Seguridad de la cuenta — autenticación en dos pasos y acceso de emergencia

El panel de Castreon inicia y detiene canales, así que la cuenta de administrador debe protegerse como el acceso al servidor. En resumen: una contraseña larga, la autenticación en dos pasos activada y los códigos de recuperación guardados en lugar seguro.

Disponible desde Castreon 1.6.0, en todos los planes.

Contraseña

• Las contraseñas nuevas tienen al menos 15 caracteres — o 12 si la autenticación en dos pasos está activada. No se exigen cifras ni símbolos: lo que cuenta es la longitud (como en las recomendaciones del NIST de 2025).
• Las contraseñas comunes o aparecidas en filtraciones, el nombre de la cuenta y «castreon» se rechazan. El formulario muestra al momento lo que falta; Cambiar contraseña solo se activa con una contraseña válida.
• Las contraseñas existentes siguen siendo válidas. Una cuenta con una contraseña generada por otro administrador (o restablecida desde la consola) elige una nueva en el primer inicio de sesión.

Autenticación en dos pasos

Mi cuenta → Autenticación en dos pasos:

1. Escanea el código QR con tu app de autenticación (Google Authenticator, Microsoft Authenticator, 1Password, Bitwarden …) o escribe el código que aparece debajo. El código QR se genera en el navegador: el secreto no sale a ninguna parte.
2. Escribe el código de 6 cifras de la app para confirmar que la app y el servidor coinciden.
3. Recibes 10 códigos de recuperación. Guárdalos ahora — Descargar (.txt), cópialos en tu gestor de contraseñas o imprímelos —, no en el mismo teléfono. Solo se muestran una vez.

A partir de ahí, cada inicio de sesión pide el código de la app. Un código ya usado no funciona una segunda vez.

Códigos de recuperación

• Si no tienes el teléfono a mano, escribe un código de recuperación en lugar del código de la app. Cada uno funciona una sola vez; tras iniciar sesión ves cuántos te quedan.
• Códigos nuevos (con la contraseña) crea otros 10: los anteriores dejan de funcionar.
• Cada uso aparece en Auditoría.

Las organizaciones que quieren 2FA para todos los administradores la exigen en Ajustes → Inicio de sesión → Exigir 2FA a todos los administradores. La página muestra cuántos administradores ya tienen 2FA y quién no; antes de guardar los nombra otra vez y pide confirmación. Un administrador sin 2FA solo ve entonces Mi cuenta hasta que la active; los operadores y los usuarios de solo lectura no se ven afectados. La regla solo se puede activar desde una cuenta que ya tenga 2FA. En el mismo lugar se elige la duración de un inicio de sesión (12 horas por defecto, como máximo 720 = 30 días), tras la cual el panel vuelve a pedir la contraseña y el código. Por API: PUT /api/v1/settings con security.totp_required_for_admins y security.session_hours.

He perdido el acceso

• Otro administrador puede generarte una contraseña nueva: Usuarios → tu fila → Generar (la contraseña es temporal: la cambias en el primer inicio de sesión). En la propia cuenta no funciona: tu contraseña se cambia en Mi cuenta.
• Has perdido el teléfono: entra con un código de recuperación y vuelve a activar la 2FA con el teléfono nuevo.
• Eres el único administrador (o nadie puede entrar): acceso de emergencia desde la consola del servidor, como root:

sudo /opt/castreon/bin/castreon -list-users
sudo /opt/castreon/bin/castreon -reset-password admin

La contraseña se escribe dos veces sin que aparezca en pantalla (o -generate crea una y la muestra una sola vez). Con -disable-2fa también se desactiva la 2FA (teléfono y códigos perdidos). Antes del cambio se hace una copia de la base de datos; las sesiones de la cuenta se cierran y todo aparece en Auditoría («consola del servidor»). Si en el servidor funcionan varios servicios Castreon, elige uno con -config <ruta>.

El último administrador activo no se puede desactivar, degradar ni borrar: el panel nunca se queda sin alguien que pueda administrarlo.