# Seguridad del acceso al panel El panel puede acceder a todos los usuarios finales de sus entornos, por lo que el acceso a él sigue una línea base de seguridad fija en todos los planes. Ninguna configuración de la cuenta puede desactivar estas protecciones. ## Inicio de sesión con autenticación multifactor - Cada inicio de sesión en el panel debe usar autenticación multifactor. Si un inicio de sesión no fue multifactor, el panel le pide que vuelva a iniciar sesión con un segundo factor antes de mostrar o cambiar cualquier cosa en sus entornos. - Los miembros con el rol `owner` o `admin` deben usar una clave de acceso o una clave de seguridad para trabajar en los entornos. Un código de una aplicación autenticadora no es suficiente para estos roles. ## Sesiones | Regla | Valor | |---|---| | Tiempo de inactividad | 30 minutos sin actividad | | Duración máxima de la sesión | 12 horas, independientemente de la actividad | | Sesiones por persona | 5; si inicia sesión una sexta vez, se cierra la sesión más antigua | | Cierre de sesión | Cierra la sesión de inmediato | Una sesión está vinculada al navegador que la inició: a una clave que el navegador crea y no puede exportar, y a una cookie de dispositivo. Una solicitud que presente otra clave u otra cookie de dispositivo cierra la sesión, y KeenAuth envía al propietario de la sesión un correo electrónico de aviso de seguridad (como máximo uno por hora). La sesión también supervisa la red que usa: - Cuando cambia su red IPv4 /24 o IPv6 /56, el panel le pide que vuelva a iniciar sesión antes de continuar. - Cuando cambia su proveedor de red (sistema autónomo), la sesión termina. Si no se conoce el proveedor de una dirección, esta regla no se aplica y sigue vigente la regla de red anterior. ## Acciones sensibles La gestión del equipo, los roles personalizados, la transferencia de propiedad, el cierre de la cuenta, la creación de entornos `production`, la eliminación de entornos, el cambio del modo de emisor, los cambios de plan y facturación, las concesiones de acceso de soporte de la plataforma y la configuración de seguridad del panel solo se aceptan si inició sesión durante los últimos 5 minutos. De lo contrario, el panel le pide que vuelva a iniciar sesión y luego continúa. La misma lista aparece en [Gestionar el equipo del panel](/docs/guides/dashboard-team). ## Cómo se comprueba el acceso a un entorno El panel no tiene una clave general para sus entornos. Por cada entorno que abre, recibe un token de acceso de corta duración: - Es válido durante 5 minutos y solo para un entorno. - Está vinculado a la clave del navegador, por lo que no puede usarse desde otro navegador. - Enumera los permisos que le otorgan sus roles en ese entorno. La región que aloja el entorno vuelve a comprobar la firma, el entorno, la cuenta y cada permiso en cada solicitud. Lo que el panel oculta o muestra es solo una comodidad; la decisión se toma donde residen los datos. ## Cuando se quita un rol Cuando se revoca uno de sus roles, o se le elimina de una cuenta, sus sesiones del panel y sus tokens de acceso a esa cuenta se revocan. La finalización de su pertenencia no espera a la duración de 5 minutos del token. ## Inicio de sesión único para el panel En los planes Business y Enterprise, una cuenta puede exigir que sus miembros inicien sesión en el panel a través del proveedor de identidad de la empresa. Los propietarios y administradores gestionan esto en la pantalla **Seguridad del panel** (`/account/security`). Cada cambio en esa pantalla es una acción sensible: debe haber iniciado sesión durante los últimos 5 minutos. ### Configurar la conexión y el directorio La conexión SAML u OpenID Connect, el directorio SCIM y los dominios verificados que se usan para el inicio de sesión en el panel se configuran en el Portal de administración. Seleccione **Abrir el Portal de administración** en la pantalla Seguridad del panel. El enlace se abre una sola vez y caduca a los 5 minutos. ### Exigir el inicio de sesión único - Cuando se exige el inicio de sesión único, los miembros de la cuenta deben iniciar sesión a través de la conexión con el proveedor de identidad de la cuenta. Un miembro que inició sesión de otra forma debe volver a iniciar sesión con inicio de sesión único antes de que el panel continúe. La misma regla se aplica a los inicios de sesión desde la línea de comandos (CLI) de la cuenta. - Solo puede activar el requisito si usted mismo ha iniciado sesión con inicio de sesión único, o si la cuenta tiene al menos un propietario de acceso de emergencia. Así se evita que la cuenta quede bloqueada por una conexión que no funciona. - Desactivar el requisito siempre es posible, incluso después de un cambio a un plan inferior. ### Propietarios de acceso de emergencia - Un propietario puede marcar hasta 2 propietarios como propietarios de acceso de emergencia. Solo los propietarios pueden marcarlos o desmarcarlos. - Si el proveedor de identidad no está disponible, un propietario de acceso de emergencia puede iniciar sesión sin inicio de sesión único, únicamente con una clave de acceso o una clave de seguridad. - Cada inicio de sesión de acceso de emergencia se registra en el registro de auditoría de la cuenta y se envía por correo electrónico a los propietarios de la cuenta. ### Roles por grupo de directorio Puede asignar a los miembros de un grupo SCIM de su directorio un rol del panel. En la pantalla Seguridad del panel, en **Roles por grupo de directorio**, seleccione **Asignar un grupo** e introduzca el ID del grupo (que se muestra en el Portal de administración), el rol y el alcance. - Una cuenta puede tener hasta 20 asignaciones de grupo. El rol `owner` nunca lo otorga un grupo: la propiedad siempre pertenece a una persona. - Solo puede asignar roles que tiene permitido otorgarse a sí mismo. Crear y eliminar asignaciones requiere el permiso de gestión del equipo. - Los miembros de un grupo asignado obtienen el rol en unos 5 minutos. Un miembro que abandona el grupo pierde el rol en la siguiente sincronización. Una persona del grupo que todavía no es miembro de la cuenta se añade como miembro. - Un rol que proviene de un grupo aparece marcado como "(de un grupo de directorio)" en la pantalla Equipo. No puede revocarse desde allí; cambie el grupo en su directorio o elimine la asignación. - Eliminar una asignación quita de inmediato los roles que otorgó. La sincronización de grupos nunca modifica los roles asignados manualmente, y un miembro que fue eliminado de la cuenta o suspendido en ella no se vuelve a añadir. - Si no se puede acceder al directorio, los roles de grupo se mantienen como máximo 1 hora después de la última sincronización correcta y luego se eliminan hasta que el directorio vuelva a responder. Un error de sincronización nunca añade un rol. - Después de un cambio a un plan inferior a Business, se eliminan los roles de grupo. ## Todavía no disponible - Configuraciones de la cuenta que acorten la duración de las sesiones, exijan un inicio de sesión resistente al phishing para todos los miembros o permitan códigos de aplicaciones autenticadoras para `owner` y `admin`. - Avisos por correo electrónico para un inicio de sesión desde un nuevo país o dispositivo. ## Páginas relacionadas - [Gestionar el equipo del panel](/docs/guides/dashboard-team) - [Aislamiento de datos entre entornos](/docs/security/tenant-isolation)