Seguridad: MFA, SSO y políticas
Verificación en dos pasos personal y obligatoria, SSO con Google, Microsoft u OIDC (Okta, Entra ID, Keycloak) y la política de contraseña. Sin SAML.
Aquí se decide cómo entra la gente en Orquiva: con verificación en dos pasos, con la cuenta de tu proveedor de identidad (SSO) y con qué contraseñas.
Antes de empezar
No todo está en todos los planes:
| Ajuste | Plan | Dónde |
|---|---|---|
| Verificación en dos pasos propia | Todos | Menú de perfil › Preferencias |
| Exigir MFA a toda la empresa y restablecer la de otros | Enterprise | Organización › Seguridad › MFA |
| SSO (Google, Microsoft, OIDC) | Todos | Integraciones › Single Sign-On |
| Política de contraseña | Professional y Enterprise | Organización › Seguridad › Política de contraseña |
Las pantallas de empresa las abre el rol Administrador o quien tenga el permiso de MFA, que da acceso a las tres.
Tu propia verificación en dos pasos
Cualquier persona puede activarla, sea cual sea el plan:
- Abre el menú de tu perfil y entra en Preferencias.
- En Verificación en dos pasos, pulsa Activar.
- Escanea el código QR con tu app de autenticación (Google Authenticator, 1Password, Authy…).
- Escribe el código de 6 cifras y pulsa Confirmar y activar.
Para quitarla, escribe tu contraseña actual y pulsa Desactivar. Si tu empresa la exige, no se puede desactivar. Lo que ve cada empleado está en Seguridad y contraseña.
Exigir MFA a toda la empresa
OrganizaciónSeguridadMFA- Activa Requerir MFA en cada inicio de sesión.
- Pulsa Guardar.
Quien aún no la tenga verá un código QR en su próximo inicio de sesión y tendrá que configurarla para entrar.
En Gestionar usuarios buscas a una persona por su nombre y usas Regenerar secreto (escaneará un QR nuevo en su próximo inicio de sesión), Desactivar MFA o Activar MFA. Es la salida cuando alguien pierde el móvil.
Activar MFA y Regenerar secreto dejan la verificación exigida a esa persona: el inicio de sesión le pide el código (o el QR, si aún no la ha configurado) y no puede desactivarla desde sus Preferencias. Solo Desactivar MFA lo levanta.
Inicio de sesión único (SSO)
IntegracionesSingle Sign-OnGoogle y Microsoft se activan con un interruptor cada uno: Habilitar SSO con Google y Habilitar SSO con Microsoft. Microsoft admite cuentas de trabajo (Microsoft 365) y personales (Outlook, Hotmail). En cada uno puedes rellenar Auto-provisionar emails del dominio: quien entre por primera vez con un correo de ese dominio se da de alta solo. Vacío, solo entra quien ya tiene cuenta. Termina con Guardar cambios.
Para Okta, Entra ID, Keycloak o cualquier proveedor OpenID Connect, ve a Otros proveedores (OIDC):
- Copia la URL de retorno que muestra la pantalla y regístrala en tu proveedor.
- Pulsa Añadir proveedor.
- Rellena el Nombre visible del botón, el Identificador (no se cambia después), el Emisor (una URL https), el Client ID y el Client secret.
- Marca Mostrar el botón en la página de acceso y pulsa Guardar cambios.
- Pulsa Comprobar ahora para ver si el proveedor responde.
SAML no está disponible.
Forzar el SSO quita la contraseña a todos
Las opciones de forzar el SSO dejan como única entrada ese proveedor. Orquiva no te deja activarlo si ningún administrador ha entrado ya por él: la pantalla muestra cuántos admins hay vinculados. Para vincularte, basta con iniciar sesión una vez con ese proveedor.
Política de contraseña
OrganizaciónSeguridadPolítica de contraseñaDe fábrica pide entre 8 y 128 caracteres, con mayúsculas, minúsculas y números, y sin símbolos obligatorios. Puedes fijar la longitud entre 1 y 256 caracteres; si te sales del rango, Orquiva la ajusta. Marca o desmarca Mayúsculas, Minúsculas, Números y Símbolos, revisa la Vista previa y pulsa Guardar.
Qué ocurre después
La política se comprueba cada vez que alguien fija o cambia su contraseña. No obliga a cambiar las que ya existen, y Orquiva no caduca contraseñas.
El código de verificación en dos pasos se pide al entrar con contraseña. Quien entra por SSO se identifica en su proveedor, y el segundo factor lo exige ese proveedor.
Los cambios de MFA y de política de contraseña quedan en la pestaña Seguridad del Registro de auditoría.
Si algo no sale
No veo la opción de exigir MFA a toda la empresa. Es de Enterprise. Ver Facturación, plan y módulos.
Alguien perdió el móvil y no puede entrar. En Enterprise, usa Regenerar secreto o Desactivar MFA en Gestionar usuarios. En otros planes no hay pantalla para hacerlo: escribe a soporte de Orquiva.
No me deja forzar el SSO. Ningún administrador ha entrado aún por ese proveedor. Inicia sesión una vez con él y vuelve a intentarlo.
Busco SAML. No existe. Si tu proveedor habla OpenID Connect, usa Otros proveedores (OIDC).
Lo que ve la otra parte
La misma función, desde el otro lado:
Artículos relacionados
- Roles y permisosQué da cada rol de fábrica, cómo crear un rol desde una plantilla, cómo ajustar los permisos de una persona y por qué el responsable directo aprueba sin permisos.
- Registro de auditoríaQuién hizo qué y cuándo, incluidas las descargas de documentos y las consultas de salarios: cómo filtrarlo por pestaña y periodo y exportarlo a CSV.
¿Sigues sin resolverlo?
Cuéntanos qué ha pasado y te ayudamos.