Docs

Seguridad: MFA y SSO

Protege el acceso a la consola con autenticación multifactor TOTP e inicio de sesión único SAML.

Autenticación multifactor (TOTP)

Cada miembro activa el MFA desde su propio perfil (Cuenta → Seguridad → Autenticación en dos pasos). Los administradores pueden ver si un miembro tiene MFA activado en la lista del equipo.

  1. Registrar — pulsa Configurar autenticador, escanea el código QR con cualquier app TOTP (Google Authenticator, Authy, 1Password…) y guarda los códigos de recuperación.
  2. Activar — introduce un código de un solo uso de la app para confirmar el registro.
  3. Inicio de sesión — tras el paso de Google, la consola solicita el código TOTP actual.
  4. Eliminar — ve a la misma pantalla y pulsa Eliminar (requiere un código TOTP válido para confirmar).
Guarda los códigos de recuperación en un lugar seguro — permiten saltarse el TOTP y son la única forma de recuperar el acceso si pierdes el dispositivo.

Inicio de sesión único SAML

El SSO SAML lo configura un ADMIN u OWNER a nivel de organización. Tu proveedor de identidad solo puede iniciar sesión de personas cuyo correo esté en un dominio verificado por tu organización — la firma de tu IdP por sí sola nunca basta, así que el IdP de una organización no puede responder por los usuarios de otra.

  1. Ve a SSO / SAML → Email domains en la consola y añade tu dominio (por ejemplo acme.com). No se pueden añadir proveedores de correo compartidos como gmail.com.
  2. Publica en tu proveedor DNS el registro TXT que se muestra — nombre _croombit.acme.com, valor croombit-verify=… — y pulsa Verificar. Un dominio solo puede estar verificado por una organización.
  3. En Proveedor de identidad, pega el XML de metadatos o la URL de metadatos de tu IdP.
  4. Registra Croombit como Proveedor de Servicios en tu IdP usando los datos de la tabla.
  5. Elige el rol que reciben las personas añadidas automáticamente en su primer inicio de sesión SSO (Viewer por defecto; nunca Owner).
  6. Guarda y prueba con una cuenta que no sea OWNER antes de exigir el SSO.
Endpoint SPValor
MetadatosGET /auth/saml/:orgId/metadata
Inicio de sesión (redirige aquí)GET /auth/saml/:orgId/init
ACS (Assertion Consumer Service)POST /auth/saml/:orgId/acs
Quien tu IdP autentique con un dominio verificado se añade a tu organización en su primer inicio de sesión SSO, con el rol elegido — sin invitación. Si su dominio no está verificado, se le rechaza y la pantalla de acceso le explica el motivo. Su sesión solo obtiene acceso a tu organización. Exigir SSO se aplica a las personas de tus dominios verificados; los miembros con otros dominios (colaboradores externos, invitados) siguen entrando con Google o con un enlace por correo. Si eliminas tu último dominio verificado, el SSO se desactiva.
AnteriorEquipo e invitaciones