Exigir MFA a tu equipo
Obliga a todos los miembros de un equipo o de la organización a usar la autenticación multifactor en el panel de cside, con un banner persistente o un bloqueo total tras un periodo de gracia de 14 días.
Puedes exigir la autenticación multifactor (MFA) a todos los miembros de un equipo, o a todos los miembros de tu organización. Cuando activas la exigencia, eliges con qué rigor se aplica: un banner persistente que recuerda a los miembros que configuren la MFA, o un bloqueo total cuando termina un periodo de gracia de 14 días.
La exigencia de MFA requiere un plan Enterprise. En los demás planes, el ajuste muestra una insignia Enterprise con un botón Contact Sales. Contacta con ventas para actualizar tu plan.
Dónde exigir la MFA
La exigencia de MFA está disponible en dos niveles:
| Nivel | Dónde | Quién puede cambiarlo |
|---|---|---|
| Equipo | Team Settings > General, en MFA enforcement | Editores del equipo y administradores de la organización |
| Organización | Organization Settings > Security, interruptor Require MFA for all members | Administradores de la organización |
La exigencia a nivel de organización prevalece sobre el interruptor del equipo. Cuando tu organización exige la MFA, el interruptor del equipo queda bloqueado en activado y muestra el tooltip “MFA is enforced at the organization level. Team-level settings cannot override this.”
Habilitar la exigencia de MFA para un equipo
- Abre la configuración del equipo o navega a Team Settings > General
- En MFA enforcement, activa el interruptor
- En el diálogo Enable MFA enforcement?, elige Banner o Lockout
- Haz clic en Enable
Cualquier persona con permiso para gestionar el equipo puede cambiar este ajuste, es decir, tanto los editores del equipo como los administradores de la organización. Los miembros con rol de visualización pueden ver el interruptor, pero no cambiarlo.
Habilitar la exigencia de MFA para toda la organización
- Abre la configuración de la organización o navega a Organization Settings > Security
- Activa Require MFA for all members
- En el diálogo Enable MFA Enforcement?, elige Persistent banner o Full lockout
- Haz clic en Enable
Solo los administradores de la organización ven la pestaña Security. Una vez habilitada, la página muestra el modo activo como una insignia y los días que quedan del periodo de gracia.
Modos de exigencia
Ambos niveles ofrecen los mismos dos modos, etiquetados Banner / Lockout en el interruptor del equipo y Persistent banner / Full lockout en la página de la organización.
Banner
Los miembros sin MFA ven un banner persistente en la parte superior del panel que los invita a configurarla. Pueden seguir usando todas las funciones mientras el banner está visible. Usa este modo para fomentar la adopción sin interrumpir el trabajo de tu equipo.
Lockout
Los miembros sin MFA ven el mismo banner durante el periodo de gracia. Cuando el periodo de gracia termina, quedan bloqueados del panel hasta que completan la configuración de la MFA. Usa este modo cuando tu política de seguridad exija MFA y necesites un plazo firme.
Para cambiar de modo, desactiva la exigencia, vuelve a activarla y elige el otro modo en el diálogo.
El periodo de gracia de 14 días
Cada miembro dispone de 14 días para configurar la MFA antes de que se aplique el bloqueo. El periodo de gracia empieza en la fecha más tardía de estas dos: la fecha en que se habilitó la exigencia, o la fecha en que el miembro se unió al equipo o a la organización. Un miembro invitado después de activar la exigencia recibe sus propios 14 días a partir del día en que se une.
Durante el periodo de gracia, los miembros siempre ven el banner, sea cual sea el modo que elegiste. Cuando termina, se aplica el modo configurado. Cuando un miembro está cubierto por más de una exigencia (por ejemplo, su organización y un equipo), prevalecen el modo más estricto y la fecha límite más temprana.
Qué ocurre cuando se exige la MFA
- Los miembros que ya tienen la MFA habilitada pueden iniciar sesión con normalidad, sea cual sea el modo
- Los miembros sin MFA ven un banner que los invita a configurar la MFA
- En el modo de bloqueo, los miembros que no hayan configurado la MFA al terminar su periodo de gracia quedan bloqueados hasta que completen la configuración
- Desactivar la exigencia surte efecto de inmediato y anula el periodo de gracia
Todos los cambios de exigencia quedan registrados en los registros de auditoría.
Métodos de MFA compatibles
Ambos métodos de MFA funcionan con la exigencia:
- Aplicaciones de autenticación - Authy, Google Authenticator, 1Password y otras aplicaciones TOTP
- Llaves de seguridad de hardware - YubiKeys y otros dispositivos FIDO2
Los miembros del equipo pueden elegir cualquiera de los dos métodos durante la configuración. Para ver instrucciones paso a paso, consulta Cómo configurar la MFA.
Buenas prácticas
- Avisa antes a tu equipo. Comparte la guía de configuración de MFA antes de activar la exigencia para que cada persona pueda configurarla a su ritmo.
- Empieza con el banner. Mantén el modo banner durante un par de semanas y pasa al bloqueo cuando la mayoría de los miembros hayan completado la configuración.
- Recomienda métodos de respaldo. Tener tanto una aplicación de autenticación como una llave de hardware evita quedar bloqueado si un método no está disponible.
- Revisa los registros de auditoría. Después de habilitar la exigencia, usa los registros de auditoría para confirmar que los miembros están completando la configuración.
Thanks for your feedback!