá añadir llaves de acceso nuevamente en su configuración de autenticación.
Si el usuario ya no tiene acceso a su aplicación 2FA, haga clic igualmente en Reset en la línea correspondiente. Después de iniciar sesión, el usuario podrá configurar la autenticación de dos factores nuevamente.
Autenticación híbrida
Objetivo: configurar diferentes métodos de inicio de sesión para distintas categorías de usuarios: SSO para empleados e inicio de sesión estándar para usuarios externos.
Solución:
Configure SSO para usuarios corporativos, pero no lo establezca como el método de inicio de sesión preferido.
Los usuarios externos, como contratistas, podrán utilizar el inicio de sesión estándar con nombre de usuario y contraseña.
Para los usuarios externos, asegúrese de habilitar 2FA obligatorio mediante aplicaciones de autenticación o llaves de acceso.
Bloqueo temporal de cuenta por actividad sospechosa
Objetivo: bloquear automáticamente las cuentas cuando se detecten intentos de inicio de sesión sospechosos.
Solución:
Configure las políticas de bloqueo en el bloque Local authentication lockout policies de la configuración del sistema para bloquear automáticamente las cuentas después de varios intentos de inicio de sesión fallidos.
Los intentos de inicio de sesión fallidos repetidos también se registran en el registro de actividad.
Si es necesario, puede bloquear a un usuario manualmente hasta que se complete la investigación.
El Panel de seguridad mostrará a qué contraseñas tenía acceso el usuario bloqueado.
Preguntas frecuentes
¿Se pueden utilizar varios métodos de autenticación al mismo tiempo?
Sí, se pueden utilizar varios métodos de autenticación simultáneamente: contraseña local, SSO, LDAP y llaves de acceso. Además, está disponible la autenticación de dos factores mediante aplicaciones móviles y llaves de acceso. Un administrador puede configurar los métodos disponibles para un usuario específico en la ventana de configuración de usuario Authentication.
¿Qué debo hacer si un usuario pierde un dispositivo 2FA o una llave de acceso?
Un administrador puede restablecer las llaves de acceso vinculadas o los dispositivos 2FA en la página de configuración de usuario. Si el usuario tenía varias llaves añadidas, podrá iniciar sesión con otra llave sin recurrir al proceso de restablecimiento.
¿Puedo restaurar el acceso a los datos si olvido mi contraseña maestra?
No es posible restaurar el acceso a los datos si se pierde la contraseña maestra. Sin embargo, puede crear una cuenta de servicio como administrador corporativo en el tipo de bóveda requerido, que podrá utilizar para iniciar sesión y acceder a los datos críticos.
¿Es necesario habilitar la autenticación de dos factores para todos los usuarios?
Se recomienda habilitar 2FA al menos para los usuarios que tienen acceso a datos críticos del negocio y privilegios administrativos. Mediante la configuración de roles, puede aplicar la autenticación de dos factores obligatoria solo para roles específicos (por ejemplo, administradores o propietarios de bóvedas) sin afectar a otros usuarios.
¿Podemos permitir el inicio de sesión solo a través de SSO corporativo?
Sí, para usuarios seleccionados puede mantener SSO como el único método de autenticación disponible. En la configuración de usuario o de roles, puede desactivar la contraseña local y otros métodos (por ejemplo, LDAP) para que los usuarios puedan iniciar sesión exclusivamente a través del sistema corporativo de inicio de sesión único.