Para entrar en el panel empiezas con un código por correo o con tu cuenta de Google o GitHub (consulta Crear una cuenta). La verificación en dos pasos (2FA) añade un segundo paso: tras ese primer acceso, el panel te pide además un código de una app de autenticación o una de tus passkeys o llaves de seguridad. Aunque alguien entre en tu correo o en tu cuenta de Google o GitHub, seguirá sin poder abrir tus organizaciones.
Se gestiona en Cuenta › Seguridad (/profile/security en el panel). Los propietarios y administradores de una organización pueden además exigir la 2FA a todos sus miembros.
Segundos factores
| Factor | Qué es | Notas |
|---|---|---|
| App de autenticación (TOTP) | Un código de 6 cifras que cambia cada 30 segundos, de una app como 1Password, Google Authenticator, Microsoft Authenticator o Aegis | Una app por cuenta. Cada código sirve una sola vez. |
| Passkey o llave de seguridad (WebAuthn) | Una passkey guardada en tu móvil, tu ordenador o tu gestor de contraseñas, o una llave de seguridad física | Puedes registrar varias y ponerle nombre a cada una. Una passkey también puede darte acceso por sí sola. |
| Códigos de recuperación | 10 códigos de un solo uso con el formato xxxxx-xxxxx | Se crean con tu primer factor y solo se muestran una vez. Guárdalos fuera de línea, por ejemplo en un gestor de contraseñas o en papel. |
La 2FA queda activada en cuanto tienes una app de autenticación confirmada o al menos una passkey o llave de seguridad. Te recomendamos registrar dos factores (por ejemplo, una app y una llave de seguridad, o passkeys en dos dispositivos) para que perder un dispositivo no te deje fuera.
Activar la verificación en dos pasos
- Abre Cuenta › Seguridad.
- Añade un primer factor: - App de autenticación: escanea el código QR con la app (o escribe el secreto que aparece) y confírmalo con el código de 6 cifras que muestra la app. - Passkey o llave de seguridad: ponle un nombre (de 1 a 64 caracteres, por ejemplo «Portátil del trabajo») y sigue las indicaciones del navegador.
- Guarda los 10 códigos de recuperación que muestra el panel. No se vuelven a mostrar.
Al activar la 2FA se cierran todas tus otras sesiones, en todos los dispositivos; la sesión que estás usando sigue abierta. Para añadir más factores después, con la 2FA ya activada, el panel te pide antes confirmar que eres tú.
Entrar con 2FA
Después del código por correo, del enlace del correo o de Google/GitHub, el panel muestra un segundo paso con los factores que tienes: un código de tu app, una passkey o llave de seguridad, o un código de recuperación. Hasta que lo completas, la sesión no puede hacer nada más: ni siquiera se listan tus organizaciones.
- Recordar este dispositivo: márcalo en el segundo paso para saltártelo en este navegador durante 30 días. El siguiente acceso sigue empezando por el código por correo o Google/GitHub. Quitar un factor, desactivar la 2FA, un restablecimiento por soporte y Cerrar todas las sesiones olvidan todos los dispositivos recordados; también puedes olvidarlos tú en Cuenta › Seguridad. Las cuentas de los operadores de la plataforma OpenWAF nunca se saltan el segundo paso.
- Bloqueo: 5 intentos fallidos seguidos, con cualquier factor, bloquean el segundo paso durante 15 minutos. Es un intento fallido un código de la app erróneo o ya usado, un código de recuperación erróneo o ya usado, o una passkey o llave de seguridad cuya firma no se verifica. Cancelar el aviso de passkey del navegador no cuenta. Cada código erróneo indica cuántos intentos quedan.
- Al usar un código de recuperación verás cuántos te quedan. Genera un juego nuevo antes de agotarlos.
Entrar con una passkey
En la página de acceso, Entrar con una passkey te da acceso solo con una passkey, sin código por correo. El navegador te ofrece las passkeys que registraste en esa dirección del panel y te pide desbloquearlas (huella, cara, PIN o la contraseña del dispositivo). Como una passkey demuestra a la vez que tienes el dispositivo y que lo has desbloqueado, este acceso ya cuenta como verificación en dos pasos.
El botón solo aparece en navegadores compatibles con passkeys. Una llave de seguridad que no sea una passkey detectable se puede seguir usando como segundo paso después de un código por correo.
Confirmar que eres tú
Algunas acciones necesitan una confirmación reciente, aunque la sesión ya esté abierta: si no has confirmado tu identidad en los últimos 10 minutos, el panel te pide confirmar que eres tú y después continúa con la acción. Confirmas con uno de tus factores o, si no usas la 2FA, con un código que te llega al correo.
| Acción | Dónde |
|---|---|
| Crear un token de API | Tokens de API |
| Cambiar el rol de un miembro | Miembros |
| Añadir o invitar a un miembro como Propietario o Administrador | Miembros |
| Borrar un dominio | Ajustes del dominio |
| Cambiar los ajustes de la organización | Ajustes de la organización |
| Activar o desactivar Exigir 2FA | Ajustes de la organización |
| Borrar tu cuenta | Cuenta |
| Desactivar la 2FA, quitar un factor, generar códigos de recuperación nuevos o añadir un factor con la 2FA ya activada | Cuenta › Seguridad |
Entrar con un dispositivo recordado no cuenta como confirmación, así que estas acciones siguen pidiendo un factor. La confirmación solo se aplica a las sesiones del panel: los tokens de API y las conexiones MCP nunca la piden.
Exigir la 2FA en una organización
Los propietarios y administradores pueden exigir la verificación en dos pasos a todos los miembros desde los ajustes de la organización. Para activarlo necesitas tener la 2FA en tu propia cuenta, y el cambio te pide confirmar que eres tú.
Mientras la política está activa:
- Un miembro sin 2FA que abre la organización va a Cuenta › Seguridad para configurarla antes de poder hacer nada en ella. Sus otras organizaciones siguen funcionando.
- Un miembro que entra mientras la política le aplica debe añadir un factor antes que nada; en cuanto lo confirma, la sesión continúa sin volver a entrar.
- Los miembros no pueden desactivar la 2FA, ni quitar su último factor, mientras una organización a la que pertenecen la exija.
- Miembros muestra quién tiene la 2FA activada, para que puedas avisar a quien aún no la haya configurado.
Activar o desactivar la política queda en el registro de auditoría como org.2fa_policy. La política se aplica también a las sesiones ya abiertas: su siguiente petición en la organización lleva a configurar la 2FA, sin volver a entrar. Las cuentas de los operadores de la plataforma OpenWAF siempre necesitan 2FA, decidan lo que decidan sus organizaciones; una sesión de operador abierta antes de que la cuenta tuviera 2FA también lleva a configurarla en su siguiente petición.
Las conexiones MCP necesitan 2FA
Para dar acceso a un asistente de IA mediante OAuth hace falta una sesión que haya superado la verificación en dos pasos. Si tu cuenta aún no tiene 2FA, el panel te pide activarla antes de mostrar la pantalla de permiso. Los clientes MCP que usan un token de API no se ven afectados.
Los tokens de API no cambian
La 2FA protege el acceso al panel. Los tokens de API (owf_…) y las conexiones MCP por OAuth ya existentes siguen funcionando igual, y la política de exigir 2FA no los bloquea: tienen su propio rol, alcance y caducidad. Crear un token nuevo desde el panel te pide confirmar que eres tú. Revoca en Tokens de API los que ya no necesites.
Gestionar tus factores y sesiones
En Cuenta › Seguridad puedes:
- Renombrar o quitar passkeys y llaves de seguridad, y quitar la app de autenticación (para pasarla a un móvil nuevo, quítala y vuelve a añadirla).
- Generar un juego nuevo de códigos de recuperación; los anteriores dejan de funcionar al instante.
- Desactivar la 2FA, lo que quita todos los factores, los códigos de recuperación y los dispositivos recordados. No es posible mientras se te exija la 2FA.
- Olvidar todos los dispositivos recordados.
- Ver tus sesiones abiertas (método de acceso, dirección IP, navegador, cuándo empezaron y cuándo se usaron por última vez) y cerrar cualquiera de ellas.
Cada cambio queda en el registro de auditoría de todas las organizaciones a las que perteneces:
| Acción | Significado |
|---|---|
user.2fa.enable, user.2fa.disable | 2FA activada o desactivada |
user.2fa.factor_add, user.2fa.factor_remove | Una app de autenticación, passkey o llave de seguridad añadida o quitada |
user.2fa.verify_fail, user.2fa.lockout | Un código erróneo en el segundo paso, y el bloqueo de 15 minutos |
user.2fa.recovery_used, user.2fa.recovery_regenerate | Un código de recuperación usado, o un juego nuevo generado |
user.2fa.reset | Factores quitados por el soporte de OpenWAF (ver más abajo) |
Si pierdes tu dispositivo
- Usa un código de recuperación. En el segundo paso, elige la opción de código de recuperación e introduce uno de tus códigos. Después, en Cuenta › Seguridad, quita el factor perdido, añade uno nuevo y genera códigos de recuperación nuevos.
- Usa otro factor. Cualquier otra passkey, llave de seguridad o la app de autenticación que registraste también sirve.
- Contacta con soporte. Si no te queda ningún factor ni código de recuperación, escribe a support@openwaf.dev desde la dirección de correo de tu cuenta.
El soporte solo restablece la verificación en dos pasos después de verificar tu identidad. Podemos pedirte datos que solo conoce el titular de la cuenta y, si perteneces a una organización con otros propietarios o administradores, pedirle a uno de ellos que confirme la solicitud. El restablecimiento quita todos los factores, códigos de recuperación y dispositivos recordados, cierra todas tus sesiones en todos los dispositivos y queda registrado como user.2fa.reset, con el motivo, en el registro de auditoría de todas las organizaciones a las que perteneces. Después vuelves a entrar y configuras la 2FA desde cero; si una organización la exige, tendrás que hacerlo antes de trabajar en ella.