Autenticación y Autorización
Debido a razones de seguridad, STATUS implementa un sistema integral de gestión de cuentas. Para usar tanto la interfaz de usuario como la API, debe tener una cuenta. En esta sección aprenderá todo lo que necesita saber sobre los datos de usuario, gestión de sesiones, autenticación de dos factores, y muchas otras características de seguridad.
Crear una cuenta
Para crear una cuenta en STATUS, deberá hacer clic en el enlace en el modal de inicio de sesión que dice: Registrarse. Será redirigido a la vista de registro.
Figura 1: Formulario de vista de registro.
Una vez ahí, se le pedirá un nombre de usuario, correo electrónico y contraseña. Por favor, introduzca credenciales seguras para proteger sus datos. Una vez que haya creado su cuenta, el sistema mostrará una alerta y será redirigido a la página principal, conectado a su nueva cuenta. Si ya tiene una cuenta, puede iniciar sesión haciendo clic en el texto que dice Iniciar sesión en la parte inferior del formulario de registro.
Su nombre de usuario debe ser único. Recomendamos usar una contraseña con más de 12 caracteres para una mejor seguridad.
Iniciar Sesión
Lo primero que verá al visitar STATUS es esta vista. Para iniciar sesión, solo necesita introducir su nombre de usuario y contraseña.
Figura 2: Formulario de inicio de sesión.
Si todo está bien, iniciará sesión y tendrá acceso al resto del sistema, pero tenga cuidado porque cerrará sesión automáticamente después de 2 horas. Si no tiene una cuenta, puede crear una haciendo clic en el texto que dice Registrarse en la parte inferior del formulario de inicio de sesión.
Cerrar Sesión
Cada dos horas su sesión expirará, lo que significa que se le obligará a iniciar sesión nuevamente. Sin embargo, también puede cerrar sesión por sí mismo. Para hacerlo, vaya a la página principal, haga clic en el icono de perfil ubicado arriba a la derecha. Después, haga clic en el botón que dice Cerrar Sesión.
Figura 3: Vista de perfil.
Cambiar información de perfil
Si desea cambiar sus datos de usuario, puede hacerlo en dos pasos sencillos. Vaya a la página principal y haga clic en el icono de perfil ubicado arriba a la derecha. Verá su nombre de usuario y correo electrónico actuales en campos de texto. Podrá introducir nuevos valores y actualizarlos haciendo clic en el botón Actualizar perfil.
Figura 4: Perfil actualizado correctamente.
Su nombre de usuario debe ser único. STATUS no le permitirá actualizar su nombre de usuario si otro usuario ya tiene ese o si es el mismo que ya tiene.
Figura 5: Perfil no actualizado por errores de validación.
Cambiar contraseña
Cambiar la contraseña es similar a la actualización de información de perfil. También tendrá que ir a la página principal y hacer clic en el icono de perfil arriba a la derecha. Una vez que esté en la vista de perfil, haga clic en el botón Cambiar contraseña. Accederá a otra vista donde podrá introducir su nueva contraseña.
Figura 6: Pantalla de cambio de contraseña.
Por favor, use contraseñas seguras para evitar hacking y proteger sus datos. Si cambió de opinión y ya no desea actualizar su contraseña, puede volver a la vista de perfil haciendo clic en el botón Volver al perfil. De lo contrario, introduzca su nueva contraseña y haga clic en Actualizar contraseña.
Autenticación de Dos Factores (TOTP)
STATUS soporta autenticación opcional de dos factores usando Contraseñas de Un Solo Uso Basadas en Tiempo (TOTP). Esto añade una capa adicional de seguridad a su cuenta.
Habilitar Autenticación de Dos Factores
Para habilitar TOTP, vaya a su página de perfil y haga clic en el botón Autenticación de Dos Factores. Será redirigido a la pantalla de configuración donde podrá escanear un código QR con su aplicación de autenticación.
Figura 7: Pantalla de configuración TOTP con código QR.
Una vez que haya escaneado el código QR con su aplicación de autenticación (como Google Authenticator, Authy o Microsoft Authenticator), introduzca el código de 6 dígitos para verificar y habilitar TOTP.
¡Asegúrese de guardar sus códigos de respaldo! Estos códigos son la única forma de recuperar su cuenta si pierde acceso a su aplicación de autenticación.
Deshabilitar Autenticación de Dos Factores
Para deshabilitar TOTP, vaya a su página de perfil y haga clic en el botón Autenticación de Dos Factores. Necesitará proporcionar un código TOTP para confirmar que desea deshabilitar esta característica de seguridad.
Figura 8: Pantalla de confirmación de deshabilitación TOTP.
Control de Acceso Basado en Roles (RBAC)
STATUS implementa un sistema de control de acceso basado en roles para gestionar eficazmente los permisos de usuario. El sistema soporta cuatro roles principales:
Roles de Usuario
-
USER: Acceso básico para ver e interactuar con datos de cumplimiento. Los usuarios pueden:
- Ver catálogos, controles y cálculos
- Crear y gestionar ámbitos
- Ver dashboards
- Realizar operaciones de lectura en datos de cumplimiento
-
DEVELOPER: Acceso avanzado para tareas de desarrollo e integración. Los desarrolladores pueden:
- Todos los permisos de USER
- Crear y gestionar catálogos y controles
- Configurar fuentes de datos y enlazadores
- Crear y editar mashups
- Acceder y usar cuentas de servicio
-
ADMIN: Privilegios administrativos completos para la configuración del sistema. Los administradores pueden:
- Todos los permisos de DEVELOPER
- Gestionar usuarios y cuentas de servicio
- Configurar ajustes del sistema
- Acceder a registros del sistema y métricas
- Realizar operaciones administrativas
Su rol se asigna cuando se crea su cuenta y solo puede ser cambiado por un administrador.
Cuentas de Servicio
Las cuentas de servicio son cuentas especiales diseñadas para acceso programático e integraciones. Estas cuentas no tienen nombre de usuario y contraseña, pero usan tokens API para autenticación.
Crear una Cuenta de Servicio
Para crear una cuenta de servicio, necesita tener rol DEVELOPER o ADMIN. Vaya a la página principal, haga clic en su icono de perfil y seleccione Cuentas de Servicio. Haga clic en el botón Crear Cuenta de Servicio.
Figura 9: Formulario de creación de cuenta de servicio.
Necesitará proporcionar un nombre y selecccionar un rol para la cuenta de servicio. Una vez creada, recibirá un token API.
¡Asegúrese de copiar y guardar su token API inmediatamente! No podrá verlo nuevamente.
Gestionar Cuentas de Servicio
Puede ver, editar y eliminar sus cuentas de servicio desde la página de Cuentas de Servicio. Cada cuenta de servicio muestra:
- Nombre
- Rol
- Fecha de creación
- Fecha de último uso
- Expiración del token
Figura 10: Lista de cuentas de servicio.
Datos Almacenados
Debido a razones de seguridad, escalabilidad y consistencia, STATUS debe tener usuarios para gestionar sus solicitudes y asegurar el uso correcto de configuraciones de cumplimiento. STATUS almacenará nombre de usuario, correo electrónico, contraseñas hasheadas, secretos TOTP y tokens API. De esta manera, cada usuario tendrá acceso solo a sus datos, y podemos asociar credenciales a sus propietarios para evitar uso no ético.
Gestión de Sesiones
Como dijimos antes, STATUS requiere autenticación para usar su API e interfaz de usuario. Cuando inicia sesión, recibirá un JWT cifrado con una clave secreta conocida solo por el sistema. Cada token expira después de 2 horas, así que tendrá que renovar su sesión para continuar usando STATUS después de ese tiempo. La interfaz de usuario de STATUS está preparada para gestionar la expiración de sesión, y le redirigirá a la página de inicio de sesión automáticamente una vez que detecte que su sesión ha expirado. Entonces, tendrá que iniciar sesión nuevamente para continuar trabajando.
STATUS verifica la fecha de expiración de su token cada minuto, lo que puede llevar a algunos errores en casos raros cuando intenta usar la interfaz de usuario antes de que detecte que su sesión ha expirado. En esos casos, recomendendamos recargar la página o cerrar sesión. Sin embargo, estos problemas no son comunes y la API está preparada para gestionar este tipo de errores, así que no se asuste.
Tokens API
En algunos casos, la expiración del token puede ser molesta. Si queremos crear una API o un sistema que use STATUS, gestionar la expiración de sesión puede ser difícil. Aunque recomendendamos hacerlo, podemos crear cuentas especiales (cuentas de servicio) que tengan TOKENS SIN EXPIRACIÓN. Esto solo es posible usando la API de STATUS o creando cuentas de servicio en la interfaz de usuario.
Mejores Prácticas de Seguridad
Para mantener su cuenta de STATUS segura, siga estas recomendaciones:
- Use Contraseñas Fuertes: Cree contraseñas con al menos 12 caracteres, incluyendo mayúsculas, minúsculas, números y caracteres especiales
- Habilite TOTP: Siempre habilite la autenticación de dos factores para su cuenta
- Proteja sus Tokens: Nunca comparta sus tokens API o contraseñas
- Actualizaciones Regulares: Cambie su contraseña regularmente
- Monitoreo de Actividad: Verifique la actividad de inicio de sesión reciente en su perfil
- Conexiones Seguras: Siempre acceda a STATUS a través de HTTPS
STATUS no permite recuperación de contraseñas o cuentas si olvidó su contraseña. Si habilitó TOTP y perdió acceso a su aplicación de autenticación sin guardar los códigos de respaldo, tendrá que contactar a un administrador para restablecer su cuenta.