Inicio de sesión y SSO

Todos los ajustes de inicio de sesión están en la app, en Administración → Autenticación (staff con rol Propietario o Admin). Ningún cambio aquí necesita un reinicio.

Métodos de inicio de sesión de un vistazo

Método	Dónde se configura	Notas
Usuario y contraseña	Administración → Autenticación → Métodos de inicio de sesión	Las contraseñas se guardan como hashes lentos y con sal (argon2id).
Inicio de sesión único (OIDC)	Administración → Autenticación → Proveedores OIDC	Google, Microsoft Entra ID, Apple, GitLab, Okta, Auth0, Keycloak, Authentik o cualquier proveedor OpenID Connect.
Llaves de acceso	Cada persona, en sus ajustes de seguridad	Siempre además de una contraseña o del inicio de sesión único.
Verificación en dos pasos	Cada persona, en sus ajustes de seguridad	Códigos de una app de autenticación para cuentas con contraseña.

Siempre queda activado al menos un método de inicio de sesión.

Inicio de sesión único (OIDC)

Para añadir un proveedor de identidad:

1. Abre Administración → Autenticación y elige Añadir proveedor.
2. Elige una plantilla predefinida (rellena el emisor y los claims habituales) o Custom OIDC. El diálogo indica dónde crear el cliente en la consola de ese proveedor.
3. Copia la URI de redirección que muestra el diálogo y regístrala como redirección (callback) permitida en tu proveedor de identidad. Tiene este aspecto: https://flow.example.com/api/auth/oidc/<name>/callback.
4. Introduce el Nombre visible, la URL del emisor, el ID de cliente y el Secreto de cliente del proveedor. Sustituye los marcadores como {tenant-id} o {realm} en el emisor.
5. Elige Probar conexión: comprueba que se puede leer el documento de descubrimiento del emisor.
6. Revisa la Asignación de claims (claims de usuario, correo y grupos) y las opciones de abajo, y luego elige Guardar.

La página de inicio de sesión muestra entonces "Continuar con …" para cada proveedor activado. Los secretos de cliente se guardan cifrados.

Opciones

• Crear usuarios en el primer inicio de sesión: las personas desconocidas reciben una cuenta automáticamente. Desactivado: las personas que la instancia aún no conoce no pueden iniciar sesión con este proveedor.
• Añadir usuarios nuevos a: un espacio de trabajo (y un rol) al que se unen las cuentas nuevas, o ninguno.
• Grupo admin y Grupo de soporte: los miembros de estos grupos del proveedor reciben el rol de staff Admin o Soporte al iniciar sesión; el rol se quita de nuevo cuando salen del grupo. A los Propietarios nunca se les cambia. Consulta Roles de staff.
• Asignación de grupos: las personas de un grupo del proveedor se añaden a un espacio con un rol en cada inicio de sesión, y se quitan cuando ya no están en el grupo. Una asignación a Sin acceso a espacios quita a sus miembros de todos los espacios y tableros y tiene prioridad sobre las demás asignaciones.

El claim de grupos debe estar en el ID token o en la información del usuario. Algunos proveedores necesitan para ello un mapper o un scope "groups" (Keycloak: un mapper de grupos; Okta: el scope groups).

Direcciones de correo del proveedor

Cuando el proveedor envía email_verified: true, la dirección cuenta como confirmada. Cuando no lo hace (Microsoft Entra ID, por ejemplo, no envía ese claim) y Exigir confirmación del correo está activado, una cuenta nueva recibe primero un correo de confirmación; después de confirmar, la persona vuelve a iniciar sesión con el proveedor, y es entonces cuando se aplican los grupos y el espacio predeterminado. Con el ajuste desactivado, las direcciones del proveedor cuentan como confirmadas. Consulta Confirmación del correo.

Si tu proveedor no envía ese claim pero tu organización gestiona las direcciones en su directorio (lo habitual con Microsoft Entra ID), activa Confiar en las direcciones de correo de este proveedor en los ajustes del proveedor (Admin → Autenticación, selecciona el proveedor). Está desactivado por defecto. Con él activado, las direcciones de ese proveedor cuentan como confirmadas aunque no haya email_verified, así que las cuentas nuevas no reciben el correo de confirmación. Cada cambio queda en el registro de auditoría. Actívalo solo para un proveedor cuyos usuarios no puedan poner ellos mismos una dirección cualquiera.

Verificación en dos pasos con inicio de sesión único

Las personas que inician sesión con un proveedor de identidad no pasan por el paso de verificación en dos pasos propio de sol2flow: de eso se encarga su proveedor. Exige la MFA allí.

Llaves de acceso

Cada persona añade sus propias llaves de acceso (Ajustes → Seguridad → Llaves de acceso) y después puede iniciar sesión sin contraseña, también desde el autocompletado del navegador. Una llave de acceso con biometría o con el PIN del dispositivo cuenta como dos factores, así que no se pide ningún código.

Las llaves de acceso están vinculadas al nombre de host de APP_URL. Si cambias el dominio, las llaves de acceso existentes dejan de funcionar y hay que añadirlas de nuevo; las personas pueden seguir iniciando sesión con su contraseña o con el inicio de sesión único. Consulta Cuenta y seguridad.

Verificación en dos pasos

Cualquiera con contraseña puede activar la verificación en dos pasos con una app de autenticación y recibe diez códigos de recuperación de un solo uso. Si alguien pierde tanto su app de autenticación como sus códigos, el staff puede restablecerla indicando un motivo, que queda en el registro de auditoría: Usuarios y registro.

Sesiones

• Recordarme desactivado (por defecto): la sesión termina al cerrar el navegador, y como mucho tras 12 horas.
• Recordarme activado: 30 días, que se amplían mientras la persona siga usando sol2flow.
• Cada persona ve los dispositivos en los que ha iniciado sesión y puede cerrar su sesión en Ajustes → Seguridad → Sesiones. Desactivar una cuenta cierra su sesión en todas partes a la vez.

Registro libre

En Administración → Autenticación → Registro libre decides si las personas pueden crear su propia cuenta:

• Dominios de correo permitidos: solo pueden registrarse direcciones de estos dominios (vacío = cualquiera).
• Las cuentas nuevas se unen a: un espacio de trabajo (y un rol) al que se añade cada cuenta nueva, o ninguno.
• Requiere aprobación: las cuentas nuevas esperan hasta que un miembro del staff las apruebe en Administración → Usuarios.
• Exigir confirmación del correo (activado por defecto): las cuentas nuevas confirman su dirección con un enlace enviado por correo antes de poder iniciar sesión, y una dirección cambiada solo se aplica una vez confirmada. Necesita que el correo funcione; si tu instancia no puede enviar correos, desactívalo.

Detalles: Usuarios y registro.

Límites de frecuencia

El inicio de sesión, el registro, el restablecimiento de contraseña, los códigos de verificación en dos pasos y las llaves de acceso tienen límites de frecuencia por dirección IP y por cuenta. Asegúrate de que tu proxy transmite correctamente las direcciones de los clientes (Direcciones IP de los clientes); si no, todo el mundo comparte un mismo límite.