Las reglas de contraseña, el bloqueo tras errores y la doble autenticación se configuran en la pantalla Configuración del sistema (Administración › Instancia y operaciones › Configuración), categoría Authentication. Esta pantalla está reservada a los administradores. Cada ajuste se cambia con Editar, e Historial muestra sus valores anteriores. Un ajuste que no aparece en la lista se añade con + Añadir, indicando su clave exacta.
Los proveedores de inicio de sesión (formulario, Microsoft 365, Google Workspace, OpenID Connect, registro libre) se configuran en otro lugar: consulta la página «Configurar el inicio de sesión».
Reglas de contraseña
Se aplican a toda contraseña nueva (registro, cambio, restablecimiento):
| Ajuste | Por defecto |
|---|---|
Auth:Password:MinLength — longitud mínima |
8 caracteres |
Auth:Password:RequireUppercase — al menos una mayúscula |
sí |
Auth:Password:RequireLowercase — al menos una minúscula |
sí |
Auth:Password:RequireDigit — al menos un dígito |
sí |
Auth:Password:RequireSpecialChar — al menos un carácter especial |
no |
Bloqueo temporal
Tras varias contraseñas erróneas seguidas, la cuenta se bloquea un tiempo, y luego cada vez más tiempo si los errores continúan:
| Ajuste | Por defecto |
|---|---|
auth.lockout.maxAttempts — errores seguidos antes del bloqueo |
5 |
auth.lockout.durationMinutes — duración del primer bloqueo, que se duplica en cada reincidencia |
15 minutos |
auth.lockout.maxDurationMinutes — duración máxima de un bloqueo |
1440 minutos (24 horas) |
Durante el bloqueo, cualquier intento se rechaza sin comprobar la contraseña y no prolonga el bloqueo. El titular de la cuenta recibe un aviso por correo. La cuenta conserva el estado Activo durante este bloqueo: la lista de usuarios no lo muestra y el botón Desbloquear no aparece (solo concierne al estado Bloqueado, que ya no establece ninguna acción actual). El bloqueo se levanta solo al final del plazo; para levantarlo de inmediato, restablece la contraseña de una cuenta local desde la administración de usuarios.
Doble autenticación
Un usuario puede proteger su cuenta con un segundo factor: un código recibido por correo, por SMS, por cualquiera de los dos, o generado por una aplicación de autenticación. También recibe códigos de recuperación, de un solo uso, por si pierde el segundo factor.
Hacer obligatoria la doble autenticación. Pon el ajuste auth.require2fa en true (false por defecto). A partir de ese momento se exige a toda cuenta que inicia sesión con una contraseña local; una cuenta sin contraseña local, que solo inicia sesión mediante un proveedor de identidad (Microsoft 365, Google Workspace, OpenID Connect), no está afectada. Un usuario que aún no tiene segundo factor debe configurar uno en su próximo inicio de sesión. Se puede conceder a una cuenta una exención temporal (30 días como máximo) desde la administración de usuarios.
Hacer obligatoria la doble autenticación solo para los administradores. Pon el ajuste auth.require2fa.admins en true (false por defecto). A partir de ese momento se exige, de la misma manera, solo a las cuentas de administrador: miembros de los grupos ADMINS o DEVS. Las demás cuentas siguen eligiendo, incluidos los miembros de los grupos de administración de un módulo (por ejemplo, los administradores del Service Desk): para exigírsela también a ellos, usa auth.require2fa. Un administrador que aún no tiene segundo factor debe configurar uno en su próximo inicio de sesión; ya no puede desactivarlo él mismo, y la exención temporal también se aplica. El ajuste no tiene efecto cuando auth.require2fa vale true, que ya la exige a todos. En la administración de usuarios, la ficha de un administrador indica «obligatoria para los administradores», igual que su página de perfil.
Ajustes de los códigos enviados por correo o SMS:
| Ajuste | Por defecto |
|---|---|
auth.2fa.maxAttempts — códigos erróneos antes de volver a la página de inicio de sesión |
3 |
auth.2fa.resendDelaySeconds — plazo mínimo entre dos envíos de código; el código anterior sigue siendo válido |
60 segundos |
auth.2fa.maxSendsPerHour — códigos enviados como máximo por cuenta en una hora móvil |
5 |
Dispositivos de confianza. Con auth.trustedDevices.enabled en true (false por defecto), la página de introducción del código ofrece la casilla «No volver a preguntar en este dispositivo durante 30 días».
Otros ajustes
Auth:AccessDenied:Contact: texto que aparece en la página «Acceso denegado» para indicar a quién pedir acceso (servicio, dirección de correo, enlace). Si está vacío, no se muestra nada.- Cuando un administrador restablece la contraseña de una cuenta, se cierran todas las sesiones abiertas de esa cuenta.