> For the complete documentation index, see [llms.txt](https://wiki.datadike.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://wiki.datadike.com/es/pam/administration/identities/mfa.md). # Autenticación multifactor Exija un segundo factor de autenticación para el acceso a la consola, de forma global o por usuario, cómo un usuario registra una aplicación autenticadora y cómo restablecer un factor que alguien ha p ## Qué es esto y cuándo usarlo La autenticación multifactor añade un factor por encima del usuario y la contraseña, de modo que una contraseña robada o adivinada no baste por sí sola para entrar. Se sitúa por encima del método de autenticación con el que llega el usuario, ya sea contraseña local, directorio o proveedor federado, en lugar de sustituir a ninguno de ellos. Actívela para todo el mundo. En una solución de acceso privilegiado, la cuenta de consola de un operador es la llave de todas las credenciales gestionadas del entorno, y su contraseña es lo más frágil que las protege. {% hint style="danger" %} Habilite el MFA para todos los usuarios. Todo lo demás en esta página es detalle; esta es la configuración que importa. {% endhint %} Algunas operaciones de la consola exigen MFA en la cuenta del *propio* operador y simplemente no están disponibles sin él: revelar un secreto almacenado y exportar cuentas. Consulte [Plantillas de cuenta](/es/pam/administration/accounts/account-templates.md) y [Bóveda](/es/pam/administration/accounts/vault.md). ## Factores disponibles | Factor | Qué es | | --------------------------------------------- | ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | **OTP / TOTP** | Un código rotativo según el estándar OATH-TOTP, compatible con cualquier aplicación autenticadora: Google Authenticator, Microsoft Authenticator, FreeOTP, Authy | | **SMS** | Un código de verificación por mensaje de texto. Requiere un proveedor de SMS configurado | | **Correo electrónico** | Un código de verificación por correo | | **Radius** | Un token o contraseña de un solo uso validado por un servidor Radius: RSA SecurID, Duo Security, Microsoft NPS | | **Passkey / FIDO2** | Una clave resistente al phishing: una llave de seguridad física, como una YubiKey, o la biometría del dispositivo. Debe habilitarse en **Configuración del sistema › Autenticación** | | **Certificado digital / tarjeta inteligente** | Un certificado de cliente en tarjeta inteligente o token criptográfico, o su equivalente delegado a un proveedor federado | | **Delegado al proveedor de identidad** | Cuando la solución está federada por SAML2 u OIDC, el segundo factor y las políticas de acceso condicional configuradas en Entra ID/ADFS, Okta o Keycloak también se aplican en este inicio de sesión | {% hint style="info" %} OTP/TOTP es la opción por defecto adecuada para la mayoría de los despliegues. Funciona sin conexión, no depende de la entrega de mensajes y no necesita más hardware que un teléfono. {% endhint %} ## Antes de empezar * El perfil **SYSADMIN** para la configuración global. * Un reloj correcto en el servidor. TOTP tiene precisión de segundos, y una desviación del reloj rompe todos los códigos a la vez. Véase [Errores comunes](#errores-comunes). * Un proveedor ya configurado, si piensa usar SMS o correo como factor. * Passkey habilitada en **Configuración del sistema › Autenticación**, si piensa usarla. ## Pasos ### Exigirlo globalmente 1. Abra **Configuración del sistema › Seguridad › Autenticación › MFA global**. 2. Elija el alcance: | Opción | Efecto | | -------------------- | --------------------------------------------------------- | | Deshabilitado | Los usuarios se autentican solo con usuario y contraseña | | Todos los usuarios | El MFA se exige a todos los usuarios | | Solo administradores | El MFA se exige únicamente a los usuarios administrativos | 3. Guarde. {% hint style="warning" %} Una vez fijado **Todos los usuarios**, los usuarios ya no pueden desactivar el MFA por su cuenta. Esa es la intención, pero también significa que la configuración es el único lugar donde se puede relajar la exigencia. Planifique el registro de los factores antes de accionarla. {% endhint %} ### Exigirlo a un usuario El registro del usuario lleva su propio ajuste de MFA, en **Usuarios › Usuarios**. Úselo para las excepciones: un administrador concreto o un contratista que necesita el factor mientras el ajuste global sigue en `Deshabilitado` o `Solo administradores`. ### Cómo se registra un usuario Lo hace el propio usuario; un administrador no puede registrarlo en su nombre. 1. En **Configuración personal**, el usuario inicia el registro del OTP. 2. La consola muestra un código QR que lleva el secreto TOTP. 3. El usuario lo escanea con su aplicación autenticadora. 4. A partir de ahí, la aplicación genera el código de seis dígitos que pide el inicio de sesión. ### Restablecer un factor perdido Si alguien pierde el teléfono o la llave de seguridad, un administrador borra el registro para que pueda registrarse de nuevo. 1. Abra **Usuarios › Usuarios** y haga clic en el nombre de usuario para abrir su página de detalle. 2. En el panel de actualización rápida, arriba a la derecha, haga clic en **Restablecer MFA**. Al usuario se le pide registrarse de nuevo en su siguiente inicio de sesión. {% hint style="warning" %} **Usted no puede restablecer su propio MFA por esta vía.** Con sesión iniciada como administrador, la acción Restablecer MFA no se aplica a su propio registro. Es decir, si la cuenta con más privilegios pierde su factor, no hay camino de autoservicio de vuelta. Asegúrese de que al menos otra cuenta tenga privilegios suficientes para restablecer el suyo. {% endhint %} ## Lo que debería ver Tras habilitar el **MFA global**, la pantalla de inicio de sesión pide el código como segundo paso, después de aceptar la contraseña. A los usuarios que no se han registrado se les guía por el registro. ## Cómo verificar que funcionó 1. En una ventana privada del navegador, inicie sesión como un usuario afectado. La contraseña sola no debe darle acceso; se le debe pedir un código o guiarle por el registro. 2. Abra el registro de ese usuario en **Usuarios › Usuarios** y confirme que **MFA** está activado y que **MFA vinculado** muestra un autenticador asociado. 3. Como ese usuario, intente desactivar el MFA en **Configuración personal**. Bajo **Todos los usuarios**, la opción no debe estar disponible. Si lo está, el ajuste global no ha surtido efecto. 4. Compruebe que el inicio de sesión, y cualquier intento fallido de segundo factor, queda registrado en el registro de auditoría. Consulte [Registro de auditoría](/es/pam/administration/audit/audit-trail.md). 5. Como operador ya con MFA habilitado, revele el secreto de una cuenta. Debería funcionar donde antes no funcionaba. ## Errores comunes | Síntoma | Causa | Solución | | -------------------------------------------------------------------------- | ------------------------------------------------------------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------- | | `OTP code invalid, or server time error`, para todos los usuarios a la vez | El reloj del servidor se ha desviado. TOTP tiene precisión de segundos | Corrija la hora del servidor y manténgala sincronizada; una fuente NTP operativa es un requisito, no una optimización | | Los códigos de un solo usuario se rechazan siempre | El reloj de su dispositivo se ha desviado, o está leyendo un registro obsoleto | Corrija el reloj del dispositivo, o restablezca el MFA y vuelva a registrarlo | | Un usuario perdió el teléfono y no puede entrar | El factor está vinculado al dispositivo perdido | Un administrador restablece el MFA en el registro del usuario; el usuario vuelve a registrarse en el siguiente inicio de sesión | | Un administrador no puede restablecer su propio MFA | Es por diseño: la acción no se aplica a la propia cuenta | Haga que otra cuenta con privilegios realice el restablecimiento | | No se puede revelar un secreto almacenado, o **Exportar** está atenuado | El MFA no está habilitado en la cuenta del *operador* | Habilite el MFA en su propia cuenta y vuelva a intentarlo. Consulte [Bóveda](/es/pam/administration/accounts/vault.md) | | Un usuario todavía puede desactivar el MFA | El **MFA global** está en `Deshabilitado` o `Solo administradores` y él no es administrador | Póngalo en **Todos los usuarios** | | Los códigos por SMS o correo nunca llegan | No hay proveedor configurado para ese canal | Configure el proveedor, o use OTP/TOTP, que no necesita canal de entrega | ## Referencia de campos ### MFA global | Valor | Efecto | | -------------------- | -------------------------------------------------------- | | Deshabilitado | Solo usuario y contraseña | | Todos los usuarios | Obligatorio para todos; los usuarios no pueden excluirse | | Solo administradores | Obligatorio para los usuarios administrativos | ### En el registro del usuario | Campo | Qué significa | | ------------- | -------------------------------------------------------------------------------------------------------------------------------------------------- | | MFA | Si se exige un segundo factor a este usuario | | MFA vinculado | Si hay realmente una aplicación autenticadora o un dispositivo asociado. Exigido *y* sin vincular significa que el usuario aún no se ha registrado | En la plantilla de importación masiva de usuarios, **MFA** se escribe en la forma `name(value)`, por ejemplo `Disabled(0)` o `Enabled(1)`. La plantilla acepta los valores `0`, `1` y `2`. ### Ajustes vecinos en la misma pantalla **Configuración del sistema › Seguridad › Autenticación** incluye además controles de inicio de sesión que no son MFA, pero que suelen configurarse en la misma pasada: | Ajuste | Qué hace | | ------------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------- | | Captcha de inicio de sesión | Exige un captcha al iniciar sesión, para bloquear intentos automatizados | | Código dinámico de inicio de sesión | Envía la contraseña y un código adicional a un sistema de autenticación de terceros para su verificación | | Umbral de desactivación automática (días) | Detecta las cuentas que no se han usado en el número de días indicado y las deshabilita | | Verificación de inicio de sesión sospechoso | Comprueba si la IP de acceso pertenece a una ciudad desde la que la cuenta suele entrar y, cuando no es así, envía al usuario un aviso de acceso remoto | La detección de accesos verdaderamente anómalos, como horarios inusuales, una ubicación nueva o un desplazamiento imposible, y la respuesta automática a ellos pertenecen al módulo de análisis del comportamiento, no a estas comprobaciones. Consulte [Política de UEBA](/es/pam/administration/ueba/policy.md). ## Páginas relacionadas * [Usuarios y grupos](/es/pam/administration/identities/users-and-groups.md): dónde vive el ajuste de MFA por usuario * [Single sign-on](/es/pam/administration/identities/sso.md): delegar el segundo factor a un proveedor corporativo * [Políticas de inicio de sesión](/es/pam/administration/access/login-policies.md): cuándo y desde dónde se permite el acceso * [Bóveda](/es/pam/administration/accounts/vault.md): revelación de secretos, que exige MFA * [Plantillas de cuenta](/es/pam/administration/accounts/account-templates.md): exportación de cuentas, que exige MFA