Saltar al contenido principal

Seguridad

Autenticación de dos factores (MFA)​

El MFA usa TOTP — el mismo código de 6 dígitos de aplicaciones como Google Authenticator, Authy y 1Password.

  • Obligatorio para perfiles protegidos. Hoy, el perfil Administrador queda bloqueado en el inicio de sesión hasta configurar el MFA. La exigencia se aplica en el servidor, no solo en la pantalla: un administrador existente queda obligado en el próximo inicio de sesión.
  • Voluntario para los demás. Cualquier usuario puede habilitar el MFA en su propio perfil.
  • Códigos de respaldo. Al habilitar, se generan 6 códigos de uso único, mostrados una única vez para descarga o impresión. Reemplazan a la aplicación cuando pierdes el celular. Generar nuevos invalida los antiguos.

Recuperación​

Sin la aplicación y sin los códigos de respaldo, la recuperación pasa por el soporte de Soublox, que puede desactivar el MFA de un usuario. Es una operación auditada.

Sesión​

  • El acceso es por cookie de sesión (HttpOnly), con tokens de corta duración.
  • La sesión se cierra al salir, al desactivar al usuario y al cambiar la contraseña.
  • Los dispositivos se deduplican: el mismo navegador no abre sesiones duplicadas para el mismo usuario.

Restricciones de inicio de sesión por IP​

En Configuración → Restricciones de inicio de sesión limitas desde qué rangos de IP puede entrar el equipo:

  • reglas globales de la empresa y reglas por perfil;
  • rangos en notación CIDR;
  • los intentos fuera del rango se rechazan y se registran.

Esto complementa el MFA: es la barrera de red, útil para equipos que solo acceden desde dentro de la oficina o desde una VPN.

Límites de intentos​

El inicio de sesión y la recuperación de contraseña tienen límite de intentos por IP y por cuenta. Al superarlo, la respuesta es 429 y la liberación es automática después de la ventana de espera.

Permisos​

El control de acceso es por sección × acción, definido en los perfiles (consulta Equipo y permisos). Tres consecuencias prácticas:

  1. Los reportes respetan los permisos de las tablas. Un usuario no ve en el reporte el dato que no puede ver en pantalla.
  2. La exportación es un permiso propio. Tener la sección no implica poder descargar CSV.
  3. El MCP hereda el perfil. Un asistente conectado responde exactamente lo que el usuario que autorizó el acceso puede ver.

Aislamiento entre empresas​

Cada workspace está aislado: las consultas pasan por Row Level Security en la base de datos, con el contexto de la empresa aplicado en cada petición. No existe consulta de la app que atraviese empresas.

Buenas prácticas​

  1. MFA obligatorio para todos los administradores (ya es automático) y recomendado para supervisores.
  2. Una cuenta por persona — nunca compartir el inicio de sesión.
  3. Revisar perfiles en cada cambio de equipo.
  4. Restringir IP cuando la operación viene de un lugar fijo.
  5. Guardar los códigos de respaldo en una caja fuerte, no en el correo.