La seguridad diaria de tu sitio

Éclair está pensado para un entorno hostil, pero la seguridad diaria también depende de ti: una buena contraseña, la verificación en dos pasos, cuentas adaptadas a cada persona y una visita regular a la página Seguridad. Esta lección te guía paso a paso y te propone una rutina mensual de 30 minutos, la de Atelier Nova y sus dos formadoras.

Una contraseña sólida

Éclair cifra las contraseñas con Argon2id, un algoritmo diseñado para que los ataques de fuerza bruta salgan caros, y rechaza las que son demasiado débiles:

• menos de 10 caracteres;
• una contraseña habitual, como «password123»;
• menos de 5 caracteres distintos;
• una contraseña que contenga tu nombre, tu correo electrónico o el nombre del sitio.

El consejo que aparece debajo del campo es el bueno: «una frase de 4 palabras es segura y fácil de recordar», con palabras sin relación entre sí. Mejor aún, usa un gestor de contraseñas, un gran aliado de tu seguridad diaria. Para cambiar tu contraseña, abre Mi perfil, sección Contraseña, escribe la Contraseña actual y después la Nueva contraseña, y haz clic en Cambiar la contraseña: tus otros dispositivos se desconectan.

Frente a los robots, cada red tiene derecho a 10 intentos por cuarto de hora, y cada cuenta a 30 por hora. Tu dispositivo habitual tiene su propio contador: un atacante que falla a propósito no puede bloquearte.

¿Cómo activar la verificación en dos pasos?

1. Abre Mi perfil, sección Verificación en dos pasos (2FA), y haz clic en Activar la verificación en dos pasos.
2. Abre tu aplicación de autenticación (Google Authenticator, Microsoft Authenticator, 1Password, Bitwarden…) y escanea el código QR, o introduce a mano la clave que se muestra.
3. Introduce el código de 6 cifras que muestra la aplicación y haz clic en Confirmar y activar.
4. Anota los 8 códigos de recuperación: solo se muestran una vez. Haz clic en Copiar los códigos y guárdalos en tu gestor de contraseñas, o imprímelos.

A partir de entonces, en cada inicio de sesión Éclair te pide ese código de 6 cifras, que se renueva cada 30 segundos. Si el código se rechaza al activarla, comprueba la hora de tu móvil: basta un desfase para que no sea válido.

¿Has perdido el móvil? Introduce uno de tus códigos de recuperación, con el formato abcde-12345, en lugar del código: cada uno solo sirve una vez. Mi perfil muestra los códigos de recuperación que te quedan, y el botón Nuevos códigos de recuperación genera una serie nueva. Tras 10 códigos erróneos, la verificación en dos pasos de la cuenta se bloquea 15 minutos y se avisa a su titular por correo electrónico.

Administradores y redactores: a cada uno sus permisos

En la seguridad diaria, cada persona solo debe tener los permisos que necesita para su trabajo.

Para invitar a una formadora de Atelier Nova:

1. Abre Usuarios y, después, el formulario Invitar a alguien.
2. Escribe su Nombre y su Correo electrónico, deja el Rol en «Redactor» y haz clic en Crear la cuenta.
3. Éclair genera una contraseña provisional segura, en cuatro grupos de 4 caracteres: compártela de viva voz o por un canal seguro.
4. En su primer inicio de sesión, ella tendrá que sustituirla por su propia contraseña antes de acceder al resto del panel.

La lista Usuarios muestra, para cada cuenta, su rol, el estado de su verificación en dos pasos (Activada o No) y su Último acceso. La ficha de una cuenta permite Restablecer la contraseña, Desactivar la 2FA si la persona ha perdido el móvil, o Eliminar la cuenta: sus contenidos siguen publicados.

Sesiones y acciones sensibles

• Una sesión se cierra tras un periodo de inactividad, 240 minutos por defecto, que puedes ajustar de 15 a 1440 minutos en Ajustes › Avanzado. Nunca dura más de 48 horas y queda vinculada a tu navegador.
• Cerrar sesión en mis otros dispositivos, en Mi perfil, cierra tus sesiones abiertas en otros lugares. Cerrar la sesión de todos, en Seguridad › Sesiones y bloqueos, cierra todas las sesiones del sitio salvo la tuya.
• Para las acciones sensibles (copia de seguridad, gestión de cuentas, ajustes avanzados, cambio de correo electrónico), el campo Confirma con tu contraseña aparece si iniciaste sesión hace más de 15 minutos.

La página Seguridad, bloque a bloque

Mientras la dirección del sitio no esté verificada, aparece un botón Verificar la dirección del sitio, y Éclair no redirige a nadie a esa dirección. Si la verificación falla, tu servidor no consigue llamarse a sí mismo (cortafuegos del proveedor de hosting, dominio aún sin propagar): el sitio funciona; vuelve a intentarlo más tarde.

Dos lecturas del control de integridad que conviene conocer: las plantillas que has personalizado aparecen como modificadas, y es normal; los archivos antiguos que quedan tras una actualización aparecen como desconocidos, de ahí la indicación de borrar app/ y assets/ antes de subir una nueva versión. En cuanto a la copia de seguridad, excluye las claves de API del asistente, el historial de conversaciones y las sesiones: después de una restauración, vuelve a introducir tus claves.

La seguridad diaria en 30 minutos al mes

Atelier Nova ha anotado esta cita en su agenda el primer lunes de cada mes. Y el día en que una formadora deja el taller, su cuenta se elimina ese mismo día, sin esperar a la cita siguiente.

Para recordar

• Una contraseña de 10 caracteres como mínimo, idealmente una frase de 4 palabras, y la 2FA activada.
• Guarda tus 8 códigos de recuperación en un lugar distinto de tu móvil.
• Da el rol Redactor a quien escribe, y Administrador solo a quien gestiona el sitio.
• Elimina la cuenta de una persona que se va, y cierra la sesión de los dispositivos que hayas perdido.
• Tu seguridad diaria cabe en una rutina mensual: copia de seguridad, integridad, registro y cuentas.

Para saber más

• Seguridad avanzada y mantenimiento: actualizaciones, copias de seguridad externas, HSTS, recuperación.
• Entender el conector MCP: cortar el acceso de una aplicación y proteger tu cuenta.
• Solución de problemas: recuperar el acceso con el archivo data/reset.php.
• Fuentes: la norma RFC 6238 de los códigos de un solo uso y la norma RFC 9106, que describe Argon2.

Todas las lecciones de la ruta