Autenticación multifactor

La autenticación multifactor (MFA, llamada verificación en dos pasos en el panel) añade un segundo paso al iniciar sesión en el panel. Frontmail admite apps de autenticación TOTP (1Password, Google Authenticator, Microsoft Authenticator, Authy, Aegis…) con códigos de respaldo.

Activarla

Primero verifica tu dirección de correo: la verificación en dos pasos solo se puede activar con una dirección verificada (para que nadie pueda dejar fuera al dueño de un buzón de una cuenta registrada con su correo). Después abre Ajustes → Seguridad (Inicio de sesión y seguridad) y haz clic en Activar junto a Verificación en dos pasos.
Confirma con tu contraseña.
Escanea el código QR con tu app de autenticación (o introduce a mano la clave que aparece debajo).
Introduce el código de 6 dígitos que muestra la app.
Guarda los 10 códigos de respaldo y confirma con Ya los he guardado: cada código te permite iniciar sesión una vez si pierdes el teléfono. No los volverás a ver.

Recibirás un correo cada vez que se active o desactive la verificación en dos pasos. Nuevos códigos de respaldo sustituye todos tus códigos de respaldo; Desactivar desactiva la verificación en dos pasos (ambos piden tu contraseña).

Iniciar sesión

Después del correo y la contraseña, introduce el código actual de tu app, o elige Usar un código de respaldo. Marca Confiar en este dispositivo durante 30 días para no tener que introducir el código en ese navegador.

El código se pide con todos los métodos de inicio de sesión: correo y contraseña, un enlace de inicio de sesión enviado por correo (magic link) y Google / GitHub. Después del enlace o del proveedor, el panel muestra el paso de verificación en dos pasos antes de iniciar la sesión. Un dispositivo de confianza se lo salta con todos los métodos.

Enlaces de inicio de sesión abiertos en otro dispositivo

Un enlace de inicio de sesión enviado por correo funciona directamente en el navegador desde el que lo pediste. Si lo abres en otro navegador o dispositivo, primero muestra ¿Continuar con el inicio de sesión? con la dirección de correo de la cuenta; continúa solo si acabas de pedir el enlace. Del mismo modo, un enlace de verificación de correo abierto en otro sitio verifica la dirección, pero no inicia sesión en ese navegador. Así, un enlace enviado por otra persona no puede hacerte iniciar sesión discretamente en su cuenta.

¿Has perdido tu dispositivo?

Inicia sesión con uno de tus códigos de respaldo y luego desactiva y vuelve a activar la verificación en dos pasos para configurar el dispositivo nuevo; así también obtienes códigos de respaldo nuevos. Si no tienes códigos de respaldo, contacta con el soporte desde el correo de la cuenta; por tu seguridad, la recuperación de la cuenta requiere verificar tu identidad y lleva su tiempo.

Cambiar el correo de inicio de sesión

Ajustes → Seguridad → Cambiar correo pide tu contraseña actual (las cuentas sin contraseña deben haber iniciado sesión en los últimos 15 minutos). Después, Frontmail envía un correo a tu dirección actual para aprobar el cambio; solo entonces la dirección nueva recibe su enlace de confirmación. La dirección antigua también recibe un aviso cuando se completa el cambio. Así, una sesión robada por sí sola no basta para trasladar la cuenta a otro buzón.

Superadministradores

Las cuentas del personal de Frontmail con acceso de superadministrador deben tener activada la verificación en dos pasos y haber iniciado sesión en la última hora para usar las herramientas de administración.

Sesiones

Ajustes → Sesiones (Sesiones activas) muestra todos los dispositivos en los que tienes la sesión iniciada, con el navegador, la dirección IP y la hora de inicio de sesión. Usa Cerrar sesión en sesiones concretas o Cerrar sesión en todos los demás. También recibirás un correo cuando alguien inicie sesión desde un dispositivo nuevo.

La MFA se aplica al acceso al panel. No afecta a las claves de API: protégelas como se describe en Claves públicas y privadas.