Métodos de autenticación

La misma política sirve para quien lleva móvil, quien comparte terminal en planta y el proveedor que entra una vez al mes. Cada método verifica al usuario de forma distinta; casi todos pueden combinarse con la firma de ubicación.

Método	Para quién	Cómo se verifica	Ubicación
App móvil	Plantilla con teléfono propio o de empresa	Notificación en el móvil, huella o cara y la firma del lugar, en un solo toque	Con firma de ubicación
App de escritorio	Oficinas donde el móvil no está permitido	Clave guardada en el propio ordenador más un código temporal	Con firma de ubicación
Passkeys y FIDO2	Servicios web y equipos con llave física	Credencial criptográfica que no viaja al servidor, con la biometría del equipo	Con firma de ubicación
Reconocimiento facial	Puestos donde no se quiere tocar nada	La cámara del equipo o del móvil, ligada a ese dispositivo concreto	Con firma de ubicación
Token USB	Salas limpias, planta y entornos sin biometría	La clave se parte entre el token y el equipo: hacen falta los dos	Con firma de ubicación
Tarjeta NFC / RFID	Turnos y terminales compartidos	La misma tarjeta de fichar, acercada a un lector	Con firma de ubicación
Magic link / SMS	Colaboradores que entran de forma puntual	Enlace o código que caduca tras un uso	Ubicación opcional
Sin agentes	Servidores y equipos que no admiten instalaciones	La red de origen y la credencial que ya usaban, evaluadas en el servidor	Con firma de ubicación

Cada método enlaza con su guía de uso. El resto de guías están en la guía de usuario.

Factores de autenticación configurables

Factor	Descripción
Ubicación (Location)	La zona segura del usuario como factor de identidad contextual, continuo y silencioso.
Push Notification	Notificación en el móvil o el escritorio del usuario para aprobar o rechazar accesos.
Software OTP	Código de un solo uso generado por la app móvil o de escritorio de Ironchip.
Hardware OTP / USB Token	Token físico para entornos que requieren un segundo factor tangible.
Tarjeta NFC/RFID	Con un lector integrado en el teclado o un lector NFC conectado por USB, se puede integrar cualquier tarjeta o elemento NFC/RFID.
Email / SMS	Métodos adicionales como factor secundario configurable por perfil.
Contraseña (opcional)	Puede mantenerse o eliminarse por completo en modelos sin contraseña (passwordless).

Aplicación móvil (iOS y Android)

La app móvil es el método de autenticación más habitual. Está disponible para iOS y Android, con descarga en App Store y Google Play. Actúa como segundo factor mediante notificación push y verificación de localización electromagnética.

Alta

1. El administrador da de alta al usuario en la consola de administración.
2. El usuario recibe un correo con el botón Verify my account.
3. Pulsa Continue y descarga la app si todavía no la tiene.
4. Acepta los permisos que pide la app.
5. Opcionalmente, activa la biometría (huella o reconocimiento facial).
6. Escanea con la app de Ironchip el código QR que aparece en pantalla. El alta queda completada.

Autenticación habitual

1. El usuario introduce sus credenciales en el servicio al que quiere acceder.
2. Llega una notificación push al móvil a través de la app de Ironchip.
3. Al pulsar la notificación se abre la app. Si hay biometría configurada, se valida.
4. Al pulsar Authorize, la app escanea las señales electromagnéticas del entorno y verifica si el usuario está en la zona segura autorizada.
5. Si la verificación es correcta, se concede el acceso al servicio.

Autenticación alternativa, desde la app

1. El usuario introduce sus credenciales en el servicio.
2. En lugar de pulsar la notificación push, abre directamente la app de Ironchip.
3. En la pestaña Servicios, sobre el servicio al que ha intentado acceder, aparece una cuenta atrás.
4. Pulsa la tarjeta del servicio antes de que se agote el tiempo.
5. Pulsa Authorize: el sistema escanea las señales y verifica la localización. Se concede el acceso si está en una zona autorizada.

Zonas seguras en la app móvil

En la pestaña de llaves se gestionan las zonas seguras. Para crear una nueva, pulsa +, escribe un nombre y pulsa Add Safe Zone. La rueda de progreso indica que se está capturando la firma electromagnética.

Guía de uso: Aplicación móvil.

Aplicación de escritorio (Windows, Linux y macOS)

La app de escritorio permite autenticarse sin móvil. Funciona en Windows, Linux y macOS y actúa como segundo factor mediante una notificación local en el propio equipo.

Alta

1. El administrador da de alta al usuario en la consola de administración.
2. El usuario recibe el correo y pulsa Verify my account.
3. Con la app de escritorio ya instalada, pulsa Continue.
4. El usuario copia el código de seguridad que aparece en pantalla y lo introduce en la app de escritorio de Ironchip. El alta queda completada.

Variante: identidad en un dispositivo externo (USB de datos)

Es posible llevar las credenciales de identidad en un dispositivo de almacenamiento externo (USB). Así el usuario puede autenticarse en cualquier equipo que tenga instalados los servicios de escritorio de Ironchip.

1. Durante el alta, el usuario inserta el dispositivo externo de almacenamiento.
2. Pulsa el botón de refrescar para que se detecte el dispositivo.
3. Selecciona el dispositivo en la lista desplegable.

El dispositivo externo debe permanecer conectado para usar la app de escritorio.

Autenticación

1. El usuario introduce sus credenciales en el servicio.
2. La app de escritorio muestra una notificación local.
3. Al pulsar la notificación se abre la app de Ironchip en el escritorio.
4. Al pulsar Authorize, el sistema verifica la localización y el dispositivo. Se concede el acceso si se cumplen las condiciones.

Guía de uso: Aplicación de escritorio.

RFID / NFC (tarjetas y lectores)

El método RFID permite autenticar usuarios con tarjetas o tags RFID/NFC y un lector conectado al equipo. Es ideal para entornos industriales, hospitalarios, hoteleros o cualquier puesto con alta rotación en el que el usuario no puede o no debe usar el móvil.

Pasos de configuración

1. Descarga el agente RFID Authenticator desde la sección Plugins de la consola de administración.

2. Genera una API key: ve a Authentication Policies > Device Policies > Add device policy y activa Use RFID protocol. El sistema genera la API key automáticamente.

3. Crea el acceso de cada usuario: en el servicio creado, haz clic en Add access, selecciona el usuario autenticador e indica el usuario a proteger (formato DOMINIO\usuario o EQUIPO\usuario).

4. Registra las tarjetas RFID: ve a Directory > Devices > RFID > Synchronize. Descarga la plantilla CSV, completa los campos y súbela. Selecciona la política RFID y confirma.

5. Configura el agente: abre PowerShell como administrador en el directorio del agente descargado y ejecuta:

   .\IronchipRFID.exe c --api_key <API_KEY>

Campos de la plantilla CSV

UserID (ID del usuario en Ironchip), Email (correo del usuario), Name (nombre identificativo de la tarjeta) y UUID (identificador único del chip RFID).

Flujo de autenticación con RFID

1. El empleado acerca su tarjeta RFID o NFC al lector conectado al equipo.
2. El lector captura el UUID único del chip.
3. El agente de Ironchip valida el UUID contra el usuario emparejado y comprueba las condiciones de acceso (zona, horario, política).
4. Si la validación es correcta, se concede el acceso sin contraseña, PIN ni móvil.

Guía completa: Tarjeta NFC / RFID.

Autenticación sin conexión (OTP offline)

El método Offline permite autenticarse sin conexión a internet con un código OTP generado en local. Es especialmente útil en entornos industriales, zonas sin cobertura o redes aisladas (air-gapped).

• La app móvil o de escritorio genera un código OTP de un solo uso sin necesidad de conexión.
• En Windows Logon, el servicio OTP se instala como componente adicional durante la instalación del plugin.
• El código OTP tiene una validez temporal limitada y es único por dispositivo.
• No requiere autorización del servidor de Ironchip en el momento del acceso.

Nota

La autenticación offline requiere que el dispositivo se haya emparejado antes con la plataforma en un entorno con conexión. El código OTP se genera a partir del secreto compartido que se guarda en local en el dispositivo emparejado.

Más información: Autenticarse con Ironchip.

¿Puedo autenticarme en servicios de manera offline?

Sí. Ironchip ofrece la función Offline, que te permite acceder al dispositivo sin autorización desde el móvil. La función usa un código offline para verificar tu identidad y permitir el acceso a los servicios aunque no tengas conexión a internet.

Magic link (enlace por email)

El magic link es un enlace seguro de un solo uso que se envía por email y permite autenticarse sin instalar ningún agente ni registrar ningún dispositivo. Es ideal para proveedores externos, usuarios ocasionales o accesos puntuales.

1. El usuario intenta acceder al servicio.
2. Ironchip envía automáticamente un email al usuario con un enlace de autenticación.
3. El usuario hace clic en el enlace y se concede el acceso sin contraseña adicional.
4. El enlace caduca tras un solo uso o tras el tiempo que haya configurado el administrador.

• No requiere instalar ningún agente ni app en el dispositivo del usuario.
• El administrador puede configurar la duración y el alcance del acceso.
• Es compatible con cualquier dispositivo que tenga acceso al correo electrónico.

Biometría (huella dactilar y reconocimiento facial)

¿La aplicación de autenticación utiliza biometría?

Sí. La aplicación de autenticación de Ironchip puede usar la biometría como factor adicional de seguridad. Los usuarios pueden configurarla en la aplicación y autenticarse con características físicas o de comportamiento únicas, como las huellas dactilares o el reconocimiento facial.

La biometría actúa como capa de desbloqueo de la app móvil, no como factor de autenticación independiente. El usuario la configura durante el alta para no tener que introducir un PIN cada vez que aprueba una autenticación.

• Métodos disponibles: huella dactilar y reconocimiento facial, según el dispositivo móvil.
• La biometría se configura de forma opcional durante el alta en la app móvil.
• Ironchip no guarda ningún dato biométrico en sus servidores: la validación ocurre únicamente en el dispositivo del usuario.
• Cumple con el RGPD, porque no se transmiten ni se almacenan datos biométricos de forma centralizada.

Resumen comparativo de métodos

Método	Dispositivo	Sin móvil	Offline	Sin instalación	Caso de uso principal
App móvil	iOS / Android	✗	✗	✗	Usuario estándar con móvil corporativo
App de escritorio	Windows / Linux / macOS	✓	✗	✗	Usuario sin móvil corporativo
Windows Logon	Windows	✓	✓ (OTP)	✗	Proteger el inicio de sesión del sistema operativo Windows
Linux PAM	Linux	✓	✗	✗	Servidores, bastiones y SSH
macOS PAM	macOS	✓	✗	✗	Equipos Apple corporativos
RFID / NFC	Cualquier PC	✓	✓	✗	Puestos compartidos, entornos hospitalarios e industriales
OTP offline	Móvil / escritorio	✓	✓	✗	Zonas sin cobertura, redes aisladas
Magic link	Cualquier dispositivo	✓	✗	✓	Proveedores externos, usuarios ocasionales
Biometría	Móvil	✗	✗	✗	Complemento de seguridad en la app móvil

Preguntas frecuentes

¿Es necesario usar un dispositivo móvil para autenticarse con Ironchip?

No. Además de la notificación push en el móvil, existe una aplicación de escritorio que funciona en Windows, Linux y macOS. La plataforma también ofrece otros métodos, como la función Offline y la función USB. Con ellos puedes acceder al dispositivo sin autorización desde el móvil, usando un código offline o un USB.