Inicio de sesión, sesiones y cierre seguro

Módulo 1: Así funciona su correo · Tiempo de lectura: 9 minutos

Objetivo de aprendizaje: Tras esta lección sabrá con qué datos accede al webmail, qué es una sesión y cuánto dura, y cómo trabajar y cerrar sesión con seguridad tanto en su propio ordenador como en uno compartido.

Conceptos clave: nombre de usuario, contraseña del buzón, campo Servidor, sesión, cookie, Mantener la sesión iniciada, ventana privada, cerrar sesión, bloqueo de IP

¿Quién es usted para el webmail?

Para el webmail, usted es un buzón: una dirección de correo electrónico con su propia contraseña y su propio almacenamiento. Por eso inicia sesión con dos datos:

• su dirección de correo completa como nombre de usuario, es decir, sanne@example.com y no solo sanne. En un servidor de correo hay buzones de muchos dominios. Solo con la dirección completa sabe el servidor a qué buzón se refiere;
• la contraseña de ese buzón.

Esto último suele fallar. La contraseña de su buzón no es la misma que la de su cuenta de cliente en su proveedor ni la del panel de administración (en WebOké: Mi WebOké y DirectAdmin). Es la contraseña que se eligió al crear la dirección de correo. Si otra persona creó su dirección, por ejemplo el administrador de su empresa, es posible que ella la conozca o que pueda establecer una nueva.

En la imagen se ve la página de inicio de sesión con los campos Nombre de usuario, Contraseña y Servidor. La contraseña distingue entre mayúsculas y minúsculas. Si no consigue iniciar sesión aunque está seguro de que la contraseña es correcta, compruebe primero si el bloqueo de mayúsculas (Bloq Mayús) está activado.

El campo Servidor: normalmente vacío

El webmail de WebOké necesita saber en qué servidor está su buzón. Normalmente lo averigua por sí mismo a partir de su dominio. Por eso casi todo el mundo deja vacío el campo Servidor.

Solo lo rellena si su dominio no apunta a WebOké pero su buzón sí está allí, por ejemplo durante el traslado de su dominio. En ese caso introduce el nombre del servidor de su plan. Un servidor de otro proveedor no funciona: este webmail es solo para buzones alojados en WebOké.

Una trampa que poca gente conoce: inicie sesión siempre de la misma manera. El webmail guarda su configuración, identidades, firma y libreta de direcciones según la forma en que inicia sesión. Si una vez entra con el campo vacío y otra vez con un nombre de servidor, verá el mismo correo (que está en el servidor de correo), pero su firma y su libreta de direcciones parecerán vacías de repente. No han desaparecido: pertenecen a la otra forma de iniciar sesión.

En otros webmails no suele existir este campo: allí el webmail pertenece a un único servicio, como en Gmail u Outlook.com.

¿Qué es una sesión?

Después de iniciar sesión, no querrá escribir su contraseña en cada clic. Por eso el webmail crea una sesión: el servidor recuerda que usted ha iniciado sesión y su navegador recibe una cookie con un código largo y aleatorio. En cada clic, su navegador envía ese código. Así le reconoce el servidor.

Esto tiene una consecuencia importante: quien tenga esa cookie es usted para el webmail. No necesita su contraseña. Por eso es tan importante que una sesión en un ordenador ajeno se cierre de verdad.

Una sesión termina:

• cuando hace clic en Cerrar sesión: el servidor elimina la sesión y la cookie deja de servir;
• cuando pasa un tiempo sin actividad y el webmail ya no está abierto: el servidor deja caducar la sesión. Mientras la pestaña esté abierta, el webmail mantiene la sesión activa por sí mismo al comprobar de vez en cuando si hay correo nuevo;
• cuando cierra el navegador, salvo que haya activado Mantener la sesión iniciada.

Mantener la sesión iniciada y Recordar nombre de usuario

Debajo de la contraseña hay dos casillas. En la imagen puede verlas, junto con la explicación que aparece al activar Mantener la sesión iniciada.

• Recordar nombre de usuario: la próxima vez su dirección de correo ya estará rellenada. Práctico y con poco riesgo.
• Mantener la sesión iniciada: la sesión permanece abierta durante 30 días, aunque cierre el navegador y apague el ordenador. La cookie se conserva.

Mantener la sesión iniciada resulta cómodo en su propio portátil con bloqueo de pantalla. En cualquier otro dispositivo es un riesgo: cualquiera que abra después ese navegador estará dentro de su buzón. Podrá leer su correo, enviar mensajes en su nombre y, mediante la opción "he olvidado mi contraseña" de otros servicios, hacer que le envíen contraseñas nuevas por correo. Su buzón es la llave de muchas de sus otras cuentas.

En un ordenador compartido

Si trabaja en el ordenador de otra persona, en una biblioteca o en el PC de un cliente, siga este procedimiento:

1. Abra una ventana privada (en Chrome, Incógnito; en Firefox, una Ventana privada; en Safari, una Ventana privada). Una ventana privada empieza sin cookies y las elimina cuando cierra todas las ventanas privadas. No protege contra el software espía de ese ordenador, pero sí contra cookies olvidadas.
2. Desactive las dos casillas.
3. No deje que el navegador guarde su contraseña. Cuando pregunte "¿Guardar contraseña?", elija Nunca o Ahora no.
4. Haga clic en Cerrar sesión cuando termine y, a continuación, cierre la ventana privada.

Después de cerrar sesión, el botón Volver del navegador a veces todavía muestra una página antigua. Esa página procede de la memoria del navegador, no del servidor. Si hace clic en algo, llegará a la página de inicio de sesión, porque la sesión ya no existe.

¿Guardar su contraseña en el navegador?

En su propio dispositivo, con bloqueo de pantalla, guardar la contraseña en un gestor de contraseñas (también el de su navegador) está bien. Incluso ayuda contra el phishing: un gestor de contraseñas solo rellena la contraseña en la dirección real del webmail, no en un sitio falso (lección 2.4). En un dispositivo compartido o en un ordenador sin cuenta de usuario propia, no guarde nunca nada.

Demasiados intentos con una contraseña incorrecta

Los servidores de correo reciben ataques durante todo el día de programas que intentan adivinar contraseñas. Por eso el cortafuegos del servidor bloquea una dirección IP que prueba demasiadas veces una contraseña incorrecta. Eso protege su buzón, pero también puede afectarle a usted.

El ejemplo clásico: Daan cambia la contraseña de su correo, pero se olvida de cambiarla en su antigua tableta guardada en el cajón. Esa tableta intenta iniciar sesión cada pocos minutos con la contraseña antigua. Al cabo de un tiempo, el cortafuegos bloquea la dirección IP de la oficina. Entonces el webmail deja de funcionar para todos en la oficina, y a menudo también el sitio web, mientras que en el teléfono con 4G sí funciona. Esto último es la pista: el problema está en la dirección de su conexión, no en su buzón.

La solución siempre tiene dos partes: ponga la contraseña correcta en todos los dispositivos y, después, solicite que se levante el bloqueo.

En la práctica: así funciona en el webmail

El webmail de WebOké se abre en webmail.weboke.es. Para cerrar sesión, use el botón Cerrar sesión, abajo a la izquierda en el menú. Los pasos se describen en el manual de Roundcube, en Acceder al webmail, El campo Servidor y Mantener la sesión iniciada y cerrar sesión. Si no consigue iniciar sesión, consulte No puedo iniciar sesión. Con la verificación en dos pasos (lección 8.1), el webmail le pide además un código después de la contraseña. En otros webmails, como Gmail u Outlook.com, funciona de forma parecida: allí la casilla también se llama, por ejemplo, Mantener la sesión iniciada, y se aplican las mismas reglas para un ordenador compartido.

Resumen

• Inicia sesión con su dirección de correo completa y la contraseña del buzón, no con la contraseña de cliente ni la del panel.
• Deje vacío el campo Servidor, salvo que su dominio esté en otro sitio, e inicie sesión siempre de la misma manera.
• Una sesión es una cookie con la que el servidor le reconoce; quien tenga la cookie es usted para el webmail.
• Mantener la sesión iniciada (30 días) solo en su propio dispositivo; en un ordenador compartido: ventana privada, casillas desactivadas, cerrar sesión.
• Un dispositivo con una contraseña antigua puede provocar el bloqueo de su dirección IP.

Cuestionario

Ejercicio

Ejercicio D1.3: Practicar el inicio y el cierre de sesión. Abra una ventana privada en su navegador e inicie sesión en el webmail. Fíjese en qué casillas hay debajo de la contraseña y en lo que aparece al activar Mantener la sesión iniciada (desactívela de nuevo antes de iniciar sesión). Inicie sesión, abra un mensaje y haga clic en Cerrar sesión. Pulse entonces el botón Volver de su navegador y haga clic en algo de la página que ve. Después responda a estas preguntas: ¿Qué ocurrió cuando, tras cerrar sesión, pulsó Volver y luego hizo clic, y por qué? ¿En qué dispositivos de los que usa activaría Mantener la sesión iniciada y en cuáles no? ¿Tiene en algún sitio un dispositivo que pueda tener guardada una contraseña de correo antigua?

Para saber más

Cuando se describen pasos en el webmail, se refieren al webmail de WebOké; en otros webmails funciona de forma parecida.

• Roundcube Webmail 1.2: Iniciar sesión en el webmail
• Roundcube Webmail 1.3: El campo Servidor: ¿cuándo debe rellenarlo?
• Roundcube Webmail 1.4: Mantener la sesión iniciada y cerrar sesión
• Roundcube Webmail 13.1: No puedo iniciar sesión
• Acceder al webmail y qué hacer si no puede iniciar sesión
• Cambiar la contraseña o los límites de una dirección de correo electrónico
• Gestor de contraseñas y passkeys: así gestiona su inicio de sesión de forma segura
• Curso gratuito Seguridad online para empresarios 5.2: Usar el portátil y el teléfono de forma segura