Seguridad, sesiones, inicio de sesión único y MFA

Sesiones que se pueden revocar de verdad

Un inicio de sesión en el navegador emite una sesión de plataforma, y el servidor guarda su registro: un token solo se acepta mientras su registro está vivo, así que la duración absoluta, el tiempo de inactividad y la revocación se deciden en el servidor y no se confían al navegador.

Seguridad y sesiones lista tus sesiones activas, permite cerrar sesión en todas menos la actual y da a propietarios y administradores una vista de toda la organización con revocación por miembro, para el caso de una salida o un dispositivo perdido. La creación y la revocación de sesión se escriben en la pista de auditoría.

La política de autenticación

La página de política fija las reglas para toda la organización: exigir un segundo factor, exigir inicio de sesión único, exigir una sesión gestionada por la plataforma, la duración de sesión, el tiempo de inactividad y los métodos de inicio de sesión permitidos.

Dos detalles de diseño importan en la práctica. Exigir autenticación multifactor pide una ventana de gracia, para que activarla no deje al equipo sin poder escribir en el mismo minuto. Y exigir inicio de sesión único se rechaza si no existe ninguna conexión activa, porque un ajuste que deja a todos fuera es un fallo, no una política. Los rechazos llevan un código legible por máquina - sesión no gestionada, se requiere inicio de sesión único, se requiere segundo factor o enrolamiento - y la consola lo convierte en la pantalla correcta en lugar de un callejón sin salida.

Lista de direcciones permitidas

La política también puede restringir desde dónde se accede: indica direcciones IP o rangos CIDR (IPv4 o IPv6), y los miembros y las claves API solo podrán llegar a los datos de la organización desde esas redes. Una clave API copiada que se use desde otro lugar se rechaza.

La página muestra la dirección desde la que te conectas, y una lista que la excluya se rechaza, así que no puedes dejarte fuera por error. Restringir la lista está abierto a los administradores; añadir un rango o vaciar la lista amplía el acceso y requiere un propietario.

Autenticación multifactor

El enrolamiento devuelve una sola vez el secreto y un código QR, confirma con un código vigente y emite códigos de recuperación guardados con hash y usables una vez cada uno. Un código de un paso anterior se rechaza como repetición, y se acepta un paso de deriva de reloj.

Cuando una cuenta tiene un factor confirmado, añadir otro, retirar uno o regenerar los códigos de recuperación exigen un código válido de un factor existente: una sesión robada no basta para volver a enrolar una cuenta. Los códigos fallidos se limitan por cuenta y cada fallo se audita, lo que hace visible un intento de adivinación.

Inicio de sesión único

Una conexión configura SAML 2.0 u OIDC para la organización, atiende los dominios de correo reclamados y aprovisiona usuarios en el primer inicio de sesión con el rol mapeado desde sus grupos. Importar los metadatos del proveedor de identidad muestra la huella del certificado para que la confirmes por otra vía; la plataforma también publica sus propios metadatos para el proveedor.

Las aserciones se verifican solo contra el certificado configurado, y la parte firmada del documento es la que se lee, así que una respuesta que envuelve una aserción firmada dentro de otra sin firmar falla. Destinatario, audiencia, correlación de la petición y ventana de validez se comprueban, y un inicio de sesión es de un solo uso.

Una limitación deliberada: el inicio de sesión solo se inicia desde el proveedor de servicio. Una respuesta que llega sin una petición nuestra detrás se rechaza, que es justamente lo que hace imposible repetir una aserción capturada. Prueba la comprobación de preparación de la conexión antes de imponerla.

Revocar el acceso de una persona

1. Abre Usuarios y pon la cuenta como lector, o retira la pertenencia.
2. Abre Seguridad y sesiones y revoca las sesiones de esa persona.
3. Si el aprovisionamiento viene de tu proveedor de identidad, desaprovisiona la cuenta allí: desactiva al usuario, retira las pertenencias y revoca las sesiones activas.
4. Consulta la pista de auditoría para confirmar qué ocurrió y cuándo.

Referencia página por página

Estas páginas se revisaron en la consola de la organización el 8 de octubre de 2026 con una organización de ejemplo aislada. Los controles pueden variar según el rol, el plan, el estado del registro y los proveedores configurados. Las explicaciones prácticas y los nombres de los controles siguientes siguen la interfaz en inglés revisada.

Security and sessions (/settings/security)

The page combines this sign-in's method, MFA enrollment, personal and organization sessions, policy controls and security posture.

Review active sessions and MFA enrollment before changing organization sign-in policy. A stricter MFA, SSO, managed-session, or network requirement can affect current members, so check posture and provider readiness first. Save the policy with the appropriate authority, then verify a normal sign-in path and revoke sessions that should no longer remain active.

Relaxing a policy requires the owner; a stricter policy can immediately affect sign-in.

Controles y opciones

• Add an authenticator app, confirm a code and store recovery codes securely before relying on MFA.
• Revoke a session or Sign out of other sessions to end unwanted access.
• Set MFA, SSO, managed-session and network rules, session lifetime and idle timeout; Save policy applies allowed changes.
• Inspect Security posture for unmet requirements and organization sessions for active devices.

Single sign-on (/settings/sso)

SSO connects a claimed email domain to a SAML or OIDC identity provider and records linked identities and recent sign-ins.

Claim only domains the organization controls and configure SAML or OIDC values from the identity provider's verified settings. Test a complete sign-in and inspect recent requests before enabling enforcement or automatic member creation. A default role controls starting access, while plan seats and organization policy still limit who can join.

A connected IdP does not prove every user of a domain is authorized for this organization.

Controles y opciones

• Choose protocol, name, claimed domains and default role for just-in-time members.
• Enter the IdP endpoint, entity or client data and certificate as required, then Create connection.
• Provision members on first sign-in, require MFA or refuse alternative methods only after testing the connection.
• Use Configured connections and Recent sign-in requests to diagnose redirects and claims.

SCIM provisioning (/settings/provisioning)

SCIM lets an identity provider create, update and deactivate this organization's members using a scoped token.

Create a separate SCIM token for the identity-provider connector and copy it once into the provider's secure configuration. Use the displayed base URL and schemas to test user and group creation, update, and deactivation. Review Team after the first sync for seat limits, role assignment, and account status; rotate or revoke the token when the connector changes.

SCIM cannot change the organization's owner through this connection.

Controles y opciones

• Create a named SCIM token and copy it once into the identity provider.
• Use the displayed base URL and schema notes to configure user and group provisioning.
• Rotate or revoke tokens when the connector or operator changes.
• Check Team after a sync to confirm roles, seat use and account status.