Autenticación en dos pasos

Tu cuenta de Zenavo puede llegar a todos los servidores que conectaste, así que protégela con un segundo factor. Actívalo en Account settings → Security configurando una aplicación de autenticación, añadiendo una llave de acceso, o ambas.

Aplicación de autenticación

1. Haz clic en Set up y escanea el código QR con una aplicación de autenticación (1Password, Google Authenticator, Microsoft Authenticator, Authy o cualquiera que admita TOTP). Si no puedes escanearlo, escribe la clave de configuración.
2. Escribe el código de 6 dígitos que muestra la aplicación.
3. Guarda los 10 códigos de recuperación en un lugar seguro, como un gestor de contraseñas. Solo se muestran una vez.

Tu primer segundo factor, la aplicación o una llave de acceso, activa la autenticación en dos pasos: crea los códigos de recuperación y cierra tus otras sesiones, ya que se iniciaron sin él. Añadir después el otro mantiene tus códigos de recuperación.

Llaves de acceso

Las llaves de acceso (passkeys) funcionan solas o junto a la aplicación de autenticación: usas una para terminar de iniciar sesión. Una llave de acceso vive en Touch ID o Face ID (Llavero de iCloud), Windows Hello, el Gestor de contraseñas de Google, un gestor de contraseñas como 1Password o una llave de seguridad física como una YubiKey.

1. En Security → Passkeys, haz clic en Add passkey.
2. Dale un nombre que reconozcas, como "MacBook Touch ID", y haz clic en Continue.
3. Sigue las indicaciones de tu navegador.
4. Si es tu primer segundo factor, guarda los códigos de recuperación que se muestran a continuación.

Puedes añadir hasta 20, por ejemplo una por dispositivo. Cada una muestra cuándo se añadió y se usó por última vez, y si se sincroniza entre tus dispositivos. Remove elimina una.

Las llaves de acceso están ligadas a la dirección de la consola; solo funcionan cuando abres la consola ahí.

Turn off en la aplicación de autenticación solo quita la aplicación; tus llaves de acceso y códigos de recuperación siguen funcionando. La autenticación en dos pasos se desactiva, y los códigos de recuperación se eliminan, cuando no queda ni la aplicación ni ninguna llave de acceso.

Iniciar sesión

Después de tu contraseña, o después de GitHub o Google, Zenavo pide el código actual de tu aplicación, o Use a passkey si añadiste una. Cada código funciona una vez. Si perdiste el teléfono, elige Use a recovery code: cada código de recuperación también funciona una vez. Si solo tienes llaves de acceso, el respaldo es un código de recuperación. Security muestra cuántos te quedan; Generate new codes los sustituye todos.

Restablecer la contraseña por correo cambia la contraseña pero no el segundo factor: después seguirás necesitando un código para iniciar sesión.

Cinco códigos incorrectos bloquean la introducción de códigos en esa cuenta durante 15 minutos.

Acciones sensibles

Con la sesión iniciada, no se te vuelve a pedir un código: añadir un servidor, crear claves de API, aprobar un inicio de sesión de la CLI y cambiar los ajustes de dos pasos solo requieren tu rol. La autenticación en dos pasos protege el inicio de sesión. Los cambios en tu propia cuenta siguen pidiendo tu contraseña actual cuando el formulario la muestra (correo, contraseña, eliminar la cuenta; consulta Tu cuenta), y eliminar un equipo te pide escribir su nombre.

Correos de inicio de sesión nuevo

Zenavo te envía un correo cuando alguien obtiene acceso duradero a tu cuenta:

• un inicio de sesión (contraseña, GitHub, Google o un enlace de restablecimiento de contraseña) desde un navegador que tu cuenta no ha usado antes, enviado cuando se acepta el segundo factor si la autenticación en dos pasos está activada
• un inicio de sesión de la CLI que aprobaste
• una clave de API nueva

El correo muestra la hora, el navegador y el sistema aproximados (del user agent del navegador), la dirección IP y el método de inicio de sesión, con un enlace a Account settings → Sessions para cerrar la sesión de ese dispositivo. Nunca contiene tokens, códigos ni secretos. Si no fuiste tú, cierra esa sesión (o elimina la clave), cambia tu contraseña y activa la autenticación en dos pasos.

Zenavo reconoce un navegador por una cookie aleatoria de larga duración que deja al iniciar sesión; tu cuenta solo guarda un hash. Un navegador sin la cookie (borrada, ventana privada) sigue contando como conocido cuando el mismo navegador y sistema inicia sesión desde la misma red (el /24 de la IP, o el /48 en IPv6) que un dispositivo o sesión que usaste hace poco. Los dispositivos sin usar durante 180 días se olvidan. El primer inicio de sesión justo después de registrarte no envía nada. En un plano de control que acaba de añadir esta función, tu primer inicio de sesión desde cada navegador puede enviar un correo, ya que aún no hay navegadores conocidos.

Recibes como mucho uno de estos por hora y dispositivo. Cada uno queda en el registro de auditoría. Están activados para todos; puedes desactivarlos en Account settings → Notifications, pero no lo recomendamos.

Actividad reciente

Security también lista tus inicios de sesión recientes, los intentos fallidos, las claves de API y otros cambios de la cuenta, a partir del registro de auditoría. Revísalo si sospechas que otra persona usó tu cuenta.

Cómo se guarda

El secreto de la aplicación de autenticación se cifra con la clave maestra del plano de control. Los códigos de recuperación solo se guardan como hashes.

De una llave de acceso, Zenavo solo guarda su clave pública, el ID de la credencial, el modelo del autenticador (AAGUID), el nombre que le diste y un contador de firmas; la clave privada nunca sale de tu dispositivo. Cada solicitud de llave de acceso responde a un desafío nuevo que funciona una vez, caduca a los cinco minutos y está ligado a tu sesión (o, durante el inicio de sesión, a ese inicio de sesión). Si el contador de firmas de una llave retrocede, señal de una llave copiada, Zenavo la rechaza y lo anota en el registro de auditoría; elimina esa llave de acceso.