Segundo factor de autenticación (MFA)

El segundo factor de autenticación es una opción del plan Premium, activada por Omniscol a petición. A continuación, su centro elige los roles afectados y los segundos factores de autenticación que acepta.

Activar el segundo factor de autenticación

En Administración → Configuraciones, sección Seguridad, el botón Configurar de la línea Segundo factor de autenticación (MFA) abre la configuración:

• Roles afectados: los roles cuyas cuentas deben demostrar un segundo factor de autenticación: Administrador, Personal, Profesor. Si no se elige ningún rol, la opción queda inactiva. Los estudiantes nunca tienen que demostrar un segundo factor de autenticación.
• Segundos factores de autenticación aceptados: lo que una cuenta puede registrar: Llave de acceso, Aplicación de autenticación o Código por correo electrónico. Al menos uno.
• Recordar el navegador: ofrece, en el momento de demostrar el segundo factor de autenticación, no volver a pedirlo en ese navegador durante el número de días que usted fije, de 1 a 90. La contraseña se sigue solicitando.

Junto al botón, una etiqueta indica si la opción está activa y para qué roles.

En cuanto se guarda la opción, la sesión de una cuenta de un rol elegido, abierta sin segundo factor de autenticación, se interrumpe en su siguiente acción: la persona se vuelve a conectar y registra el suyo. Las aplicaciones que había autorizado antes, por ejemplo un asistente conectado por MCP, deben autorizarse de nuevo.

Al conectarse

Tras su contraseña, una cuenta de un rol elegido pasa por una segunda etapa.

Primera conexión: registrar un segundo factor de autenticación

En su primera conexión, la cuenta registra un segundo factor de autenticación, entre los que el centro acepta:

• Llave de acceso: el botón Crear una llave de acceso registra una llave de acceso en el dispositivo; la huella, el rostro o el código de bloqueo del dispositivo confirman después cada conexión;
• Aplicación de autenticación: la persona escanea un código QR con una aplicación de autenticación de su teléfono y luego introduce el código de seis dígitos que esta muestra;
• Código por correo electrónico: el botón Recibir un código por correo electrónico envía un código de seis dígitos, válido durante diez minutos, a la dirección de correo electrónico de la cuenta. Una cuenta sin dirección de correo electrónico no puede elegirlo.

Una cuenta registra un único segundo factor de autenticación y lo conserva aunque el centro deje después de aceptar ese tipo.

Los administradores reciben además diez códigos de respaldo, que se muestran una sola vez. Cada uno sustituye al segundo factor de autenticación en una conexión, si se pierde el dispositivo: consérvelos en un lugar seguro.

Conexiones siguientes

Cada conexión solicita a continuación el segundo factor de autenticación registrado: la llave de acceso, el código de la aplicación o el código enviado por correo electrónico, que se envía automáticamente. Un administrador también puede introducir un código de respaldo.

Si el centro lo permite, una casilla permite no volver a pedirlo en ese navegador durante el número de días fijado. Otro navegador lo sigue pidiendo siempre, como una conexión posterior a su restablecimiento.

Con el SSO

Tras una conexión mediante el proveedor de identidad (OIDC / SSO), la misma etapa aparece en la página de conexión: el segundo factor de autenticación se suma al SSO.

Restablecer un segundo factor de autenticación

Una cuenta que ha perdido su segundo factor de autenticación (teléfono cambiado, llave de acceso eliminada) registra uno nuevo después de un restablecimiento:

• para una cuenta: el botón Restablecer el segundo factor de autenticación de su línea desplegada, junto a Contraseña, en la lista de su rol: Administradores, Profesores o Personal;
• para todas las cuentas: Restablecer el segundo factor de todas las cuentas, en la parte inferior de la configuración del segundo factor de autenticación.

El restablecimiento de todas las cuentas, como el de una cuenta de administrador, pide confirmar su identidad. La cuenta registra un nuevo segundo factor de autenticación en su siguiente conexión, y los navegadores reconocidos se olvidan. Sus sesiones ya abiertas continúan: para interrumpirlas, desactive la cuenta.

Un administrador que ha perdido su segundo factor de autenticación se conecta con un código de respaldo, o bien otro administrador lo restablece. El soporte de Omniscol puede restablecer el del último administrador.

Conviene saber

• El código por correo electrónico es el segundo factor de autenticación más débil: el restablecimiento de la contraseña pasa por el mismo buzón. Para una protección más fuerte, acepte únicamente la llave de acceso y la aplicación de autenticación.
• Una llave de acceso está vinculada a la dirección del centro en la que se creó: desde otra dirección, no funciona.