Primeros pasos

Seguridad y MFA

Vilulia utiliza AWS Cognito para la autenticación. Todos los usuarios se autentican con correo electrónico y contraseña. La autenticación multifactor (MFA) mediante una aplicación autenticadora TOTP está disponible para todos los roles y puede ser requerida por la política de su organización. La configuración de seguridad de la cuenta, incluida la inscripción en MFA, los cambios de contraseña, el historial de inicio de sesión y la gestión de sesiones, es accesible para todos los usuarios en Configuración → Seguridad.

Lo que aprenderás

Cómo inscribirse en MFA con una aplicación autenticadora TOTP
Cómo es el flujo de inicio de sesión cuando MFA está activado
Cómo desactivar MFA si es necesario
Cómo ver tu historial de inicio de sesión y gestionar las sesiones activas
Cómo los cambios de contraseña afectan a otras sesiones

Inscripción en MFA

Para activar MFA en tu cuenta:

Ve a Configuración → Seguridad y haz clic en Configurar la autenticación de dos factores.
Vilulia genera un secreto TOTP y muestra un código QR. Escanea el código QR con cualquier aplicación autenticadora compatible con TOTP (Google Authenticator, Authy, 1Password, Microsoft Authenticator, o cualquier aplicación que admita el formato de URI otpauth://).
Ingresa el código de 6 dígitos que muestra tu aplicación autenticadora para confirmar la inscripción. Esto verifica que el secreto se escaneó correctamente antes de activar MFA.

MFA se almacena en AWS Cognito en tu cuenta de usuario. El secreto nunca queda expuesto después de la pantalla de configuración inicial. Si pierdes acceso a tu aplicación autenticadora, comunícate con el administrador de tu organización o con el soporte de Vilulia para restablecer MFA.

Iniciar sesión con MFA

Cuando MFA está activado, el flujo de inicio de sesión agrega un segundo paso:

Ingresa tu correo electrónico y contraseña como de costumbre.
Si las credenciales son correctas, se te pedirá tu código TOTP de 6 dígitos. Abre tu aplicación autenticadora e ingresa el código actual.
Vilulia valida el código con Cognito. Un código incorrecto devuelve un error; puedes intentarlo de nuevo con el siguiente ciclo de código (los códigos rotan cada 30 segundos).

Los intentos fallidos de MFA se registran en el registro de auditoría. Puedes revisar tu propio historial de inicio de sesión en Configuración → Seguridad.

Desactivar MFA

Para desactivar MFA en tu cuenta, ve a Configuración → Seguridad y haz clic en Desactivar la autenticación de dos factores. Se te pedirá que confirmes tu identidad con:

Tu contraseña actual (se vuelve a autenticar a través de Cognito), o
Un código TOTP actual de tu aplicación autenticadora.

Este paso de reautenticación no puede omitirse. Los cambios de contraseña y los cambios de MFA también se bloquean por completo cuando una sesión de soporte de Vilulia está suplantando tu cuenta.

Historial de inicio de sesión

La sección Historial de inicio de sesión de Configuración → Seguridad muestra tus intentos de inicio de sesión recientes, incluidos la marca de tiempo, el tipo de dispositivo (Escritorio, Móvil o Tableta) y si el intento tuvo éxito o falló. Se muestran hasta 50 eventos recientes. Los intentos fallidos desde tu propia dirección de correo electrónico aparecen junto a los inicios de sesión exitosos para que puedas detectar intentos de acceso no autorizado.

Gestión de sesiones

Vilulia rastrea las sesiones activas además de los tokens de Cognito. Cada sesión tiene su propio ID y registra la hora de última actividad. Desde la sección Sesiones activas de Configuración → Seguridad puedes:

Ver todas las sesiones activas con el tipo de dispositivo y la hora de última actividad.
Revocar cualquier sesión individual que no sea tu sesión actual. Revocar una sesión cierra la sesión de ese dispositivo de inmediato.
Revocar todas las demás sesiones a la vez, lo cual es útil si crees que se ha accedido a tu cuenta desde un dispositivo desconocido.

Las sesiones tienen un tiempo de espera de inactividad configurable (60 minutos por defecto), y la actividad continua mantiene tu sesión activa. Para cerrar sesión en tu sesión actual, usa el menú de cuenta y selecciona Cerrar sesión.

Cambios de contraseña

Cambiar tu contraseña desde Configuración → Seguridad requiere tu contraseña actual. Las contraseñas deben cumplir el mínimo de la plataforma: 12 caracteres con una combinación de tipos de caracteres. Tras un cambio de contraseña exitoso, todas las demás sesiones activas se revocan automáticamente. Tu sesión actual permanece válida, por lo que no se cierra sesión de inmediato.

Si has olvidado tu contraseña, usa el enlace ¿Olvidaste tu contraseña? en la página de inicio de sesión. Vilulia envía un código de confirmación a tu correo electrónico registrado. Ingresa el código junto con tu nueva contraseña para completar el restablecimiento.

Usuarios SSO

Si tu organización ha configurado el inicio de sesión único SAML u OIDC y la aplicación de SSO está habilitada, el inicio de sesión basado en contraseña está desactivado para tu dominio. La autenticación ocurre completamente a través de tu proveedor de identidad. En ese caso, MFA es administrado por tu IdP en lugar de Vilulia. Los administradores de tenant conservan el inicio de sesión basado en contraseña como vía de recuperación incluso cuando la aplicación de SSO está activa.