Usuarios, roles y verificación en dos pasos
Módulo 7: Colaborar, aplicaciones y seguridad · Tiempo de lectura: 11 minutos
Objetivo de aprendizaje: Después de esta lección podrá configurar de forma segura usuarios y administradores en su nuevo servicio, elegir la forma adecuada de verificación en dos pasos y establecer una rutina fija para los compañeros nuevos y los que se marchan.
Conceptos clave: cuenta por persona, administrador, propietario, rol, mínimos privilegios, verificación en dos pasos (2FA), TOTP, passkey, llave de seguridad, WebAuthn, códigos de respaldo, contraseña de aplicación, revocar sesión, inicio de sesión único (SSO), alta y baja (onboarding y offboarding), transferencia de propiedad
Un cambio es una oportunidad para poner orden
En el inventario (lección 3.1) se vio que Bakkerij De Korrel tiene 15 cuentas de Google para 12 personas. Dos son de personas que ya se marcharon hace tiempo, y una cuenta, winkel@example.com, la usan cuatro personas con la misma contraseña, que está anotada en un papel junto a la caja. Esto es muy habitual. Al cambiar de proveedor no debe arrastrar esas costumbres, sino corregirlas de inmediato.
Una cuenta por persona
La regla básica es: cada persona debe tener su propia cuenta, con su propia contraseña y su propio segundo paso. ¿Por qué?
- Se puede ver quién ha hecho qué (actividad, versiones, quién ha compartido).
- Si alguien se marcha, basta con desactivar una cuenta y nadie tiene que aprender una contraseña nueva.
- La verificación en dos pasos solo funciona bien si el segundo paso corresponde a una sola persona.
Las direcciones compartidas como winkel@example.com o info@example.com siguen existiendo, pero como buzón compartido, alias o grupo: varias personas leen el correo con su propia cuenta. Cómo se llama y funciona esto varía según el proveedor (lección 4.4).
Roles: ¿quién puede hacer qué?
En todo servicio en la nube hay al menos tres niveles:
| Rol | Qué | En De Korrel |
|---|---|---|
| Proveedor | El servidor, la seguridad, las actualizaciones, las copias de seguridad del sistema | El servicio en la nube |
| Administrador o propietario | Crear y desactivar usuarios, restablecer contraseñas, licencias, almacenamiento | La propietaria Fatima y el gestor de oficina Ruud |
| Usuario | Sus propios archivos, compartir, agenda, contraseña y segundo paso | Todo el mundo |
Dos reglas generales:
- Mínimos privilegios. Dé a cada persona solo los permisos que necesita. Un panadero no necesita poder crear usuarios.
- Como mínimo dos administradores. Si solo hay uno, y está de baja, de vacaciones o se ha marchado, nadie podrá restablecer una contraseña ni cancelar el servicio. Dos administradores, cada uno con su propia cuenta y su propio segundo paso, y los datos de la cuenta de administración ante el proveedor (el contrato) a nombre de la organización, no de una sola persona.
Tenga en cuenta la diferencia entre la gestión del paquete y el acceso a los archivos. Un buen servicio permite que un administrador gestione cuentas sin que pueda ver los archivos de otros. Pero quien puede restablecer una contraseña, después puede iniciar sesión como esa persona, si el segundo paso llega a una dirección que él puede leer. Por eso, elija para cada usuario su propio correo electrónico como dirección de recuperación y de códigos.
Verificación en dos pasos: por qué y cuál
Una contraseña sola no basta. Las contraseñas se filtran en brechas de datos de otros sitios, se adivinan o se obtienen mediante phishing. El Centro Nacional de Ciberseguridad de los Países Bajos (NCSC) recomienda usar la verificación en dos pasos siempre que sea posible. Con la verificación en dos pasos (2FA) necesita, además de su contraseña, algo que posee: su teléfono, una llave o su buzón de correo.
| Segundo paso | Cómo funciona | Fortaleza y debilidad |
|---|---|---|
| Código por correo electrónico | El servicio envía un código por correo | Sencillo; tan seguro como su buzón de correo. Protéjalo bien |
| Código por SMS | El servicio envía un código por SMS | Mejor que nada; vulnerable si alguien usurpa su número (fraude de tarjeta SIM) |
| Aplicación autenticadora (TOTP) | Una aplicación en su teléfono genera cada 30 segundos un nuevo código de seis cifras | Funciona sin conexión, muy utilizada. Un sitio falso puede capturar igualmente un código si lo introduce allí |
| Notificación en otro dispositivo | Usted aprueba el inicio de sesión en un dispositivo en el que ya ha iniciado sesión | Sencillo; tenga cuidado de no pulsar "aprobar" sin pensarlo |
| Passkey o llave de seguridad (WebAuthn) | Su teléfono, ordenador o una llave (como una YubiKey) confirma con huella dactilar, rostro o PIN | Lo más resistente frente al phishing: solo funciona en el sitio auténtico |
TOTP significa time-based one-time password, descrito en el RFC 6238. El servicio y su aplicación comparten una clave secreta (que se transfiere con un código QR) y ambos calculan a partir de la clave y la hora el mismo código. Por eso el reloj de su teléfono debe estar en hora.
Los passkeys se basan en el estándar WebAuthn de W3C y FIDO. Su dispositivo genera un par de claves por cada sitio. Como la clave está vinculada a la dirección real del sitio, un sitio falso no puede utilizarla. Cada vez más servicios admiten passkeys como segundo paso o incluso en lugar de la contraseña.
Códigos de respaldo y el día que pierda su teléfono
Cualquier segundo paso puede fallar: teléfono perdido, averiado, teléfono nuevo sin haber transferido la aplicación. Por eso:
- Genere códigos de respaldo (normalmente diez códigos que solo funcionan una vez cada uno) y no los guarde en el mismo teléfono. Impresos junto a los documentos importantes, o en un gestor de contraseñas (lección 7.4).
- Active al menos dos métodos, por ejemplo aplicación autenticadora más código por correo, o passkey más códigos de respaldo.
- ¿Teléfono nuevo? Transfiera primero las cuentas de la aplicación autenticadora antes de borrar o entregar el antiguo.
Si alguien se queda bloqueado, el administrador puede ayudar (por ejemplo cambiando la dirección de correo a una que el usuario sí pueda leer), o el proveedor, tras comprobar quién hace la solicitud. Esto tarda deliberadamente un poco: un proveedor que desactiva el segundo paso sin comprobación también estaría ayudando a un estafador.
Contraseñas de aplicación y sesiones
Las aplicaciones que no pueden introducir el segundo paso reciben una contraseña de aplicación propia (lección 7.2). Una por aplicación y por dispositivo, con un nombre reconocible. En el resumen de dispositivos y sesiones puede ver dónde ha iniciado sesión alguien. Allí puede revocar un teléfono robado o un portátil antiguo. Revíselo de vez en cuando, y sin falta en cada baja.
Inicio de sesión único (SSO)
Las organizaciones más grandes permiten que las personas inicien sesión con una sola cuenta en varios servicios: inicio de sesión único o SSO, a menudo mediante estándares como SAML u OpenID Connect. Tenga en cuenta que si ahora usa "Iniciar sesión con Google" o "Iniciar sesión con Microsoft" en otros servicios (contabilidad, planificación, tienda online), perderá ese acceso al dar de baja su cuenta de Google o Microsoft. Esto apareció como vínculo oculto en su inventario (lección 3.1). Cambie esos servicios a un inicio de sesión con correo electrónico y contraseña, o a su nuevo SSO, antes de darse de baja.
Alta y baja: una rutina fija
La mayoría de los problemas no surgen durante el cambio, sino un año después, cuando alguien se marcha y nadie sabe qué hay que hacer. Por eso, establezca ahora una rutina fija (ejercicio E7.3):
Compañero nuevo: crear cuenta con dirección de correo propia, asignar grupos y licencias, entregar los datos de forma segura (la contraseña por otro canal), realizar juntos el primer inicio de sesión, configurar el segundo paso y los códigos de respaldo, instalar aplicaciones.
Compañero que se marcha: primero transferir la propiedad de archivos y carpetas (en muchos servicios, una cuenta eliminada se lleva consigo todos los archivos de forma definitiva), trasladar las agendas y carpetas compartidas, liberar la licencia, desactivar la cuenta (no eliminarla de inmediato), revocar las contraseñas de aplicación y las sesiones, reenviar el correo o conservarlo como buzón compartido, y eliminarlo solo después de un plazo acordado.
En la práctica: así funciona con un proveedor
En un Nextcloud de WebOké, nadie es administrador en el propio Nextcloud. El propietario del paquete gestiona los usuarios en Mi WebOké, en Gestión de usuarios en la página del paquete: añadir usuario, cambiar contraseña, desactivar o eliminar, y activar o desactivar la licencia de Office. Cada usuario gestiona su propia seguridad en Nextcloud en Ajustes, Seguridad: el código por correo electrónico siempre está activado, y allí puede activar una aplicación autenticadora (TOTP), códigos de respaldo, un passkey y contraseñas de aplicación, y ver Dispositivos y sesiones.
En otros proveedores funciona de forma parecida: hay un entorno de gestión para las cuentas y una página de seguridad por usuario. Los nombres de los botones varían.
Resumen
- Una cuenta por persona; las direcciones compartidas se convierten en buzones compartidos o grupos.
- Mínimos privilegios y al menos dos administradores; el contrato a nombre de la organización.
- Active la verificación en dos pasos para todos. Los passkeys y las llaves de seguridad son lo más resistente frente al phishing; TOTP es una buena opción, muy utilizada.
- Los códigos de respaldo no deben estar en el mismo teléfono, y conviene tener al menos dos métodos.
- Establezca una rutina fija para altas y bajas: primero transferir, después desactivar, y eliminar solo más tarde.
Cuestionario
Ejercicio
Ejercicio E7.3: Roles y rutina de alta y baja. Elabore un resumen de roles para su organización (quién es administrador, quién no, quién es el segundo administrador) y complete la lista de comprobación de alta y baja para su propio servicio. Active la verificación en dos pasos en su propia cuenta y confirme que sus códigos de respaldo están guardados fuera de su teléfono.
Ejercicio E7.3: Roles y rutina de alta y baja
Complete el resumen de roles y ambas rutinas para su propio servicio, y active la verificación en dos pasos (2FA) en su propia cuenta.
Sus marcas y notas se quedan solo en este navegador; no las enviamos a ningún sitio. Si ha iniciado sesión, en Mis cursos solo guardamos que ha realizado el ejercicio.
Para saber más
Los pasos de estos artículos se aplican a los servicios de WebOké; en otros proveedores funciona de forma parecida.
- Manual de Nextcloud 3.1: ¿Cómo protege WebOké su Nextcloud?
- Manual de Nextcloud 3.3: Configurar una aplicación de autenticación y guardar códigos de respaldo
- Manual de Nextcloud 3.5: Contraseñas de aplicación: cuándo y cómo
- Manual de Nextcloud 3.6: Ver, anular o borrar dispositivos y sesiones a distancia
- Manual de Nextcloud 3.10: Teléfono perdido o 2FA perdido: así vuelve a entrar
- Manual de Nextcloud 14.2: Crear, editar, desactivar y eliminar usuarios
- Manual de Nextcloud 14.7: Permisos: ¿quién gestiona qué en su Nextcloud?
- Manual de Nextcloud 16.7: Un colega se va: cómo recuperar de forma segura sus archivos, calendario y carpetas compartidas
- Manual de WebOké 3.3: Usar una aplicación de autenticación
- Configurar la verificación en dos pasos (2FA) en Nextcloud
- Crear una contraseña de aplicación (necesaria para conectar apps y dispositivos)
- NCSC, el ransomware explicado (con la recomendación de usar la verificación en dos pasos en todas partes, publicación del centro de ciberseguridad neerlandés): https://www.ncsc.nl/ransomware/ransomware-uitgelegd
- RFC 6238 (TOTP): https://www.rfc-editor.org/rfc/rfc6238
- W3C Web Authentication (WebAuthn): https://www.w3.org/TR/webauthn-3/ y FIDO Alliance sobre passkeys: https://fidoalliance.org/passkeys/