Proteger la identidad de los usuarios

Objetivos de aprendizaje

Después de completar este módulo, podrá:

• Configurar la autenticación de múltiples factores para sus usuarios.
  
• Utilizar la aplicación Salesforce Authenticator para los inicios de sesión con MFA.
  
• Obtener información de inicio de sesión de los usuarios que inician sesión en su organización.
  

Nota

¿Es su idioma de aprendizaje español (LATAM)? Comience el reto en un Trailhead Playground en español (LATAM) y copie y pegue los valores en español (LATAM). Si no aprueba el reto en su organización en español (LATAM), recomendamos que (1) cambie la configuración local a Estados Unidos, (2) cambie el idioma a inglés (según estas instrucciones) y, luego, (3) haga clic en el botón “Check Challenge” (Comprobar el reto) nuevamente.

Consulte la insignia Trailhead en su idioma para obtener más información sobre cómo aprovechar la experiencia de Trailhead en otros idiomas.

Proteger el acceso a las cuentas con la autenticación de múltiples factores y Salesforce Authenticator

Los nombres de usuario y las contraseñas por sí solos no proporcionan suficiente protección contra amenazas como los ataques de phishing. Una manera efectiva de mejorar la seguridad del proceso de inicio de sesión y proteger los datos de la organización es solicitar a los usuarios que presenten pruebas adicionales que demuestren su identidad cuando inician sesión. Los expertos en seguridad llaman a esto “autenticación de múltiples factores”, o MFA para abreviar. En Salesforce, creemos que la MFA es muy importante, por lo que se solicita a todas las personas que acceden a nuestros productos y servicios. Si desea obtener información acerca del requisito de MFA, consulte las Preguntas frecuentes sobre la autenticación de múltiples factores de Salesforce.

Para completar las tareas de esta unidad, necesita un dispositivo móvil con Android o iOS.

¿Qué es la autenticación de múltiples factores?

Parece una ecuación matemática, ¿verdad? Con independencia de que las matemáticas le encanten o le causen terror, debe saber que MFA no tiene nada que ver con el álgebra que estudió en su día. Esta autenticación está estrechamente relacionada con garantizar que los usuarios son quienes dicen ser.

A propósito, es posible que esté más familiarizado con los términos de la autenticación de dos factores o 2FA. ¡No se preocupe! Aunque 2FA es un subconjunto de MFA, en realidad estamos hablando de la misma cosa.

Así que, ¿qué son exactamente los factores múltiples? Son diferentes tipos de pruebas que proporcionan los usuarios cuando inician sesión para confirmar sus identidades.

• Un factor es algo que saben los usuarios. Para inicios de sesión en Salesforce, se trata de una combinación de nombre de usuario y contraseña.
  
• Otros factores son métodos de verificación que tiene un usuario en su posesión, como un dispositivo móvil con una aplicación de autenticación instalada o una llave de seguridad física.
  

Puede que no sepa cómo se llama, pero es probable que ya haya usado la autenticación de múltiples factores. Cada vez que obtiene dinero de un cajero automático, usa algo que tiene (su tarjeta bancaria) más algo que conoce (su PIN). 

Requerir otro factor además de un nombre de usuario y contraseña agrega una capa adicional e importante de seguridad para su organización. Incluso si se pierde la contraseña de un usuario, es muy poco probable que un atacante pueda adivinar o suplantar un factor que un usuario posea físicamente.

¿No le parece una excelente idea? Veamos cómo funciona.

Cómo funciona la autenticación de múltiples factores

MFA agrega un paso adicional a su proceso de inicio de sesión en Salesforce.

1. Un usuario ingresa su nombre de usuario y contraseña como hace normalmente.
   
2. Luego se solicita al usuario que proporcione uno de los métodos de verificación que admite Salesforce.
   

Puede permitir cualquiera o todos estos métodos de verificación.

¿Cuándo se solicita a los usuarios la autenticación de múltiples factores?

Se solicita a los usuarios que proporcionen múltiples factores cada vez que inician sesión. Como parte de los términos de servicio de Salesforce, todos los clientes deben usar la MFA para los inicios de sesión en la interfaz de usuario. Al hacer esto, se asegura de que la organización de Salesforce cuente con la protección de la seguridad adecuada desde el comienzo. 

Para aumentar la seguridad aún más, puede solicitar la MFA para circunstancias adicionales.

• Cuando los usuarios acceden a las API de Salesforce. Para obtener más información sobre la configuración de la MFA para el acceso a API, consulte el artículo de ayuda Establecer los requisitos de inicio de sesión de la autenticación de múltiples factores para el acceso de API.
  
• Cuando los usuarios acceden a una aplicación, tablero o reporte. Este proceso se llama autenticación de nivel superior o alta seguridad.
  
• Durante un flujo de inicio de sesión personalizado o en una aplicación personalizada (por ejemplo, antes de leer un contrato de licencia).
  

Sus opciones para activar la MFA

Como mencionamos anteriormente, Salesforce requiere que todos usen la MFA cuando inician sesión en la interfaz de usuario de un producto. Para ayudar a los usuarios con este requisito, la MFA es una parte predeterminada del proceso de inicio de sesión en las organizaciones de producción de Salesforce. En general, no necesita seguir ningún paso especial para activarla.

Dicho esto, los administradores de una organización de producción nueva pueden desactivar la MFA temporalmente si necesitan tiempo para capacitar a sus usuarios sobre el registro y el inicio de sesión con MFA. Por lo tanto, es una buena idea saber cómo volver a activar la MFA cuando todos estén preparados. Además, puede activar la MFA con facilidad para otros tipos de organizaciones, incluidos entornos sandbox, organizaciones de desarrollador, hasta Trailhead Playgrounds.

Para activar la MFA, solo hay que seleccionar una casilla de verificación en Setup (Configuración). En breve le mostraremos cómo hacerlo.

Verificar que el nivel de seguridad de la sesión está establecido para la MFA

En la mayoría de las organizaciones de producción, el nivel de seguridad asociado con el método de inicio de sesión de MFA está establecido correctamente. Sin embargo, se recomienda comprobarlo dos veces para que no queden dudas.

1. En Setup (Configuración), ingrese Session Settings (Configuración de la sesión) en el cuadro Quick Find (Búsqueda rápida) y luego seleccione Session Settings (Configuración de la sesión).
   
2. En Niveles de seguridad de sesión, asegúrese de que la Autenticación de múltiples factores está en la categoría Alta seguridad.
   

Ahora está todo listo para que comience su trayectoria de MFA.

Activar la MFA

Suponga que es un administrador de Salesforce para Jedeye Technologies, una compañía no ubicada en una lejana galaxia. Cuando la organización de producción de Jedeye Technologies se lanzó pro primera vez, la MFA estaba desactivada de modo que los usuarios de Jedeye tuvieran más tiempo de prepararse para el inicio de sesión. Ahora, el responsable máximo de la seguridad le encomienda a usted una misión: es momento de que todos los empleados proporcionen algo más que su nombre de usuario y contraseña cada vez que inicien sesión en la organización de producción de la compañía.

También se acaba de unir a la compañía una nueva empleada, Sia Thripio. Como primer paso, cree un usuario de Salesforce para Sia y, luego, habilite la MFA para la organización de Salesforce de Jedeye Technologies.

¿Todo listo para practicar?

Inicie su Trailhead Playground ahora para seguirnos y probar los pasos de este módulo. Para abrir su Trailhead Playground, desplácese hasta el reto práctico y haga clic en Iniciar. También utiliza el playground cuando es el momento de completar los retos prácticos.

Como mencionamos, también necesitará un dispositivo móvil que funcione con Android o iOS para completar algunas de las tareas.

Paso 1: Crear un usuario

1. En Setup (Configuración), ingrese Users (Usuarios) en el cuadro Quick Find (Búsqueda rápida) y, a continuación, seleccione Users (Usuarios).
   
2. Haga clic en Nuevo usuario.
   
3. En el caso del nombre y el apellido, ingrese Sia y Thripio, respectivamente.
   
4. Ingrese su dirección de email en el campo Email. Esta opción se usa para obtener notificaciones de usuario para Sia.
   
5. Cree un nombre de usuario para Sia e ingréselo en el campo Nombre de usuario. Debe tener el formato de dirección de email, pero no es necesario que sea una dirección de email que funcione. Asegúrese de que la dirección de email es exclusiva en su Trailhead Playground. Deberá ingresar este nombre de usuario para iniciar sesión como Sia en futuras oportunidades. Por ello, le sugerimos que sea corto y fácil de recordar. ¿Necesita ideas? Utilice la inicial de Sia, el apellido y la fecha actual de esta forma: SThripio.12202020@trailhead.com.
   
6. Modifique o acepte el valor de apodo.
   
7. Para la licencia de usuario, seleccione Plataforma de Salesforce.
   
8. Para el perfil, seleccione Usuario de Platform estándar. Desde aquí, anule la selección de las opciones para recibir alertas de contenido de Salesforce CRM. No es necesario llenar la bandeja de entrada con email innecesario de Salesforce.
   
9. Asegúrese de que Generar nueva contraseña y notificar al usuario inmediatamente se ha seleccionado al final de la página. Salesforce le envía un email sobre el nuevo usuario de Sia, ya que ha ingresado su dirección de email en el campo Email.
   
10. Haga clic en Guardar. Salesforce le envía un email con un vínculo para verificar el usuario y establecer la contraseña de Sia. Nota: Si aparece un error que indica que el nombre de usuario ya existe, cree un usuario con un nombre diferente.
    
11. Inicie sesión como Sia y restablezca la contraseña.
    

Después de establecer la contraseña, es momento de activar la MFA para los usuarios de Jedeye. 

Activar la MFA para todas las personas de la organización

Puede activar la MFA rápidamente para todos los usuarios en una organización con una única casilla de verificación.

1. En Setup (Configuración), ingrese Identity (Identidad) en el cuadro Quick Find (Búsqueda rápida) y, a continuación, seleccione Identity Verification (Verificación de identidad).
   
2. Seleccione la casilla de verificación Require multi-factor authentication (MFA) for all direct UI logins to your Salesforce org (Requerir autenticación de múltiples factores [MFA] para todos los inicios de sesión directos en la interfaz de usuario de la organización de Salesforce).
   

3. Haga clic en Guardar.
   

Así es. ¡Esto es todo! Ahora todos en su organización deben completar la MFA cuando inician sesión. La próxima vez que los usuarios inicien sesión (incluida la nueva empleada Sia), deben ingresar un método de verificación como segundo factor, además de su nombre de usuario y contraseña de Salesforce.

En esta instancia, puede que tenga una pregunta crucial: ¿Qué sucede si a algunas cuentas de usuario de mi organización real, como las cuentas de la herramienta de automatización de pruebas, no se les solicita la MFA? ¿La configuración de MFA también las afecta?

Es cierto que el requisito de MFA de Salesforce no se aplica a algunos tipos de usuarios. Si tiene usuarios que estén exentos, hay un permiso de usuario que puede aplicar para excluirlos de la MFA. Para obtener información acerca de qué tipos de usuarios están exentos y cómo excluirlos, consulte Excluir los usuarios exentos de MFA en la Ayuda de Salesforce.

Cómo registran los usuarios Salesforce Authenticator para los inicios de sesión con MFA

Como en el caso de una visita no anunciada a una ciudad en las nubes, es una mala idea requerir la autenticación de múltiples factores sin ayudar a los usuarios a obtener al menos un método de verificación. Probablemente no sufra ninguna congelación ni lo retengan como prisionero, pero es posible que reciba infinidad de llamadas cuando menos lo desea, como cuando está viendo una película animada de aventuras. Por suerte, Salesforce le permite ayudar fácilmente a los usuarios. Solo tiene que pedirles que descarguen una aplicación de autenticación en sus dispositivos móviles y la conecten a sus cuentas de Salesforce. 

No ocurrirá ningún desastre si los usuarios no descargan una aplicación de inmediato. Se les solicita automáticamente que registren un método de verificación para MFA cuando inicien sesión.

Sia Thripio, su nueva empleada, desea utilizar la aplicación móvil Salesforce Authenticator de modo que pueda aprovechar la función interesante de notificación distribuida para una autenticación rápida. Veamos cómo funciona el proceso de registro e inicio de sesión. Use su dispositivo móvil con Android o iOS como si fuera el teléfono de Sia. Va a descargar la aplicación Salesforce Authenticator y conectarla a la cuenta de Salesforce de Sia.

Tenga en cuenta que tendrá que cambiar entre dos dispositivos en los siguientes pasos. En su TELÉFONO, trabaja como Sia en la aplicación Salesforce Authenticator. En su ESCRITORIO, inicia sesión como Sia en su Trailhead Playground en un navegador.

1. TELÉFONO: Descargue e instale Salesforce Authenticator para iOS desde App Store o Salesforce Authenticator para Android desde Google Play.
   
2. TELÉFONO: Toque el icono de aplicación para abrir Salesforce Authenticator.
   
3. TELÉFONO: en la aplicación, eche un vistazo al recorrido por la aplicación para saber cómo funciona Salesforce Authenticator.
   
4. ESCRITORIO: Si aún está activo el inicio de sesión en su Trailhead Playground como administrador del sistema, cierre la sesión.
   
5. ESCRITORIO: Utilice el nombre de usuario de Sia y contraseña de Salesforce para iniciar sesión. 
   

6. ESCRITORIO: Salesforce le solicita que conecte Salesforce Authenticator con la cuenta de Sia.
   
7. TELÉFONO: En Salesforce Authenticator, toque el botón Add an Account (Agregar una cuenta). La aplicación muestra una frase de dos palabras.
   
8. ESCRITORIO: Ingrese la frase en el campo Frase de dos palabras. 
   

9. ESCRITORIO: Haga clic en Conectar.
   
10. TELÉFONO: Salesforce Authenticator muestra los detalles sobre la cuenta de Sia: su nombre de usuario y el nombre del proveedor de servicios (en este caso, Salesforce).
    

11. TELÉFONO: Toque Conectar.
    
12. ESCRITORIO: Sia registró con éxito Salesforce Authenticator e inició sesión en su cuenta de Salesforce. Ya puede empezar a trabajar.
    

Ahora, siempre que Sia inicie sesión en su cuenta Salesforce, recibirá una notificación en su teléfono. Abrirá Salesforce Authenticator y comprobará los detalles de la actividad. Si todo parece bien, tocará Aprobar y terminará de iniciar sesión. 

¿Qué ocurrirá si otra persona intenta iniciar sesión con el nombre de usuario y contraseña de Sia? Lo adivinó: también recibirá una notificación sobre ello y podrá indicar a Salesforce Authenticator que deniegue la solicitud de inicio de sesión. ¡Ufff!

Vamos a examinar con más atención los datos de los que hace un seguimiento Salesforce Authenticator.

1. El servicio al que el usuario está intentando acceder. Además de Salesforce, puede usar Salesforce Authenticator con el gestor de contraseñas LastPass y otros servicios que requieren una autenticación más segura.
   
2. El usuario que está intentando iniciar sesión.
   
3. La acción que Salesforce Authenticator está verificando. Aquí se pueden mostrar otras acciones si configura una seguridad aún más estricta. Por ejemplo, puede requerir la autenticación cuando alguien intenta acceder a un registro o tablero. Este proceso se llama autenticación de “nivel superior”.
   
4. Información sobre el navegador o la aplicación desde la que se intenta iniciar sesión, incluido el dispositivo que se usa.
   
5. Ubicación del teléfono.
   

Copia de seguridad de cuentas conectadas

Ahora que la cuenta de Sia está conectada a Salesforce Authenticator, puede habilitar las copias de seguridad de la cuenta al verificar su dirección de email. De esta manera, puede restablecer sus cuentas conectadas si cambia o pierde su dispositivo móvil.

1. TELÉFONO: en Salesforce Authenticator, toque el icono de configuración en la esquina superior izquierda.
   
2. TELÉFONO: toque el conmutador de alternancia Back Up Accounts (Copia de seguridad de cuentas).
   
3. TELÉFONO: ingrese la dirección de email de Sia y toque Send Code (Enviar código) para que la aplicación le envíe un email con su código de verificación.
   
4. TELÉFONO: consulte el email de Sia e ingrese el código en Salesforce Authenticator.
   
5. TELÉFONO: la aplicación le indica a Sia que establezca un código de acceso. Sia puede usar este código de acceso si necesita restaurar sus cuentas conectadas.
   

Verificar que Salesforce Authenticator pueda enviar notificaciones

Salesforce Authenticator facilita la MFA a través de la magia de las notificaciones distribuidas. Sin embargo, Sia debería asegurarse de que la aplicación tenga el permiso para enviar este tipo de notificaciones.

1. TELÉFONO: en Salesforce Authenticator, toque el icono de configuración para volver a la página de configuración.
   
2. TELÉFONO: asegúrese de que la sección Push Notifications (Notificaciones distribuidas) esté establecida como Enabled (Activada). De lo contrario, toque Change in Settings (Cambios en la configuración) para cambiar a la configuración del dispositivo móvil. Desde ahí, actualice los permisos de Salesforce Authenticator para permitir las notificaciones.
   

Automatizar el proceso de autenticación

Suponga que Sia inicia sesión habitualmente desde la misma ubicación, como desde la oficina, en su casa o en su cafetería con luz tenue favorita. Tocar Aprobar en su teléfono podría llegar a convertirse en una tarea tediosa. Si permite que Salesforce Authenticator use los servicios de ubicación de su teléfono, puede indicarle a la aplicación que verifique su actividad de manera automática cuando reconozca todos los detalles. En otras palabras, si se conecta desde un punto específico con el mismo dispositivo y el mismo navegador o aplicación, ni siquiera tiene que sacar el teléfono del bolsillo. Salesforce Authenticator puede tratar los desafíos de inicio de sesión de MFA por ella de forma automática. 

Probémoslo.

1. ESCRITORIO: Cierre sesión en la cuenta de Sia y vuelva a iniciar sesión como Sia.
   
2. TELÉFONO: Cuando se le solicite, seleccione Confiar en esta solicitud y automatizarla. Luego, toque Approve (Aprobar).
   
3. Salesforce Authenticator guarda esos detalles como una solicitud de confianza.
   
4. ESCRITORIO: Cierre sesión en la cuenta de Sia y vuelva a iniciar sesión. ¡Voilà! No se le pide aprobación. Salesforce Authenticator reconoce que todos los detalles coinciden con la solicitud de confianza que guardó anteriormente. El acceso se concede automáticamente.
   

Cada vez que Sia intente iniciar sesión con un navegador o dispositivo diferente, o desde una ubicación nueva, podrá agregar los datos nuevos a la lista de solicitudes de confianza de Salesforce Authenticator. Puede guardar tantas solicitudes de confianza como desee, incluidas las de otras cuentas y acciones. Para ver las solicitudes de confianza de una cuenta, Sia toca el icono de flecha, que abre la página de detalles de la cuenta.

En la página de detalles de la cuenta, se incluyen las solicitudes de confianza y el historial de actividades de inicio de sesión. En Actividades verificadas se muestra el número de veces que Salesforce Authenticator ha verificado el inicio de sesión de Sia en Salesforce. En Automatizaciones, se muestra cuántas veces Salesforce Authenticator inició sesión automáticamente en nombre de Sia con una solicitud de confianza.

¿Qué ocurre si Sia deja de confiar en una solicitud? Sencillo. Desliza el dedo hacia la izquierda. Puede borrar todas las solicitudes de confianza a la vez si selecciona y, a continuación, selecciona Remove All Trusted Requests (Borrar todas las solicitudes de confianza).

En ocasiones, una verificación automatizada podría no funcionar, como ocurre cuando se interrumpe la conexión de datos. Esto no es ningún problema. Sia solo tiene que escribir el código TOTP que muestra Salesforce Authenticator.

¿Desea restringir las verificaciones automatizadas de los usuarios tan solo a direcciones IP de confianza, como una red corporativa? ¿O bien desea evitarlas por completo? Puede hacerlo. Cuando inicie sesión como administrador, vaya a Configuración de verificación de identidad de su organización y cambie lo que se permita.

Para conocer los pormenores de la automatización con Salesforce Authenticator, consulte la Ayuda de Salesforce: Automatizar la autenticación de múltiples factores con Salesforce Authenticator y Optimizar y solucionar problemas de automatización en Salesforce Authenticator. 

¿Qué ocurre si Sia pierde su teléfono celular?

Buena pregunta. Como sabe, los usuarios tienen accidentes o terminan atrapados en planetas desiertos y pierden sus teléfonos. Todo ocurre a la vez. Si Sia pierde su teléfono, consigue uno nuevo o elimina por accidente Salesforce Authenticator, tiene algunas opciones. Sia puede restaurar sus cuentas desde la copia de seguridad que realizó anteriormente o puede desconectar su cuenta de Salesforce Authenticator y luego volver a registrar la aplicación.

Si Sia activó copias de seguridad de cuentas en su aplicación Salesforce Authenticator, está en plena forma. Todo lo que tiene que hacer es reinstalar Salesforce Authenticator en su nuevo teléfono. Cuando abra la aplicación, verá la opción de restaurar sus cuentas desde su copia de seguridad. Sia ingresa la contraseña que utilizó cuando realizó la copia de seguridad de sus cuentas y sus cuentas reaparecen en su teléfono.

¿Qué sucede si Sia no realiza una copia de seguridad de sus cuentas? Esto es lo que puede hacer para ayudar.

1. Inicie sesión como administrador.
   
2. En Setup (Configuración), ingrese Users (Usuarios) en el cuadro Quick Find (Búsqueda rápida) y, a continuación, seleccione Users (Usuarios).
   
3. Haga clic en el nombre de Sia.
   
4. En la página de detalles de usuario de Sia, haga clic en Desconectar junto a Registro de aplicación: Salesforce Authenticator.
   

La próxima vez que Sia inicie sesión, si no tiene otro método de verificación conectado, se le pide que vuelva a conectar Salesforce Authenticator.

Si quiere desinstalar la aplicación Salesforce Authenticator, primero asegúrese de desactivar la configuración Require multi-factor authentication (MFA) for all direct UI logins to your Salesforce org (Requerir autenticación de múltiples factores [MFA] para todos los inicios de sesión directos en la interfaz de usuario de la organización de Salesforce) en la página Identity Verification (Verificación de identidad) en Setup (Configuración). De lo contrario, no podrá iniciar sesión en su Trailhead Playground en futuras unidades.

Monitorear quién inicia sesión en su organización

Una parte importante del trabajo de un administrador es saber quién inicia sesión en la organización. El historial de verificación de identidad se usa para esto.

1. Inicie sesión como administrador del sistema de su organización Trailhead Playground.
   
2. En Setup (Configuración), ingrese Verification (Verificación) en el cuadro Quick Find (Búsqueda rápida) y, a continuación, seleccione Identity Verification History (Historial de verificación de identidad).
   

Compruebe la columna Ubicación. Se establece de forma predeterminada en el país del usuario, pero puede obtener información más detallada mediante la creación de una vista personalizada.

¡Felicitaciones, administrador! Ya vio lo fácil que es para sus usuarios configurar e iniciar sesión con la MFA. Lo instamos a que explore otras opciones para su implementación de la MFA, como la habilitación de llaves de seguridad o autenticadores incorporados como opciones alternativas para el método de verificación. Estas dos opciones son una excelente elección si los usuarios no tienen un dispositivo móvil o si no se permiten teléfonos celulares en las instalaciones. Ahora aprendamos cómo aumentar aún más el control sobre el proceso de inicio de sesión en la siguiente unidad.

Recursos

• Ayuda de Salesforce: Activar la MFA para los inicios de sesión directos de usuarios
• Ayuda de Salesforce: Decidir el modo en que los usuarios seleccionan un método de verificación durante el proceso de registro
• Ayuda de Salesforce: Salesforce Authenticator
• Ayuda de Salesforce: Requisitos para Salesforce Authenticator (Versiones 2 y 3)
• Ayuda de Salesforce: Registrar Salesforce Authenticator como métodos de verificación de identidad
• Ayuda de Salesforce: Registrar una aplicación de autenticación de terceros como método de verificación de identidad
• Ayuda de Salesforce: Habilitar las claves de seguridad de WebAuthn o U2F para la verificación de identidad
• Ayuda de Salesforce: Registrar una clave de seguridad como método de verificación de identidad
• Ayuda de Salesforce: Habilitar autenticadores incorporados para la verificación de identidad
• Ayuda de Salesforce: Registrar un autenticador incorporado para la verificación de identidad
• Ayuda de Salesforce: Flujos de inicio de sesión personalizados
• Ayuda de Salesforce: Monitorear el historial de verificación de identidad
• Ayuda de Salesforce: Realizar una copia de seguridad de sus cuentas conectadas en la aplicación móvil Salesforce Authenticator
• Ayuda de Salesforce: Preguntas frecuentes sobre la autenticación de múltiples factores de Salesforce