Configurar el inicio de sesión

La pantalla Proveedores de autenticación configura la forma de iniciar sesión en Portail ZAPP: con correo electrónico y contraseña, con Microsoft 365, Google u otro proveedor de identidad, con o sin registro libre. La pantalla Solicitudes de acceso gestiona a las personas que se han presentado sin cuenta. Ambas pantallas están reservadas a los administradores: Administración › Usuarios y accesos › Autenticación › Proveedores y › Solicitudes pendientes.

Las reglas de contraseña, el bloqueo y la doble autenticación (obligatoria para todas las cuentas o solo para los administradores) se configuran en otro lugar: consulta la página «Proteger el inicio de sesión».

Proveedores de autenticación

Los cambios se aplican en cuanto haces clic en Guardar, sin reinicio. Los secretos no se vuelven a mostrar nunca: el campo indica «Configurado» o «No configurado», y un campo vacío conserva el valor guardado.

Inicio de sesión por formulario

Inicio de sesión por formulario permite iniciar sesión con correo y contraseña. Si se desmarca, el servidor rechaza el inicio de sesión con contraseña, no solo lo oculta: el formulario desaparece de la página de inicio de sesión, un inicio de sesión por la API con contraseña se rechaza, la contraseña olvidada ya no envía enlace (un enlace ya recibido deja de funcionar) y el registro libre se cierra. Desmárcalo solo si hay otro proveedor (Microsoft 365, Google…) en servicio; la pantalla te avisa si no hay ningún método de inicio de sesión activado.

Si el proveedor de identidad falla mientras el inicio de sesión por formulario está desmarcado, el administrador del servidor puede reabrir el inicio de sesión con contraseña sin pasar por la pantalla: define la variable Auth__Providers__Form__ForceEnabled=true en la configuración del servidor y reinicia la aplicación. Mientras esté definida, la pantalla lo indica y cada inicio de sesión con contraseña queda registrado; retírala cuando se cierre el incidente.

Registro self-service

Si está marcado, Registro self-service permite a un visitante crear su propia cuenta, con correo y contraseña. La cuenta solo se crea después de verificar la dirección de correo: el enlace enviado es válido 24 horas.

También vale para los proveedores de identidad: una persona sin cuenta que hace clic en «Continuar con Google» (o Microsoft, u otro proveedor) crea su cuenta en self-service, sin aprobación. Su dirección se verifica (por el proveedor, o con el código enviado por Portail ZAPP), acepta los textos legales y puede corregir su nombre y apellidos; la cuenta recibe el mismo grupo que por el formulario y la persona vuelve a la página de la que venía. Una dirección ya usada por otra cuenta se rechaza sin más detalle.

Código de grupo asignado a la cuenta creada: la cuenta se añade a este grupo. El grupo debe existir, estar activo, no estar sincronizado (por ejemplo, con las organizaciones) y no dar ningún derecho de administración: ADMINS, DEVS y cualquier grupo con acceso a una pantalla de administración se rechazan, porque cualquiera podría registrarse en él. Un grupo rechazado no se guarda (un mensaje lo explica); si el ajuste ya existía, la cuenta se crea sin grupo y la pantalla lo indica.
Textos legales que se deben aceptar: una lista code:version o code:version:dirección separada por comas. El formulario de registro muestra una casilla obligatoria por texto, con un enlace si se indica una dirección. La dirección debe empezar por http://, https:// o /; si no, no se guarda nada. La etiqueta de cada casilla procede de las traducciones (clave auth.register.legal.<code>).

Verificación humana (formularios públicos)

La verificación humana de los formularios públicos ya no se configura aquí: esta sección muestra un enlace Verificación humana a la pantalla específica (cuando ese módulo está activo). El proveedor, las claves y los formularios protegidos se describen en la página «Configurar la verificación humana».

Proveedores de identidad (OpenID Connect)

Esta sección lista los proveedores con los que se inicia sesión con una cuenta externa: Microsoft 365, Google Workspace o cualquier proveedor OpenID Connect (Okta, Keycloak, Authentik…). Cada proveedor activo añade un botón «Continuar con …» en la página de inicio de sesión. Los cambios se aplican de inmediato, sin reinicio.

Para añadir uno, haz clic en Añadir y elige el tipo; después indica:

el nombre visible en el botón y el código (letras y cifras, definitivo: ya no podrá cambiarse);
para Microsoft 365: el ID del inquilino (Tenant ID) — preferiblemente el GUID que muestra Entra ID, necesario para vincular una cuenta existente por su dirección de correo;
para Google Workspace: los dominios admitidos (por ejemplo ejemplo.com); solo se aceptan las cuentas de esos dominios con la dirección verificada. Una cuenta personal de Gmail solo se acepta si marcas Aceptar las cuentas personales de Google (gmail.com); una cuenta Workspace de otro dominio siempre se rechaza;
para Microsoft (cuenta personal): nada más que el Client ID y el secreto. Este tipo acepta las cuentas personales de Microsoft (outlook.com, hotmail.com, live.com…) y solo ellas; se suma a Microsoft 365, que sigue reservado a tu inquilino. En Microsoft, la aplicación debe aceptar las «cuentas personales de Microsoft»;
para un proveedor OpenID Connect: la autoridad (dirección HTTPS del proveedor), los ámbitos y, si hace falta, las reclamaciones del correo y del nombre;
el Client ID y el Client Secret de la aplicación declarada en el proveedor. El secreto se guarda en el almacén de secretos y nunca se vuelve a mostrar; un campo vacío conserva el secreto guardado.

Declara en el proveedor la dirección de retorno que muestra la página (dirección de tu instancia seguida de /auth/login/<código>/callback).

Una persona que inicia sesión con un proveedor:

encuentra su cuenta si está vinculada a ese proveedor — por su identidad en el proveedor, nunca solo por su dirección de correo;
nunca abre una cuenta local, una cuenta AD ni la cuenta de otro proveedor, aunque tenga la misma dirección de correo;
si no, se rechaza, salvo si el Autorregistro está activo (más abajo).

En cuanto una cuenta está vinculada a un proveedor, su directorio (autoridad o inquilino) ya no puede cambiar y ya no puede eliminarse: desactívalo, o crea otro para otro directorio.

Cuentas personales (Google, Microsoft) — para los solicitantes sin directorio de empresa:

cuando el proveedor no garantiza la dirección de correo (cuenta personal de Microsoft, algunos proveedores OpenID Connect), Portail ZAPP envía un código de seis cifras a la dirección antes de vincular una cuenta o de crear un registro. El código es válido durante 10 minutos, 5 intentos como máximo; se puede pedir uno nuevo, con un límite de algunos envíos por hora. El texto del correo se edita en Plantillas (plantilla «Autenticación - Código de verificación de la dirección»);
una cuenta personal nunca se crea sola: se vincula a una cuenta que has creado (mismo proveedor, misma dirección), pasa por una solicitud de acceso (Autorregistro, más abajo) o, si el Registro self-service está marcado, crea su cuenta ella misma (ver más arriba);
una cuenta personal no puede pertenecer a ningún grupo de administración (ADMINS, DEVS y cualquier grupo que dé un derecho de administración): se rechaza añadirla, y también el inicio de sesión si la cuenta está allí de todos modos. Estas cuentas escapan a la doble autenticación exigida a los administradores, y tu organización no controla su buzón;
la lista de usuarios, la ficha de la cuenta y el registro de inicios de sesión muestran «Google (cuenta personal)» o «Microsoft (cuenta personal)».

Activar o desactivar las cuentas personales de un proveedor queda registrado en la auditoría.

Microsoft 365 ya configurado antes de esta versión: la configuración se recupera automáticamente en el primer arranque, con la misma dirección de retorno y las mismas cuentas; comprueba solo que la tarjeta «Microsoft 365» está presente y activa.

No compatible: SAML (usa el proveedor OpenID Connect, que la mayoría de los directorios también ofrecen) y el inicio de sesión automático de Windows sin escribir nada (Kerberos). El inicio de sesión de las cuentas AD con su contraseña de Windows está previsto en una próxima versión.

Página de inicio de sesión

Botones de los proveedores de identidad: encima del formulario (recomendado) o debajo. Los botones «Continuar con …» toman el color principal del tema y llevan el logotipo del proveedor; un separador «o con tu correo electrónico» los separa del formulario. Si el inicio de sesión por formulario está desmarcado, solo se muestran los botones.

Autorregistro

Si está marcado, Autorregistro convierte el primer inicio de sesión de una persona desconocida con un proveedor de identidad en una solicitud de acceso: ve una página que le indica que su solicitud está pendiente, y no se crea ninguna cuenta hasta que un administrador la apruebe. Los miembros del grupo indicado en Código del grupo notificado reciben un correo con cada nueva solicitud (no cuando se reabre una solicitud rechazada, ver más abajo).

Solicitudes de acceso

La lista muestra las solicitudes con el nombre, el correo, el proveedor, la fecha y el estado: Pendiente, Aprobada o Rechazada (50 por página). Marca una o varias solicitudes pendientes y luego:

Aprobar la selección crea las cuentas (inicio de sesión con el proveedor de la solicitud) y avisa a cada persona por correo. La cuenta se crea sin grupo: tras la aprobación, la pantalla lista las cuentas creadas sin grupo; añádelas después a los grupos que correspondan desde la administración de usuarios. Una solicitud que no se ha podido aprobar se indica aparte.
Rechazar la selección pide un Motivo del rechazo, que se incluye en el correo enviado a cada persona. Una persona rechazada que vuelve a iniciar sesión más adelante reabre su solicitud: vuelve a quedar pendiente en la lista, pero no se envía ningún correo al grupo notificado; consulta la pantalla con regularidad.