Skip to main content
La autenticación multifactor (MFA) exige que un usuario demuestre su identidad dos veces. El usuario primero inicia sesión con una contraseña o inicio de sesión único. Access Manager luego solicita un código de acceso o un código de recuperación antes de emitir tokens de acceso. MFA aplica a las cuentas de usuario. No aplica a las aplicaciones de máquina a máquina que usan credenciales de cliente.

​
Métodos admitidos

Un usuario puede activar más de un método y seleccionar uno como preferido. El método preferido aparece primero durante el inicio de sesión, pero el usuario puede seleccionar otro método activado.

​
Cómo funciona el inicio de sesión MFA

  1. El usuario inicia sesión con una contraseña o inicio de sesión único.
  2. Auth valida el primer factor.
  3. Si MFA está activada para el usuario, Auth devuelve un token MFA de corta duración en lugar de tokens de acceso.
  4. El usuario selecciona uno de los métodos activados.
  5. Para correo electrónico, Auth envía un código de desafío. Una aplicación de autenticación genera su código localmente.
  6. El usuario envía un código de acceso de seis dígitos o un código de recuperación.
  7. Auth verifica el segundo factor y devuelve los tokens de acceso.
El token MFA expira después del tiempo de sesión configurado en el despliegue. Auth también limita los intentos de verificación y reenvío.
No trates un token MFA como un token de acceso. Solo otorga acceso a las operaciones de desafío y verificación MFA.

​
Configuración y códigos de recuperación

Un usuario debe configurar y verificar un método antes de activarlo. La configuración difiere según el método:
  • La configuración de una aplicación de autenticación devuelve una URL de código QR y un secreto.
  • La configuración por correo electrónico envía un código de verificación a la dirección de correo electrónico guardada.
Access Manager emite códigos de recuperación durante la inscripción en MFA. Cada código de recuperación funciona una sola vez. El usuario puede usar uno cuando el método preferido no esté disponible.
Guarda los códigos de recuperación cuando Access Manager los emita. No puedes recuperar los mismos códigos más adelante. Generar un conjunto nuevo invalida el anterior.
La API pública de Identity puede desactivar todos los métodos MFA de una cuenta. Esta operación también elimina los códigos de recuperación de la cuenta.

​
Acciones de autoservicio

Los usuarios pueden inscribir y gestionar sus propios métodos MFA mediante la API de Identity. La guía de Console cubre el paso MFA durante el inicio de sesión. Las operaciones de API de autoservicio requieren que el sujeto autenticado coincida con el ID de usuario de la ruta de solicitud.

​
Comportamiento ante fallos y recuperación

​
Próximos pasos

Completa MFA en Console

Verifica un código de acceso o usa un código de recuperación durante el inicio de sesión.

Gestiona MFA por API

Usa las operaciones de Auth e Identity para la inscripción y el inicio de sesión.

Requisitos de despliegue de MFA

Configura la protección de sesiones MFA, los límites y los proveedores de entrega.

Inicio de sesión único

Usa un proveedor de identidad externo como primer factor de inicio de sesión.