Una sesión es un navegador o una aplicación en la que has iniciado sesión. Esta página explica cuánto duran las sesiones, cómo las terminan tú y tus administradores, qué ocurre tras los inicios de sesión fallidos, cómo se marcan los inicios de sesión inusuales y cómo los dispositivos de confianza omiten el segundo factor.
Cuánto dura una sesión
| Regla | Efecto |
|---|---|
| Inactividad | Una sesión que no se usa durante un tiempo termina; vuelves a iniciar sesión. |
| Duración absoluta | Toda sesión termina tras una duración máxima, incluso si se usa, y es más larga si marcas «recordarme» al iniciar sesión. |
| Sesiones por persona | Como máximo 10 sesiones activas por persona en una organización. Si inicias sesión en una más, se termina la más antigua. |
| Una sesión por navegador | Volver a iniciar sesión en el mismo navegador reemplaza la sesión de ese navegador. |
Los tokens de acceso tienen una vida corta y se renuevan en segundo plano. Si un token de renovación se usa dos veces, terminan todas las sesiones de esa persona, porque significa que un token ha sido copiado.
Terminar sesiones
| Quién | Cómo |
|---|---|
| Tú | Mi perfil > Seguridad > Sesiones activas: Cerrar sesión en una sesión («El dispositivo que usa esta sesión se desconecta de inmediato. Si es el que estás usando ahora, tú también quedarás desconectado.») o Cerrar todas las demás sesiones («Todos los demás dispositivos con sesión iniciada en tu cuenta se desconectan de inmediato. La sesión que estás usando ahora se mantiene.»). |
| Un administrador | Miembros > miembro > Cerrar sesión: el miembro queda desconectado de esta organización en todos los dispositivos. «Puede volver a iniciar sesión; para impedírselo, suspéndelo.» |
| Automáticamente | Un cambio de rol, una suspensión o una eliminación termina de inmediato las sesiones del miembro en la organización. Si una organización se suspende, terminan todas sus sesiones. |
Cada entrada de Sesiones activas muestra el Dispositivo, la Dirección IP, la Ubicación, Inicio, Última actividad y Caduca.
Bloqueo tras inicios de sesión fallidos
| Ajuste | Dónde | Predeterminado |
|---|---|---|
| Bloquear una cuenta tras (inicios de sesión fallidos) | Ajustes > Autenticación y SSO | 5. «De 1 a 5. El límite integrado es 5; un número menor bloquea antes.» |
| Duración del bloqueo | Establecido por la plataforma | 15 minutos por defecto |
Una cuenta bloqueada muestra «Esta cuenta está bloqueada tras demasiados inicios de sesión fallidos. Inténtalo más tarde o restablece tu contraseña.» El bloqueo se comprueba antes que la contraseña, de modo que una cuenta bloqueada no da ninguna pista sobre si una contraseña era correcta. Se puede pedir un CAPTCHA tras algunos fallos donde haya instalado un proveedor de CAPTCHA. Cada bloqueo escribe auth.account_locked en el registro de auditoría y dispara el webhook auth.account_locked.
Los códigos incorrectos del segundo factor también están limitados: «Demasiados códigos incorrectos. Los códigos de verificación están en pausa durante n minutos.»
Bloqueos de seguridad
Los operadores de Hermetry pueden aplicar un bloqueo de seguridad a una cuenta. Termina todas las sesiones y rechaza todos los métodos de inicio de sesión hasta que se levante: «Esta cuenta está bloqueada por motivos de seguridad. Se bloquea todo método de inicio de sesión hasta que se desbloquee. Contacta con soporte.» La persona recibe un aviso por correo electrónico.
Inicios de sesión inusuales
Cada inicio de sesión se compara con el anterior de la persona. Hermetry marca los viajes imposibles, un país nuevo, una red anonimizadora (proxy, VPN o Tor), una dirección nueva y un navegador o sistema operativo nuevo. Cada inicio de sesión inusual escribe una fila auth.login_anomaly en la auditoría, con una gravedad de baja (una dirección o dispositivo nuevo) a alta (viaje imposible o Tor), y dispara el webhook security.login_anomaly. El cortafuegos de IA usa las mismas señales.
Dispositivos de confianza
Cuando eliges confiar en un navegador al iniciar sesión, este omite el segundo factor durante un tiempo: 30 días por defecto (la plataforma establece el valor, como máximo 30). El navegador sigue necesitando la contraseña.
Mi perfil > Seguridad muestra tus Dispositivos de confianza con Confiado desde, Última vez visto y Confiado hasta. Revocar uno, o Revocar todos: «El próximo inicio de sesión en todos los dispositivos de confianza pedirá de nuevo tu código de inicio de sesión. Nadie queda desconectado.»
Revoca los dispositivos de confianza cuando un portátil se pierda o se comparta.
Listas de acceso por IP
Un Propietario puede restringir qué direcciones pueden abrir la organización: Ajustes > Política de inicio de sesión > Listas de acceso por IP.
| Campo | Significado |
|---|---|
| Direcciones permitidas (vacío permite todas las direcciones) | Direcciones IPv4 o IPv6 y bloques CIDR, separados por comas, espacios o saltos de línea. Si se define, se rechaza cualquier otra dirección. |
| Direcciones bloqueadas | Direcciones que siempre se rechazan. |
«No se guarda una lista que rechace tu propia dirección.» Una petición rechazada recibe 403 (TENANT_IP_NOT_ALLOWED), con la misma respuesta para ambas listas. Las listas se aplican a las peticiones de los miembros de la organización. El inicio de sesión en sí y las peticiones con claves de API no se comprueban con ellas; las claves de API tienen sus propias redes permitidas (véase Endurecimiento de claves de API).
Registro
Ajustes > Autenticación y SSO > Registro y verificación:
| Ajuste | Significado |
|---|---|
| Permitir registro público | «Si está desactivado, solo los administradores pueden crear cuentas nuevas.» Las invitaciones siguen funcionando. |
| Exigir verificación del correo electrónico | «Los usuarios deben verificar su correo electrónico antes de acceder a la plataforma.» |
Para una organización de IoT, mantén desactivado el registro público e invita a las personas.