This is the abridged developer documentation for Ironchip # Todo lo que necesitas para desplegar, integrar y operar Ironchip > Guías paso a paso, referencia de API y SDK, integraciones y respuestas, para quien administra la plataforma, para quien la integra y para quien la usa cada día. ## Productos Cuatro productos sobre un mismo núcleo: el lugar desde el que llega un acceso o una operación como prueba de identidad. * [Plataforma de identidadIAM sin contraseñas con zonas seguras e ITDR. Consola, apps, protocolos estándar y más de 35 integraciones.](/identidad/) * [Primeros pasos](/identidad/primeros-pasos/) * [Protocolos](/identidad/protocolos/) * [Integraciones](/identidad/integraciones/) * [Detección de fraudePuntuación de riesgo por operación para banca y fintech. SDK para Android, iOS, Flutter y web, y API de informes.](/fraude/) * [Primeros pasos](/fraude/primeros-pasos/) * [SDK](/fraude/sdk/) * [API](/fraude/api/) * [Acceso privilegiadoSesiones privilegiadas Just-in-Time a servidores, bases de datos y Kubernetes, con aprobación y grabación.](/pam/) * [Cómo funciona](/pam/) * [Recursos compatibles](/pam/recursos/ssh/) * [Solicitar acceso](/pam/usuarios/solicitar-acceso/) * [Phishing ShieldProtección en el navegador contra páginas clonadas, kits adversary-in-the-middle, QR y ClickFix.](/phishing-shield/) * [Visión general](/phishing-shield/) * [Cómo funciona](/phishing-shield/como-funciona/) ## ¿Qué quieres hacer? Las tareas más habituales, con la página por la que empezar. 1. ### Proteger una aplicación Añade Ironchip como proveedor de identidad o segundo factor con los protocolos estándar. * [OIDC](/identidad/protocolos/oidc/) * [SAML](/identidad/protocolos/saml/) * [RADIUS](/identidad/protocolos/radius/) * [API HTTP](/identidad/protocolos/http-api/) 2. ### Conectar el directorio Sincroniza usuarios y grupos desde Active Directory, Entra ID o LDAP. * [AD Connect](/identidad/administracion/sincronizacion/ad-connect/) * [Entra ID](/identidad/administracion/sincronizacion/entra-id/) * [Proxy LDAP](/identidad/administracion/sincronizacion/proxy-ldap/) 3. ### Dar de alta a la plantilla Distribuye la app, invita a los usuarios y elige un método de autenticación por puesto. * [Alta en la aplicación](/identidad/usuarios/alta/) * [Distribución de la app](/identidad/administracion/distribucion-de-la-app/) * [Métodos](/identidad/conceptos/metodos/) 4. ### Proteger el inicio de sesión del equipo Segundo factor al encender el ordenador, en Windows, macOS y Linux, también sin móvil. * [Windows](/identidad/integraciones/puestos/windows-logon/) * [macOS](/identidad/integraciones/puestos/macos-logon/) * [Linux](/identidad/integraciones/puestos/linux-logon/) * [RDP](/identidad/integraciones/puestos/rdp/) 5. ### Integrar el antifraude en tu app SDK para la app móvil o web del banco y API para leer los informes de riesgo. * [Android](/fraude/sdk/android/) * [iOS](/fraude/sdk/ios/) * [Flutter](/fraude/sdk/flutter/) * [Web](/fraude/sdk/web/) * [API de informes](/fraude/api/) 6. ### Detectar identidades comprometidas ITDR: reglas dinámicas, puntuación de riesgo por acceso y exportación de eventos al SIEM. * [ITDR](/identidad/administracion/itdr/) * [Exportación de eventos](/identidad/administracion/exportacion-de-eventos/) * [Políticas de autenticación](/identidad/conceptos/politicas/) ## Integraciones de la plataforma de identidad Guías paso a paso para los productos con los que Ironchip ya trabaja. Si el tuyo no está, cualquier servicio compatible con OIDC, SAML o RADIUS se integra igual. ### Puestos y servidores * [Despliegue de agentes de inicio de sesiónGPO, MDM, MSI](/identidad/integraciones/puestos/agentes/) * [Escritorio remoto de Windows (RDP)NPS](/identidad/integraciones/puestos/rdp/) * [Escritorios virtuales (VDI)Agente](/identidad/integraciones/puestos/vdi/) * [HashiCorp BoundaryOIDC](/identidad/integraciones/puestos/boundary/) * [HashiCorp VaultOIDC](/identidad/integraciones/puestos/vault/) * [Inicio de sesión en LinuxPAM](/identidad/integraciones/puestos/linux-logon/) * [Inicio de sesión en macOSAgente](/identidad/integraciones/puestos/macos-logon/) * [Inicio de sesión en WindowsCredential Provider](/identidad/integraciones/puestos/windows-logon/) * [UDS Enterprise (Virtual Cable)RADIUS](/identidad/integraciones/puestos/uds-enterprise/) ### Directorio y SaaS * [ADFSMFA adapter](/identidad/integraciones/saas/adfs/) * [AirtableSAML](/identidad/integraciones/saas/airtable/) * [AtlassianSAML](/identidad/integraciones/saas/atlassian/) * [Entra IDSAML](/identidad/integraciones/saas/entra-id/) * [Entra ID como MFAExternal MFA](/identidad/integraciones/saas/entra-id-mfa/) * [Google WorkspaceSAML](/identidad/integraciones/saas/google-workspace/) * [HubSpotOTP](/identidad/integraciones/saas/hubspot/) * [Keeper SecuritySAML](/identidad/integraciones/saas/keeper-security/) * [Microsoft 365SAML](/identidad/integraciones/saas/microsoft-365/) * [NextcloudOIDC](/identidad/integraciones/saas/nextcloud/) * [SalesforceSAML](/identidad/integraciones/saas/salesforce/) * [SolarWindsSAML](/identidad/integraciones/saas/solarwinds/) * [WordPressSAML](/identidad/integraciones/saas/wordpress/) * [Zoho OneSAML](/identidad/integraciones/saas/zoho-one/) ### Red, VPN y cortafuegos * [Check PointRADIUS](/identidad/integraciones/red/check-point/) * [Citrix VPNRADIUS](/identidad/integraciones/red/citrix/) * [FortinetSAML, RADIUS](/identidad/integraciones/red/fortinet/) * [FortiWebRADIUS](/identidad/integraciones/red/fortiweb/) * [Ironchip RADIUS serverRADIUS](/identidad/integraciones/red/radius-server/) * [Microsoft NPSNPS](/identidad/integraciones/red/nps/) * [OpenVPNRADIUS](/identidad/integraciones/red/openvpn/) * [Palo AltoSAML](/identidad/integraciones/red/palo-alto/) * [Pulse SecureRADIUS](/identidad/integraciones/red/pulse-secure/) * [SonicWallNPS, SAML](/identidad/integraciones/red/sonicwall/) * [Sophos FirewallOTP](/identidad/integraciones/red/sophos/) * [StormshieldRADIUS](/identidad/integraciones/red/stormshield/) * [WatchGuardRADIUS](/identidad/integraciones/red/watchguard/) [Ver todas las integraciones](/identidad/integraciones/) ## Certificado para los entornos más exigentes Ironchip está en el catálogo CPSTIC del CCN con nivel ALTO y certificado en ENS categoría ALTA, ISO/IEC 27001 e ISO/IEC 27701. Aquí encontrarás los compromisos de servicio, el estado de la plataforma y cómo reportar una vulnerabilidad. * [Seguridad y cumplimiento](/seguridad/) * [Acuerdos de nivel de servicio](/identidad/referencia/sla/) * [Estado del servicio](/seguridad/estado/) * [Divulgación responsable](/seguridad/divulgacion-responsable/) -  -  -  -  -  ## ¿No encuentras lo que buscas? * ### Abrir un ticket El equipo de soporte responde en el portal del cliente, con el SLA de tu contrato. [Portal del cliente](https://support.ironchip.com/tickets) * ### Preguntas frecuentes Respuestas a las dudas habituales de administradores y usuarios. [Ver las preguntas frecuentes](/faq/) * ### Estado del servicio Historial de incidentes notificados en la plataforma, con su duración y el informe posterior de cada uno. [Ver el historial](/seguridad/estado/) # Esta página no existe > Puede que la dirección haya cambiado al renovar la documentación. Usa el buscador o empieza por uno de estos apartados. * [Plataforma de identidad](/identidad/): consola, usuarios, protocolos e integraciones. * [Detección de fraude](/fraude/): SDK, API de informes y consola. * [Acceso privilegiado](/pam/) y [Phishing Shield](/phishing-shield/). * [Preguntas frecuentes](/faq/) y [soporte](/soporte/). * [English documentation](/en/): this page does not exist, start from the English home page. # Qué es Ironchip > Ironchip convierte el lugar de un acceso o una operación en una prueba de identidad. Qué productos tiene, cómo encajan y por dónde empezar según tu papel. Ironchip es una empresa española de ciberseguridad. Su plataforma parte de una idea sencilla: **el lugar desde el que alguien accede o opera dice tanto de su identidad como la contraseña que escribe**. A partir de una firma anónima del entorno radioeléctrico de cada lugar, sin coordenadas ni datos personales, la plataforma decide si un acceso se permite, se refuerza con otro factor o se bloquea, y puntúa el riesgo de cada operación bancaria. Sobre ese núcleo hay cuatro productos. Todos comparten la consola de administración, el directorio que ya administras y las mismas certificaciones. ## Los productos [Sección titulada «Los productos»](#los-productos) | Producto | Para qué sirve | Quién lo usa | | -------------------------------------- | ------------------------------------------------------------------------------------------------------------------ | -------------------------------------------------- | | [Plataforma de identidad](/identidad/) | Autenticación sin contraseñas con zonas seguras e ITDR. Un método para cada puesto, también sin móvil. | Equipos de IT y seguridad de cualquier sector | | [Detección de fraude](/fraude/) | Puntuación de riesgo por operación en la app del banco: SIM swapping, mulas, fraude autorizado, malware en sesión. | Banca y fintech | | [Acceso privilegiado](/pam/) | Sesiones Just-in-Time a servidores, bases de datos y Kubernetes, con aprobación y grabación. | Administradores de sistemas y proveedores externos | | [Phishing Shield](/phishing-shield/) | Protección en el navegador contra páginas clonadas, kits AiTM, QR y ClickFix. | Toda la plantilla | ## Por dónde empezar [Sección titulada «Por dónde empezar»](#por-dónde-empezar) [Soy administrador](/identidad/primeros-pasos/)Voy a desplegar la plataforma de identidad: consola, directorio, zonas seguras y aplicaciones. [Voy a integrar una aplicación](/identidad/protocolos/)Quiero proteger un servicio con OIDC, SAML, RADIUS o la API HTTP. [Desarrollo la app del banco](/fraude/sdk/)Voy a integrar el SDK antifraude y leer los informes de riesgo por API. [Soy usuario](/identidad/usuarios/alta/)Tengo que darme de alta en la aplicación y aprobar mis accesos. ## Un despliegue típico, en cuatro pasos [Sección titulada «Un despliegue típico, en cuatro pasos»](#un-despliegue-típico-en-cuatro-pasos) 1. **Conecta el directorio.** Sincroniza usuarios y grupos desde Active Directory, Entra ID o LDAP. Ironchip no sustituye tu directorio, se apoya en él. [Sincronización de identidades](/identidad/administracion/sincronizacion/). 2. **Define las zonas seguras y las políticas.** La sede, una planta, el centro de datos o el domicilio de quien teletrabaja. Decide qué se permite dentro y qué pasa fuera. [Zonas seguras](/identidad/conceptos/zonas-seguras/). 3. **Protege la primera aplicación.** Da de alta el servicio en la consola con el protocolo que admita y asígnale grupos. Empieza por una aplicación de bajo impacto y amplía después. [Protocolos](/identidad/protocolos/). 4. **Da de alta a la plantilla.** Distribuye la app, activa la invitación automática y elige el método de cada puesto: móvil, escritorio, FIDO2, token USB o tarjeta. [Alta en la aplicación](/identidad/usuarios/alta/). ## Cómo está organizada esta documentación [Sección titulada «Cómo está organizada esta documentación»](#cómo-está-organizada-esta-documentación) Cada producto tiene su propia sección, con la misma estructura: **primeros pasos**, **conceptos**, guías de **administración** y de **usuario**, **integraciones** o **SDK y API**, y **referencia**. El selector de la barra lateral cambia de producto; el buscador busca en todos. La documentación está en español y en inglés (selector en la cabecera) y también en texto plano para agentes en [/llms.txt](/llms.txt). ## Sigue explorando [Sección titulada «Sigue explorando»](#sigue-explorando) * [Conceptos clave](/empezar/conceptos/): el vocabulario común de todos los productos. * [Soluciones de Ironchip](/empezar/soluciones/): casos de uso y el producto que resuelve cada uno. * [Glosario](/empezar/glosario/): términos y siglas. * [Tecnología de localización](/tecnologia/): cómo funcionan las zonas seguras y qué datos usan. * [Seguridad y cumplimiento](/seguridad/), [Preguntas frecuentes](/faq/), [Novedades](/novedades/) y [Soporte](/soporte/). # Conceptos clave > Zona segura, firma de ubicación, dispositivo registrado, política, nivel de riesgo: el vocabulario común de todos los productos de Ironchip. Todos los productos de Ironchip comparten unas pocas ideas. Esta página las define una vez para que el resto de la documentación pueda usarlas sin explicarlas de nuevo. ## Firma de ubicación [Sección titulada «Firma de ubicación»](#firma-de-ubicación) Representación anónima del entorno radioeléctrico de un lugar (redes wifi y móviles visibles), ligada a la clave del dispositivo. No almacena coordenadas ni historial de movimientos. ## Zona segura [Sección titulada «Zona segura»](#zona-segura) Lugar, o conjunto de lugares, desde el que una política permite una acción: la sede, una planta, el centro de datos o el domicilio de quien teletrabaja. ## Dispositivo registrado [Sección titulada «Dispositivo registrado»](#dispositivo-registrado) Teléfono, ordenador, token USB o tarjeta que el usuario ha dado de alta y que custodia su clave privada. ## Política [Sección titulada «Política»](#política) Conjunto de reglas que decide qué se puede hacer dentro de una zona segura, qué pasa fuera y qué factores adicionales se piden. ## Nivel de riesgo [Sección titulada «Nivel de riesgo»](#nivel-de-riesgo) Resultado de evaluar un acceso o una operación, con las evidencias que lo justifican. En la plataforma de identidad, las reglas del [ITDR](/identidad/administracion/itdr/) asignan a cada acceso un riesgo de 0 a 100 (limpio, bajo, alto o fraude). En la [detección de fraude](/fraude/conceptos/evaluacion-de-riesgo/), cada operación recibe uno de cuatro niveles: `low_risk`, `high_risk`, `fraud` o `unknown_risk`. # Glosario > Términos y siglas de la documentación de Ironchip, de AiTM a zona segura: qué significan ENS, FIDO2, ITDR, JIT, OIDC, PAM, RADIUS, SAML y SCIM. Definiciones breves de los términos técnicos que usa la documentación. Los conceptos propios de Ironchip se explican con más detalle en [Conceptos clave](/empezar/conceptos/). | Término | Significado | | --------------- | ---------------------------------------------------------------------------------------------------------- | | AiTM | Adversary-in-the-middle: kit de phishing que reenvía la sesión real para robar cookies y saltarse el MFA. | | ENS | Esquema Nacional de Seguridad. El producto de Ironchip figura en el catálogo del CCN-CERT a nivel ALTO. | | FIDO2 / passkey | Credencial criptográfica ligada al dispositivo que no viaja al servidor. | | IdP | Proveedor de identidad: el servicio que autentica al usuario y emite el token (OIDC) o la aserción (SAML). | | ITDR | Identity Threat Detection and Response: detección y respuesta ante identidades comprometidas. | | JIT | Just-in-Time: acceso privilegiado concedido solo durante la sesión aprobada. | | OIDC | OpenID Connect, protocolo de identidad sobre OAuth 2.0. | | PAM | Privileged Access Management: gestión del acceso privilegiado. | | RADIUS | Protocolo de autenticación de red usado por VPN, wifi corporativo y electrónica de red. | | SAML | Security Assertion Markup Language, protocolo de federación de identidad. | | SCIM | Protocolo de aprovisionamiento de usuarios y grupos entre sistemas. | | SIM swapping | Duplicado fraudulento de la tarjeta SIM para recibir los códigos de la víctima. | # Portal de partners > Recursos para el canal de Ironchip: programa de partners, presentaciones, battlecards, casos de éxito, registro de oportunidades y mensajes de prospección. Material para los partners de Ironchip: el programa de canal, las presentaciones, los formularios administrativos y los mensajes de prospección. Los enlaces descargan los documentos. ## Material comercial por producto [Sección titulada «Material comercial por producto»](#material-comercial-por-producto) * [Plataforma de identidad](/identidad/referencia/documentacion/): presentaciones, battlecards frente a la competencia, casos de uso y casos de éxito. * [Detección de fraude](/fraude/referencia/documentacion/): presentaciones, informe de casos de fraude y caso de éxito. ## Programa de canal [Sección titulada «Programa de canal»](#programa-de-canal) * [Programa de partners de Ironchip](https://7745202.fs1.hubspotusercontent-na1.net/hubfs/7745202/Ironchip%20%20Partner%20Program%20%20V2%20%20%281%29.pdf) ## Presentaciones [Sección titulada «Presentaciones»](#presentaciones) * [Presentación general](https://7745202.fs1.hubspotusercontent-na1.net/hubfs/7745202/Presentaci%C3%B3n%20Ironchip%20General%20-%202025_compressed.pdf) * [Presentación general corta](https://7745202.fs1.hubspotusercontent-na1.net/hubfs/7745202/Presentaci%C3%B3n%20Ironchip%20General%20-%202025%20%5Bcorta%5D_compressed.pdf) * [Presentación general en inglés (corta)](https://7745202.fs1.hubspotusercontent-na1.net/hubfs/7745202/Ironchip%20general%20%5BEN%5D%5BShort%5D_compressed.pdf) ## Formularios administrativos [Sección titulada «Formularios administrativos»](#formularios-administrativos) * [Formulario de registro de oportunidades (Deal Registration Form)](https://7745202.fs1.hubspotusercontent-na1.net/hubfs/7745202/Partners_Autorrellenable_Deal_registration.pdf) ## Mensajes de prospección [Sección titulada «Mensajes de prospección»](#mensajes-de-prospección) * [Mensajes de correo de marketing por sectores](https://7745202.fs1.hubspotusercontent-na1.net/hubfs/7745202/Mensajes%20por%20sectores.xlsx) * [Mensajes de prospección de tecnología](https://7745202.fs1.hubspotusercontent-na1.net/hubfs/7745202/Recursos%20Prospecci%C3%B3n%20Ironchip.xlsx) ## Contacto [Sección titulada «Contacto»](#contacto) Escribe a . # Soluciones de Ironchip > Casos de uso de Ironchip: aislamiento de servicios, autenticación de usuario, conectividad de terceros, gestión de incidentes, antifraude y trabajo remoto. Ironchip resuelve seis casos de uso habituales con la misma tecnología de ubicación. Cada sección explica el problema, qué aporta la plataforma y qué ventajas tiene, y enlaza con la documentación del producto que lo resuelve. | Caso de uso | Producto y documentación | | ------------------------------------- | ----------------------------------------------------------------------------------------------------- | | Aislamiento y protección de servicios | [Zonas seguras](/identidad/conceptos/zonas-seguras/) y [políticas](/identidad/conceptos/politicas/) | | Autenticación de usuario | [Plataforma de identidad](/identidad/) y [métodos de autenticación](/identidad/conceptos/metodos/) | | Conectividad de terceros | [Acceso privilegiado](/pam/) | | Gestión de incidentes | [Monitorización](/identidad/administracion/monitorizacion/) e [ITDR](/identidad/administracion/itdr/) | | Sistema de detección de fraude | [Detección de fraude](/fraude/) | | Trabajo remoto | [RDP](/identidad/integraciones/puestos/rdp/) y [VPN](/identidad/integraciones/red/openvpn/) | ## Aislamiento y protección de servicios [Sección titulada «Aislamiento y protección de servicios»](#aislamiento-y-protección-de-servicios) Los ataques son cada vez más sofisticados y capaces de evadir la detección. Ironchip delimita el uso de los distintos sistemas mediante la asignación de privilegios de usuario y la contención del acceso a áreas específicas. Así evita que intrusos o usuarios no autorizados lleguen al resto de los sistemas y hagan un uso inadecuado de la información, y reduce el impacto de un posible ataque o de un usuario malintencionado. ### Protección contra ataques [Sección titulada «Protección contra ataques»](#protección-contra-ataques) Delimita el acceso a áreas específicas, incluso solo desde lugares autorizados. Si hay una vulnerabilidad, evita la paralización total de la actividad porque permite detectar el vector de entrada y darle una solución rápida. ### Gestión de privilegios basada en roles [Sección titulada «Gestión de privilegios basada en roles»](#gestión-de-privilegios-basada-en-roles) Establece privilegios distintos para cada usuario. Evita que usuarios no autorizados accedan al resto del sistema y hagan un mal uso de la información, y reduce así el riesgo de los usuarios malintencionados. Consulta [Roles y permisos](/identidad/administracion/permisos/). ### Monitorización de acceso en tiempo real [Sección titulada «Monitorización de acceso en tiempo real»](#monitorización-de-acceso-en-tiempo-real) Controla quién accede a tus sistemas, cuándo y desde dónde, en tiempo real, desde la consola de administración. Revisa la actividad de los usuarios, consulta los accesos en una línea de tiempo y descarga informes para tener el control total. ### Detección de vulnerabilidades [Sección titulada «Detección de vulnerabilidades»](#detección-de-vulnerabilidades) Detecta comportamientos anómalos basados en la ubicación, con un sistema de alertas y evaluación de riesgos en los servicios para evitar accesos no autorizados. ## Autenticación de usuario [Sección titulada «Autenticación de usuario»](#autenticación-de-usuario) La autenticación multifactor (MFA) podría prevenir hasta el 80-90 % de los ciberataques, según las cifras que citó el responsable de ciberseguridad nacional de EE. UU. Ofrece a tus empleados el sistema de autenticación más fácil de usar. Es una solución 100 % adaptable a tus necesidades: se integra en cualquier servicio de forma ágil y cómoda para requisitos de seguridad altos, y verifica la identidad con tres factores en una sola interacción o incluso sin interacción. ### Inicio de sesión único para muchas aplicaciones [Sección titulada «Inicio de sesión único para muchas aplicaciones»](#inicio-de-sesión-único-para-muchas-aplicaciones) La autenticación segura de Ironchip se integra con la mayoría de las aplicaciones. El inicio de sesión único de Ironchip ofrece un acceso cómodo y seguro. Consulta los [protocolos](/identidad/protocolos/) y las [integraciones](/identidad/integraciones/) disponibles. ### El equilibrio entre seguridad y experiencia de usuario [Sección titulada «El equilibrio entre seguridad y experiencia de usuario»](#el-equilibrio-entre-seguridad-y-experiencia-de-usuario) La tecnología genera una identidad digital única mediante el análisis de señales ambientales, y se vuelve más segura de forma transparente cada vez que el usuario se autentica. ### Máxima seguridad sin fricciones [Sección titulada «Máxima seguridad sin fricciones»](#máxima-seguridad-sin-fricciones) Facilita la adopción de la seguridad en la empresa y evita la frustración de gestionar contraseñas, códigos y controles tediosos que acaban eludiéndose. Gestiona tres pruebas de identidad en una sola interacción, o incluso ninguna. Es la ventaja común a todos los casos de uso de esta página. ### La privacidad del usuario es lo primero [Sección titulada «La privacidad del usuario es lo primero»](#la-privacidad-del-usuario-es-lo-primero) La privacidad de los datos de ubicación es fundamental. Ironchip solo almacena el algoritmo de predicción capaz de determinar si la ubicación es válida o no. Más detalle en [Privacidad de los datos de ubicación](/tecnologia/privacidad/). ### Cómo funciona la autenticación sin fricciones [Sección titulada «Cómo funciona la autenticación sin fricciones»](#cómo-funciona-la-autenticación-sin-fricciones) 1. **El usuario recibe una notificación.** La comunicación para la autenticación se realiza por un canal de doble cifrado, que combina TLS con cifrado asimétrico de clave elíptica. 2. **El usuario autoriza el acceso.** Ironchip analiza el comportamiento de la ubicación para validar el acceso. Las ubicaciones no se almacenan: solo se guarda el algoritmo de predicción capaz de determinar si la ubicación es válida. 3. **Sin contraseña y sin fricciones.** Ironchip es una de las primeras soluciones capaces de certificar la identidad de un usuario sin almacenar sus datos de acceso, con el máximo respeto a su privacidad. ## Conectividad de terceros [Sección titulada «Conectividad de terceros»](#conectividad-de-terceros) Unos investigadores lograron escalar privilegios desde el acceso limitado que se concede a un contratista hasta el acceso de administrador. Desde esa posición, un atacante real podría comprometer el sistema y la empresa se enteraría demasiado tarde para actuar. Controla con Ironchip el acceso de los proveedores a los sistemas más sensibles de la empresa. Incorporar a terceros en el mantenimiento de sistemas, maquinaria o incluso en el proceso productivo es necesario, pero aumenta la vulnerabilidad y convierte cada acceso en un posible vector de entrada. El [acceso privilegiado](/pam/) concede sesiones temporales con aprobación y grabación. ### Clave única, segura e intransferible [Sección titulada «Clave única, segura e intransferible»](#clave-única-segura-e-intransferible) Las huellas de la movilidad humana son muy singulares. Los lugares que frecuentamos son un conjunto de datos que nos identifica tan claramente como la fecha de nacimiento, el nombre o el DNI, y se convierten así en un factor de nuestra identidad. ### Control total de accesos [Sección titulada «Control total de accesos»](#control-total-de-accesos) Supervisa quién accede a tus sistemas, cuándo y desde dónde, en tiempo real, desde la consola de administración. Consulta la actividad de los usuarios, visualiza los accesos en una línea de tiempo y obtén todas las métricas que necesites. ### Sistema de detección de intrusos [Sección titulada «Sistema de detección de intrusos»](#sistema-de-detección-de-intrusos) Los estafadores saben cómo eludir los controles de seguridad habituales. Pasa a la autenticación basada en la ubicación y mantente por delante del fraude. ## Gestión de incidentes [Sección titulada «Gestión de incidentes»](#gestión-de-incidentes) Los ataques de intrusión en el sistema, la ingeniería social y las aplicaciones web básicas representan el 83 % (general) de las brechas en Europa, y el motivo principal es el económico (89 %). Gestiona y monitoriza el acceso a tu empresa con Ironchip. Los accesos se monitorizan desde la consola de administración, lo que permite gestionar incidencias, minimizar los accesos no deseados y tener visibilidad en tiempo real para asegurar el correcto funcionamiento y detectar pronto las vulnerabilidades y su alcance. Este caso de uso se apoya en las mismas capacidades que ya se han descrito: * **Monitorización de acceso en tiempo real** y **detección de vulnerabilidades**, descritas en Aislamiento y protección de servicios. Consulta la [monitorización](/identidad/administracion/monitorizacion/) y el [ITDR](/identidad/administracion/itdr/). * **Gestión de privilegios basada en roles**, con [roles y permisos](/identidad/administracion/permisos/). * **Aislamiento y protección de servicios**: acceso restringido a lugares autorizados, que permite detectar el vector de entrada y resolver una vulnerabilidad sin paralizar la actividad. * **Exportación de eventos** a tu SIEM: consulta [Exportación de eventos](/identidad/administracion/exportacion-de-eventos/). ## Sistema de detección de fraude [Sección titulada «Sistema de detección de fraude»](#sistema-de-detección-de-fraude) El futuro está en usar técnicas de minería de datos para eliminar el fraude en tiempo real en su nivel más bajo. Los sistemas de detección de fraude de Ironchip alertan a las entidades bancarias de las operaciones sospechosas realizadas desde ubicaciones anómalas de los usuarios. Consulta la documentación de [detección de fraude](/fraude/primeros-pasos/) para ver cómo se integra. Se apoya en las mismas ideas que la autenticación de usuario, aplicadas a cada transacción: * **Detección de vulnerabilidades:** detecta comportamientos anómalos basados en la ubicación, con un sistema de alertas y evaluación de riesgos en la transacción para evitar accesos no autorizados. Consulta la [evaluación de riesgo](/fraude/conceptos/evaluacion-de-riesgo/). * **Equilibrio entre seguridad y experiencia de usuario:** la identidad digital única se vuelve más segura de forma transparente cada vez que el usuario realiza una transacción. * **Privacidad del usuario:** Ironchip solo almacena el algoritmo de predicción, no las ubicaciones. * **Máxima seguridad sin fricciones** en el banco, con tres pruebas de identidad en una sola interacción, o incluso ninguna. ## Trabajo remoto [Sección titulada «Trabajo remoto»](#trabajo-remoto) El 93 % de los CISO expresó su preocupación por las nuevas plantillas distribuidas, que han introducido nuevas vulnerabilidades. Ironchip garantiza la seguridad del acceso remoto a tus servicios y a la red corporativa. Integra el MFA de Ironchip en cualquier servicio de forma ágil y cómoda para proteger cualquier solución de acceso remoto, tanto [RDP](/identidad/integraciones/puestos/rdp/) como VPN (por ejemplo, [OpenVPN](/identidad/integraciones/red/openvpn/)), y permite el acceso solo desde las ubicaciones asignadas para evitar accesos no deseados. Tu plantilla tiene la misma experiencia sin fricciones y la misma monitorización de acceso en tiempo real que en los casos anteriores. ### Acceso remoto seguro para cualquier entorno [Sección titulada «Acceso remoto seguro para cualquier entorno»](#acceso-remoto-seguro-para-cualquier-entorno) Usa la tecnología de Ironchip en tus entornos: sus pilares son la seguridad y la interoperabilidad, por lo que es compatible con la mayoría de las integraciones. ### Escala hasta donde quieras llegar [Sección titulada «Escala hasta donde quieras llegar»](#escala-hasta-donde-quieras-llegar) La tecnología se adapta en tiempo real a las nuevas circunstancias de trabajo y admite nuevos entornos con una configuración y un despliegue sencillos. # Preguntas frecuentes > Respuestas a las dudas más habituales sobre Ironchip: qué es, certificaciones, contacto, tecnología de ubicación, productos, licenciamiento, ITDR y token USB. Las dudas más habituales sobre Ironchip, su tecnología y sus productos. Si la tuya no está, [abre un ticket](https://support.ironchip.com/tickets). ## Sobre Ironchip [Sección titulada «Sobre Ironchip»](#sobre-ironchip) ### ¿Qué es Ironchip? [Sección titulada «¿Qué es Ironchip?»](#qué-es-ironchip) Ironchip es una empresa española especializada en identidad digital y ciberseguridad, fundada en 2017 en el País Vasco. Ha desarrollado una tecnología de localización patentada que combina IA y análisis de señales electromagnéticas para la autenticación sin contraseñas y la detección de fraude. Su equipo, experto en big data, inteligencia artificial y ciberseguridad, desarrolla productos para proteger los sectores de los que depende la sociedad, como las finanzas, la industria y la administración pública. ### ¿Qué es la plataforma de identidad de Ironchip? [Sección titulada «¿Qué es la plataforma de identidad de Ironchip?»](#qué-es-la-plataforma-de-identidad-de-ironchip) Es un sistema que identifica y verifica a los usuarios a partir de su ubicación. Se integra con servicios y aplicaciones, monitoriza los accesos y configura los factores de identidad según las políticas de seguridad. Da el máximo control sobre los accesos corporativos: determina quiénes son tus usuarios y autoriza su acceso a las distintas aplicaciones de la organización. Consulta la [Plataforma de identidad](/identidad/). ### ¿Qué certificaciones tiene Ironchip? [Sección titulada «¿Qué certificaciones tiene Ironchip?»](#qué-certificaciones-tiene-ironchip) * **Empresa:** ISO 27001 (gestión de la seguridad), ISO 27701 (privacidad) y LINCE (CCN-CERT). * **Producto:** publicado en el catálogo del CCN-CERT a nivel ALTO, el máximo del ENS. Dispone de la guía CCN-STIC 1633 (procedimiento de empleo seguro). Puedes consultar el [catálogo CPSTIC](https://cpstic.ccn.cni.es/es/catalogo-productos-servicios-stic/383-location-based-identity-platform?ic=1) y la [guía CCN-STIC 1633](https://www.ccn-cert.cni.es/es/pdf/guias/series-ccn-stic/1000-procedimientos-de-empleo-seguro/7213-ccn-stic-1633-procedimiento-de-empleo-seguro-ironchip-location-based-identity-platform/file.html) del Centro Criptológico Nacional. Más información en [Seguridad y cumplimiento](/seguridad/). ### ¿Cómo contacto con Ironchip? [Sección titulada «¿Cómo contacto con Ironchip?»](#cómo-contacto-con-ironchip) * Usa el [formulario de contacto de la web de Ironchip](https://www.ironchip.com/solicitar-demo). * Escribe a . * Llama al +34 944 075 954. Para el soporte técnico, consulta [Soporte](/soporte/). ### ¿Cómo puedo probar Ironchip? [Sección titulada «¿Cómo puedo probar Ironchip?»](#cómo-puedo-probar-ironchip) Si quieres ver alguno de nuestros productos en acción, solicita una demo al equipo mediante el [formulario de contacto de la web de Ironchip](https://www.ironchip.com/solicitar-demo) o por cualquiera de los canales anteriores. Resolveremos todas tus dudas. ## Tecnología [Sección titulada «Tecnología»](#tecnología) ### ¿Qué es la seguridad basada en la ubicación (LBS) de Ironchip? [Sección titulada «¿Qué es la seguridad basada en la ubicación (LBS) de Ironchip?»](#qué-es-la-seguridad-basada-en-la-ubicación-lbs-de-ironchip) Es una tecnología que crea una identidad digital asociada a una ubicación, pero no a una ubicación GPS. Ironchip LBS (Location-Based Security) determina un lugar único a partir del análisis de las ondas de radio de ese entorno y genera una firma única, asociada a una geolocalización no GPS, a la que llamamos **zona segura**. LBS comprueba si un dispositivo móvil está en una zona segura desde la que se permite el acceso a un servicio y, según el resultado, permite o deniega la operación de forma segura y totalmente anónima. Con solo estar en tu zona segura puedes acceder a las operaciones protegidas; si no estás en un lugar seguro, se deniegan. Más detalle en [Tecnología de localización](/tecnologia/) y en [Privacidad de los datos de ubicación](/tecnologia/privacidad/). ### ¿Qué problema resuelve la seguridad basada en la ubicación? [Sección titulada «¿Qué problema resuelve la seguridad basada en la ubicación?»](#qué-problema-resuelve-la-seguridad-basada-en-la-ubicación) LBS analiza las ondas de radio que detecta un dispositivo móvil o de escritorio para crear una identidad digital asignada a ese lugar. No usa latitud y longitud (GPS) para decidir si un dispositivo está en un lugar desde el que se permite el acceso al servicio. Usa inteligencia artificial que analiza las ondas de radio del entorno y crea una firma única (la zona segura) que determina si el dispositivo está en ella. Así, un atacante remoto no puede acceder a tu servicio salvo que tenga un dispositivo concreto en un lugar concreto. La tecnología tiene además otros usos, como evitar ataques físicos, proteger el acceso a documentos y detectar fraude. ### ¿Cómo funcionan los algoritmos de IA de Ironchip? [Sección titulada «¿Cómo funcionan los algoritmos de IA de Ironchip?»](#cómo-funcionan-los-algoritmos-de-ia-de-ironchip) La IA que hay detrás de LBS es un conjunto de algoritmos de distintos tipos. Cada uno analiza el espectro de ondas durante un periodo de tiempo y devuelve su propia valoración. Los algoritmos deben aprender la zona, que hace de contraseña, durante un periodo de entre 1 y 3 minutos. La precisión de una zona segura es proporcional al tiempo dedicado a aprenderla. ### ¿Qué señales se analizan? [Sección titulada «¿Qué señales se analizan?»](#qué-señales-se-analizan) Se analizan todas las señales que el dispositivo permite leer. Se usan sobre todo wifi, GSM, WCDMA y LTE de forma alterna, y Bluetooth en algunos casos. El GPS se usa solo como señal de contraste, nunca como prueba única. Si cambian las señales del entorno, no pasa nada. Los algoritmos analizan un conjunto tan grande de señales que un solo cambio no interfiere en el análisis. De hecho, la tecnología sigue aprendiendo de esos cambios: si perduran en el tiempo, los algoritmos aprenden las señales nuevas y actualizan el modelo de forma progresiva. La exactitud no es el factor más importante. Lo que importa es que un agente externo no pueda acceder a los sitios seguros, ni hacerlo a escala porque no puede estar en todos los sitios a la vez. Aun así, la precisión es configurable, porque depende del entorno y del tiempo de aprendizaje. En algunos entornos se ha llegado a una precisión de 1 metro. Consulta la lista completa de señales en [Tecnología de localización](/tecnologia/). ### ¿Se guardan las señales de las zonas seguras? [Sección titulada «¿Se guardan las señales de las zonas seguras?»](#se-guardan-las-señales-de-las-zonas-seguras) No. Solo se guarda un modelo matemático, la firma anónima de la zona segura, que es el resultado de aprender el conjunto de señales. Una vez aprendidas, las señales se borran. Es más seguro y no hace falta guardarlas: así se evita el robo masivo de credenciales. Las soluciones biométricas, aunque cómodas, tampoco son un buen enfoque de seguridad: si se roban, los usuarios no pueden cambiarlas. Más detalle en [Privacidad de los datos de ubicación](/tecnologia/privacidad/). ## Productos y licenciamiento [Sección titulada «Productos y licenciamiento»](#productos-y-licenciamiento) ### ¿Cuáles son los productos de Ironchip? [Sección titulada «¿Cuáles son los productos de Ironchip?»](#cuáles-son-los-productos-de-ironchip) * **Plataforma de identidad:** plataforma IAM/MFA con dos capas. * **Enterprise:** autenticación avanzada, SSO y gestión centralizada. * **Premium:** todo lo de Enterprise más ITDR (Identity Threat Detection and Response). * **Detección de fraude:** orientada a banca y fintech, detecta el fraude transaccional a partir de la inteligencia de localización y del comportamiento. * **Acceso privilegiado:** sesiones Just-in-Time a servidores, bases de datos y Kubernetes, con aprobación y grabación. * **Phishing Shield:** protección en el navegador contra páginas clonadas, kits AiTM, QR y ClickFix. Puedes ver los casos de uso en [Soluciones de Ironchip](/empezar/soluciones/) y una visión de conjunto en [Qué es Ironchip](/empezar/). ### ¿Puedo integrar Ironchip con mis sistemas? [Sección titulada «¿Puedo integrar Ironchip con mis sistemas?»](#puedo-integrar-ironchip-con-mis-sistemas) Sí. Ironchip usa los estándares de seguridad más extendidos, como SAML y OIDC (OpenID Connect), para integrarse con tus sistemas, ya sea en entornos Windows (Microsoft Active Directory) o a través de la consola de administración de Ironchip. Consulta los [protocolos de integración](/identidad/protocolos/) y las [integraciones](/identidad/integraciones/). En tus propias aplicaciones puedes integrar Ironchip con la [API HTTP](/identidad/protocolos/http-api/) o con el [SDK de detección de fraude](/fraude/sdk/). Los usuarios se autentican con la aplicación oficial de Ironchip. ### ¿Qué diferencia a los productos de Ironchip? [Sección titulada «¿Qué diferencia a los productos de Ironchip?»](#qué-diferencia-a-los-productos-de-ironchip) Están diseñados con la seguridad como prioridad. La tecnología de ubicación, que no depende del GPS, y el conjunto de herramientas de seguridad y cifrado ofrecen características muy distintas de las que hay en el mercado, y permiten autenticar de forma segura con un método más fácil de recordar y más barato que otras soluciones. Ironchip mejora la seguridad sin aumentar el rechazo de los usuarios, lo que ayuda a integrar la ciberseguridad de forma natural en la cultura de una empresa. Sus características distintivas son: * **Antifraude:** evita la suplantación de identidad al certificar que el dispositivo en uso es uno autorizado y no otro. * **Contra el robo de contraseñas:** evita que un atacante intercepte los mensajes y descubra contraseñas, gracias a un canal de doble cifrado (TLS más cifrado asimétrico de clave elíptica). * **Contra las fugas de datos:** Ironchip no guarda credenciales ni las señales de la zona segura, solo su modelo anónimo, lo que evita las fugas de contraseñas que vemos hoy. * **Multidispositivo:** funciona en cualquier dispositivo, desde teléfonos móviles hasta ordenadores y máquinas industriales. ### ¿A quién van dirigidos los productos? [Sección titulada «¿A quién van dirigidos los productos?»](#a-quién-van-dirigidos-los-productos) Las aplicaciones de la tecnología están diseñadas para garantizar la seguridad con todas las capas que necesitan los operadores de servicios esenciales. Los operadores de servicios esenciales actúan en áreas cruciales de la economía y la sociedad, como la salud, el transporte, la energía, las infraestructuras financieras y el suministro de agua, por lo que deben ser especialmente resistentes a los ciberataques. ### ¿Cómo funciona el licenciamiento? [Sección titulada «¿Cómo funciona el licenciamiento?»](#cómo-funciona-el-licenciamiento) Es por usuario (identidad), nunca por número de aplicaciones integradas. Un mismo usuario puede autenticarse en tantas aplicaciones como necesite sin coste adicional. ### ¿Qué diferencia hay entre las capas Enterprise y Premium en la integración con un SIEM? [Sección titulada «¿Qué diferencia hay entre las capas Enterprise y Premium en la integración con un SIEM?»](#qué-diferencia-hay-entre-las-capas-enterprise-y-premium-en-la-integración-con-un-siem) Ambas capas permiten enviar eventos al SIEM, pero el ITDR solo está activo en Premium: * **Enterprise:** el SIEM recibe los logs de eventos de autenticación, pero Ironchip no actúa de forma automática. * **Premium:** el ITDR bloquea los ataques y envía alertas proactivas al SIEM cuando detecta amenazas. Para configurarla, consulta [Integración con un SIEM](/identidad/administracion/integracion-siem/). Para exportar eventos a un archivo, [Exportación de eventos](/identidad/administracion/exportacion-de-eventos/). ## ITDR [Sección titulada «ITDR»](#itdr) ### ¿Qué es el ITDR y qué amenazas detecta? [Sección titulada «¿Qué es el ITDR y qué amenazas detecta?»](#qué-es-el-itdr-y-qué-amenazas-detecta) ITDR (Identity Threat Detection and Response) es el módulo avanzado de la capa Premium. Detecta: * **Credential stuffing:** múltiples intentos fallidos en poco tiempo. * **Account takeover:** acceso con credenciales válidas desde una zona nueva o un dispositivo desconocido. * **Insider threat:** acceso a recursos fuera del perfil habitual o en horario inusual. * **Lateral movement:** accesos encadenados en una secuencia inusual. * **Accesos desde TOR, VPN o proxies.** * **Anomalías de dispositivo:** dispositivos con root, emuladores o cambios recientes sospechosos. ### ¿Cuánto tarda el sistema en aprender el perfil de comportamiento de un usuario? [Sección titulada «¿Cuánto tarda el sistema en aprender el perfil de comportamiento de un usuario?»](#cuánto-tarda-el-sistema-en-aprender-el-perfil-de-comportamiento-de-un-usuario) El periodo de calibración recomendado es de 2 semanas. Durante ese tiempo el sistema funciona en modo `alert only` (observa sin bloquear) y aprende las zonas, los dispositivos y los horarios habituales. Después, el administrador activa el bloqueo automático, apoyándose en el perfil aprendido. Más información en [ITDR y registro de actividad](/identidad/administracion/itdr/). ## Token USB [Sección titulada «Token USB»](#token-usb) ### ¿Qué diferencia hay entre el USB de Ironchip (split-key) y FIDO2? [Sección titulada «¿Qué diferencia hay entre el USB de Ironchip (split-key) y FIDO2?»](#qué-diferencia-hay-entre-el-usb-de-ironchip-split-key-y-fido2) * **Split-key:** el token solo es válido en la máquina emparejada. Un token robado sin la máquina es inútil. * **Sin PIN:** Ironchip no usa PIN, así que no hay PIN que robar y se elimina el phishing de PIN. * **ENS Alto:** hace falta 1 token por usuario con Ironchip frente a 2 con FIDO2 (el backup es obligatorio). * **Compatibilidad con sistemas antiguos:** el USB de Ironchip funciona con VPN antiguas, RDP y sistemas on-premise; FIDO2 requiere sistemas modernos. * **Entornos air-gapped:** Ironchip puede operar sin conexión; FIDO2 necesita conectividad. Más información en [Token USB](/identidad/usuarios/token-usb/) y [FIDO2](/identidad/usuarios/fido2/). # Detección de fraude > Puntuación de riesgo por operación para banca y fintech. SDK para Android, iOS, Flutter y web, API de informes y consola para analistas. La plataforma de detección de fraude evalúa cada operación sensible de la app del banco (inicio de sesión, transferencia, alta de beneficiario) con las señales del dispositivo y de su entorno, y devuelve un nivel de riesgo con las evidencias que lo justifican. Detecta SIM swapping y toma de control de cuenta, mulas, fraude autorizado, identidades sintéticas y malware en sesión, sin pedir nada al usuario. Presentación del producto: [plataforma de detección de fraude de Ironchip](https://www.ironchip.com/fraude). ## Cómo encaja [Sección titulada «Cómo encaja»](#cómo-encaja) El **SDK** se integra en la app móvil o web y envía una transacción por cada operación. El **motor** la evalúa y genera un informe. El **backend** del cliente lee el informe por la **API** y decide. Los analistas revisan los casos en la **consola** y devuelven feedback que afina las detecciones. ## Empieza por aquí [Sección titulada «Empieza por aquí»](#empieza-por-aquí) [Primeros pasos](/fraude/primeros-pasos/)Qué hace la plataforma, qué señales usa y cómo es el flujo de una operación. [SDK](/fraude/sdk/)Integrar el SDK en Android, iOS, Flutter o web. [API de informes](/fraude/api/)Autenticación, consulta de informes por transacción y envío de feedback. [Evaluación de riesgo](/fraude/conceptos/evaluacion-de-riesgo/)Los cuatro niveles de riesgo y cómo actuar ante cada uno. ## Secciones [Sección titulada «Secciones»](#secciones) | Sección | Contenido | | ---------------------------------------------------- | ---------------------------------------------------------------------------- | | [Conceptos](/fraude/conceptos/evaluacion-de-riesgo/) | Niveles de riesgo, evidencias por sensor y catálogo de decisiones del motor. | | [SDK](/fraude/sdk/) | Guías de integración y notas de versión para cada plataforma. | | [API](/fraude/api/) | Guía de uso y referencia generada desde la especificación OpenAPI. | | [Consola](/fraude/consola/guia-de-usuario/) | Guías de usuario y de administrador, y lectura del dashboard. | | [Referencia](/fraude/referencia/errores/) | Respuestas de error, versiones de los SDK y acuerdo de nivel de servicio. | # API de informes > Autenticarse en la API de informes de fraude, consultar el informe de una transacción, interpretar el riesgo y enviar feedback para afinar las detecciones. La API de informes es la forma en que tu backend lee el resultado de cada operación evaluada por el motor antifraude. El SDK envía la transacción; la API devuelve el informe. La [referencia completa](/fraude/api/referencia/) se genera a partir de la especificación OpenAPI, con ejemplos de petición en varios lenguajes. La API ofrece una verificación de identidad fluida que reduce el tiempo necesario para verificar y dar de alta a usuarios de confianza, y detecta el fraude en aplicaciones. Comprueba el comportamiento de ubicación del dispositivo para ofrecer una evaluación de riesgo con las evidencias que la respaldan. Cuando un dispositivo es nuevo en la red de Ironchip, Ironchip determina la ubicación del nuevo usuario; a partir de ahí, cada operación recoge datos de ubicación y actualiza la evaluación de riesgo. Para evaluar un alta nueva, Ironchip necesita recibir un token que identifique el dispositivo de origen. ## Autenticación [Sección titulada «Autenticación»](#autenticación) Todas las peticiones llevan la API key en la cabecera `Authorization`, sin prefijo: ```http GET /reports/example-transaction-id HTTP/1.1 Host: report.lbfraud.ironchip.com Accept: application/json Authorization: example-api-key ``` Para generarla, ve a la página **Credentials** de la consola y haz clic en **Generate api-key**. La API key da acceso a todas las peticiones de la API. El código QR que aparece junto a ella sirve para vincular la aplicación móvil con la consola.  Precaución Trata la API key como un secreto: no la publiques ni la compartas. Si la incluyes en código que se ejecuta en el navegador, ofúscala, como se explica en [SDK para web](/fraude/sdk/web/). ## Consultar el informe de una transacción [Sección titulada «Consultar el informe de una transacción»](#consultar-el-informe-de-una-transacción) El flujo habitual es pedir el informe inmediatamente después de que la app envíe la transacción. El parámetro `timeout` hace que la API espere a que el informe esté listo. El lenguaje que elijas aquí se recuerda en el resto de la documentación. `GET /reports/{transaction_id}` acepta estos parámetros: | Parámetro | Origen | Tipo | Por defecto | Descripción | | ---------------- | ------ | ------- | ----------- | ------------------------------------------------------------------------------------------------------------------------------------------ | | `transaction_id` | ruta | string | | Obligatorio. ID de la transacción. | | `limit` | query | integer | `20` | Número máximo de informes (máximo `100`). | | `page` | query | integer | `1` | Página de informes. | | `since` | query | string | `30d` | Antigüedad máxima del informe, desde su generación (número y sufijo de unidad: `30d`, `12h`, `15m`). | | `timeout` | query | string | `5s` | Tiempo máximo de espera a que el informe esté procesado (por ejemplo, `5s` o `1m`). Úsalo si lo pides antes de que termine la transacción. | * cURL ```bash curl 'https://report.lbfraud.ironchip.com/reports/example-transaction-id?since=30d&timeout=5s' \ -H 'Accept: application/json' \ -H "Authorization: $IRONCHIP_API_KEY" ``` * JavaScript ```js const url = new URL('https://report.lbfraud.ironchip.com/reports/example-transaction-id'); url.search = new URLSearchParams({ since: '30d', timeout: '5s' }).toString(); const res = await fetch(url, { headers: { Accept: 'application/json', Authorization: process.env.IRONCHIP_API_KEY }, }); if (!res.ok) throw new Error(`Ironchip ${res.status}: ${await res.text()}`); const [report] = await res.json(); console.log(report.event.risk_assignment, report.event.fraud_cases); ``` * Python ```python import os import requests response = requests.get( "https://report.lbfraud.ironchip.com/reports/example-transaction-id", params={"since": "30d", "timeout": "5s"}, headers={"Accept": "application/json", "Authorization": os.environ["IRONCHIP_API_KEY"]}, timeout=10, ) response.raise_for_status() report = response.json()[0] print(report["event"]["risk_assignment"], report["event"]["fraud_cases"]) ``` * Go ```go req, _ := http.NewRequest(http.MethodGet, "https://report.lbfraud.ironchip.com/reports/example-transaction-id?since=30d&timeout=5s", nil) req.Header.Set("Accept", "application/json") req.Header.Set("Authorization", os.Getenv("IRONCHIP_API_KEY")) res, err := http.DefaultClient.Do(req) if err != nil { log.Fatal(err) } defer res.Body.Close() var reports []struct { Event struct { RiskAssignment string `json:"risk_assignment"` FraudCases []string `json:"fraud_cases"` } `json:"event"` } if err := json.NewDecoder(res.Body).Decode(&reports); err != nil { log.Fatal(err) } fmt.Println(reports[0].Event.RiskAssignment, reports[0].Event.FraudCases) ``` * Java ```java HttpClient client = HttpClient.newHttpClient(); HttpRequest request = HttpRequest.newBuilder() .uri(URI.create("https://report.lbfraud.ironchip.com/reports/example-transaction-id?since=30d&timeout=5s")) .header("Accept", "application/json") .header("Authorization", System.getenv("IRONCHIP_API_KEY")) .GET() .build(); HttpResponse response = client.send(request, HttpResponse.BodyHandlers.ofString()); if (response.statusCode() != 200) { throw new IllegalStateException("Ironchip " + response.statusCode() + ": " + response.body()); } // response.body() es un array JSON de informes; léelo con Jackson, Gson o la librería que uses. System.out.println(response.body()); ``` La respuesta es una lista de informes (normalmente uno). Los campos que deciden son `event.risk_assignment` y `event.fraud_cases`: ```json [ { "id": 184233, "application_id": "banca-movil", "transaction_id": "example-transaction-id", "timestamp": 1759920000000000000, "event": { "risk_assignment": "high_risk", "fraud_cases": ["SIM Swapping / ATO"], "timestamp": 1759920000 }, "user": { "id": "usuario-123" }, "device": { "id": "6f1c…", "model": "Pixel 8", "integrity": { "rooted": false, "emulated": false, "debugged": false, "gps_spoofed": false }, "sensors": { "gps": true, "wifi": true, "wifi_connected": false, "mobile_networks": true } }, "ip": { "vpn": true, "tor": false, "address": { "country_code": "ES", "city": "Madrid" } }, "location": { "location_type": "lte", "address": { "country_code": "ES", "city": "Bilbao" } }, "descriptive_report": "New device for the user, operating through a VPN, 400 km away from the usual zone." } ] ``` ## Campos del informe [Sección titulada «Campos del informe»](#campos-del-informe) Cada informe de una respuesta 200 incluye estos campos. La [referencia completa](/fraude/api/referencia/) detalla los objetos anidados. | Campo | Tipo | Descripción | | -------------------- | ------- | ------------------------------------------------------------------------------------------------------ | | `id` | integer | Identificador único del informe; sirve para comprobar si la evaluación cambió en llamadas posteriores. | | `transaction_id` | string | Identificador único de la transacción del usuario. | | `application_id` | string | ID de la aplicación. | | `timestamp` | integer | Momento en que se generó el informe, en nanosegundos. | | `event` | object | Resultado de la evaluación: el riesgo asignado y los casos de fraude. | | `user` | object | Información del usuario que realizó la transacción. | | `device` | object | Información del dispositivo usado en la transacción. | | `ip` | object | Información de la IP usada en la transacción. | | `location` | object | Información de la ubicación de la transacción. | | `geo_location` | object | Ubicación obtenida por GPS. | | `em_location` | object | Ubicación obtenida a partir de las redes Wi-Fi y móviles del entorno. | | `extra_data` | object | Datos adicionales enviados con la transacción (JSON). | | `descriptive_report` | string | Resumen comprensible para cualquier cliente. | ## Interpretar el nivel de riesgo [Sección titulada «Interpretar el nivel de riesgo»](#interpretar-el-nivel-de-riesgo) | `risk_assignment` | Significado | Recomendación | | ----------------- | -------------------------------------------------------------------------- | --------------------------------- | | `fraud` | Ironchip considera la operación fraudulenta. | Bloquear y revisar. | | `high_risk` | La operación es potencialmente fraudulenta. | Pedir una verificación adicional. | | `low_risk` | La operación es segura y se puede aceptar. | Continuar. | | `unknown_risk` | Ironchip no puede dar una evaluación precisa en el momento de la petición. | Aplicar la política por defecto. | Los valores de `fraud_cases` y de las evidencias por sensor se describen en [Evidencias y decisiones](/fraude/conceptos/evidencias-y-decisiones/). ## Enviar feedback [Sección titulada «Enviar feedback»](#enviar-feedback) Cuando un analista confirma o corrige el resultado de una operación, tu backend lo comunica con `POST /feedback/{transaction_id}`. Ironchip usa este feedback para mejorar las detecciones de fraude futuras: ```bash curl -X POST 'https://report.lbfraud.ironchip.com/feedback/example-transaction-id' \ -H 'Accept: application/json' \ -H "Authorization: $IRONCHIP_API_KEY" \ -H 'Content-Type: application/json' \ -d '{ "behaviour": { "desired": { "fraud_cases": ["device swapping", "location swapping"], "risk_assignment": "clear" } }, "impact": { "description": "La transacción se ha detectado como fraude en lugar de riesgo bajo" }, "reporter": { "email": "analista@banco.example", "name": "Nombre", "surname": "Apellido" }, "situation": { "description": "El cliente ha descargado la app en un dispositivo desconocido ubicado en un país nuevo" }, "valuation": { "annotations": "No es posible distinguir a un cliente real de uno falso sin la confirmación del cliente", "score": 8, "type": "Corrective" } }' ``` La API responde `200` sin cuerpo cuando registra el feedback, y `400` si el cuerpo no es un JSON válido. Estos son los campos: | Campo | Tipo | Descripción | | ----------------------------------- | ------- | ------------------------------------------------------------------ | | `behaviour.desired.risk_assignment` | string | Resultado que esperabas: `fraud`, `high`, `low` o `clear`. | | `behaviour.desired.fraud_cases` | array | Casos de fraude que deberían (o no) haberse detectado. | | `impact.description` | string | Impacto que tuvo el resultado (máximo 100 caracteres). | | `situation.description` | string | Contexto de la operación cuando se evaluó (máximo 100 caracteres). | | `reporter.name`, `surname`, `email` | string | Quién envía el feedback (máximo 50 caracteres cada uno). | | `valuation.type` | string | `Positive`, `Negative` o `Corrective`. | | `valuation.score` | integer | Puntuación de 0 a 10. | | `valuation.annotations` | string | Anotaciones libres (máximo 100 caracteres). | ## Listar informes [Sección titulada «Listar informes»](#listar-informes) `GET /reports` devuelve todos los informes de la aplicación, paginados de 20 en 20 por defecto (parámetros `limit`, con un máximo de 100, y `page`). Solo puedes consultar los informes de la aplicación a la que pertenece la clave. Es útil para conciliaciones y para alimentar el SIEM, pero para decidir en tiempo real usa siempre la consulta por transacción. ```bash curl 'https://report.lbfraud.ironchip.com/reports?limit=20&page=1' \ -H 'Accept: application/json' \ -H "Authorization: $IRONCHIP_API_KEY" ``` ## Errores [Sección titulada «Errores»](#errores) Todas las respuestas de error comparten el formato descrito en [Respuestas de error](/fraude/referencia/errores/). Incluye el `traceability_id` al abrir un ticket. ## Bibliotecas [Sección titulada «Bibliotecas»](#bibliotecas) Hay bibliotecas oficiales que facilitan la integración con la API de Ironchip. Envuelven la API y se encargan de la autenticación transparente, de las peticiones a todos los endpoints disponibles y del tratamiento de errores HTTP. Pide a soporte la del lenguaje de tu backend. # Evaluación de riesgo > Los cuatro niveles de riesgo que devuelve el motor (fraud, high_risk, low_risk, unknown_risk) y las evidencias de dispositivo, ubicación e IP que los respaldan. Ironchip evalúa cada operación que llega desde el SDK y le asigna un nivel de riesgo. El nivel resume la confianza del motor en que la acción la realiza el usuario legítimo desde un contexto habitual. ## Niveles de riesgo [Sección titulada «Niveles de riesgo»](#niveles-de-riesgo) Ironchip puede devolver cuatro tipos de evaluación de riesgo.  | Nivel | Significado | Recomendación | | -------------- | ----------------------------------------------------------------- | ---------------------------------------------------- | | `fraud` | La acción se considera fraudulenta o parte de un fraude en curso. | Bloquear la operación y revisar el caso. | | `high_risk` | La acción es potencialmente fraudulenta. | Pedir una verificación adicional antes de continuar. | | `low_risk` | La acción es segura. | Continuar con normalidad. | | `unknown_risk` | No hay datos suficientes para evaluar. | Aplicar la política por defecto de la aplicación. | El nivel llega al cliente en el campo `event.risk_assignment` del [informe](/fraude/api/) y se acompaña de las [evidencias y decisiones](/fraude/conceptos/evidencias-y-decisiones/) que lo justifican. ## Evidencias de la evaluación [Sección titulada «Evidencias de la evaluación»](#evidencias-de-la-evaluación) Ironchip basa sus evaluaciones en evidencias, que proceden de análisis distintos y desde ángulos distintos. La consola las agrupa en cinco bloques. Para los tipos de coincidencia de sensor y las decisiones que acompañan a la evaluación, consulta [Evidencias y decisiones](/fraude/conceptos/evidencias-y-decisiones/). Para interpretar los comportamientos, advertencias y fraudes que detecta el motor, consulta la [guía de usuario](/fraude/consola/guia-de-usuario/). ### Integridad del dispositivo [Sección titulada «Integridad del dispositivo»](#integridad-del-dispositivo) Informa de si se puede confiar en los datos del dispositivo.  | Evidencia | Descripción | Valores posibles | | ---------------- | --------------------------------------------------------------------------------- | -------------------------- | | Root / Jailbreak | Informa si el dispositivo tiene acceso root o jailbreak. | `Detected`, `Not detected` | | Emulator | Informa si el dispositivo es un emulador o simulador. | `Detected`, `Not detected` | | GPS Spoofing | Informa si el dispositivo tiene una aplicación que puede falsificar datos de GPS. | `Detected`, `Not detected` | ### Reputación del dispositivo [Sección titulada «Reputación del dispositivo»](#reputación-del-dispositivo) Aporta datos sobre la reputación del dispositivo, teniendo en cuenta el efecto de red de Ironchip y su comportamiento.  | Evidencia | Descripción | Valores posibles | | ------------------- | ------------------------------------------------------------------------------------------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | Behavior reputation | Informa si el dispositivo tiene un comportamiento sospechoso o es un dispositivo de confianza. | `Suspect`: se comporta como los dispositivos de alto riesgo, pero no está asociado a ningún fraude conocido. `Allowed`: se configuró como dispositivo principal de una cuenta. `Unknown`: Ironchip no tiene una impresión positiva ni negativa del dispositivo. Es la respuesta por defecto si no hay datos suficientes. | | Fraud reputation | Informa si el dispositivo estuvo vinculado a un reporte de fraude o si fue verificado. | `Confirmed fraud`: está relacionado con fraudes detectados o denunciados antes. Es un estado global. `Allowed`: su relación con una cuenta concreta se informó como verificada mediante las API de feedback. Es un estado local del cliente. `Unknown`: Ironchip no tiene una impresión positiva ni negativa del dispositivo. Es la respuesta por defecto si no hay datos suficientes. | | Official store | Informa si la aplicación móvil se instaló desde una tienda oficial, como Google Play o App Store. | `Yes`, `No` | ### Comportamiento de ubicación [Sección titulada «Comportamiento de ubicación»](#comportamiento-de-ubicación) Aporta información sobre el comportamiento de ubicación del dispositivo y su relación con la cuenta asociada.  | Evidencia | Descripción | | ------------------------------ | ------------------------------------------------------------------------------------------------------------------------- | | Descriptive location | Pendiente de documentar. | | Trusted hotspot | Pendiente de documentar. | | Distance from trusted location | Informa de la distancia entre el dispositivo y la ubicación más cercana que la cuenta asociada suele frecuentar. | | Last location timestamp | Informa de la marca de tiempo de la ubicación del dispositivo que se considera coincidente con la ubicación de confianza. | ### Sensores de ubicación [Sección titulada «Sensores de ubicación»](#sensores-de-ubicación) Informa de qué sensores del dispositivo se usaron en las evidencias relacionadas con la ubicación.  | Evidencia | Descripción | Valores posibles | | ----------------- | ------------------------------------------------------------------------------------------- | ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | Location services | Informa si el usuario permite los servicios de ubicación. | `Enabled`: el usuario ha permitido que la aplicación acceda a los servicios de ubicación. `Disabled`: el usuario ha rechazado la solicitud de acceso a los servicios de ubicación. | | Sensor match type | Informa del tipo de coincidencia de sensor que se usó para comparar los datos de ubicación. | `GPS`: la comparación se hace con datos de GPS. `WiFi`: la comparación se hace con sensores WiFi. `Connected WiFi`: la comparación se hace con la WiFi a la que está conectado el usuario. `Mobile Networks`: la comparación se hace con las redes móviles conectadas. | ### Reputación de IP [Sección titulada «Reputación de IP»](#reputación-de-ip) Aporta información sobre el comportamiento del dispositivo y la dirección declarada.  | Evidencia | Descripción | Valores posibles | | ---------- | ----------------------------------------------------------------------- | ------------------------------------- | | Reputation | Informa si una dirección IP detectada es sospechosa de ser fraudulenta. | `High risk`, `Medium`, `Low risk` | | VPN | Informa si una dirección IP detectada pasaba por una VPN o un proxy. | `Detected`, `Not detected`, `Unknown` | | TOR | Informa si una dirección IP detectada pasaba por la red TOR. | `Detected`, `Not detected`, `Unknown` | # Evidencias y decisiones > Tipos de coincidencia de sensor (GPS, wifi, redes móviles) y catálogo de decisiones del motor: SIM swapping, phishing, identidad sintética y otras. El motor antifraude justifica cada nivel de riesgo con evidencias (qué sensores han coincidido con el contexto conocido del usuario) y decisiones (qué patrón de fraude o de uso legítimo se ha detectado). Para los niveles de riesgo y los bloques de evidencias que muestra la consola, consulta [Evaluación de riesgo](/fraude/conceptos/evaluacion-de-riesgo/). ## Tipo de coincidencia del sensor [Sección titulada «Tipo de coincidencia del sensor»](#tipo-de-coincidencia-del-sensor) | Tipo | Descripción | | ----------------- | ------------------------------------------------------------------- | | `gps` | Comparación por datos GPS. | | `wifi_scan` | Comparación por redes wifi visibles, sin red conectada coincidente. | | `wifi_connection` | Comparación por la red wifi a la que está conectado el dispositivo. | | `mobile_networks` | Comparación por las redes móviles conectadas. | ## Decisiones [Sección titulada «Decisiones»](#decisiones) La API de Ironchip también basa las evaluaciones de riesgo en decisiones, que proceden de análisis distintos y desde ángulos distintos. Las decisiones llegan en el campo `event.fraud_cases` del [informe](/fraude/api/). La tabla describe los valores posibles y su significado.  | Decisión | Descripción | | ------------------ | ---------------------------------------------------------------------------------------------------------------- | | SIM Swapping / ATO | Toma de control de la cuenta detectada, con o sin duplicado de SIM, según la protección del usuario del cliente. | | Phishing | Ataque de phishing detectado desde una ubicación concreta (varios ATO). | | Synthetic identity | Ataque de identidad sintética detectado. | | New user | Usuario nuevo detectado en la plataforma de Ironchip. | | Location fraud | Intento de falsear la ubicación detectado al comparar todas las fuentes de datos de ubicación. | | Banned location | Ubicación detectada en un lugar prohibido, por ejemplo, una ubicación detectada en Rusia. | | Device swapping | Cambio legítimo de dispositivo detectado para un usuario. | | Location swapping | Cambio legítimo de ubicación detectado para un usuario. | | Shared location | El usuario opera desde una ubicación que antes usó otra persona. | | Common usage | Uso habitual detectado. | # Dashboard de métricas > Usar el dashboard de monitorización antifraude: acceso, rangos de tiempo, orden y filtros, búsqueda por transacción o usuario, histórico y descarga de datos. Guía del dashboard de monitorización antifraude (Grafana): cómo acceder, configurar los rangos de tiempo, ordenar y filtrar los listados, buscar transacciones y usuarios, consultar el histórico y descargar la información. ## Panel general [Sección titulada «Panel general»](#panel-general) Accede a la plataforma de monitorización en con **Sign in with OAuth** o con un usuario y una contraseña habilitados por Ironchip.  Al entrar ves el panel general, con el listado de todas las transacciones relacionadas con los inicios de sesión que los usuarios hacen en la plataforma del cliente. Cada inicio de sesión es un evento que esta herramienta define como una transacción. El listado tiene estas columnas: * `time`: fecha y hora. * `transaction`: transacción. * `risk`: alerta de riesgo. * `user`: usuario. * `device`: dispositivo. * `city`: ciudad de operación. * `region`: región de operación. * `location_type`: tipo de localización. * `extra_data`: provisión-validación. * `user_sz`: zona segura.  Bajo el listado está la paginación de filas, que por defecto muestra un máximo de 500 filas según los datos procesados. Al bajar con el scroll encuentras las gráficas con el número de transacciones por dispositivo (`device`) y por usuario (`user`).  Después viene el mapa geográfico con la ubicación de cada transacción del listado.  La cantidad de parámetros de identificación de cada localización depende de la información que suministren los dispositivos. La herramienta se alimenta de datos de IP, GEO y ondas electromagnéticas (em) como GPS, Wi-Fi o WCDMA, según los permisos que el usuario habilite en cada dispositivo. Al final del panel hay gráficas estadísticas que ayudan a analizar los datos: * Alertas de riesgo (`risks`). * Tipos de localización (`location types`). * Localizaciones por países (`location countries`). * Localizaciones por regiones (`location regions`). * Evolución de los tipos de localización en una línea temporal (`location types evolution`).  ## Configurar el rango de tiempo [Sección titulada «Configurar el rango de tiempo»](#configurar-el-rango-de-tiempo) El listado muestra las transacciones del periodo de tiempo seleccionado. Para cambiarlo, haz clic en el icono del reloj de la parte superior derecha del panel general. Por defecto el campo muestra **Last 1 hour**.  1. Haz clic en el campo **Search quick ranges** para elegir un rango predefinido. Van desde los últimos 5 minutos (**Last 5 minutes**) hasta un máximo de 5 años (**Last 5 years**), e incluyen opciones como **Previous month**, **This week** o **This fiscal quarter**.  2. Para un periodo concreto, usa **Absolute time range**: haz clic en la fecha inicial y en la fecha final.  La fecha inicial empieza por defecto a las 00:00:00 y la final termina a las 23:59:59, de modo que se cubre todo el intervalo entre ambas fechas.  3. En la parte inferior izquierda, haz clic en **Change time settings** para ajustar dos opciones: * **Time zone**: la zona horaria local del país o región que quieres tomar como referencia.  * **Fiscal year**: el mes en el que empieza el año fiscal, que determina el inicio de los periodos fiscales, ya sean años o trimestres.  ### Actualizar los datos [Sección titulada «Actualizar los datos»](#actualizar-los-datos) Estos ajustes se aplican cada vez que haces clic en el botón de actualizar de la parte superior derecha del panel general.  Al desplegarlo puedes automatizar la actualización de los listados con el intervalo que quieras, desde un mínimo de 5 segundos (`5s`) hasta un máximo de 1 día (`1d`).  ## Ordenar y filtrar [Sección titulada «Ordenar y filtrar»](#ordenar-y-filtrar) Para ordenar el listado, haz clic en el nombre de la columna. Por ejemplo, la columna `time` se puede ordenar de forma descendente (de la transacción más reciente a la más antigua) o ascendente (de la más antigua a la más reciente).  Puedes ordenar igualmente por el encabezado de cualquier otra columna.  Para filtrar una columna, haz clic en el botón de filtro situado a la derecha del nombre del encabezado.  La ventana de filtro permite escribir un valor de búsqueda (**Filter values**) o hacer una selección múltiple entre los datos disponibles.  Cuando hay un filtro activo, el icono del botón de filtro se resalta en azul. Para quitarlo, desmarca las casillas seleccionadas y haz clic en **Ok**, o haz clic en **Clear filter**.  ## Consultar transacciones y usuarios [Sección titulada «Consultar transacciones y usuarios»](#consultar-transacciones-y-usuarios) El panel general puede mostrar el listado de una transacción concreta o de un usuario concreto. En la parte superior izquierda, introduce el ID de la transacción o el ID del usuario que quieres consultar.   Si consultas una transacción, el listado muestra su ID en la columna `transaction` junto con sus elementos relacionados.  Un usuario puede tener varias transacciones en un periodo de tiempo, pero una transacción solo se genera en un único momento. Si consultas un ID de usuario, el listado muestra ese ID en la columna `user` junto con sus elementos relacionados.  Al bajar con el scroll, la información que ves debajo corresponde a ese ID de transacción o de usuario. ### Copiar un ID [Sección titulada «Copiar un ID»](#copiar-un-id) Para copiar un ID, pasa el ratón por encima de cualquier elemento del listado: aparece el icono de un ojo. Haz clic en él para abrir la ventana **Inspect value** y haz clic en **Copy to Clipboard**.     ### Límite de transacciones [Sección titulada «Límite de transacciones»](#límite-de-transacciones) El tercer campo de la barra superior es `limit`, que modifica cuántas transacciones se listan. Admite valores de 1 a 500 y por defecto vale 500, es decir, se listan como máximo 500 transacciones. No pongas un límite muy alto Aunque el rango habitual es de 1 a 500, puedes introducir valores mayores, como 1000 o 10000. Con un valor muy grande, como 30000, la herramienta supera su capacidad y deja de funcionar durante unos minutos. Si combinas bien el periodo de tiempo (consulta [Configurar el rango de tiempo](#configurar-el-rango-de-tiempo)) con el número de transacciones a mostrar, obtienes todas las transacciones de un usuario.  ### Ver el detalle de una transacción [Sección titulada «Ver el detalle de una transacción»](#ver-el-detalle-de-una-transacción) Haz clic en una transacción para abrir una vista con sus atributos.   A la derecha ves el ID de la transacción, la alerta de fraude (`Risk`), la fecha (`date`), los casos asociados a la alerta (`Cases`), la provisión-validación (`extra_data`) y el ID del usuario. En la parte inferior ves la información del dispositivo (`Device`), el estado de sus características o integridad (`Device Integrity`) y el estado de las características de sus sensores de conexión (`Device Sensors`). El mapa es interactivo: haz clic en cualquiera de los círculos de ubicación para ver los datos de esa localización.  ## Panel del consolidado histórico [Sección titulada «Panel del consolidado histórico»](#panel-del-consolidado-histórico) Este panel muestra las estadísticas de todas las transacciones desde la primera que se generó hasta el día de la consulta. Incluye desde el número de alertas de fraude por nivel de riesgo hasta las regiones con más interacciones. 1. Haz clic en el botón de menú de la parte superior izquierda.  2. Entra en la sección **Dashboards**.  3. Despliega la carpeta **Metrics** y haz clic en el dashboard **totals**.  Cada sección del panel muestra gráficas con el comportamiento de los datos procesados: circulares para las participaciones porcentuales, lineales para los crecimientos históricos y de puntos para las localizaciones geográficas.      ## Descargar datos [Sección titulada «Descargar datos»](#descargar-datos) En cada módulo del dashboard, tanto del panel general como del consolidado histórico, puedes generar un informe de datos. 1. Pasa el ratón por encima del módulo y haz clic en el botón de los tres puntos de la parte superior derecha.  2. En el menú, haz clic en **Data**, dentro de la sección **Inspect**. Estos son ejemplos con algunos módulos:    3. Se abre una ventana con la subsección **Data**.   4. Haz clic en **Download CSV**, en la parte superior derecha, para descargar la información en un archivo `.csv`. # Guía de administrador > Recorrido por el panel de gestión de la consola antifraude: métricas, reportes, credenciales, usuarios, motor de reglas, alertas y configuración. Guía básica de las funciones principales del panel de gestión de la consola antifraude, pensada para quien administra la plataforma. ## Panel de gestión [Sección titulada «Panel de gestión»](#panel-de-gestión) El panel de gestión reúne estas secciones: * **Métricas** * **Reportes** * **Credenciales** * **Usuarios** * **Motor de reglas** * **Alertas** * **Configuración** Haz clic en los botones desplegables de la izquierda para ir directamente a la sección que quieras y a sus subcategorías, donde realizas las operaciones. En la parte superior derecha ves el nombre del usuario que está usando la aplicación y un botón de acceso a la documentación de la sección en la que estás. Para entender cada nivel de riesgo y cada evidencia que muestran los informes, consulta [Evaluación de riesgo](/fraude/conceptos/evaluacion-de-riesgo/). Para consultar las transacciones en el dashboard de monitorización, consulta [Dashboard de métricas](/fraude/consola/dashboard/). # Guía de usuario de la consola de fraude > Conceptos de la consola antifraude: privacidad, integridad del dispositivo, identificadores y los comportamientos, advertencias y fraudes que detecta Ironchip. Esta guía explica los conceptos que necesitas para interpretar la consola antifraude: cómo trata Ironchip la privacidad y reconoce los lugares habituales, qué significan los identificadores y qué comportamientos, advertencias y fraudes detecta el motor, con ejemplos. Para conocer los niveles de riesgo y las evidencias de cada evaluación, consulta [Evaluación de riesgo](/fraude/conceptos/evaluacion-de-riesgo/). ## Privacidad [Sección titulada «Privacidad»](#privacidad) Ironchip desarrolla todos los productos siguiendo el marco de **privacidad por diseño**: integra la privacidad en sus soluciones en todos los niveles, desde la concepción de la idea hasta el lanzamiento del producto. La tecnología impide el acceso a información capaz de volver a identificar a los usuarios. Ironchip **no recopila**: * Identificadores de dispositivo estáticos únicos, como IMEI o MAC. * Cuentas asociadas, como correo electrónico o teléfono. * Datos de identificación civil, como nombre o número de la seguridad social. * Datos sensibles: origen étnico, religión, opinión política, afiliación a entidades religiosas, filosóficas, políticas o sindicales, y datos de salud, vida sexual, genética o biometría. La solución necesita recopilar datos de dispositivos móviles a través de un SDK. Una vez autorizado, el SDK de Ironchip empieza a recopilar datos sin identificar personalmente a ningún usuario. Los usuarios pueden **denegar la recopilación de datos** mediante la exclusión voluntaria (opt-out), que la deshabilita para ellos. Para más información, lee la [política de privacidad](https://www.ironchip.com/privacidad). ## Lugares habituales y zonas seguras [Sección titulada «Lugares habituales y zonas seguras»](#lugares-habituales-y-zonas-seguras) ### Cómo sabe Ironchip si un lugar es habitual [Sección titulada «Cómo sabe Ironchip si un lugar es habitual»](#cómo-sabe-ironchip-si-un-lugar-es-habitual) Por repetición: si ya se han realizado **varias transacciones correctas** desde un lugar, se considera habitual para ese usuario y dispositivo. Cada usuario puede tener varios lugares seguros o habituales, y hacen falta eventos o transacciones recurrentes desde un mismo lugar para catalogarlo como tal. Si usuario, dispositivo y localización están correctamente correlacionados, Ironchip verifica que el usuario es quien dice ser y que opera desde un lugar habitual.  ### Qué es una zona segura [Sección titulada «Qué es una zona segura»](#qué-es-una-zona-segura) Una zona segura es una zona desde la que el usuario suele operar. Una operación fraudulenta tiende a realizarse lejos de las zonas seguras. Esta dimensión se añade a los sistemas de detección de fraude sin violar la privacidad del cliente, porque el sistema no permite la localización inversa. El concepto de zona segura se complementa con el sistema de reconocimiento de dispositivos de Ironchip, que asigna una huella digital vinculada a un dispositivo único y anónimo. ## Conceptos de negocio [Sección titulada «Conceptos de negocio»](#conceptos-de-negocio) * **Transacción**: cualquier acción iniciada por el cliente que necesita analizarse para detectar fraude. * **Informe**: el análisis escrito de la transacción, que especifica el caso de fraude. * **Detalles del informe**: el contexto usado para generar el informe. * La información de usuario, dispositivo y ubicación. * Las transacciones relacionadas (con usuario, dispositivo o ubicación en común). * Los usuarios que han utilizado el mismo dispositivo anteriormente. * Los usuarios que han sido reportados antes en la misma ubicación. * **Casos reportados**: los distintos resultados que un análisis puede reportar según los casos de uso. ## Integridad del dispositivo [Sección titulada «Integridad del dispositivo»](#integridad-del-dispositivo) El SDK de Ironchip envía información sobre GPS falso y root (o jailbreak) para determinar la integridad del dispositivo. * **GPS falso**: aplicaciones móviles que definen una ubicación falsa en el dispositivo. Las aplicaciones instaladas reciben datos de ubicación ilegítimos en lugar de los reales. * **Root (o jailbreak)**: proceso que da acceso completo al sistema operativo móvil, es decir, a permisos que permiten cambiar elementos avanzados del sistema del dispositivo. Por qué importa El mayor riesgo del GPS falso para las empresas es su uso para el fraude: fingir que se reside donde no se reside, cometer fraude de identidad y engañar a la inteligencia de mercado con inferencias falsas. Un teléfono con root no puede recibir actualizaciones oficiales y permite manipular el dispositivo a voluntad. Los dispositivos modificados pueden contener aplicaciones maliciosas y modificaciones con fines fraudulentos. Ironchip aplica distintas metodologías para identificar datos de GPS falsificados y señales de root o jailbreak. Estas metodologías forman parte de los datos que devuelven las API de Ironchip en varios casos de uso. ## Identificadores [Sección titulada «Identificadores»](#identificadores) * **ID de aplicación**: número de identificación que usa el SDK de Ironchip para identificar tu aplicación. Lo genera Ironchip y no se puede cambiar. * **ID de transacción**: identifica de forma única cada transacción. Lo generan los clientes de Ironchip para representar cada transacción única de su aplicación. Es obligatorio en la API de transacciones y se usa con la API de informes para rastrear la transacción. * **ID de usuario**: identifica de forma única cada cuenta de usuario. Lo generan los clientes de Ironchip para representar a cada usuario único de su aplicación. Es obligatorio en la API de transacciones y se usa con la API de informes para saber quién realiza las transacciones. ## Comportamientos [Sección titulada «Comportamientos»](#comportamientos) ### Nuevo usuario [Sección titulada «Nuevo usuario»](#nuevo-usuario) Es un usuario nuevo en la plataforma, por lo que no hay información previa de usuario, dispositivo ni ubicación.  ### Uso común [Sección titulada «Uso común»](#uso-común) Un usuario ya registrado opera de forma habitual, con su dispositivo y su ubicación previamente registrados.  ## Advertencias [Sección titulada «Advertencias»](#advertencias) ### Cambio de dispositivo [Sección titulada «Cambio de dispositivo»](#cambio-de-dispositivo) Se produce cuando el usuario no usa su dispositivo habitual.  **Resultado**: advertencia, cambio de dispositivo. **Ejemplo**: el usuario realiza una transacción con un dispositivo nuevo. Requisitos: * **Usuario-1** debe estar registrado. * **Dispositivo-2** debe ser un dispositivo nuevo. Procedimiento: 1. **Usuario-1** inicia sesión y transfiere con **Dispositivo-1**. 2. **Usuario-1** inicia sesión y transfiere con **Dispositivo-2** desde **Ubicación-1**. ### Cambio de ubicación [Sección titulada «Cambio de ubicación»](#cambio-de-ubicación) Se produce cuando el usuario no opera desde su ubicación habitual.  **Resultado**: advertencia, cambio de ubicación. **Ejemplo**: el usuario realiza la transacción desde la ubicación habitual de otro usuario. Requisitos: * **Usuario-1** debe estar registrado y haber realizado transferencias. * **Usuario-2** debe registrarse con un dispositivo nuevo. Procedimiento: 1. **Usuario-1** inicia sesión y transfiere desde **Ubicación-1**. 2. **Usuario-2** se registra con un dispositivo nuevo. 3. **Usuario-2** inicia sesión y transfiere desde la misma ubicación que **Usuario-1**. ## Fraudes [Sección titulada «Fraudes»](#fraudes) ### Fraude de localización [Sección titulada «Fraude de localización»](#fraude-de-localización) Ironchip detecta el fraude de localización. Cuando se registra una ubicación, se almacena su huella radioeléctrica, que siempre está relacionada con una geoposición. En las operaciones siguientes se comparan siempre estas dos variables y, si no coinciden, se asume que la localización es fraudulenta.  ### Phishing [Sección titulada «Phishing»](#phishing) El phishing es un ataque de ingeniería social que se usa a menudo para robar datos de usuarios, como credenciales de acceso y números de tarjeta de crédito. Se produce cuando un atacante defrauda repetidamente mediante SIM swapping.  **Resultado**: fraude, phishing. **Ejemplo**: un usuario realiza una transacción con el dispositivo de otro usuario y desde una ubicación inusual. Requisitos: * **Usuario-1** debe estar registrado. * **Usuario-2** debe estar registrado. * **Ubicación-3** debe ser una ubicación nueva. Procedimiento: 1. **Usuario-1** inicia sesión y transfiere con **Dispositivo-1**. 2. **Usuario-2** inicia sesión y transfiere con **Dispositivo-2**. 3. **Usuario-2** inicia sesión y transfiere con **Dispositivo-1** desde **Ubicación-3**. ### SIM swapping [Sección titulada «SIM swapping»](#sim-swapping) El fraude de intercambio de SIM es una estafa de apropiación de cuenta que aprovecha una debilidad de algunas formas de autenticación de dos factores, en las que una llamada o un mensaje de texto al teléfono móvil es el segundo factor. **Resultado**: fraude, SIM swapping. **Ejemplo**: un usuario realiza una transacción con el dispositivo de otro usuario y desde su ubicación habitual. Requisitos: * **Usuario-1** debe estar registrado. * **Usuario-2** debe estar registrado. Procedimiento: 1. **Usuario-1** inicia sesión y transfiere con **Dispositivo-1** desde **Ubicación-1**. 2. **Usuario-2** inicia sesión y transfiere con **Dispositivo-2** desde **Ubicación-2**. 3. **Usuario-2** inicia sesión y transfiere con **Dispositivo-1** desde **Ubicación-1**. ### Identidad sintética [Sección titulada «Identidad sintética»](#identidad-sintética) El **fraude de identidad sintética (SIF)** consiste en combinar información de identificación personal (PII) para fabricar una persona o entidad con el fin de cometer un acto deshonesto en beneficio personal o económico. Es decir, una combinación de credenciales fabricadas en las que la identidad implícita no corresponde a una persona real.  **Resultado**: fraude, identidad sintética. **Ejemplo**: un usuario nuevo se registra con un dispositivo que ya registró otro usuario. Requisitos: * **Usuario-1** debe estar registrado y haber realizado transferencias. * **Usuario-2** debe registrarse con el dispositivo de **Usuario-1**. Procedimiento: 1. **Usuario-1** inicia sesión y transfiere con **Dispositivo-1**. 2. **Usuario-2** se registra con **Dispositivo-1**. 3. **Usuario-2** inicia sesión y transfiere con **Dispositivo-1**. # Primeros pasos con la detección de fraude > Qué hace la detección de fraude de Ironchip, qué tres puntuaciones devuelve por operación (biometría, dispositivo, ubicación) y cómo usa la zona segura. La detección de fraude de Ironchip (Location-Based AntiFraud) analiza millones de transacciones y emite alertas de fraude en tiempo real a las entidades, reduciendo el impacto económico y reputacional que el fraude puede tener en las grandes instituciones. Para cada operación analizada devuelve tres puntuaciones, con un valor entre 0 y 100: * **Biometría**: el usuario ha realizado la operación en un dispositivo con el parámetro de biometría correcto. * **Dispositivo**: el usuario ha realizado la operación desde un dispositivo con características previamente registradas. * **Ubicación**: el usuario ha realizado la operación desde una de sus zonas seguras. ## Ventajas [Sección titulada «Ventajas»](#ventajas) ### Localización segura [Sección titulada «Localización segura»](#localización-segura) La detección de fraude de Ironchip utiliza la localización segura, una localización que no se puede falsificar, a diferencia de las coordenadas GPS o de la geolocalización IP, vulnerable a los ataques de IP spoofing y a las conexiones a través de proxies y VPN privadas. ### Localización anónima [Sección titulada «Localización anónima»](#localización-anónima) La detección de fraude de Ironchip no basa su sistema de detección de fraudes en coordenadas que puedan situarse en un mapa. Al utilizar la tecnología Location-Based Security, todas las localizaciones de los usuarios son anónimas y conocidas solo por ellos, ya que solo se usan las ondas de radio que rodean al dispositivo. De esta manera, se puede certificar si un usuario se encuentra en una zona típica o no, sin incumplir la normativa del RGPD ni invadir la privacidad de los usuarios. ### Fraude en tiempo real [Sección titulada «Fraude en tiempo real»](#fraude-en-tiempo-real) La detección de fraude de Ironchip ayuda a detectar el fraude en tiempo real, lo que permite bloquear o desbloquear las transacciones antes de que sea demasiado tarde. Además, la localización ayuda a eliminar los falsos positivos, ya que, muchas veces, los usuarios cometen errores que pueden ser detectados como fraude cuando en realidad no lo son, y saber que operan desde uno de sus sitios típicos es una prueba decisiva. ### Seguridad transparente para tus usuarios [Sección titulada «Seguridad transparente para tus usuarios»](#seguridad-transparente-para-tus-usuarios) Ironchip proporciona una capa que se integra en cualquier aplicación y no requiere ninguna interacción por parte de los usuarios. De este modo, ayuda a reducir el fraude en las transacciones sin que los usuarios cambien su forma habitual de interactuar con su aplicación. ## Funcionamiento [Sección titulada «Funcionamiento»](#funcionamiento) Cuando un usuario accede a un servicio, se registra la ubicación desde la que ha accedido, lo que permite detectar cuáles son los lugares típicos desde los que opera el usuario. De esta forma, se puede determinar si la transacción se ha realizado desde uno de los lugares típicos del usuario, eliminando la fricción si el lugar es conocido y aumentando la seguridad si no lo es. La solución está construida sobre una arquitectura de microservicios adaptable, escalable y tolerante a fallos. Consta de dos microservicios principales: Location-Based Security y Location-Based AntiFraud Backend. Location-Based Security es un microservicio muy utilizado en Ironchip y en él reside Ironchip Location AI. La IA de Ironchip es capaz de detectar si dos localizaciones de clientes son la misma, haciendo imposible para un ciberatacante la suplantación de la localización detectada. El backend de Location-Based AntiFraud almacena los dispositivos utilizados en las transacciones que procesa. Cada cliente puede tener más de un dispositivo permitido para operar con seguridad. Si un dispositivo se ve comprometido, el backend de Location-Based AntiFraud es capaz de detectar el intento de secuestro. La API permite realizar diferentes consultas basadas en un identificador de usuario y, para cada operación analizada, devuelve las tres puntuaciones (biometría, dispositivo y ubicación) descritas al principio de esta página. La detección de fraude de Ironchip introduce un nuevo concepto, la zona segura. La zona segura es una zona desde la que el cliente suele operar. Una operación fraudulenta tiende a realizarse desde un lugar alejado de las zonas seguras. Esta dimensión se añade a los sistemas de detección del fraude sin que se viole la privacidad del cliente, ya que este sistema no permite la localización inversa. El concepto de zona segura también se complementa con el sistema de reconocimiento de dispositivos de Ironchip, que asigna una huella digital vinculada a un dispositivo único y anónimo. # Presentaciones y documentación de fraude > Presentaciones de la plataforma de detección de fraude de Ironchip, informe de los ocho casos de fraude principales de 2024 y caso de éxito de ABANCA. Material comercial sobre la plataforma de detección de fraude de Ironchip, en PDF. ## Presentaciones [Sección titulada «Presentaciones»](#presentaciones) * [Presentación de la plataforma de detección de fraude (castellano)](https://7745202.fs1.hubspotusercontent-na1.net/hubfs/7745202/Presentaci%C3%B3n%20Ironchip%20Fraud%20-%202026-1.pdf) * [Fraud Detection Platform Deck (English)](https://7745202.fs1.hubspotusercontent-na1.net/hubfs/7745202/Presentaci%C3%B3n%20Ironchip%20Fraud%20%5BENGLISH%5D%20-%202026%20%281%29.pdf) ## Casos de éxito [Sección titulada «Casos de éxito»](#casos-de-éxito) * [Top 8 fraud cases 2024](https://7745202.fs1.hubspotusercontent-na1.net/hubfs/7745202/Informe%20sobre%20fraude%20de%20identidad%20%283%29_compressed.pdf) * [ABANCA: caso de éxito](https://7745202.fs1.hubspotusercontent-na1.net/hubfs/7745202/Caso%20de%20%C3%A9xito%20%5BFraude%5DAbanca_compressed.pdf) # Respuestas de error > Formato común de las respuestas de error de la API de informes de fraude: campos, códigos de estado y cómo usar el identificador de trazabilidad con soporte. Todas las respuestas de error de la API de informes siguen el mismo formato: un mensaje, un código de error, la causa cuando existe y un identificador de trazabilidad para soporte. Usa esta página para tratar los errores en tu backend y para abrir un ticket con los datos que necesita soporte. ```json { "error": "", "error_code": "", "cause": "", "traceability_id": "" } ``` ## Campos [Sección titulada «Campos»](#campos) | Campo | Tipo | Descripción | | ----------------- | ------ | ----------------------------------------------------------------- | | `error` | string | Mensaje de error. | | `error_code` | string | Código de error, para tratarlo en tu backend. | | `cause` | string | Causa del error, cuando existe. | | `traceability_id` | string | Identificador de la petición, para que soporte pueda localizarla. | ## Códigos de estado [Sección titulada «Códigos de estado»](#códigos-de-estado) Las operaciones de la API de informes pueden responder con estos errores, todos con el formato anterior: | Código | Estado | Cuándo | | ------ | --------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------ | | `400` | Bad Request | Un parámetro no es válido (`limit` mayor que 100 o no numérico, `page`, `since` o `timeout` con formato incorrecto) o el cuerpo del feedback no es un JSON válido. | | `404` | Not Found | No hay informes para la aplicación o la transacción indicada. | | `500` | Internal Server Error | Error interno del servidor. | La [referencia de la API](/fraude/api/referencia/) detalla las respuestas de cada operación. # SLA de la detección de fraude > Canal de soporte, tiempos de respuesta por prioridad de incidencia y disponibilidad comprometida de la plataforma de detección de fraude de Ironchip. Compromisos de servicio de la plataforma de detección de fraude: cómo reportar incidencias, en cuánto tiempo se responden según su prioridad y qué disponibilidad se garantiza. ## Soporte [Sección titulada «Soporte»](#soporte) Para reportar incidencias, escribe a . Las solicitudes se responden en estos plazos: * En 12 h para solicitudes críticas, con atención 24/5. * En 24 h para solicitudes de prioridad alta, con atención 8/5. * En 72 h para solicitudes de prioridad media, con atención 8/5. * En 7 días para solicitudes de prioridad baja, con atención 8/5. | Prioridad | SLA | Descripción | | --------- | --------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | Crítico | En 12 h | Una incidencia crítica ocurre cuando la solución de Ironchip está completamente indisponible en la aplicación online del banco, afectando a todos los usuarios en web o móvil, de forma continua o durante más del 20 % del tiempo. | | Alto | En 24 h | Una incidencia de severidad alta ocurre cuando la solución de Ironchip o la aplicación del banco tiene una indisponibilidad total o parcial, o un funcionamiento degradado sin solución alternativa, que afecta a más del 20 % del tiempo o de los usuarios. | | Medio | En 72 h | Una incidencia de severidad media implica un funcionamiento degradado en la aplicación del banco o en Ironchip, con una solución alternativa disponible, que afecta a menos del 20 % de los usuarios o del tiempo. También incluye fallos en componentes no críticos y alertas de fraude con falsos positivos o negativos. | | Bajo | En 7 días | Una incidencia de severidad baja abarca consultas sobre el funcionamiento general, anomalías en alertas, información disponible en los manuales y solicitudes de mejoras o funcionalidades adicionales. | Ironchip se reserva el derecho de ajustar la prioridad de las incidencias tras un análisis inicial de la situación. ## Disponibilidad [Sección titulada «Disponibilidad»](#disponibilidad) La disponibilidad de la plataforma es del 99 %. | Sistema | Disponibilidad | | ----------------------------------------------- | ------------------------------------------------------------------------------- | | Panel de gestión | Disponible el 99 % del tiempo. | | Incorporación de API | Las solicitudes se completan con éxito el 99 % de las veces. | | API de transacciones (inicio de sesión y pagos) | Las solicitudes se completan con éxito el 99 % de las veces en menos de 200 ms. | # Versiones de los SDK > Última versión de los SDK de Android, iOS, Flutter y web y de la API de informes de fraude, con enlace al historial de cambios de cada uno. Estas son las últimas versiones de los SDK y de la API de detección de fraude. Recomendamos mantener los SDK actualizados para disponer de las últimas señales de detección y correcciones. Los SDK para Android, iOS y web, con su versión publicada (se actualiza sola): | Componente | Versión | Publicada | | -------------------------------------------------------------------------------------------------------- | --------- | ----------- | | [SDK de fraude para Android](https://github.com/ironchip-security/LBFraud-SDK-Android/releases) | `1.2.26` | 8 sept 2026 | | [SDK de fraude para iOS](https://github.com/ironchip-security/LBFraud-IOS/releases) | `v1.2.10` | 11 oct 2023 | | [SDK de fraude para web](https://github.com/ironchip-security/Ironchip-Fraud-Detection-Web-SDK/releases) | `1.0.0` | 22 ago 2024 | El SDK para Flutter y la especificación de la API de informes: | Componente | Última versión | Historial de cambios | | -------------------------------- | -------------- | --------------------------------------------------------------- | | SDK para Flutter | 2.0.13 | [Registro de cambios](/fraude/sdk/flutter/#registro-de-cambios) | | API de informes (especificación) | 1.0.5 | [Notas de versión de la API](#api-de-informes) | ## API de informes [Sección titulada «API de informes»](#api-de-informes) ### 1.0.2 [Sección titulada «1.0.2»](#102) **Novedades** * Documentación Swagger. * API de informes por lotes (batch) y en tiempo real (streaming). * Paginación. * Nuevo dashboard de cliente para gestionar y ver métricas. * Mejora del tiempo de procesamiento de las transacciones. * Motor de reglas de negocio incorporado al procesamiento. * Ajustes de ubicaciones prohibidas. # SDK de detección de fraude > Qué hace el SDK de Ironchip en tu app, qué señales recoge y qué plataformas soporta (Android, iOS, Flutter y web), con la última versión de cada una y su guía. El SDK se integra en tu aplicación móvil o web, recoge las señales del dispositivo y de su entorno en cada operación sensible y las envía al motor, que devuelve un informe de riesgo consultable por la [API](/fraude/api/). El SDK móvil de Ironchip captura la información del dispositivo, las señales relacionadas con la ubicación (GPS, Wi-Fi) y las sesiones de usuario para ayudar a diferenciar a los atacantes de los usuarios legítimos. Para obtener la evaluación de riesgo de la [API](/fraude/api/), empieza por instalar y configurar el SDK. ## Plataformas soportadas [Sección titulada «Plataformas soportadas»](#plataformas-soportadas) Esta es la última versión del SDK para cada plataforma: | Plataforma | Última versión | Guía | | ---------- | -------------- | ---------------------------------------- | | Android | 1.2.26 | [SDK para Android](/fraude/sdk/android/) | | iOS | 1.2.10 | [SDK para iOS](/fraude/sdk/ios/) | | Flutter | 2.0.29 | [SDK para Flutter](/fraude/sdk/flutter/) | | Web | 1.0.0 | [SDK para web](/fraude/sdk/web/) | Consulta el [historial de versiones](/fraude/referencia/versiones/) de todos los SDK. ## Flujo de una operación [Sección titulada «Flujo de una operación»](#flujo-de-una-operación) 1. La app inicializa el SDK con su API key. 2. En una operación sensible (inicio de sesión, transferencia, alta de beneficiario), la app pide al SDK que envíe una transacción con un `transaction_id` propio. 3. El motor evalúa la operación y genera el informe. 4. Tu backend consulta el informe por `transaction_id` y decide: continuar, pedir verificación o bloquear. # SDK para Android > Instalar el SDK de detección de fraude en una app Android: dependencia Gradle, permisos, envío de transacciones en Kotlin y Java, ejemplo y registro de cambios. El SDK de Android recoge las señales del dispositivo y de su entorno en cada operación sensible y las envía al motor antifraude de Ironchip. Úsalo si tu aplicación móvil es nativa de Android. **SDK de fraude para Android**última versión 1.2.26, publicada el 8 de septiembre de 2026 [Todas las versiones y notas de cada una](https://github.com/ironchip-security/LBFraud-SDK-Android/releases) ## Requisitos [Sección titulada «Requisitos»](#requisitos) | Plataforma | Versiones soportadas | | ---------- | -------------------- | | Android | 5.0.0+ | ## Instalación [Sección titulada «Instalación»](#instalación) ### Añadir la biblioteca al proyecto [Sección titulada «Añadir la biblioteca al proyecto»](#añadir-la-biblioteca-al-proyecto) Primero, en el fichero `settings.gradle`, referencia el repositorio remoto donde está la biblioteca: settings.gradle ```groovy dependencyResolutionManagement { ... repositories { maven { url 'https://jitpack.io' } ... } } ``` A continuación, en el fichero `build.gradle`, añade la dependencia del SDK: build.gradle ```groovy dependencies { ... implementation "com.github.Ironchip-Security:LBFraud-SDK-Android:1.2.26" ... } ``` ### Permisos [Sección titulada «Permisos»](#permisos) Añade los siguientes permisos al manifest: AndroidManifest.xml ```xml ``` `tools:ignore` requiere declarar el espacio de nombres `xmlns:tools="http://schemas.android.com/tools"` en la etiqueta ``. ## Uso en una aplicación [Sección titulada «Uso en una aplicación»](#uso-en-una-aplicación) Para aprovechar todo el potencial del SDK, concede el permiso `ACCESS_FINE_LOCATION`. Consulta [cómo solicitar permisos en Android](https://developer.android.com/training/permissions/requesting). * Kotlin ```kotlin import com.ironchip.ironchiplbfraudandroidsdk.LBFraudSDK // Sustituye APIKEY por la API key generada en la consola. val fraud = LBFraudSDK(this, "APIKEY") // Por defecto el SDK apunta al entorno de producción. Para apuntar a otro: // val fraud = LBFraudSDK(this, "APIKEY", LBFraudSDK.Environment.TESTING) val extraData = hashMapOf( "concept" to "Book august", "amount" to 30, "operation" to "booking", ) // transactionId (obligatorio, único): identificador con el que después pedirás el informe // userId (obligatorio): identificador del usuario // extraData (opcional): información adicional para el análisis fraud.sendTransaction("random_identifier_generated", "john.doe@gmail.com", extraData, { // Código a ejecutar cuando la transacción ha terminado. }, { exception -> // Código a ejecutar si se produce un error durante la transacción. }) ``` * Java ```java import com.ironchip.ironchiplbfraudandroidsdk.LBFraudSDK; ... // Sustituye APIKEY por la API key generada en la consola. // El constructor lanza LBFraudInitializationException: gestiónala con try/catch. LBFraudSDK fraud = new LBFraudSDK(this, "APIKEY"); // Por defecto el SDK apunta al entorno de producción. Para apuntar a otro: // LBFraudSDK fraud = new LBFraudSDK(this, "APIKEY", LBFraudSDK.Environment.TESTING); //public enum Environment { // PRODUCTION, // TESTING, // DEVELOPMENT //} Map extraData = new HashMap<>(); extraData.put("concept", "Book august"); extraData.put("amount", 30); extraData.put("operation", "booking"); // transactionId (obligatorio, único): identificador con el que después pedirás el informe // userId (obligatorio): identificador del usuario // extraData (opcional): información adicional para el análisis // sendTransaction admite dos callbacks: el primero se ejecuta al terminar la transacción // y el segundo si se produce un error durante el proceso. fraud.sendTransaction("random_identifier_generated", "john.doe@gmail.com", extraData, () -> { // Código a ejecutar cuando la transacción ha terminado. }, exception -> { // Código a ejecutar si se produce un error durante la transacción. // exception.printStackTrace() }); ``` Además de una `Activity`, el constructor también acepta un `Context` (desde la versión 1.2.23), por lo que puedes usar el SDK desde un servicio. El constructor lanza `LBFraudInitializationException` (comprobada) si el contexto es nulo: en Java envuélvelo en `try/catch`; en Kotlin no es obligatorio. ## Gestión de errores [Sección titulada «Gestión de errores»](#gestión-de-errores) `sendTransaction` envía la transacción en segundo plano y recibe dos funciones de retorno: la primera (un `Runnable`) se ejecuta si el motor acepta la transacción y la segunda (un `ExceptionCallback`, con el método `onExceptionOccurred(Exception e)`) si se produce un error. Solo se ejecuta una de las dos, y en un hilo secundario: si desde ellas actualizas la interfaz, hazlo con `runOnUiThread`. Si el error es de red o lo devuelve el servidor, la excepción es una `TransactionException`. Su método `getCode()` devuelve el código de error de la respuesta del servidor (`error_code`) o una de estas constantes: | Código | Constante | Significado | | ------ | ------------------------ | -------------------------------------------------------- | | `"0"` | `RESPONSE_PARSING_ERROR` | El servidor devolvió un error que no se pudo interpretar | | `"1"` | `NO_CONNECTION_ERROR` | No se puede conectar con el servidor | | `"2"` | `TIMEOUT_ERROR` | Se agotó el tiempo de espera | | `"3"` | `NETWORK_ERROR` | Otro error de red | `getHttpCode()` devuelve el código de estado HTTP de la respuesta (`0` en los errores de red) y `getTraceabilityId()`, su identificador de trazabilidad (`null` si la respuesta no lo trae). Inclúyelo si abres un ticket con soporte. El formato de las respuestas de error está en [Respuestas de error](/fraude/referencia/errores/). ## Configurar un proxy [Sección titulada «Configurar un proxy»](#configurar-un-proxy) Si tu app sale a Internet a través de un proxy, configúralo con `setProxy` antes de enviar transacciones. Recibe un `java.net.Proxy` y puede lanzar `IllegalArgumentException`. * Kotlin ```kotlin import java.net.InetSocketAddress import java.net.Proxy fraud.setProxy(Proxy(Proxy.Type.HTTP, InetSocketAddress("proxy.example.com", 8080))) ``` * Java ```java import java.net.InetSocketAddress; import java.net.Proxy; ... fraud.setProxy(new Proxy(Proxy.Type.HTTP, new InetSocketAddress("proxy.example.com", 8080))); ``` ## Ejemplo [Sección titulada «Ejemplo»](#ejemplo) Ejemplo completo: tras un inicio de sesión correcto, se anonimiza el identificador del usuario con SHA-256 y se envía la transacción. ```java import com.ironchip.ironchiplbfraudandroidsdk.LBFraudSDK; import java.security.MessageDigest; import java.security.NoSuchAlgorithmException; import java.nio.charset.StandardCharsets; import java.util.HashMap; import java.util.Map; import java.util.Random; import java.util.concurrent.CompletableFuture; import java.util.stream.Collectors; import java.util.stream.IntStream; ... // Sustituye APIKEY por la API key generada en la consola. // El constructor lanza LBFraudInitializationException: gestiónala con try/catch. LBFraudSDK fraud = new LBFraudSDK(this, "APIKEY"); // Método asíncrono para realizar el inicio de sesión del usuario private void login(String username, String password) { performLogin(username, password).thenAccept(loginSuccessful -> { if (loginSuccessful) { // Si el inicio de sesión es correcto, llama a sendTransaction con los parámetros necesarios String transactionID = generateRandomTransactionID(10); // Genera u obtén tu ID de transacción String userID = "john.doe@gmail.com"; // Identificador de usuario String anonymizedUserID = anonymizeUserID(userID); // ID de usuario anonimizado Map extraData = new HashMap<>(); // Información adicional para análisis extraData.put("amount", 30); // Usa Integer.valueOf(30) si es necesario extraData.put("operation", "login"); sendTransactionAfterLogin(transactionID, anonymizedUserID, extraData); } else { // Gestiona el fallo del inicio de sesión } }); } // Inicio de sesión asíncrono que devuelve un CompletableFuture private CompletableFuture performLogin(String username, String password) { return CompletableFuture.supplyAsync(() -> { try { Thread.sleep(2000); // Sustituye por tu lógica de inicio de sesión real: // autentica al usuario y devuelve true si es correcto return true; } catch (InterruptedException e) { return false; // En caso de un error, devuelve false } }); } // Envía la transacción tras un inicio de sesión correcto private void sendTransactionAfterLogin(String transactionID, String anonymizedUserID, Map extraData) { fraud.sendTransaction(transactionID, anonymizedUserID, extraData, () -> { // Código a ejecutar cuando la transacción ha terminado. }, exception -> { // Código a ejecutar si se produce un error durante la transacción. }); } // Recorta, convierte a minúsculas y calcula el hash del userID public static String anonymizeUserID(String userID) { String trimmedLowercaseUserID = userID.trim().toLowerCase(); return hashString(trimmedLowercaseUserID); } // Calcula el hash con SHA-256 public static String hashString(String input) { try { MessageDigest digest = MessageDigest.getInstance("SHA-256"); byte[] hashBytes = digest.digest(input.getBytes(StandardCharsets.UTF_8)); StringBuilder hexString = new StringBuilder(); for (byte b : hashBytes) { String hex = Integer.toHexString(0xff & b); if (hex.length() == 1) { hexString.append('0'); } hexString.append(hex); } return hexString.toString(); } catch (NoSuchAlgorithmException e) { throw new RuntimeException("Error while calculating hash", e); } } private String generateRandomTransactionID(int length) { // Implementa tu método para generar un ID de transacción único. final String chars = "AaBbCcDdEeFfGgHhIiJjKkLlMmNnOoPpQqRrSsTtUuVvWwXxYyZz1234567890"; Random rnd = new Random(); return IntStream.range(0, length) .mapToObj(i -> String.valueOf(chars.charAt(rnd.nextInt(chars.length())))) .collect(Collectors.joining()); } ``` ## Registro de cambios [Sección titulada «Registro de cambios»](#registro-de-cambios) ### 1.2.26 (2026-09-08) [Sección titulada «1.2.26 (2026-09-08)»](#1226-2026-09-08) **Cambiado** * Actualizada una biblioteca interna del SDK. ### 1.2.25 (2026-08-06) [Sección titulada «1.2.25 (2026-08-06)»](#1225-2026-08-06) **Cambiado** * Actualizada una biblioteca interna del SDK. ### 1.2.23 (2026-06-25) [Sección titulada «1.2.23 (2026-06-25)»](#1223-2026-06-25) **Añadido** * `LBFraudSDK` acepta también un `Context` además de una `Activity`, para poder usarlo desde componentes que no son una actividad, como los servicios. **Cambiado** * Actualizada una biblioteca interna del SDK. **Corregido** * `sendTransaction` devuelve una `TransactionException` en los errores de red, en lugar de una `IOException`. Códigos nuevos: `NO_CONNECTION_ERROR`, `TIMEOUT_ERROR` y `NETWORK_ERROR`. ### 1.2.20 (2026-03-10) [Sección titulada «1.2.20 (2026-03-10)»](#1220-2026-03-10) **Cambiado** * Actualizada una biblioteca interna del SDK. ### 1.2.19 (2026-03-05) [Sección titulada «1.2.19 (2026-03-05)»](#1219-2026-03-05) **Cambiado** * La generación del JSON de la transacción pasa a un hilo secundario. ### 1.2.18 (2026-03-05) [Sección titulada «1.2.18 (2026-03-05)»](#1218-2026-03-05) **Cambiado** * Actualizada una biblioteca interna del SDK. ### 1.2.17 (2026-03-02) [Sección titulada «1.2.17 (2026-03-02)»](#1217-2026-03-02) **Cambiado** * Actualizados los identificadores del modelo de dispositivo. ### 1.2.16 (2026-02-11) [Sección titulada «1.2.16 (2026-02-11)»](#1216-2026-02-11) **Añadido** * Nuevos identificadores en el modelo de dispositivo. ### 1.2.15 (2026-02-11) [Sección titulada «1.2.15 (2026-02-11)»](#1215-2026-02-11) **Cambiado** * Actualizada una biblioteca interna del SDK. ### 1.2.14 [Sección titulada «1.2.14»](#1214) **Cambiado** * Actualizada una biblioteca interna del SDK. ### 1.2.13 (2023-10-11) [Sección titulada «1.2.13 (2023-10-11)»](#1213-2023-10-11) **Añadido** * Detección de comunicación. * Tipo de red de la SIM (2G, 3G, 4G, 5G). ### 1.2.12 (2023-09-12) [Sección titulada «1.2.12 (2023-09-12)»](#1212-2023-09-12) **Añadido** * Método de configuración del proxy. **Cambiado** * Ahora se utilizan conjuntos de cifrado (cipher suites). ### 1.2.11 (2023-07-05) [Sección titulada «1.2.11 (2023-07-05)»](#1211-2023-07-05) **Cambiado** * Corregido el envío de los datos adicionales, que no se enviaban. ### 1.2.10 (2023-06-23) [Sección titulada «1.2.10 (2023-06-23)»](#1210-2023-06-23) * Esta versión es una actualización sin cambios funcionales. El número de versión se actualiza a 1.2.10 para mantener la secuencia de versiones. ### 1.2.9.2 (2023-06-23) [Sección titulada «1.2.9.2 (2023-06-23)»](#1292-2023-06-23) **Cambiado** * Biblioteca Commons actualizada con correcciones adicionales. ### 1.2.9.1 (2023-06-22) [Sección titulada «1.2.9.1 (2023-06-22)»](#1291-2023-06-22) **Cambiado** * Biblioteca Commons actualizada para aplicar algunas correcciones de errores. ### 1.2.9 (2023-05-18) [Sección titulada «1.2.9 (2023-05-18)»](#129-2023-05-18) **Añadido** * Se añade la versión del SDK al modelo de transacción. **Cambiado** * Gestión previa de errores para permitir crear el servicio de fraude aunque el proveedor de GPS no esté disponible. ### 1.2.8 (2023-05-12) [Sección titulada «1.2.8 (2023-05-12)»](#128-2023-05-12) **Añadido** * Gestión de errores adicional para evitar que la transacción falle cuando falla alguno de los pasos de construcción de la transacción. ### 1.2.7 (2023-03-15) [Sección titulada «1.2.7 (2023-03-15)»](#127-2023-03-15) **Cambiado** * Se modifica el modelo de transacción para incluir información sobre la tarjeta SIM. ### 1.2.6 (2023-02-02) [Sección titulada «1.2.6 (2023-02-02)»](#126-2023-02-02) **Cambiado** * Se modifica el modelo de transacción para incluir el estado de los permisos solicitados. * Se modifica el modelo de transacción para incluir si los proveedores de GPS y Wi-Fi están habilitados. ### 1.2.5 (2023-01-13) [Sección titulada «1.2.5 (2023-01-13)»](#125-2023-01-13) **Cambiado** * Corregida la configuración de ProGuard que hacía que la aplicación del cliente se volviera a empaquetar en la carpeta interna de la biblioteca. ### 1.2.4 (2023-01-10) [Sección titulada «1.2.4 (2023-01-10)»](#124-2023-01-10) **Cambiado** * Los errores durante el callback de `sendTransaction` ahora se registran en el log en lugar de redirigirse al callback de excepción. ### 1.2.3 (2022-12-09) [Sección titulada «1.2.3 (2022-12-09)»](#123-2022-12-09) **Cambiado** * Corregido un problema con la identificación de la huella digital (fingerprint). ### 1.2.2 (2022-11-30) [Sección titulada «1.2.2 (2022-11-30)»](#122-2022-11-30) **Cambiado** * Corregido un error cuando el dispositivo no está conectado a una red Wi-Fi. * Corregidos los saltos de línea en los identificadores cifrados. * Mejora en la detección de emulación. ### 1.2.1 (2022-11-22) [Sección titulada «1.2.1 (2022-11-22)»](#121-2022-11-22) **Cambiado** * Refactorización de nombres de clase. * Las etiquetas de los logs se cambian para que coincidan con la refactorización. * El constructor de Fraud ya no admite un host de URL, solo permite seleccionar el entorno deseado. ### 1.2.0 (2022-10-12) [Sección titulada «1.2.0 (2022-10-12)»](#120-2022-10-12) **Añadido** * Versión del kernel en las propiedades del dispositivo. * Registros de depuración. **Cambiado** * Corregido un error por el que el JSON enviaba cadenas en lugar de arrays. * Mejora en la identificación del dispositivo, de la instalación y de la huella digital. * El GPS y la señal ya no pueden bloquear el proceso. ### 1.1.3 (2022-09-30) [Sección titulada «1.1.3 (2022-09-30)»](#113-2022-09-30) **Cambiado** * La biblioteca pasa a publicarse en GitHub. ### 1.1.2 (2022-09-30) [Sección titulada «1.1.2 (2022-09-30)»](#112-2022-09-30) **Añadido** * Compatibilidad con Android 5 y posteriores. ### 1.1.0 (2022-09-22) [Sección titulada «1.1.0 (2022-09-22)»](#110-2022-09-22) **Añadido** * Fichero de licencia (`LICENSE`) en el proyecto. **Cambiado** * Refactorización del nombre del módulo. ### 1.0.2 (2022-09-10) [Sección titulada «1.0.2 (2022-09-10)»](#102-2022-09-10) **Añadido** * Excepciones personalizadas. **Cambiado** * Callbacks y excepciones excluidos de la ofuscación para facilitar el uso del cliente. * Cambian los nombres y la estructura de los parámetros del modelo. ### 1.0.1 (2022-09-10) [Sección titulada «1.0.1 (2022-09-10)»](#101-2022-09-10) **Cambiado** * Callbacks y excepciones excluidos de la ofuscación para facilitar el uso del cliente. * Cambian los nombres y la estructura de los parámetros del modelo. ### 1.0.0 (2022-09-10) [Sección titulada «1.0.0 (2022-09-10)»](#100-2022-09-10) **Añadido** * Ofuscación del código. **Cambiado** * Secciones de código migradas a una biblioteca común. * Cambia el comportamiento del servicio de GPS. # SDK para Flutter > Instalar el plugin de Flutter de detección de fraude: dependencia en pubspec.yaml, permisos de Android e iOS, inicialización, envío de transacciones y proxy. El plugin de Flutter de Ironchip empaqueta los SDK de Android y de iOS para que puedas enviar transacciones al motor antifraude desde una aplicación Flutter con una sola base de código. ## Requisitos [Sección titulada «Requisitos»](#requisitos) | Plataforma | Versiones soportadas | | ---------- | -------------------- | | Android | 5.0.0+ | | iOS | 13.0.0+ | ## Instalación [Sección titulada «Instalación»](#instalación) El plugin se publica en pub.dev como [`ironchip_lbfraud`](https://pub.dev/packages/ironchip_lbfraud). Añádelo al fichero `pubspec.yaml` de tu paquete: pubspec.yaml ```yaml dependencies: ironchip_lbfraud: ^2.0.13 ``` ### Permisos en Android [Sección titulada «Permisos en Android»](#permisos-en-android) Para usar la detección de fraude en Android se recomiendan algunos permisos. El plugin funciona sin ellos, pero la precisión disminuye. Añádelos a tu aplicación para aprovechar todo su potencial: AndroidManifest.xml ```xml ``` Recuerda que el usuario tiene que aceptar los permisos para que surtan efecto. ### Configuración en iOS [Sección titulada «Configuración en iOS»](#configuración-en-ios) Para usar Ironchip LBFraud, añade una capacidad al target de tu aplicación: ve a **Signing & Capabilities** y añade **Access WiFi Information**.  Después, añade estas claves al fichero `Info.plist`. En cada una, escribe la descripción como cadena de texto: Info.plist ```text Privacy - Location Always and When In Use Usage Description Privacy - Location When In Use Usage Description Privacy - Location Always Usage Description LSApplicationQueriesSchemes ``` `LSApplicationQueriesSchemes` sirve para saber si el dispositivo tiene jailbreak. ## Uso [Sección titulada «Uso»](#uso) Con el proyecto configurado y los permisos concedidos, importa el paquete: ```dart import 'package:ironchip_lbfraud/ironchip_lbfraud.dart'; ``` Para enviar una transacción, primero inicializa el SDK con una API key válida. ```dart // Sustituye APIKEY por la API key generada. // De forma predeterminada, el plugin apunta al entorno de producción. Para apuntar a otro: // LBFraudSDK fraud = new LbfraudFlutterPlugin.initFraudSDK("APIKEY", env: Environment.testing); await _lbfraudPlugin.initFraudSDK(apiKey); ``` Una vez inicializado el servicio, ya puedes enviar transacciones: ```dart try { // transactionID (obligatorio, único): identificador con el que después pedirás el informe // userID (obligatorio): identificador del usuario // extraData (opcional): información adicional para el análisis // Puedes omitir el await si no necesitas el resultado de la acción. var result = await _lbfraudPlugin.sendTransaction(transactionID, userID, {}); _showResult = result!; _resultError = false; } catch (e) { _showResult = e.toString(); _resultError = true; } ``` `sendTransaction` es asíncrono, pero no necesitas usar `await` a menos que quieras comprobar el resultado de la acción. ### Configurar un proxy [Sección titulada «Configurar un proxy»](#configurar-un-proxy) Si quieres usar un proxy concreto al enviar una transacción, configúralo con `setProxy`: ```dart try { var result = await _lbfraudPlugin.setProxy(host, port); } catch (e) { } ``` ## Ejemplo [Sección titulada «Ejemplo»](#ejemplo) Aplicación de ejemplo completa: inicializa el plugin con la API key que escribe el usuario y envía una transacción con un identificador aleatorio. ```dart import 'package:flutter/material.dart'; import 'dart:async'; import 'dart:math'; import 'package:flutter/services.dart'; import 'package:ironchip_lbfraud/ironchip_lbfraud.dart'; void main() { runApp(const MyApp()); } class MyApp extends StatefulWidget { const MyApp({super.key}); @override State createState() => _MyAppState(); } class _MyAppState extends State { final _lbfraudPlugin = IronchipLbfraud(); String apiKey = "APIKEY"; // Sustituye APIKEY por la API key generada. bool _isLbfraudInitialized = false; String userID = "john.doe@gmail.com"; // Identificador de usuario String _showResult = ""; bool _resultError = false; @override void initState() { super.initState(); } // Los métodos de LBFraud son asíncronos, así que se inicializan en un método asíncrono. Future initLBFraudState() async { try { // Sustituye APIKEY por la API key generada. // De forma predeterminada, el SDK apunta al entorno de producción. Para apuntar a otro: // LBFraudSDK fraud = new LbfraudFlutterPlugin.initFraudSDK("APIKEY", env: Environment.testing); await _lbfraudPlugin.initFraudSDK(apiKey); _isLbfraudInitialized = true; } catch (e) { _isLbfraudInitialized = false; } setState(() { _isLbfraudInitialized = _isLbfraudInitialized; }); } String generateRandomTransactionID(int length) { const _chars = 'AaBbCcDdEeFfGgHhIiJjKkLlMmNnOoPpQqRrSsTtUuVvWwXxYyZz1234567890'; Random _rnd = Random(); return String.fromCharCodes(Iterable.generate( length, (_) => _chars.codeUnitAt(_rnd.nextInt(_chars.length)))); } Future sendTransaction() async { try { // transactionID (obligatorio, único): identificador con el que después pedirás el informe // userID (obligatorio): identificador del usuario // extraData (opcional): información adicional para el análisis // Puedes omitir el await si no necesitas el resultado de la acción. var result = await _lbfraudPlugin .sendTransaction(generateRandomTransactionID(10), userID, {}); _showResult = result!; _resultError = false; } catch (e) { _showResult = e.toString(); _resultError = true; } setState(() { _resultError = _resultError; _showResult = _showResult; }); } @override Widget build(BuildContext context) { return MaterialApp( home: Scaffold( appBar: AppBar( title: const Text('Ironchip LBFraud example app'), backgroundColor: Color(0xFF005255), ), body: Container( margin: EdgeInsets.all(40.0), child: Center( child: Column( mainAxisAlignment: MainAxisAlignment.center, children: [ TextField( onChanged: (value) { apiKey = value; }, decoration: const InputDecoration(labelText: "API Key"), ), SizedBox(height: 20), Text( _isLbfraudInitialized ? "LBFraud initialized" : "LBFraud is not initialized", style: TextStyle( color: _isLbfraudInitialized ? Colors.green : Color(0xFFF44336), ), ), SizedBox(height: 20), ElevatedButton( onPressed: initLBFraudState, style: ElevatedButton.styleFrom( backgroundColor: Colors.green, ), child: Text('Initialize LBFraud'), ), TextField( onChanged: (value) { userID = value; }, decoration: const InputDecoration(labelText: "User ID"), ), SizedBox(height: 20), ElevatedButton( onPressed: _isLbfraudInitialized ? sendTransaction : null, style: ElevatedButton.styleFrom( backgroundColor: Colors.green, ), child: Text('Send Transaction'), ), SizedBox(height: 20), Text( _showResult, style: TextStyle( color: _resultError ? Color(0xFFF44336) : Colors.black, ), ), ], ), ), ), )); } } ``` ## Registro de cambios [Sección titulada «Registro de cambios»](#registro-de-cambios) ### 2.0.13 (2024-01-16) [Sección titulada «2.0.13 (2024-01-16)»](#2013-2024-01-16) * SDK de Android: `1.2.13` * SDK de iOS: `1.2.10` **Cambiado** * Actualización de la documentación del plugin. ### 2.0.12 (2023-10-17) [Sección titulada «2.0.12 (2023-10-17)»](#2012-2023-10-17) * SDK de Android: `1.2.13` * SDK de iOS: `1.2.10` **Cambiado** * La versión 0.0.1 se promueve a 2.0.12 por motivos organizativos. ### 0.0.1 (2023-10-17) [Sección titulada «0.0.1 (2023-10-17)»](#001-2023-10-17) * SDK de Android: `1.2.13` * SDK de iOS: `1.2.10` **Cambiado** * Configuración del proyecto. # SDK para iOS > Instalar el SDK de detección de fraude en una app iOS con Swift Package Manager: capacidades, permisos de ubicación, envío de transacciones y cambios. El SDK de iOS recoge las señales del dispositivo y de su entorno en cada operación sensible y las envía al motor antifraude de Ironchip. Úsalo si tu aplicación móvil es nativa de iOS. **SDK de fraude para iOS**última versión v1.2.10, publicada el 11 de octubre de 2023 * [LBFraudSDKiOS.xcframework.zip](https://github.com/ironchip-security/LBFraud-IOS/releases/download/v1.2.10/LBFraudSDKiOS.xcframework.zip) 108 kB [Todas las versiones y notas de cada una](https://github.com/ironchip-security/LBFraud-IOS/releases) ## Requisitos [Sección titulada «Requisitos»](#requisitos) | Plataforma | Versiones soportadas | | ---------- | -------------------- | | iOS | 13.0.0+ | ## Instalación [Sección titulada «Instalación»](#instalación) ### Añadir el paquete con Xcode [Sección titulada «Añadir el paquete con Xcode»](#añadir-el-paquete-con-xcode) 1. En Xcode, ve a la raíz de tu aplicación (por ejemplo, `ExampleApp.xcodeproj`), selecciona el elemento `ExampleApp` en **PROJECT** y abre la tercera pestaña, **Package Dependencies**. 2. Haz clic en el botón **+**. 3. En la ventana emergente, pega la URL del repositorio en el campo de búsqueda y haz clic en **Add Package**: 4. En **Dependency Rule**, elige una versión exacta, un rango de versiones o una rama. Elige la versión exacta `1.2.10` (la última publicada) o la regla **Up to Next Major Version** desde `1.2.10`, que facilita las actualizaciones del paquete.  ### Añadir la capacidad de Wi-Fi [Sección titulada «Añadir la capacidad de Wi-Fi»](#añadir-la-capacidad-de-wi-fi) Para usar Ironchip LBFraud como Swift Package, añade una capacidad al target de tu aplicación: ve a **Signing & Capabilities** y añade **Access WiFi Information**.  ### Añadir los permisos de ubicación [Sección titulada «Añadir los permisos de ubicación»](#añadir-los-permisos-de-ubicación) En el target de la aplicación, abre la pestaña **Info** y añade estas claves. En cada una, escribe la descripción como cadena de texto: 1. `Privacy - Location Always and When In Use Usage Description` 2. `Privacy - Location When In Use Usage Description` 3. `Privacy - Location Always Usage Description` 4. `LSApplicationQueriesSchemes`: este permiso sirve para saber si el dispositivo tiene jailbreak.  ### Solicitar el permiso de ubicación [Sección titulada «Solicitar el permiso de ubicación»](#solicitar-el-permiso-de-ubicación) Antes de usar el SDK, la aplicación debe solicitar el permiso de ubicación: ```swift import CoreLocation let locationManager = CLLocationManager() locationManager.requestWhenInUseAuthorization() ``` ## Uso en una aplicación [Sección titulada «Uso en una aplicación»](#uso-en-una-aplicación) Llama al método de inicialización de la biblioteca en el hilo principal. ```swift import LBFraudSDKiOS ... // Sustituye apikey por la API key generada en la consola. let ironchipLBFraud = LBFraudSDK.init(apikey: "XXXXXX.XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX") // El SDK envía las transacciones al entorno de producción de Ironchip. // Analiza una transacción con el motor antifraude de Ironchip let extraData: [String: Any] = [ "concept": "Book august", "amount": 60, "operation": "booking" ] // transactionId (obligatorio, único): identificador con el que después pedirás el informe // userId (obligatorio): identificador del usuario // extraData (opcional): información adicional para el análisis // sendTransaction admite dos callbacks: el primero se ejecuta al terminar la transacción // y el segundo si se produce un error durante el proceso. ironchipLBFraud.sendTransaction(transactionId: "random_identifier_generated", userId: "john.doe@gmail.com", extraData: extraData, finish: { // Código a ejecutar cuando la transacción ha terminado. }, onError: { err in // Código a ejecutar si se produce un error durante la transacción. // Ejemplo: //if(err is TransactionError) { // let transactionError = err as! TransactionError // print(transactionError.traceability_id) // print(transactionError.message) // print(transactionError.http_code) // print(transactionError.code) //} else { // print("NetworkError: ", err) //} } ) ``` ## Ejemplo [Sección titulada «Ejemplo»](#ejemplo) Ejemplo completo: tras un inicio de sesión correcto, se anonimiza el identificador del usuario con SHA-256 y se envía la transacción. ```swift import LBFraudSDKiOS import Foundation import CommonCrypto // Sustituye apikey por la API key generada en la consola. let ironchipLBFraud = LBFraudSDK.init(apikey: "XXXXXX.XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX") // Inicia sesión y envía la transacción si es correcta func login(username: String, password: String) { Task { let loginSuccessful = await performLogin(username: username, password: password) if loginSuccessful { // Si el inicio de sesión es correcto, llama a sendTransaction con los parámetros necesarios let transactionID = generateRandomTransactionID(length: 10) // Genera un ID de transacción único let anonymizedUserID = anonymizeUserID(username) // ID de usuario anonimizado let extraData: [String: Any] = [ "amount": 30, // Usa una cantidad apropiada "operation": "login" // Especifica la operación ] await sendTransactionAfterLogin(transactionID: transactionID, anonymizedUserID: anonymizedUserID, extraData: extraData) } else { // Gestiona el fallo del inicio de sesión } } } // Inicio de sesión simulado y asíncrono func performLogin(username: String, password: String) async -> Bool { try? await Task.sleep(nanoseconds: 2 * 1_000_000_000) return true } // Envía la transacción tras un inicio de sesión correcto func sendTransactionAfterLogin(transactionID: String, anonymizedUserID: String, extraData: [String: Any]) async { ironchipLBFraud.sendTransaction(transactionId: transactionID, userId: anonymizedUserID, extraData: extraData, finish: { // Código a ejecutar cuando la transacción ha terminado. }, onError: { err in // Código a ejecutar si se produce un error durante la transacción. }) } // Genera un ID de transacción func generateRandomTransactionID(length: Int) -> String { let characters = "abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789" var randomID = "" for _ in 0.. String { let trimmedLowercaseUserID = userId.trimmingCharacters(in: .whitespacesAndNewlines).lowercased() return sha256Hash(trimmedLowercaseUserID) } // Calcula el hash con SHA-256 func sha256Hash(_ input: String) -> String { let inputData = Data(input.utf8) var hash = [UInt8](repeating: 0, count: Int(CC_SHA256_DIGEST_LENGTH)) inputData.withUnsafeBytes { _ = CC_SHA256($0.baseAddress, CC_LONG(inputData.count), &hash) } return hash.map { String(format: "%02x", $0) }.joined() } ``` ## Registro de cambios [Sección titulada «Registro de cambios»](#registro-de-cambios) ### 1.2.10 (2023-10-11) [Sección titulada «1.2.10 (2023-10-11)»](#1210-2023-10-11) **Añadido** * Detección de comunicación. * Tipo de red de la SIM (2G, 3G, 4G, 5G). ### 1.2.9 (2023-05-18) [Sección titulada «1.2.9 (2023-05-18)»](#129-2023-05-18) **Añadido** * Se añade la versión del SDK al modelo de transacción. ### 1.2.8 (2023-05-12) [Sección titulada «1.2.8 (2023-05-12)»](#128-2023-05-12) **Eliminado** * Se modifica el modelo de transacción para eliminar la información sobre las tarjetas SIM y eSIM del dispositivo. ### 1.2.7 (2023-03-23) [Sección titulada «1.2.7 (2023-03-23)»](#127-2023-03-23) **Añadido** * Commons se enlaza desde LBFraud en lugar de estar embebido. ### 1.2.6 (2023-03-15) [Sección titulada «1.2.6 (2023-03-15)»](#126-2023-03-15) **Añadido** * Se modifica el modelo de transacción para incluir información sobre las tarjetas SIM y eSIM del dispositivo. ### 1.2.5 (2023-02-02) [Sección titulada «1.2.5 (2023-02-02)»](#125-2023-02-02) **Cambiado** * Se modifica el modelo de transacción para incluir el estado de los permisos solicitados. * Se modifica el modelo de transacción para incluir si los proveedores de GPS y Wi-Fi están habilitados. ### 1.2.4 (2022-12-20) [Sección titulada «1.2.4 (2022-12-20)»](#124-2022-12-20) **Cambiado** * Corregido el problema al validar la aplicación en la App Store. * Logs del servicio de ubicación para iOS 13. ### 1.2.3 (2022-12-09) [Sección titulada «1.2.3 (2022-12-09)»](#123-2022-12-09) **Cambiado** * Corregido un problema con la identificación de la huella digital (fingerprint). * Gestión de llamadas HTTP externas. ### 1.2.2 (2022-11-30) [Sección titulada «1.2.2 (2022-11-30)»](#122-2022-11-30) **Cambiado** * Cambian algunas propiedades del dispositivo en el modelo de transacción. ### 1.2.1 (2022-11-22) [Sección titulada «1.2.1 (2022-11-22)»](#121-2022-11-22) **Cambiado** * Refactorización de nombres de clase. * Las etiquetas de los logs se cambian para que coincidan con la refactorización. * El constructor ya no admite un host de URL, solo permite seleccionar el entorno deseado. * El servicio de GPS lanza un error cuando el permiso no está concedido o la localización está deshabilitada. ### 1.2.0 (2022-10-31) [Sección titulada «1.2.0 (2022-10-31)»](#120-2022-10-31) **Añadido** * Registros de depuración (logs). **Cambiado** * Cambios en el modelo de transacción. * Gestión de nuevos errores en la biblioteca Commons. **Eliminado** * Errores de red personalizados: ahora se lanzan los genéricos. ### 1.1.8 (2022-10-25) [Sección titulada «1.1.8 (2022-10-25)»](#118-2022-10-25) **Cambiado** * La versión 1.1.7 se promociona a 1.1.8 por motivos organizativos. ### 1.1.7 (2022-10-25) [Sección titulada «1.1.7 (2022-10-25)»](#117-2022-10-25) **Añadido** * Compatibilidad con iOS 13 y posteriores. **Cambiado** * La URL del paquete pasa a GitHub. ### 1.1.6 (2022-09-14) [Sección titulada «1.1.6 (2022-09-14)»](#116-2022-09-14) **Eliminado** * `print` innecesarios. ### 1.1.5 (2022-09-14) [Sección titulada «1.1.5 (2022-09-14)»](#115-2022-09-14) **Añadido** * La biblioteca Commons lanza errores personalizados y LBFraud los relanza. **Cambiado** * Se renombran los servicios de la biblioteca Commons. ### 1.1.4 (2022-09-12) [Sección titulada «1.1.4 (2022-09-12)»](#114-2022-09-12) **Añadido** * Fichero `CHANGELOG` en el proyecto. **Cambiado** * Cambian los nombres y la estructura de los parámetros del modelo. ### 1.1.2 (2022-09-03) [Sección titulada «1.1.2 (2022-09-03)»](#112-2022-09-03) **Cambiado** * Cambia el nombre del repositorio del `.xcframework.zip`. ### 1.1.1 (2022-08-27) [Sección titulada «1.1.1 (2022-08-27)»](#111-2022-08-27) **Añadido** * Ahora el proyecto tiene dos `.xcframework`: uno de la biblioteca Commons y otro de LBFraud. **Cambiado** * Ahora el paquete Swift obtiene el `.xcframework` de un repositorio remoto, no de uno local. ### 1.1.0 (2022-08-24) [Sección titulada «1.1.0 (2022-08-24)»](#110-2022-08-24) **Añadido** * Fichero de licencia (`LICENSE`) en el proyecto. ### 1.0.9 (2022-08-23) [Sección titulada «1.0.9 (2022-08-23)»](#109-2022-08-23) **Añadido** * Primera versión estable del Swift Package con un XCFramework llamado `LBFraudSDKiOS.xcframework`. # SDK para web > Integrar el SDK web de detección de fraude de Ironchip: navegadores compatibles, paquete npm, inicialización con la API key, envío de transacciones y ejemplo. El SDK web de Ironchip LBFraud permite evaluar si el dispositivo y el entorno desde el que se usa tu web son seguros para operar. Se añade a la web en unos pocos pasos: instalar el paquete, inicializar el cliente con tu API key y enviar una transacción en cada operación sensible. **SDK de fraude para web**última versión 1.0.0, publicada el 22 de agosto de 2024 * [ironchip-fraud-detection-web-sdk-1.0.0.tgz](https://github.com/ironchip-security/Ironchip-Fraud-Detection-Web-SDK/releases/download/1.0.0/ironchip-fraud-detection-web-sdk-1.0.0.tgz) 36 kB * [LBFraud-SDK-Web.js](https://github.com/ironchip-security/Ironchip-Fraud-Detection-Web-SDK/releases/download/1.0.0/LBFraud-SDK-Web.js) 51 kB * [LBFraud-SDK-Web.modern.js](https://github.com/ironchip-security/Ironchip-Fraud-Detection-Web-SDK/releases/download/1.0.0/LBFraud-SDK-Web.modern.js) 51 kB * [package.json](https://github.com/ironchip-security/Ironchip-Fraud-Detection-Web-SDK/releases/download/1.0.0/package.json) 1 kB * [README.md](https://github.com/ironchip-security/Ironchip-Fraud-Detection-Web-SDK/releases/download/1.0.0/README.md) 2 kB [Todas las versiones y notas de cada una](https://github.com/ironchip-security/Ironchip-Fraud-Detection-Web-SDK/releases) ## Navegadores compatibles [Sección titulada «Navegadores compatibles»](#navegadores-compatibles) | Navegador | Versión mínima probada | | ----------------------- | ---------------------- | | Chrome | 68.0.3440.91 | | Firefox | 60.0 | | Mobile Safari | 12.1.2 | | Brave | 119.0.0.0 | | Edge | 97.0.1072.62 | | Opera | 95.0.0.0 | | Chromium | 76.0.3809.100 | | Chrome WebView | 84.0.4147.89 | | GSA (Google Search App) | 130.0.337455237 | | DuckDuckGo | 5 | | Silk | 108.7.2 | | Samsung Browser | 17.0 | | PaleMoon | 32.2.0 | | Avast Secure Browser | 109.0.24252.121 | | Huawei Browser | 12.1.3.304 | | MIUI Browser | 10.9.8 | | Yandex | 24.9.1.56.00 | | Whale | 3.4.5.2 | ## Instalación [Sección titulada «Instalación»](#instalación) Puedes integrar el SDK en un fichero JavaScript o directamente en el HTML entre etiquetas `script`. Recomendamos usar un fichero JavaScript y ofuscarlo siempre. 1. Añade el paquete de Node.js. Sustituye `` por la versión del SDK que quieras instalar: ```bash npm i https://github.com/Ironchip-Security/Ironchip-Fraud-Detection-Web-SDK/releases/download//ironchip-fraud-detection-web-sdk-.tgz ``` Por ejemplo, para la versión `1.0.0`: ```bash npm i https://github.com/Ironchip-Security/Ironchip-Fraud-Detection-Web-SDK/releases/download/1.0.0/ironchip-fraud-detection-web-sdk-1.0.0.tgz ``` 2. Importa el paquete: ```js import { LBFraudSDK, LBFraudSDKEnvironment } from 'ironchip-fraud-detection-web-sdk'; ``` 3. Inicializa el cliente con tu API key y el entorno de producción: ```js const client = new LBFraudSDK({ apiKey: '', environment: LBFraudSDKEnvironment.Production, }); ``` Ofusca el código Esta parte del código contiene la API key. Recomendamos que vaya siempre ofuscada. ## Uso [Sección titulada «Uso»](#uso) Con el cliente inicializado, llama al método `sendTransaction` con el ID de la transacción y el ID del usuario: ```js client.sendTransaction(transactionID, userID); ``` * `transactionID` (obligatorio, único): identificador con el que después pedirás el informe. * `userID` (obligatorio): identificador del usuario. * `extraData` (opcional): tercer parámetro, un `Map` con información adicional para el análisis. ```js const extraData = new Map(); extraData.set('operation', { type: 'booking', amount: 60 }); client.sendTransaction(transactionID, userID, extraData); ``` Cada vez que se llama al método, se envía una transacción. El método devuelve una promesa: se resuelve cuando el motor acepta la transacción (respuesta HTTP 202) y se rechaza con un objeto con los campos `error`, `error_code`, `traceability_id` y `http_status_code` si la respuesta es un error. Si el navegador no tiene conexión, la promesa se rechaza con el error `no internet connection`. ## Ejemplo [Sección titulada «Ejemplo»](#ejemplo) El siguiente ejemplo completo sirve para probar el SDK. Incluye el anonimizado del ID de usuario (recorte, minúsculas y SHA-256) antes de enviar la transacción. test.js ```js import { LBFraudSDK, LBFraudSDKEnvironment } from 'ironchip-fraud-detection-web-sdk'; const client = new LBFraudSDK({ apiKey: '', // Sustituye por tu API key real environment: LBFraudSDKEnvironment.Production, }); const myButton = document.getElementById('myButton'); // Recorta, convierte a minúsculas y calcula el hash del userID async function anonymizeUserID(userID) { const trimmedLowercaseUserID = userID.trim().toLowerCase(); const hashedUserID = await sha256Hash(trimmedLowercaseUserID); return hashedUserID; } // Calcula el hash con SHA-256 async function sha256Hash(text) { const encoder = new TextEncoder(); const data = encoder.encode(text); const hash = await crypto.subtle.digest('SHA-256', data); return Array.from(new Uint8Array(hash)) .map((b) => b.toString(16).padStart(2, '0')) .join(''); } // Inicio de sesión simulado async function performLogin(username, password) { // Simula un retraso de 2 segundos para la autenticación await new Promise((resolve) => setTimeout(resolve, 2000)); // Devuelve siempre true: sustitúyelo por tu lógica de inicio de sesión real return true; } function setListener() { myButton.onclick = async function () { const transactionID = document.getElementById('transactionId').value; const userID = document.getElementById('userId').value; // Simula la entrada del usuario para el inicio de sesión const username = 'testuser'; // Sustituye por el valor real const password = 'testpassword'; // Sustituye por el valor real const loginSuccessful = await performLogin(username, password); if (loginSuccessful) { // Si el inicio de sesión es correcto, anonimiza el userID antes de enviar la transacción const anonymizedUserID = await anonymizeUserID(userID); // Envía la transacción client .sendTransaction(transactionID, anonymizedUserID) .then((success) => { console.log('Transacción enviada:', success); }) .catch((errorMsg) => { console.log('Error durante la transacción:', errorMsg); }); } else { // Código a ejecutar si el inicio de sesión falla. } }; } window.onload = function () { setListener(); }; ``` index.html ```html Transaction ID: User ID: Enviar transacción ``` ## Permiso de ubicación [Sección titulada «Permiso de ubicación»](#permiso-de-ubicación) Para usar correctamente el SDK, es necesario activar el permiso de ubicación. En **Safari**, si el navegador no muestra el cuadro para permitirlo, actívalo a mano: 1. En tu Mac, elige el menú Apple > **Ajustes del Sistema**, haz clic en **Privacidad y seguridad** en la barra lateral y, a la derecha, en **Localización**.  2. En la lista de la derecha, activa el interruptor de **Safari**.  ## Registro de cambios [Sección titulada «Registro de cambios»](#registro-de-cambios) ### 0.1.4 (2024-02-19) [Sección titulada «0.1.4 (2024-02-19)»](#014-2024-02-19) **Añadido** * Nuevo método para determinar si el navegador se está ejecutando en modo incógnito. ### 0.1.3 (2023-12-18) [Sección titulada «0.1.3 (2023-12-18)»](#013-2023-12-18) **Añadido** * Cookies para identificar mejor el dispositivo. **Cambiado** * Mejor detección de navegador (Opera y Brave). ### 0.1.2 (2023-10-26) [Sección titulada «0.1.2 (2023-10-26)»](#012-2023-10-26) **Cambiado** * Mejora de la gestión de errores. * Mejor detección de las versiones de Windows. ### 0.1.1 (2023-07-21) [Sección titulada «0.1.1 (2023-07-21)»](#011-2023-07-21) **Cambiado** * SDK ofuscado. ### 0.1.0 (2023-02-22) [Sección titulada «0.1.0 (2023-02-22)»](#010-2023-02-22) **Añadido** * Primera versión del SDK web. # Plataforma de identidad > IAM sin contraseñas con zonas seguras, ITDR y reglas dinámicas. Consola, apps móvil y de escritorio, protocolos OIDC, SAML y RADIUS, y más de 35 integraciones. Cada acceso comprueba quién eres, con qué equipo entras y desde dónde. Sin contraseñas que filtrar ni códigos que interceptar, y encima del directorio y del proveedor de identidad que tu equipo ya administra. Presentación del producto: [plataforma de identidad sin contraseñas de Ironchip](https://www.ironchip.com/identidad). ## Cómo encaja [Sección titulada «Cómo encaja»](#cómo-encaja) La plataforma se compone de una **consola** de administración, las **aplicaciones** de autenticación (móvil, escritorio y autenticadores físicos), los **agentes** que la conectan con el directorio y con los puestos, y un **motor de políticas** que evalúa cada acceso con su contexto. Puede actuar como proveedor de identidad completo o como segundo factor del que ya tienes. [Arquitectura](/identidad/referencia/arquitectura/). ## Empieza por aquí [Sección titulada «Empieza por aquí»](#empieza-por-aquí) [Primeros pasos](/identidad/primeros-pasos/)Las seis tareas de la consola con las que arranca cualquier despliegue. [Zonas seguras y geofencing](/identidad/conceptos/zonas-seguras/)Cómo se define una zona, con qué granularidad y qué pasa fuera de ella. [Métodos de autenticación](/identidad/conceptos/metodos/)Qué comprueba cada método y para qué puesto sirve. [Protocolos](/identidad/protocolos/)OIDC, SAML, RADIUS y API HTTP para proteger cualquier servicio. ## Secciones [Sección titulada «Secciones»](#secciones) | Sección | Contenido | | ---------------------------------------------------- | ---------------------------------------------------------------------------------------------------------------------------------------------------------- | | [Administración](/identidad/administracion/consola/) | Consola, usuarios y grupos, dispositivos, aplicaciones, permisos, sincronización con el directorio, distribución de la app, ITDR y exportación de eventos. | | [Guía de usuario](/identidad/usuarios/alta/) | Alta, app móvil y de escritorio, autenticador de Windows, FIDO2, token USB, tarjeta RFID y escritorios virtuales. | | [Protocolos](/identidad/protocolos/) | Configuración de OIDC, SAML, RADIUS y autenticación HTTP para aplicaciones propias. | | [Integraciones](/identidad/integraciones/) | Guías para Windows, macOS, Linux, Entra ID, Microsoft 365, Google Workspace, cortafuegos y VPN. | | [Referencia](/identidad/referencia/arquitectura/) | Arquitectura, historial de versiones y acuerdo de nivel de servicio. | # Aplicaciones > Da de alta una aplicación protegida en la consola, elige el tipo de integración, crea integraciones HTTP-MFA y asigna accesos a usuarios y grupos. Una aplicación es cualquier servicio protegido por Ironchip: un portal web por OIDC o SAML, una VPN por RADIUS o una aplicación propia por API HTTP. Esta página explica cómo darla de alta en la consola, cómo crear una integración HTTP-MFA y cómo dar acceso a usuarios y grupos. ## Añadir una aplicación a la compañía [Sección titulada «Añadir una aplicación a la compañía»](#añadir-una-aplicación-a-la-compañía) En la sección **Applications** ves todos los servicios protegidos que se han añadido a Ironchip, con su tipo de integración (columna **Integration**). 1. Ve a **Applications** y haz clic en **New application**. Se abre la ventana **Add new application**.  2. En el paso **Application Details**, escribe el nombre de la aplicación en **Name** y elige el tipo en **Application integration type**, por ejemplo **OIDC - OAUTH 2.0**, **API KEY** o **SAML**. Haz clic en **Next**.  3. Completa el paso **Upload Logo** hasta terminar. La aplicación aparece en el listado de **Applications**. Guarda los campos que se devuelven Al crear un servicio se devuelven campos que dependen del tipo de integración. Solo aparecen esta vez, así que guárdalos. ## Crear una integración HTTP-MFA [Sección titulada «Crear una integración HTTP-MFA»](#crear-una-integración-http-mfa) HTTP-MFA es un tipo de integración que el administrador crea primero para después dar de alta un servicio de ese tipo. 1. Despliega **Applications** en el menú izquierdo y haz clic en **MFA integrations**.  2. Haz clic en **Add MFA**.  3. En la ventana **Add new MFA**, rellena el campo **Name** y haz clic en **Continue**. Elige un nombre reconocible: es el que aparece en **Application integration type** cuando das de alta una aplicación.  Estos dos vídeos muestran cómo crear una aplicación MFA y cómo referenciarla desde un servicio. Se grabaron con una versión anterior de la consola, así que algunos nombres de menú han cambiado. [ Crear la aplicación MFA en IronchipReproducir el vídeo](https://play.hubspotvideo.com/v/7745202/id/144740269193) [ Crear un servicio en Ironchip que referencia la aplicación MFAReproducir el vídeo](https://play.hubspotvideo.com/v/7745202/id/144750380301) ## Dar acceso a usuarios y grupos [Sección titulada «Dar acceso a usuarios y grupos»](#dar-acceso-a-usuarios-y-grupos) Para dar acceso a una aplicación, ve a **Applications** y selecciona la aplicación a la que quieres añadir uno o varios usuarios o grupos. En la página de información de la aplicación ves el recuento de autenticaciones correctas e incorrectas y la lista de grupos y usuarios que ya tienen acceso configurado.  Para dar un acceso nuevo, haz clic en **Add**, a la derecha de la aplicación, en la columna **Add access**.  Se abre la ventana **Add a new access**, con cuatro pasos. ### Paso 1: selecciona el usuario o el grupo [Sección titulada «Paso 1: selecciona el usuario o el grupo»](#paso-1-selecciona-el-usuario-o-el-grupo) En **Select a group**, marca la casilla situada a la izquierda de cada grupo o usuario al que quieres dar acceso y haz clic en **Next**. La lista muestra los grupos y usuarios de la compañía.  ### Paso 2: define el formato del nombre de usuario [Sección titulada «Paso 2: define el formato del nombre de usuario»](#paso-2-define-el-formato-del-nombre-de-usuario) En **Select usernames** eliges el formato del nombre de usuario externo (**External Username**) con el que se accede a la aplicación. Este nombre solo se usa en este acceso: no sustituye al nombre del usuario en la plataforma. Por defecto está seleccionado el correo electrónico, pero puedes combinar etiquetas (`name`, `surname`, `domain`…) para personalizarlo. Haz clic en **Enter a tag** para ver las etiquetas disponibles. Con etiquetas, cada usuario recibe un nombre distinto; si usas una plantilla estática, se aplica el mismo nombre a todos los usuarios. Debajo, **Username example** muestra el nombre que generaría la plantilla con los datos de un usuario de ejemplo. Si activas **Set another username for accounting**, puedes definir otro nombre de usuario para el accounting de este acceso. Haz clic en **Next** cuando termines.  ### Paso 3: elige los métodos de autenticación [Sección titulada «Paso 3: elige los métodos de autenticación»](#paso-3-elige-los-métodos-de-autenticación) En **Select authentication policies**, selecciona el método de autenticación que se asigna al grupo o usuario. Son las [políticas de autenticación](/identidad/conceptos/politicas/) de la compañía. Puedes combinar varios en una misma línea: * **AND**: se deben cumplir todas las condiciones seleccionadas. * **OR**: basta con que se cumpla al menos una.  Usa el botón **+** para añadir métodos y el botón **x** para quitar los que no quieras. Haz clic en **Next** cuando termines.  ### Paso 4: revisa el resumen [Sección titulada «Paso 4: revisa el resumen»](#paso-4-revisa-el-resumen) En **Review** ves el nombre de la aplicación, el grupo o usuario elegido, la plantilla del nombre de usuario externo y el flujo de autorización (**Authorization flow**) que exige el acceso. Revisa los datos y haz clic en **Add** para crear el acceso.  ## Gestionar un acceso [Sección titulada «Gestionar un acceso»](#gestionar-un-acceso) Cuando termina el proceso, el acceso aparece en la pestaña **Accesses** de la aplicación. Puedes gestionarlo en cualquier momento desde el botón **Options**:  * **Authorization flow**: muestra un resumen de las condiciones del acceso, es decir, las reglas configuradas. Cierra la ventana para salir.  * **Configure access**: permite modificar el acceso a partir del paso 2.  * **Delete access**: elimina el acceso de forma definitiva. # Autoridad de certificación > Crea o importa una autoridad de certificación (CA) en Ironchip y emite certificados de servidor y de cliente para HTTPS, SSH, SSL y VPN IPsec. Ironchip puede actuar como autoridad de certificación (CA) para emitir y gestionar certificados de servidor (HTTPS y SSH) y de cliente (HTTPS, SSL y VPN IPsec). Esta página explica cómo crear o importar la CA, emitir certificados y gestionar su ciclo de vida. ## Requisitos [Sección titulada «Requisitos»](#requisitos) * Acceso a la consola de Ironchip con rol de administrador. * Conocer el uso previsto de los certificados (HTTPS, SSH, SSL o VPN IPsec). * Para actuar como CA intermedia: el certificado y la clave privada de la CA superior, o un CSR firmado por ella. ## Crear la autoridad de certificación [Sección titulada «Crear la autoridad de certificación»](#crear-la-autoridad-de-certificación) El primer paso es crear la CA en la consola de Ironchip. Ironchip puede funcionar de dos formas: * **CA final (raíz)**: Ironchip firma directamente los certificados. Es la opción más sencilla para entornos cerrados. * **CA intermedia**: Ironchip firma los certificados con una CA subordinada, cuya firma procede de la CA corporativa. Es la opción recomendada cuando ya existe una PKI. 1. Ve a **Certificates** y haz clic en **New CA**. 2. Selecciona el tipo de CA (**Root CA** o **Intermediate CA**) y completa estos campos: * **Name**: nombre identificativo de la CA. * **Common Name**: nombre que aparece en el campo CN del certificado de la CA. * **Key algorithm**: RSA 4096 o ECDSA P-384. Se recomienda ECDSA P-384 para nuevas implantaciones. * **Validity**: periodo de validez de la CA. En una CA intermedia, no puede superar el de la CA superior. * **Path length**: número máximo de CA subordinadas que pueden depender de esta CA. Si la CA solo emite certificados finales, indica `0`. 3. Si has seleccionado **Intermediate CA**, haz clic en **Generate CSR**, descarga el archivo y fírmalo con tu CA superior. Después, vuelve a esta pantalla y haz clic en **Upload signed certificate** para cargar el certificado firmado junto con la cadena completa. 4. Haz clic en **Create CA**. La clave privada se genera y se almacena cifrada en Ironchip, y no se puede exportar. ## Importar una CA existente [Sección titulada «Importar una CA existente»](#importar-una-ca-existente) Si ya tienes una CA y quieres que Ironchip la use para emitir certificados: 1. Ve a **Certificates** y haz clic en **Import CA**. 2. Carga estos archivos: * El certificado de la CA en formato PEM. * La clave privada de la CA en formato PEM, con o sin contraseña. * La cadena de certificados hasta la raíz, si existe. Antes de importar, comprueba que la clave privada corresponde al certificado. Ejecuta estos comandos y verifica que las dos huellas coinciden: ```bash openssl x509 -in ca.crt -noout -pubkey | openssl sha256 openssl pkey -in ca.key -pubout | openssl sha256 ``` ## Emitir certificados de servidor (HTTPS y SSH) [Sección titulada «Emitir certificados de servidor (HTTPS y SSH)»](#emitir-certificados-de-servidor-https-y-ssh) Para emitir un certificado de servidor, ve a **Certificates**, selecciona la CA y haz clic en **New certificate**. Elige el perfil que corresponda. ### Perfil HTTPS [Sección titulada «Perfil HTTPS»](#perfil-https) Genera un certificado con el uso de clave Server Authentication. Indica el Common Name y los Subject Alternative Names (DNS o IP) del servicio. Puedes pegar un CSR propio o dejar que Ironchip genere el par de claves. Si prefieres generar la clave en el propio servidor, crea el CSR con este comando y pega su contenido en la consola: ```bash openssl req -new -newkey rsa:4096 -nodes -keyout servidor.key -out servidor.csr -subj "/CN=intranet.empresa.com" -addext "subjectAltName=DNS:intranet.empresa.com" ``` ### Perfil SSH [Sección titulada «Perfil SSH»](#perfil-ssh) Genera un certificado de host SSH firmado por la CA, de modo que los clientes confíen en el servidor sin tener que aceptar su huella a mano. Pega la clave pública del servidor (por ejemplo, el contenido de `/etc/ssh/ssh_host_ed25519_key.pub`) e indica los hostnames válidos. 1. Descarga el certificado emitido y cópialo en el servidor. 2. Añade esta línea a `/etc/ssh/sshd_config`: /etc/ssh/sshd_config ```text HostCertificate /etc/ssh/ssh_host_ed25519_key-cert.pub ``` 3. En los clientes, añade la CA como autoridad de confianza en `~/.ssh/known_hosts`: \~/.ssh/known_hosts ```text @cert-authority *.empresa.com ``` 4. Reinicia el servicio SSH para aplicar los cambios: ```bash sudo systemctl restart sshd ``` ## Emitir certificados de cliente (HTTPS, SSL y VPN IPsec) [Sección titulada «Emitir certificados de cliente (HTTPS, SSL y VPN IPsec)»](#emitir-certificados-de-cliente-https-ssl-y-vpn-ipsec) Los certificados de cliente permiten autenticar el dispositivo o al usuario frente a un servicio. Ve a **Certificates**, selecciona la CA y haz clic en **New certificate** con uno de estos perfiles: * **Client HTTPS/SSL**: certificado con el uso de clave Client Authentication, para mTLS en aplicaciones web y servicios SSL. * **VPN IPsec**: certificado con los usos de clave Client Authentication e IPsec end system, para túneles IKEv2 con certificados. Para cada certificado de cliente, indica: * **Subject**: usuario o dispositivo al que se asocia el certificado. Si seleccionas un usuario de Ironchip, el certificado queda vinculado a su identidad. * **Validity**: periodo de validez. Se recomienda un máximo de 12 meses para los certificados de dispositivo. * **Export format**: PEM o PKCS#12 (`.p12`). Con PKCS#12, define una contraseña de exportación. Descarga el certificado e instálalo en el dispositivo. Este es un ejemplo de configuración de un cliente IKEv2 con strongSwan: ipsec.conf ```ini conn ironchip-vpn keyexchange=ikev2 left=%any leftcert=cliente.crt leftid=%fromcert right=vpn.empresa.com rightid=@vpn.empresa.com rightsubnet=0.0.0.0/0 auto=start ``` El servidor VPN debe tener instalado el certificado de la CA de Ironchip como autoridad de confianza, para validar los certificados de los clientes. ## Gestionar el ciclo de vida de los certificados [Sección titulada «Gestionar el ciclo de vida de los certificados»](#gestionar-el-ciclo-de-vida-de-los-certificados) En **Certificates** puedes consultar todos los certificados emitidos, filtrarlos por CA, perfil, usuario o estado, y ejecutar estas acciones: * **Renew**: emite un nuevo certificado con los mismos datos y mantiene el anterior hasta que caduque. * **Revoke**: revoca el certificado e indica el motivo. La revocación se publica de inmediato en la CRL y en el servicio OCSP. * **Download**: descarga el certificado o la cadena completa. * **Export audit log**: descarga el historial de emisiones, renovaciones y revocaciones. Para que los servicios consulten el estado de revocación, configura en ellos estas URL, sustituyendo `` por el identificador de tu CA: ```text CRL: https://pki.ironchip.com/crl/.crl OCSP: https://pki.ironchip.com/ocsp/ ``` En el apartado **Alerts**, define con cuántos días de antelación quieres recibir un aviso por correo de los certificados que están a punto de caducar. # La consola de administración > Accede a la consola de administración de Ironchip, sigue la guía de primeros pasos y descubre qué puedes gestionar en cada sección del menú. La consola de administración de Ironchip es la herramienta con la que gestionas la seguridad y el acceso de los usuarios de tu compañía: aplicaciones, usuarios, grupos, dispositivos, zonas seguras y permisos. Esta página explica cómo entrar, qué ofrece la pantalla **Get started** y qué hace cada sección del menú. ## Para qué sirve [Sección titulada «Para qué sirve»](#para-qué-sirve) Con la consola gestionas todos los servicios y usuarios de la compañía y controlas todos los accesos. También puedes: * Seguir las autorizaciones en tiempo real, con métricas y registros de actividad. * Detectar intrusos con el sistema de detección de intrusos de Ironchip ([ITDR](/identidad/administracion/itdr/)). * Consultar la licencia contratada y su uso. ## Acceder a la consola [Sección titulada «Acceder a la consola»](#acceder-a-la-consola) 1. Entra en . 2. Introduce el correo electrónico con el que te registraste. 3. Inicia el proceso de autenticación. ## La pantalla Get started [Sección titulada «La pantalla Get started»](#la-pantalla-get-started) Al entrar en la consola, la pantalla **Get started** muestra una tarjeta por cada tarea principal. El botón **Let’s go!** de cada tarjeta lleva directamente al apartado donde se hace.  | Tarjeta | Para qué sirve | Más información | | ----------------------------------------- | ----------------------------------------------------------------------------------- | --------------------------------------------------------------------------------------------------- | | **Add a new user** | Añadir usuarios a la compañía. | [Añadir un usuario](/identidad/administracion/usuarios-y-grupos/#a%C3%B1adir-un-usuario) | | **Create a new application** | Dar de alta una aplicación protegida. | [Aplicaciones](/identidad/administracion/aplicaciones/) | | **Manage permissions** | Controlar las acciones de los administradores mediante permisos. | [Roles y permisos](/identidad/administracion/permisos/) | | **Add a new Administrator** | Dar acceso a la consola a un usuario. | [Asignar un administrador](/identidad/administracion/usuarios-y-grupos/#asignar-un-administrador) | | **Import users** | Importar usuarios a mano desde un archivo CSV. | [Sincronización de identidades](/identidad/administracion/sincronizacion/) | | **Synchronize users** | Sincronizar usuarios con SCIM. | [Sincronización de identidades](/identidad/administracion/sincronizacion/) | | **Recover an account** | Configurar una recuperación para volver a entrar desde el dispositivo elegido. | [Recuperar un dispositivo](/identidad/administracion/dispositivos/#recuperar-un-dispositivo) | | **Update your billing details** | Mantener al día los datos de facturación. | [Facturación y licencias](/identidad/administracion/monitorizacion/#facturaci%C3%B3n-y-licencias) | | **Manage groups** | Organizar a los usuarios en grupos. | [Grupos](/identidad/administracion/usuarios-y-grupos/#grupos) | | **Seamless integration with our plugins** | Descargar los plugins de las integraciones. | [Plugins de la consola](/identidad/administracion/sincronizacion/proxy-ldap/#plugins-de-la-consola) | | **Real-time company activity tracking** | Ver los gráficos diarios y la línea temporal de la actividad de la compañía. | [Métricas](/identidad/administracion/monitorizacion/#m%C3%A9tricas) | | **Advanced security logs overview** | Consultar los registros detallados de acciones, accesos y cambios de configuración. | [Registros de actividad](/identidad/administracion/monitorizacion/#registros-de-actividad) | | **Real-Time Security Monitoring** | Seguir las acciones de los usuarios y sus niveles de riesgo en tiempo real. | [ITDR](/identidad/administracion/itdr/) | | **Manage devices** | Consultar y gestionar los dispositivos de la compañía. | [Dispositivos](/identidad/administracion/dispositivos/#consultar-todos-los-dispositivos) | | **Manage personal safe zones** | Consultar y gestionar las zonas seguras personales. | [Zonas seguras](/identidad/conceptos/zonas-seguras/#zonas-seguras-personales-y-corporativas) | | **Manage corporate safe zones** | Consultar y gestionar las zonas seguras corporativas. | [Zona segura corporativa](/identidad/conceptos/zonas-seguras/#zona-segura-corporativa) | Si es la primera vez que despliegas Ironchip, sigue la guía [Primeros pasos](/identidad/primeros-pasos/): reúne, en orden, las seis tareas con las que arranca un despliegue. ## Mapa del menú [Sección titulada «Mapa del menú»](#mapa-del-menú) El menú lateral de la consola tiene esta estructura: ```text Get started Applications Directory Users Groups Devices Mobile Desktop RFID Safe zone Personal Corporate Synchronization Authentication policies Device policies Safe zone policies Password policies Security Permissions IP allowlist Credentials Monitoring Logs Metrics SIEM integration ITDR Realtime feed Threat analysis Ruleset Toolset Plugins Account settings Billing Look & feel ``` ## Qué hay en cada sección [Sección titulada «Qué hay en cada sección»](#qué-hay-en-cada-sección) Las secciones siguen el orden del menú. | Sección | Qué puedes hacer | Más información | | ----------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ | --------------------------------------------------------------------------------------------------- | | **Applications** | Dar de alta los servicios protegidos, crear integraciones HTTP-MFA y asignar accesos por usuario o grupo. | [Aplicaciones](/identidad/administracion/aplicaciones/) | | **Directory > Users** | Añadir usuarios, ver su estado de protección y gestionar sus cuentas. | [Usuarios y grupos](/identidad/administracion/usuarios-y-grupos/) | | **Directory > Groups** | Organizar a los usuarios en grupos y subgrupos. | [Grupos](/identidad/administracion/usuarios-y-grupos/#grupos) | | **Directory > Devices** | Consultar los dispositivos móviles y de escritorio y las tarjetas RFID de los usuarios. | [Dispositivos](/identidad/administracion/dispositivos/) | | **Directory > Safe zone** | Crear y compartir zonas seguras personales y corporativas. | [Zonas seguras](/identidad/conceptos/zonas-seguras/) | | **Directory > Synchronization** | Sincronizar usuarios por CSV, LDAP o SCIM. | [Sincronización de identidades](/identidad/administracion/sincronizacion/) | | **Authentication policies** | Agrupar dispositivos y zonas seguras en políticas de acceso e integrar contraseñas LDAP. | [Políticas de autenticación](/identidad/conceptos/politicas/) | | **Security > Permissions** | Definir qué grupos de administradores acceden a qué recursos de la consola. | [Roles y permisos](/identidad/administracion/permisos/) | | **Monitoring > Logs** y **Metrics** | Revisar los registros de actividad y las métricas de autenticación. | [Actividad y métricas](/identidad/administracion/monitorizacion/) | | **Monitoring > SIEM integration** | Enviar los eventos de autenticación a tu SIEM. | [Integración con un SIEM](/identidad/administracion/integracion-siem/) | | **ITDR** | Seguir en tiempo real las anomalías detectadas durante la autenticación (**Realtime feed**), analizar las amenazas (**Threat analysis**) y gestionar las reglas (**Ruleset**). | [ITDR](/identidad/administracion/itdr/) | | **Plugins** | Descargar los plugins de las integraciones (Windows NPS, ADFS, LDAP, Ironchip Logon, RADIUS y AD Connect). | [Plugins de la consola](/identidad/administracion/sincronizacion/proxy-ldap/#plugins-de-la-consola) | | **Account settings > Billing** | Consultar el plan contratado, su uso y los datos de facturación. | [Facturación y licencias](/identidad/administracion/monitorizacion/#facturaci%C3%B3n-y-licencias) | # Dispositivos > Da de alta, de baja y recupera los dispositivos de los usuarios, habilita cuentas deshabilitadas y consulta los dispositivos y tarjetas RFID de la compañía. Desde la consola de administración gestionas los dispositivos asociados a cada usuario: puedes darlos de alta, de baja y recuperarlos. Es especialmente útil si se pierde o se roba un dispositivo, porque permite desactivar el acceso desde él y recuperar la cuenta en otro. ## Alta o recuperación: cuál elegir [Sección titulada «Alta o recuperación: cuál elegir»](#alta-o-recuperación-cuál-elegir) Hay dos formas de añadir un dispositivo y conviene distinguirlas: * Si quieres dar de alta un dispositivo nuevo o un usuario nuevo, sigue el proceso de [dar de alta un dispositivo](#dar-de-alta-un-dispositivo). * Si quieres recuperar una cuenta desde un dispositivo dado de alta previamente, sigue el proceso de [recuperación](#recuperar-un-dispositivo). Un dispositivo ya registrado no se puede volver a dar de alta. ## Dar de alta un dispositivo [Sección titulada «Dar de alta un dispositivo»](#dar-de-alta-un-dispositivo) 1. Ve a **Directory > Users** y busca al usuario. 2. Haz clic en **Options** y después en **Add a device**.  3. En la ventana **Add a new device**, haz clic en **Add**. El usuario recibe un correo para añadir el dispositivo, que podrá usar como llave de autorización.  ## Dar de baja un dispositivo [Sección titulada «Dar de baja un dispositivo»](#dar-de-baja-un-dispositivo) 1. En **Directory > Users**, haz clic en el nombre del usuario para abrir su página. 2. En la pestaña **Keys** ves los dispositivos y las zonas seguras del usuario. 3. Para dar de baja un dispositivo o borrar una zona segura, haz clic en **Options** y después en **Delete key**.  Solo puedes borrar las llaves personales que no estén asociadas a un servicio. Siempre un dispositivo No puedes borrar el último dispositivo de un usuario: debe tener como mínimo uno asociado. ## Recuperar un dispositivo [Sección titulada «Recuperar un dispositivo»](#recuperar-un-dispositivo) Usa este proceso cuando un usuario ha perdido el acceso a la plataforma y quiere recuperar su cuenta desde un dispositivo ya registrado. 1. Ve a **Directory > Users** y busca al usuario. 2. Haz clic en **Options** y después en **Recover account**.  3. En el paso **Select a device**, elige el dispositivo desde el que el usuario quiere recuperar el acceso.  4. En el paso **Send recovery**, revisa el usuario y el dispositivo seleccionados y haz clic en **Add**.  El usuario recibe un correo electrónico de recuperación y sigue el mismo proceso que al registrarse para recuperar el dispositivo. Si la aplicación ya tiene una sesión activa, el usuario puede borrarla eliminando los datos de la aplicación. ## Habilitar una cuenta [Sección titulada «Habilitar una cuenta»](#habilitar-una-cuenta) Para habilitar una cuenta deshabilitada (escudo de Ironchip en gris): 1. Localiza al usuario en **Directory > Users**. 2. Haz clic en **Options** y selecciona **Enable Ironchip**.  Cuando se habilita, el escudo pasa a verde: la cuenta está activa y protegida por Ironchip. ## Consultar la página de un usuario [Sección titulada «Consultar la página de un usuario»](#consultar-la-página-de-un-usuario) Al hacer clic en el nombre de un usuario en **Directory > Users** se abre su página. En la cabecera ves cuántas llaves, aplicaciones y dispositivos tiene (**Keys**, **Apps** y **Devices**) y sus autorizaciones correctas e incorrectas del periodo que elijas. Debajo hay cinco pestañas: **Keys**, **Groups**, **Accesses**, **Invitations** y **Details**. En la pestaña **Accesses** ves las aplicaciones a las que tiene acceso el usuario, el grupo por el que lo tiene y su nombre de usuario en cada una. El botón **Authorization flow** de cada acceso muestra las condiciones que exige.  ## Consultar todos los dispositivos [Sección titulada «Consultar todos los dispositivos»](#consultar-todos-los-dispositivos) En **Directory > Devices** están los dispositivos de los usuarios de la compañía, repartidos en tres apartados: **Mobile**, **Desktop** y **RFID**. De cada dispositivo puedes saber el tipo, quién lo ha creado y los usuarios relacionados. Las zonas seguras tienen su propio apartado, **Directory > Safe zone**: consulta [Zonas seguras](/identidad/conceptos/zonas-seguras/#zonas-seguras-personales-y-corporativas). En **RFID** ves cada tarjeta con su plataforma y el usuario que la usa (**Used by**). Puedes borrar una tarjeta con **Delete** y exportar o sincronizar los datos mediante archivos CSV con **Export CSV** y **Synchronize**. Para dar de alta una tarjeta, consulta [Tarjeta NFC / RFID](/identidad/usuarios/rfid/).  Para compartir una zona segura con toda la compañía, consulta [Hacer pública una zona segura](/identidad/conceptos/zonas-seguras/#hacer-p%C3%BAblica-una-zona-segura). Para agrupar dispositivos y usarlos en los accesos, consulta [Políticas de dispositivos](/identidad/conceptos/politicas/#pol%C3%ADticas-de-dispositivos). # Distribución de la aplicación > Cómo distribuir la app móvil de Ironchip y los agentes de escritorio (Windows, Linux, macOS y RFID): tiendas, MDM, GPO, app a medida y lista blanca de USB. La app móvil de Ironchip se distribuye de forma pública, privada o a medida. Los agentes de escritorio se despliegan de forma masiva con GPO, MDM u otras herramientas de gestión. ## App móvil [Sección titulada «App móvil»](#app-móvil) ### Distribución pública [Sección titulada «Distribución pública»](#distribución-pública) Descarga la app desde la tienda de tu dispositivo. **Google Play (Android):** 1. Abre la aplicación **Play Store** en tu dispositivo. 2. Busca **Ironchip**. 3. **Descarga** la app. **App Store (iOS):** 1. Abre la aplicación **App Store** en tu dispositivo. 2. Busca **Ironchip**. 3. **Descarga** la app. ### Distribución privada [Sección titulada «Distribución privada»](#distribución-privada) Ironchip dispone de un repositorio privado de aplicaciones para las organizaciones que lo necesitan, como las que gestionan de forma centralizada sus dispositivos móviles corporativos. Hay dos modalidades: * **MDM**: distribución privada bajo demanda, integrada en la plataforma MDM corporativa (por ejemplo, Microsoft Intune, VMware Workspace ONE, JAMF para iOS o Kandji). Ironchip proporciona el paquete de la app para distribuirla de forma silenciosa. * **Enlace privado**: Ironchip proporciona un enlace privado para la descarga directa dentro de la organización, sin pasar por las tiendas públicas. ### App a medida [Sección titulada «App a medida»](#app-a-medida) Ironchip ofrece una app personalizada con la apariencia de tu empresa: logotipo, colores y nombre de la aplicación. Se puede desplegar de forma pública (tiendas) o privada (MDM o enlace). Contacta con el equipo de Ironchip para incluir todos los requisitos. ### Dispositivos compatibles [Sección titulada «Dispositivos compatibles»](#dispositivos-compatibles) * Android 6.0 o superior. Las señales electromagnéticas están activas desde Android 8.0. * iOS 10.0 o superior. ## Agente de escritorio para Windows [Sección titulada «Agente de escritorio para Windows»](#agente-de-escritorio-para-windows) El agente de escritorio (Ironchip Desktop App) para Windows se distribuye con un instalador `.msi`. Puedes descargarlo en la sección **Plugins** de la consola o en [GitHub (Ironchip-Windows-Logon)](https://github.com/Ironchip-Security/Ironchip-Windows-Logon/releases). Hay tres métodos de despliegue. ### Despliegue masivo con GPO [Sección titulada «Despliegue masivo con GPO»](#despliegue-masivo-con-gpo) Es el método recomendado para AD local. 1. Descarga el instalador `.msi` desde la sección **Plugins** de la consola. 2. En el servidor de dominio, abre la Consola de administración de directivas de grupo (GPMC). 3. Crea o edita un GPO y vincúlalo a la unidad organizativa (OU) que contiene los equipos de destino. 4. Ve a **Configuración del equipo > Directivas > Configuración de software > Instalación de software** y añade el paquete `.msi`. 5. El software se instala automáticamente en todos los equipos del dominio en el siguiente reinicio o al actualizar las directivas (`gpupdate /force`). Puedes preconfigurar en el GPO la API key de la compañía de Ironchip para que la instalación sea totalmente silenciosa y sin interacción del usuario. ### Despliegue con MDM o Intune [Sección titulada «Despliegue con MDM o Intune»](#despliegue-con-mdm-o-intune) Es el método recomendado para entornos en la nube o híbridos. 1. Sube el instalador `.msi` a Microsoft Intune (o a una herramienta MDM equivalente). 2. Crea una política de implementación de aplicaciones asignada al grupo de dispositivos de destino. 3. Configura los parámetros de instalación silenciosa (API key y entorno de producción). 4. Intune despliega la app en los dispositivos asignados en el siguiente ciclo de sincronización. Es compatible con Microsoft Intune, SCCM / Microsoft Endpoint Configuration Manager, Jamf (macOS), Kandji (macOS) y ManageEngine MDM. ### Instalación manual [Sección titulada «Instalación manual»](#instalación-manual) Para pilotos o grupos pequeños: ejecuta el instalador `.msi` directamente en el equipo e introduce la API key en el asistente de instalación. No se recomienda para despliegues de más de 20 equipos. Para más información sobre el agente, consulta [Inicio de sesión en Windows](/identidad/integraciones/puestos/windows-logon/). ## Agente de escritorio para Linux y macOS [Sección titulada «Agente de escritorio para Linux y macOS»](#agente-de-escritorio-para-linux-y-macos) ### Linux [Sección titulada «Linux»](#linux) El módulo PAM de Ironchip para Linux (`pam_ironchip_auth.so`) se distribuye desde la sección **Plugins** de la consola. Para desplegarlo en un parque de servidores Linux, usa Ansible, Puppet o Chef para automatizar la copia del módulo y la edición de los archivos de `/etc/pam.d/` en todos los servidores de destino. Ejemplo con Ansible: ```bash ansible-playbook ironchip_pam.yml -i inventario.ini ``` ### macOS [Sección titulada «macOS»](#macos) El módulo PAM para macOS se distribuye con JAMF Pro o Kandji. El flujo es: 1. Sube el `.pkg` del módulo PAM a JAMF. 2. Crea una política de despliegue asignada a los Mac corporativos. 3. Ejecuta un script posterior a la instalación que edita automáticamente el archivo de `/etc/pam.d/` con la API key de la compañía. Para más información, consulta [Inicio de sesión en macOS](/identidad/integraciones/puestos/macos-logon/). ## Agente RFID [Sección titulada «Agente RFID»](#agente-rfid) El agente `IronchipRFID.exe` se distribuye desde la sección **Plugins** de la consola. Para desplegarlo en varios equipos con lectores RFID: 1. Distribuye el ejecutable con GPO o con una herramienta de despliegue de software. 2. Configura la API key con un script de PowerShell que se ejecute como tarea de inicio de sesión o como script de GPO. El comando de configuración es: ```powershell .\IronchipRFID.exe c --api_key ``` Este proceso se puede automatizar por completo en los equipos del dominio, sin intervención del usuario. Para más información, consulta [RFID](/identidad/usuarios/rfid/). ## Lista blanca de USB con GPO [Sección titulada «Lista blanca de USB con GPO»](#lista-blanca-de-usb-con-gpo) Para permitir solo determinados dispositivos USB en los equipos del dominio: ### Obtener el ID de hardware del USB [Sección titulada «Obtener el ID de hardware del USB»](#obtener-el-id-de-hardware-del-usb) 1. Abre el Administrador de dispositivos. 2. Busca el dispositivo USB y abre sus propiedades. 3. Ve a la pestaña **Detalles** y selecciona **ID de hardware** en el menú desplegable. Anota el ID de hardware. ### Permitir dispositivos concretos [Sección titulada «Permitir dispositivos concretos»](#permitir-dispositivos-concretos) 1. Abre el Editor de directivas de grupo (`gpedit.msc`). 2. Ve a **Configuración del equipo > Plantillas administrativas > Sistema > Instalación del dispositivo > Restricciones de instalación del dispositivo**. 3. Abre la directiva **Permitir la instalación de dispositivos que coincidan con cualquiera de estos ID de dispositivo**. 4. Configúrala como **Habilitada**. 5. Haz clic en **Mostrar**. 6. Introduce el ID de hardware del dispositivo USB que anotaste.  ### Bloquear los dispositivos no aprobados [Sección titulada «Bloquear los dispositivos no aprobados»](#bloquear-los-dispositivos-no-aprobados) 1. En el Editor de directivas de grupo, ve a **Configuración del equipo > Plantillas administrativas > Sistema > Instalación del dispositivo > Restricciones de instalación del dispositivo**. 2. Abre la directiva **Evitar la instalación de dispositivos no descritos por otras configuraciones de políticas**. 3. Configúrala como **Habilitada**.  # Exportación de eventos del ITDR > Filtra los eventos del ITDR por usuario, riesgo y fechas y expórtalos: la consola te envía por correo un archivo con los eventos seleccionados. Filtra los eventos del [ITDR](/identidad/administracion/itdr/) que quieres consultar o exportar y solicita su exportación: recibirás por correo un archivo con los eventos seleccionados. ## Filtrar por usuario y riesgo [Sección titulada «Filtrar por usuario y riesgo»](#filtrar-por-usuario-y-riesgo) Hay dos filtros principales para elegir los eventos que quieres consultar o exportar: * **Email**: selecciona los eventos asociados a un usuario concreto. * **Risk level**: filtra los eventos según su nivel de riesgo. Puedes combinar ambos filtros. Por ejemplo, selecciona un correo concreto y muestra solo los eventos con un nivel de riesgo alto.  ## Filtrar por fecha [Sección titulada «Filtrar por fecha»](#filtrar-por-fecha) Además, puedes limitar los eventos a un periodo de tiempo, por ejemplo los de la última semana o un periodo personalizado. La consola ofrece varios periodos predefinidos y también puedes indicar a mano las fechas de inicio y fin.  ## Exportar los eventos [Sección titulada «Exportar los eventos»](#exportar-los-eventos) 1. Aplica los filtros que necesites. 2. Haz clic en **Export CSV** para solicitar la exportación.  3. En la ventana **Export ITDR reports**, revisa los filtros y haz clic en **Export CSV**. En cuanto esté listo, recibirás un correo electrónico con un archivo adjunto con los eventos seleccionados.  4. Abre el correo. El archivo adjunto incluye toda la información solicitada según los filtros que aplicaste.  # Integración con un SIEM > Recibe los eventos de Ironchip en tu SIEM: Ironchip los envía por HTTPS en JSON y rsyslog los recibe y los reenvía por syslog a QRadar, Splunk, Sentinel u otro. Esta página explica cómo llevar los eventos de tu compañía en Ironchip a tu SIEM: cómo los envía Ironchip y cómo recibirlos con rsyslog para reenviarlos por syslog. Es para quien administra la plataforma y el SIEM. ## Cómo funciona [Sección titulada «Cómo funciona»](#cómo-funciona) 1. Ironchip envía cada evento de tu compañía como un objeto JSON en una petición `POST` por HTTPS a una dirección tuya. 2. En tu red, un rsyslog recibe esas peticiones con su módulo de entrada HTTP (`imhttp`). 3. rsyslog reenvía cada evento por syslog a tu SIEM, que lo trata como cualquier otra fuente. Si tu SIEM tiene su propio colector HTTP, puede recibir los eventos directamente, sin rsyslog. La integración está disponible en las capas Enterprise y Premium. En Premium, además de los eventos de autenticación, el SIEM recibe las alertas del [ITDR](/identidad/administracion/itdr/). Consulta [Enterprise y Premium](/faq/#qu%C3%A9-diferencia-hay-entre-las-capas-enterprise-y-premium-en-la-integraci%C3%B3n-con-un-siem). ## Activarla [Sección titulada «Activarla»](#activarla) La activa el equipo de Ironchip para tu compañía. Pídela en **Monitoring > SIEM integration** o a tu contacto de Ironchip, con estos datos: | Dato | Ejemplo | Para qué | | ---------------------- | ---------------------------------------------- | ------------------------------------------------------------------------- | | Dirección de recepción | `https://siem-relay.example.com:8443/ironchip` | Dónde envía Ironchip los eventos. Tiene que ser accesible desde internet. | | Cabeceras | `Authorization: ApiKey ` | Con qué se identifica Ironchip ante tu receptor. | | Eventos | Autenticaciones y alertas del ITDR | Qué eventos quieres recibir. | Usa un certificado TLS válido en la dirección de recepción y un token largo y aleatorio solo para esta integración. ## Recibir los eventos con rsyslog [Sección titulada «Recibir los eventos con rsyslog»](#recibir-los-eventos-con-rsyslog) Esta configuración de referencia recibe los eventos por HTTPS, comprueba el token y los reenvía por syslog a tu SIEM. Se ha probado con rsyslog 8.2610 (la imagen oficial `rsyslog/rsyslog`) detrás de nginx. Adáptala a tu entorno. * **rsyslog** necesita el módulo de entrada HTTP `imhttp`. Escucha solo en local, sin TLS. * **Un proxy inverso** (nginx en el ejemplo, o el balanceador que ya uses) termina HTTPS con tu certificado y pasa las peticiones a rsyslog. 1. Guarda el token que acordaste con Ironchip en `/etc/rsyslog/imhttp-apikeys`, con permisos `600`. 2. Crea `/etc/rsyslog.d/ironchip.conf`: /etc/rsyslog.d/ironchip.conf ```ini # Recepción HTTP solo en local: el proxy inverso termina HTTPS delante module(load="imhttp" ports="127.0.0.1:8080") input(type="imhttp" endpoint="/ironchip" name="ironchip" ruleset="ironchip" apiKeyFile="/etc/rsyslog/imhttp-apikeys") # Syslog RFC 5424 con "ironchip" como aplicación; el mensaje es el JSON del evento template(name="IronchipRFC5424" type="string" string="<%PRI%>1 %TIMESTAMP:::date-rfc3339% %$myhostname% ironchip - - - %msg%\n") ruleset(name="ironchip") { action(type="omfwd" target="siem.example.com" port="514" protocol="tcp" template="IronchipRFC5424") } ``` 3. Publica la dirección por HTTPS en el proxy inverso. Con nginx: /etc/nginx/conf.d/ironchip-siem.conf ```nginx server { listen 8443 ssl; server_name siem-relay.example.com; ssl_certificate /etc/nginx/tls/siem-relay.crt; ssl_certificate_key /etc/nginx/tls/siem-relay.key; location = /ironchip { proxy_pass http://127.0.0.1:8080; } } ``` 4. Reinicia los dos servicios: ```bash sudo systemctl restart rsyslog nginx ``` 5. Comprueba que recibe y reenvía, con un evento de prueba: ```bash curl -H 'Authorization: ApiKey ' \ -d '{"type":"test","message":"prueba de Ironchip"}' \ https://siem-relay.example.com:8443/ironchip ``` La respuesta es `200` y a tu SIEM llega una línea como esta: ```text <13>1 2026-10-29T17:56:04.134194+00:00 siem-relay ironchip - - - {"type":"test","message":"prueba de Ironchip"} ``` `imhttp` separa los mensajes por saltos de línea, y cada evento de Ironchip llega en una sola línea de JSON, así que cada evento es un mensaje. Sin el token correcto, rsyslog responde `401` y no reenvía nada. ## En tu SIEM [Sección titulada «En tu SIEM»](#en-tu-siem) * Crea una fuente de syslog para el rsyslog receptor e identifica los eventos de Ironchip por la aplicación `ironchip`. * El contenido es JSON: usa el analizador JSON de tu SIEM para extraer sus campos (tipo de evento, usuario, aplicación, resultado, dirección IP…). * Algunos SIEM, como IBM QRadar, identifican la fuente por la dirección desde la que llega el syslog, no por su cabecera: en ese caso, todos los eventos de Ironchip llegan desde el rsyslog receptor. ## Problemas frecuentes [Sección titulada «Problemas frecuentes»](#problemas-frecuentes) | Síntoma | Qué hacer | | ------------------------------------------------------- | --------------------------------------------------------------------------------------------- | | La prueba con `curl` devuelve `401` | El token de la cabecera no coincide con el de `imhttp-apikeys`. | | La prueba con `curl` devuelve `502` | rsyslog no escucha en `127.0.0.1:8080`: revisa que cargue `imhttp` (`journalctl -u rsyslog`). | | La prueba funciona pero no llega nada de Ironchip | Comprueba que la dirección es accesible desde internet y que su certificado es válido. | | Los eventos llegan pero el SIEM no los separa en campos | Activa el análisis JSON del mensaje en la fuente de Ironchip. | ## Más información [Sección titulada «Más información»](#más-información) * [Exportación de eventos del ITDR](/identidad/administracion/exportacion-de-eventos/): exportar eventos a un archivo desde la consola. * [Actividad y métricas](/identidad/administracion/monitorizacion/) # Invitación automática > Activa la invitación automática en un grupo de la consola para que sus usuarios reciban un correo y configuren su dispositivo con Ironchip. La invitación automática (`autoinvite`) es una opción de los grupos de la consola de administración. Puedes activarla en un grupo que ya existe o al crear uno nuevo. ## Cómo funciona [Sección titulada «Cómo funciona»](#cómo-funciona) A todos los usuarios que ya están en un grupo con la invitación automática activada, o que se añadan a él, se les activa la cuenta y se les envía un correo para configurar su dispositivo con Ironchip. ## Activarla en un grupo existente [Sección titulada «Activarla en un grupo existente»](#activarla-en-un-grupo-existente) 1. Ve a **Directory > Groups**. 2. En el grupo que quieres modificar, haz clic en **Options**. 3. Haz clic en **Enable autoinvite**.  ## Activarla al crear un grupo [Sección titulada «Activarla al crear un grupo»](#activarla-al-crear-un-grupo) Al crear el grupo con **Add group**, activa la opción **Email invitation sending** en la ventana **Add new Group**. Para más información sobre los grupos, consulta [Usuarios y grupos](/identidad/administracion/usuarios-y-grupos/#crear-un-grupo).   # ITDR y registro de actividad > Monitoriza en la consola las anomalías de autenticación con el ITDR: feed en tiempo real, lectura del informe de riesgo, niveles de riesgo e histórico. El módulo ITDR (Identity Threat Detection and Response) de la consola es un sistema de detección de intrusos: monitoriza los intentos de autenticación y detecta patrones anómalos, desde avisos hasta la detección de fraude. Cada anomalía genera un informe con el tipo de anomalía, la fecha en la que se produjo y el usuario afectado. Descarga el manual en PDF: [ITDR](https://7745202.fs1.hubspotusercontent-na1.net/hubfs/7745202/04-itdr-directorio-cuenta.pdf). ## Qué detecta el ITDR [Sección titulada «Qué detecta el ITDR»](#qué-detecta-el-itdr) El ITDR detecta, por ejemplo, accesos fallidos reiterados, intentos desde ubicaciones inusuales y comportamientos fuera del perfil histórico del usuario. Permite configurar reglas de alerta y bloqueo automático. Las reglas de riesgo se describen en [Políticas y reglas dinámicas](/identidad/conceptos/politicas/) y la descarga de los eventos en [Exportación de eventos del ITDR](/identidad/administracion/exportacion-de-eventos/). ## Acceder al feed de eventos [Sección titulada «Acceder al feed de eventos»](#acceder-al-feed-de-eventos) 1. En el menú principal de la consola, haz clic en **ITDR** para entrar en el módulo.  2. Haz clic en **Realtime feed** para ver, a medida que se producen, los eventos analizados por el motor de fraude.  3. En el evento que quieras investigar, haz clic en **Options** para desplegar las acciones disponibles. A la derecha, el panel **Transaction details** resume el evento: el usuario, la localización, el dispositivo (si está rooteado, emulado o depurado), el análisis de red (país, VPN, TOR, proxy y hosting) y los casos de fraude asociados.  4. Haz clic en **View report** para abrir el informe detallado del evento, o en **Block user** para bloquear al usuario si detectas un comportamiento sospechoso.  Además de **Realtime feed**, el menú **ITDR** incluye **Threat analysis** (con las vistas **Confirmed** y **Suspected**), **Ruleset** y **Toolset**. ## Leer el informe [Sección titulada «Leer el informe»](#leer-el-informe) El informe se organiza en bloques, y cada uno aporta una perspectiva distinta sobre el mismo evento. ### Evaluación de riesgo [Sección titulada «Evaluación de riesgo»](#evaluación-de-riesgo) **Risk assessment** muestra el veredicto global que calcula Ironchip para la acción analizada (registro, inicio de sesión, transacción, etc.), según el nivel de confianza del sistema.  ### Información de fraude detectado [Sección titulada «Información de fraude detectado»](#información-de-fraude-detectado) Recoge el análisis escrito del caso: qué patrón se ha detectado y por qué el evento se ha marcado como sospechoso o fraudulento.  ### Detalles de localización [Sección titulada «Detalles de localización»](#detalles-de-localización) Presenta la información de ubicación asociada al evento.  ### Detalles del dispositivo [Sección titulada «Detalles del dispositivo»](#detalles-del-dispositivo) Incluye la información de integridad del dispositivo que llega a través del SDK de Ironchip, como indicios de Fake GPS o de dispositivo con root o jailbreak.  ### Inteligencia de amenazas [Sección titulada «Inteligencia de amenazas»](#inteligencia-de-amenazas) **Threat intelligence** aporta contexto adicional sobre el dispositivo, el usuario o la localización que puede ser relevante para la investigación del caso.  ### Niveles de evaluación de riesgo [Sección titulada «Niveles de evaluación de riesgo»](#niveles-de-evaluación-de-riesgo) Ironchip clasifica cada acción analizada en uno de estos cuatro niveles: | Nivel | Significado | | -------------- | -------------------------------------------------------------------------------------------------------- | | `fraud` | Ironchip considera que la acción es fraudulenta y está implicada en un fraude confirmado. | | `high_risk` | La acción es potencialmente fraudulenta. Se recomienda aplicar medidas preventivas. | | `low_risk` | Ironchip considera segura la acción realizada por el dispositivo. | | `unknown_risk` | Ironchip no tiene evidencia suficiente para emitir una evaluación precisa en el momento de la solicitud. | ## Consultar el histórico de informes [Sección titulada «Consultar el histórico de informes»](#consultar-el-histórico-de-informes) 1. Haz clic en **Back to reports** para salir del informe individual y volver al listado general.  2. Haz clic en **All time** para ver todos los informes disponibles, sin restricción de fecha.  3. Para acotar el listado a un periodo concreto, por ejemplo al investigar un incidente puntual, usa el filtro de fechas.  4. Para investigar a un usuario, filtra el listado por su correo electrónico.  ## Registro de actividad [Sección titulada «Registro de actividad»](#registro-de-actividad) Además del ITDR, la consola guarda un registro completo y auditable de todas las acciones que los administradores hacen en el panel y de todos los eventos de autenticación de los usuarios. Incluye quién accedió, cuándo, desde qué ubicación, a qué servicio y si el acceso se concedió o se denegó. Estos registros son la base de las evidencias para auditorías de ENS, NIS2, ISO 27001 y PCI DSS. Para más información, consulta [Monitorización](/identidad/administracion/monitorizacion/). # Actividad y métricas > Revisa los registros de actividad, las métricas de autenticación de la compañía, los usuarios y los servicios, y consulta la licencia contratada. La sección **Monitoring** de la consola de administración reúne los registros de actividad (**Logs**) y las métricas de autenticación (**Metrics**). La licencia contratada y los datos de facturación se consultan en **Billing**, dentro de **Account settings**. ## Registros de actividad [Sección titulada «Registros de actividad»](#registros-de-actividad) En los registros de actividad (**Activity Logs**, en **Monitoring > Logs**) supervisas y analizas los registros de actividad y los eventos, fundamentales para garantizar la seguridad, el rendimiento y la integridad de la plataforma. Desde aquí puedes detectar problemas, hacer análisis y tomar medidas de forma proactiva. La plataforma muestra eventos y registros como: * **Accesos exitosos y fallidos**: inicios de sesión y fallos de autenticación. * **Cambios de configuración**: eventos que indican cambios en la configuración del sistema. * **Errores y excepciones**: eventos que señalan errores en el funcionamiento normal del sistema. * **Actividad de usuarios**: acciones de los usuarios, como la creación o eliminación de recursos.  A la derecha se muestran los detalles más importantes del registro seleccionado: el tipo de evento, el usuario que lo ha realizado y hace cuánto tiempo ocurrió. ## Métricas [Sección titulada «Métricas»](#métricas) En la sección de métricas (**Monitoring > Metrics**) ves estadísticas de la compañía: el número de autenticaciones, de servicios y de usuarios registrados, la actividad diaria y más. Dan información valiosa sobre el uso y la seguridad de la plataforma. ### Métricas de la compañía [Sección titulada «Métricas de la compañía»](#métricas-de-la-compañía) * **Autenticaciones**: las que se han realizado en la compañía, diferenciando las correctas y las incorrectas. * **N.º de Servicios**: los servicios creados y protegidos en la compañía. * **N.º de Usuarios**: los usuarios registrados en la compañía. * **Daily activity**: las autenticaciones de cada día del mes seleccionado, diferenciando las correctas y las incorrectas en un gráfico. * **Timeline**: las autenticaciones de la compañía en tiempo real. De cada una puedes ver: * En qué servicio y a qué hora se autenticó el usuario. * Las llaves que se usaron, es decir, el dispositivo y, si se requiere, la zona segura. Si se usó una zona segura, aparece el porcentaje con el que se accedió al servicio. * El resultado de la autorización: correcta o incorrecta.  ### Métricas de un usuario [Sección titulada «Métricas de un usuario»](#métricas-de-un-usuario) Además de las métricas generales, puedes consultar las de cada usuario seleccionándolo en el listado de usuarios: * **Autenticaciones**: las que ha realizado el usuario seleccionado, diferenciando las correctas y las incorrectas. * **N.º de Servicios**: los servicios a los que tiene acceso. * **N.º de Llaves**: las llaves a las que tiene acceso, tanto personales como compartidas.   ### Métricas de un servicio [Sección titulada «Métricas de un servicio»](#métricas-de-un-servicio) Y las de cada servicio, seleccionándolo en el listado de aplicaciones: * **Autenticaciones**: las que se han realizado en el servicio seleccionado, diferenciando las correctas y las incorrectas. * **N.º de Usuarios**: los usuarios con acceso al servicio. * **N.º de Llaves**: las llaves con las que se puede acceder al servicio, tanto personales como compartidas.   ## Facturación y licencias [Sección titulada «Facturación y licencias»](#facturación-y-licencias) La gestión de licencias es fundamental para controlar cuántos usuarios y zonas seguras puedes usar en la plataforma. Cada licencia tiene un límite, y conviene respetarlo para evitar problemas de acceso y garantizar el funcionamiento correcto de la plataforma. En **Account settings > Billing** consultas el plan de licencias contratado. La página muestra: * **Plan details**: el plan actual (**Current plan**), su fecha de caducidad y el botón **Change plan**. También el intervalo de facturación (**Billing interval**), el correo (**Billing email**), la dirección (**Billing Address**) y el número de IVA (**VAT/GST number**), que actualizas con **Update billing details**. * **Next payment**: el próximo pago previsto. * **Resource usage**: los usuarios activos (**Active users**) y las zonas públicas (**Public zones**) en uso frente a los contratados, con el porcentaje consumido. * **Invoices**: las facturas disponibles.  Si necesitas más usuarios o zonas seguras compartidas, puedes cambiar la licencia. Hay tres tipos de licencia, y sus propiedades se describen en la propia consola.  # Multicuenta > Configura varios perfiles en la app autenticadora de Ironchip: envía la invitación, cierra la sesión actual y enrola una nueva identidad. La app autenticadora de Ironchip admite varios perfiles. Para añadir un perfil nuevo, antes hay que enviar una invitación a la cuenta que quieres añadir. ## Añadir un perfil al autenticador [Sección titulada «Añadir un perfil al autenticador»](#añadir-un-perfil-al-autenticador) 1. Envía la invitación desde la consola de administración: ve a **Directory > Users**, abre el menú **Options** del usuario cuya cuenta quieres añadir y haz clic en **Add a device**. Para más información sobre la gestión de usuarios, consulta [Usuarios y grupos](/identidad/administracion/usuarios-y-grupos/).  2. Abre la aplicación del autenticador. 3. Pulsa el menú de las tres líneas, en la esquina superior derecha, y selecciona **Log out**.   4. Tras cerrar sesión, la app muestra el perfil que ya está configurado. En la parte inferior, pulsa **Añadir un perfil** para iniciar el enrolamiento con una nueva identidad.  5. Abre el correo electrónico donde recibiste la invitación, haz clic en **Confirm my device** y sigue los pasos indicados para completar el enrolamiento de la nueva identidad en el autenticador.  ## Vídeo [Sección titulada «Vídeo»](#vídeo) [ Cómo añadir un segundo perfil al autenticador de IronchipReproducir el vídeo](https://play.hubspotvideo.com/v/7745202/id/207213545479) # Roles y permisos (RBAC) > Controla qué grupos de administradores acceden a qué recursos de la consola y con qué operaciones, y conoce los roles de usuario de Ironchip. Ironchip incluye un sistema de control de acceso basado en roles (RBAC, Role-Based Access Control). Permite definir qué grupos de administradores tienen acceso a qué recursos de la consola y con qué operaciones, y garantiza el principio de mínimo privilegio dentro del propio equipo de IT. La gestión de permisos es una parte crítica de la administración de Ironchip, porque controla el acceso a los recursos y datos de la organización. Asignar permisos a grupos y subgrupos simplifica la administración, porque puedes conceder o revocar acceso a muchos usuarios a la vez. [Descargar la documentación de políticas y seguridad (RBAC) en PDF (en español)](https://7745202.fs1.hubspotusercontent-na1.net/hubfs/7745202/03-politicas-y-seguridad.pdf) ## Cómo funciona el RBAC [Sección titulada «Cómo funciona el RBAC»](#cómo-funciona-el-rbac) El sistema de permisos se organiza en torno a tres elementos: * **Grupo**: el conjunto de usuarios o administradores a los que se aplica el permiso (por ejemplo, `Ironchip Administrators`, `Presales`, `Mobility` o `Administration`). * **Recurso**: el objeto o sección de la consola sobre el que se ejerce el permiso (por ejemplo, Users, Groups, Keys, Applications, Synchronization, RADIUS Servers o Permissions). * **Operación**: las acciones permitidas sobre ese recurso: All, Read, Write, Update y Delete. La combinación de los tres define una regla de permiso. Cada grupo puede tener varias reglas sobre distintos recursos, lo que permite configurar perfiles de administración granulares. En **Security > Permissions** la consola muestra una tabla con las columnas **Group**, **Resource**, **Operation** y **Manage**, para ver y gestionar de forma centralizada todos los permisos configurados. ## Operaciones disponibles [Sección titulada «Operaciones disponibles»](#operaciones-disponibles) | Operación | Descripción | | ---------- | ------------------------------------------------------------------------------------------------------------------------------------------------------ | | **All** | Acceso completo al recurso: incluye todas las operaciones (Read, Write, Update y Delete). Equivale a permisos de superadministrador sobre ese recurso. | | **Read** | Solo lectura. El grupo puede consultar el recurso, pero no modificarlo ni eliminarlo. | | **Write** | Puede crear registros nuevos en el recurso. No puede modificar ni eliminar los existentes. | | **Update** | Puede modificar registros existentes. No puede crear nuevos ni eliminar. | | **Delete** | Puede eliminar registros del recurso. No puede crear ni modificar. | ## Recursos que se pueden gestionar [Sección titulada «Recursos que se pueden gestionar»](#recursos-que-se-pueden-gestionar) | Recurso | Descripción | | ------------------------- | ------------------------------------------------------------------------------------------ | | **Users (All)** | Gestión completa de usuarios: altas, bajas, roles, dispositivos y recuperación de cuentas. | | **Groups (Ironchip)** | Gestión de los grupos de usuarios de la compañía en Ironchip. | | **Keys (Ironchip)** | Gestión de zonas seguras: creación, edición, eliminación y compartición. | | **Keys (Mobility)** | Gestión de las zonas seguras del módulo de movilidad. | | **Applications (All)** | Creación y gestión de las aplicaciones integradas en la plataforma. | | **Synchronization (All)** | Configuración y gestión de la sincronización de usuarios (LDAP, SCIM, AD Connect y CSV). | | **RADIUS Servers (All)** | Gestión de los servidores RADIUS configurados en la plataforma. | | **Permissions (All)** | Gestión del propio sistema de permisos RBAC. Solo para superadministradores. | | **All (All)** | Acceso total a todos los recursos y operaciones. Equivale a administrador global. | ## Crear un permiso [Sección titulada «Crear un permiso»](#crear-un-permiso) 1. Entra en la consola: . 2. Ve a **Security > Permissions**. 3. Haz clic en **Add permission**. Se abre la ventana **Add a new permission**. 4. En **Group selection**, elige el grupo al que quieres asignar el permiso y haz clic en **Next**.  5. En **Resource selection**, elige en **Select resource type** el recurso sobre el que se aplica el permiso, por ejemplo All, Application Accesses, Applications, Authentication policies o Billing, y haz clic en **Next**.  6. En **Operation selection**, configura las operaciones según tus necesidades (Write, Read, Update, Delete o All). Para cada una, marca **Allow** para permitirla o **Deny** para denegarla. Haz clic en **Next**.  7. En **Permission review**, revisa el resumen, marca **I understand the new permission implications and want to continue** y haz clic en **Add**. El permiso queda activo de forma inmediata.  Restringe quién gestiona el RBAC Solo los grupos con permiso **All**, o **Write** o **Update**, sobre el recurso **Permissions** pueden gestionar el sistema RBAC. Te recomendamos restringir este acceso al grupo de administradores globales (`Ironchip Administrators`). ## Editar y revisar permisos [Sección titulada «Editar y revisar permisos»](#editar-y-revisar-permisos) En la sección **Permissions** aparecen todos los permisos, con los recursos asignados y las operaciones aceptadas para cada uno. Puedes borrarlos y también editarlos con el botón **Edit permission**. A la derecha se muestran los detalles de los permisos seleccionados, para tener una vista rápida.  ## Ejemplo de configuración [Sección titulada «Ejemplo de configuración»](#ejemplo-de-configuración) Esta tabla muestra los permisos de una configuración de ejemplo en **Security > Permissions**: | Grupo | Recurso | Operaciones | | ------------------------- | --------------------- | ----------------------------------------------- | | `Ironchip Administrators` | All (All) | All: acceso total a la plataforma | | `Presales` | All (All) | All: acceso total a la plataforma | | `Mobility` | Keys (Mobility) | All: gestión completa de las zonas de movilidad | | `Administration` | Users (All) | All, Delete, Read, Update, Write | | `Presales` | Groups (Ironchip) | Delete, Read, Update, Write | | `Presales` | Keys (Ironchip) | Delete, Update, Write | | `Presales` | Synchronization (All) | Delete, Update, Write | | `Presales` | RADIUS Servers (All) | Delete | | `Presales` | Permissions (All) | Delete, Update, Write | | `Presales` | Applications (All) | Delete, Write | ## Roles de usuario en la plataforma [Sección titulada «Roles de usuario en la plataforma»](#roles-de-usuario-en-la-plataforma) Independientemente del RBAC de la consola, cada usuario de Ironchip tiene asignado uno de estos tres roles: | Rol | Descripción | | ----------------- | ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | **Administrador** | Tiene acceso al servicio de la consola de administración. Puede gestionar usuarios, aplicaciones, accesos y configuración según los permisos RBAC asignados a su grupo. | | **Usuario** | Usuario verificado y activo en Ironchip. No tiene acceso a la consola de administración: solo puede autenticarse en los servicios a los que tiene acceso. | | **Invitado** | Usuario creado en la plataforma que aún no ha completado la verificación. El escudo de la columna **Protection** aparece en naranja (invitación enviada, no verificado) o en rojo (invitación no enviada). | Para asignar el rol de administrador, consulta [Asignar un administrador](/identidad/administracion/usuarios-y-grupos/#asignar-un-administrador). # Sincronización de identidades > Trae usuarios y grupos a Ironchip desde Active Directory, Entra ID, LDAP, SCIM o un archivo CSV, y resuelve las dudas más habituales de la sincronización. Mantén los usuarios y grupos de la consola de administración alineados con tu directorio. Esta página resume los métodos de sincronización disponibles, explica cómo sincronizar con SCIM o con un archivo CSV desde la consola y reúne las preguntas frecuentes. | Origen | Mecanismo | Guía | | ---------------------- | -------------------------------------------------- | ----------------------------------------------------------------------------------- | | Active Directory local | Agente Ironchip AD Connect instalado en el dominio | [AD Connect](/identidad/administracion/sincronizacion/ad-connect/) | | Microsoft Entra ID | Aplicación empresarial con aprovisionamiento SCIM | [Entra ID](/identidad/administracion/sincronizacion/entra-id/) | | Directorio LDAP | Comando `sync-users` del proxy LDAP de Ironchip | [Proxy LDAP](/identidad/administracion/sincronizacion/proxy-ldap/) | | Otro directorio | Credencial SCIM creada en la consola | [SCIM en la consola](#scim-en-la-consola) | | Archivo CSV | Plantilla que se carga desde la consola | [Sincronizar usuarios con un archivo CSV](#sincronizar-usuarios-con-un-archivo-csv) | En la consola, el menú **Directory > Synchronization** tiene dos opciones: **CSV**, para sincronizar con un archivo, y **SCIM**, para la sincronización automática.  ## SCIM en la consola [Sección titulada «SCIM en la consola»](#scim-en-la-consola) SCIM (System for Cross-domain Identity Management) sincroniza de forma automática los usuarios y grupos de tu directorio con Ironchip. Cualquier alta, cambio o baja en el directorio se refleja en la consola sin gestionar los usuarios a mano. Para usarlo, crea una credencial SCIM en la consola y configúrala en el origen: [AD Connect](/identidad/administracion/sincronizacion/ad-connect/), [Entra ID](/identidad/administracion/sincronizacion/entra-id/) u otro sistema compatible con SCIM 2.0. 1. Ve a **Directory > Synchronization > SCIM**. La página **Synchronization with SCIM** tiene dos pestañas: **Get started** y **Credentials**.  2. Abre **Credentials** y haz clic en **Add credential** para crear el secreto de tu compañía. La lista muestra cada credencial con su pista (**Hint**) y su fecha, y puedes buscar por pista.  3. Copia el secreto y guárdalo en un lugar seguro. 4. Configura el origen con estos valores: * **Tenant URL**: `https://api.ironchip.com/scim/v2`. * **Secret Token**: el secreto de la credencial que acabas de crear. En AD Connect se llama **SCIM synchronization key**. ## Sincronización automática con LDAP [Sección titulada «Sincronización automática con LDAP»](#sincronización-automática-con-ldap) La sincronización con LDAP mantiene actualizada la base de usuarios de Ironchip a partir del Active Directory de tu empresa. Cualquier cambio en los usuarios o grupos del AD se refleja en la consola sin gestionar los usuarios a mano. También permite sincronizar atributos concretos, como el número de teléfono, para que la información sea la misma en ambos sistemas. Para configurarla, sigue la guía de [AD Connect](/identidad/administracion/sincronizacion/ad-connect/). El [proxy LDAP](/identidad/administracion/sincronizacion/proxy-ldap/) también incluye una herramienta para sincronizar usuarios desde LDAP. ## Sincronización con Entra ID mediante SCIM [Sección titulada «Sincronización con Entra ID mediante SCIM»](#sincronización-con-entra-id-mediante-scim) Esta integración sincroniza de forma automática los usuarios de tu organización desde Microsoft Entra ID (antes Azure AD) hacia la consola de Ironchip. Con el protocolo SCIM, cualquier usuario o grupo que asignes a tu aplicación empresarial se aprovisiona en Ironchip sin gestión manual. También puedes mapear atributos de los usuarios de Entra ID con los campos de Ironchip. El proceso se resume así: 1. **Configuración en Ironchip.** Crea en la consola de administración una credencial SCIM para obtener el **Tenant URL** y el **Secret Token** de tu compañía. Consulta [SCIM en la consola](#scim-en-la-consola). 2. **Aprovisionamiento en Entra ID.** En el portal de Microsoft Entra ID, añade la aplicación de Ironchip y configura las credenciales en **Aprovisionamiento**. 3. **Mapeo de atributos.** Define qué campos (nombre, correo, grupos) se sincronizan. Ironchip usa estos datos para crear, actualizar o dar de baja usuarios de forma automática. 4. **Sincronización en tiempo real.** Cualquier cambio en el directorio, como dar de baja a un empleado o cambiarlo de departamento, se refleja de inmediato en Ironchip. La guía completa está en [Sincronizar usuarios con Entra ID](/identidad/administracion/sincronizacion/entra-id/). ## Sincronizar usuarios con un archivo CSV [Sección titulada «Sincronizar usuarios con un archivo CSV»](#sincronizar-usuarios-con-un-archivo-csv) La sincronización con CSV permite dar de alta el número de usuarios que quieras con un único archivo. Entra en **Directory > Synchronization > CSV**. El asistente tiene cuatro pasos: **Template download**, **Template upload**, **Sync options** y **Summary**. 1. Haz clic en **Synchronize**, a la derecha de la ventana. 2. En el paso **Template download**, lee la información de la ventana: explica cómo rellenar la plantilla y que no debes cambiar la extensión `.csv` ni los nombres de las columnas. Haz clic en **Download template** y después en **Next**. Si ya tienes una plantilla, puedes saltar este paso.  3. Rellena la plantilla con los datos de los usuarios que quieres sincronizar. 4. En el paso **Template upload**, arrastra la plantilla rellena a la zona indicada, o haz clic en la zona para seleccionarla desde el explorador de archivos.  5. Cuando la plantilla se haya cargado correctamente, haz clic en **Next**. Con **Back** vuelves al paso anterior.  6. En el paso **Sync options**, elige a qué grupo se añaden los usuarios y cómo se tratan los usuarios que no están en los nuevos datos: * **Delete them from the selected group.** Si un usuario del grupo no está en los nuevos datos, se elimina del grupo seleccionado. * **Also delete them from the platform.** Además, se elimina de la plataforma. * **Enable invitation to Ironchip for the synchronized users.** Activa la protección de Ironchip para los usuarios sincronizados. Si no la marcas, los usuarios sincronizados no quedan protegidos por Ironchip. Si eliges un grupo por defecto (`AllUsers`, `Personal-Group`), la consola te avisa de que vas a actualizar el grupo de usuarios de la compañía con nuevos datos y de que esto puede eliminar usuarios de la compañía de forma permanente. Confirma el aviso para continuar.  7. Haz clic en **Next**. 8. En el paso **Summary**, revisa el resumen final de la sincronización: * La plantilla importada: `{filename}.csv`. * El grupo al que se añaden los usuarios sincronizados. * Si los usuarios sincronizados quedan o no protegidos por Ironchip. * Qué pasa con un usuario del grupo que no está en los nuevos datos: se queda en él o se elimina, según lo que elegiste.  9. Marca **I have read the synchronization summary and understand the implications.** y haz clic en **Add**. Si tienes dudas, vuelve a las pantallas anteriores con **Back**. Acciones irreversibles Lee con atención los mensajes que muestra la consola en cada paso. Al eliminar un usuario de la plataforma se pierden todos sus datos, claves y accesos, y no se pueden recuperar. Al terminar, la pantalla principal lista las sincronizaciones: el grupo actualizado, el nombre del archivo, la fecha, el estado y los usuarios sincronizados sobre el total del archivo. Así ves de un vistazo si ha habido algún fallo durante el proceso.  ## Integraciones MFA [Sección titulada «Integraciones MFA»](#integraciones-mfa) Ironchip se integra con sistemas MFA de terceros para añadir una capa de seguridad cuando usas servicios externos para autenticar. Las integraciones HTTP-MFA se crean en la consola, en **Applications > MFA integrations**: primero se crea la integración y después se da de alta un servicio de ese tipo. Consulta [Aplicaciones](/identidad/administracion/aplicaciones/#crear-una-integraci%C3%B3n-http-mfa). ## Preguntas frecuentes [Sección titulada «Preguntas frecuentes»](#preguntas-frecuentes) ### ¿Qué métodos hay para integrar Ironchip con Active Directory? [Sección titulada «¿Qué métodos hay para integrar Ironchip con Active Directory?»](#qué-métodos-hay-para-integrar-ironchip-con-active-directory) Hay cuatro: * **Agente AD Connect:** el método más común para AD local. Sincroniza usuarios y grupos de forma automática y en tiempo real. * **LDAP directo:** sin agente local, con sincronización periódica. Es para directorios LDAP que no son de Windows. * **Entra ID mediante SCIM o conector nativo:** para entornos en la nube o híbridos. * **AD con Windows Logon:** el agente añade Ironchip como proveedor de credenciales adicional sobre AD. Consulta [Inicio de sesión en Windows](/identidad/integraciones/puestos/windows-logon/). ### ¿Qué diferencia hay entre integrar AD por LDAP y con AD Connect? [Sección titulada «¿Qué diferencia hay entre integrar AD por LDAP y con AD Connect?»](#qué-diferencia-hay-entre-integrar-ad-por-ldap-y-con-ad-connect) * **AD Connect:** instala software en la red y sincroniza en tiempo real. Es lo ideal para AD local y admite grupos complejos y atributos avanzados. * **LDAP directo:** no necesita agente y sincroniza de forma periódica (pull). Es más sencillo y sirve para directorios LDAP que no son de Windows o cuando no se puede instalar software en el servidor. ### La consola muestra menos usuarios que el Active Directory [Sección titulada «La consola muestra menos usuarios que el Active Directory»](#la-consola-muestra-menos-usuarios-que-el-active-directory) Las causas más habituales son: * Grupos hijo sin sincronizar: el agente puede no sincronizar todos los miembros de los subgrupos anidados. * Configuración incorrecta del grupo con invitación automática (`Autoinvite`) en Ironchip. Consulta [Invitación automática](/identidad/administracion/invitacion-automatica/). Para resolverlo, escribe a soporte indicando el nombre del grupo afectado, para que verifiquen la versión del agente y la configuración. ### ¿Cómo se gestionan los grupos anidados (grupos hijo) de Active Directory? [Sección titulada «¿Cómo se gestionan los grupos anidados (grupos hijo) de Active Directory?»](#cómo-se-gestionan-los-grupos-anidados-grupos-hijo-de-active-directory) Al configurar la sincronización, indica de forma explícita si se sincronizan los miembros de los grupos hijo. El grupo hijo debe estar asociado al grupo de Ironchip correspondiente. Los grupos hijo que añadas después de la configuración inicial pueden requerir un ajuste manual. ### ¿Cómo se actualiza el agente de AD Connect? [Sección titulada «¿Cómo se actualiza el agente de AD Connect?»](#cómo-se-actualiza-el-agente-de-ad-connect) La actualización requiere una sesión técnica conjunta entre Ironchip y tu equipo de IT. Ironchip valida la actualización antes de la sesión. Escribe a para coordinarla. ### ¿Se puede migrar la configuración de Ironchip entre entornos de AD? [Sección titulada «¿Se puede migrar la configuración de Ironchip entre entornos de AD?»](#se-puede-migrar-la-configuración-de-ironchip-entre-entornos-de-ad) Sí, pero requiere coordinación previa con el equipo técnico de Ironchip. El proceso incluye: 1. Exportar la configuración de origen. 2. Validar la compatibilidad del nuevo AD. 3. Configurar el conector. 4. Verificar la sincronización. 5. Mantener un periodo de coexistencia si la migración es gradual. # AD Connect > Instala y configura Ironchip AD Connect en Windows para sincronizar los usuarios y grupos de Active Directory con la consola de administración. Ironchip AD Connect es una herramienta que sincroniza los usuarios y grupos de tu Active Directory con la consola de administración de Ironchip. Se instala como servicio de Windows y se configura desde un panel local. **Ironchip AD Connect para Windows**última versión v1.7.5, publicada el 11 de agosto de 2026 * [ironchip-ad-connect.exe](https://github.com/ironchip-security/Ironchip-Windows-AD-Connect/releases/download/v1.7.5/ironchip-ad-connect.exe) 10.5 MB * [IronchipADConnect.msi](https://github.com/ironchip-security/Ironchip-Windows-AD-Connect/releases/download/v1.7.5/IronchipADConnect.msi) 22.8 MB [Todas las versiones y notas de cada una](https://github.com/ironchip-security/Ironchip-Windows-AD-Connect/releases) **Ironchip AD Connect para Linux**última versión v1.7.4, publicada el 26 de mayo de 2026 * [ironchip-ad-connect](https://github.com/ironchip-security/Ironchip-Linux-AD-Connect/releases/download/v1.7.4/ironchip-ad-connect) 10.4 MB [Todas las versiones y notas de cada una](https://github.com/ironchip-security/Ironchip-Linux-AD-Connect/releases) ## Instalación [Sección titulada «Instalación»](#instalación) 1. Descarga Ironchip AD Connect desde la sección **Plugins** de la consola de administración. 2. Abre una terminal de PowerShell como administrador y ve a la carpeta donde está el ejecutable. 3. Instala el servicio y arráncalo: ```powershell .\ironchip-ad-connect.exe s install .\ironchip-ad-connect.exe s start ```  4. Abre en un navegador `http://localhost:10300`. Es una dirección local donde se aloja el panel de sincronización de usuarios.  Para parar o desinstalar el servicio, ejecuta: ```powershell .\ironchip-ad-connect.exe s stop .\ironchip-ad-connect.exe s uninstall ``` Para ver el resto de comandos disponibles, ejecuta: ```powershell .\ironchip-ad-connect.exe h ``` ## Configuración [Sección titulada «Configuración»](#configuración) El primer paso es establecer la conexión entre Ironchip y Active Directory. En el panel, rellena el apartado de configuración y haz clic en el botón verde **Configure**: * **User**: dominio y nombre de un usuario de Active Directory con permisos de administrador. * **Password**: contraseña de ese usuario. * **SCIM synchronization key**: la clave de sincronización SCIM de tu compañía, que se obtiene en la consola de Ironchip (consulta la sección siguiente).  ### Obtener la clave de sincronización SCIM [Sección titulada «Obtener la clave de sincronización SCIM»](#obtener-la-clave-de-sincronización-scim) La **SCIM synchronization key** es el secreto de una credencial SCIM de tu compañía. Para crearla, ve a **Directory > Synchronization > SCIM**, abre la pestaña **Credentials** y haz clic en **Add credential**. Los pasos, con capturas, están en [SCIM en la consola](/identidad/administracion/sincronizacion/#scim-en-la-consola). ## Selección de usuarios y grupos [Sección titulada «Selección de usuarios y grupos»](#selección-de-usuarios-y-grupos) Una vez configurado, elige qué usuarios y grupos sincronizar. 1. En el apartado **Groups**, haz clic en el botón verde **+**.  2. En la nueva pestaña, selecciona las unidades o grupos que quieres sincronizar con la consola de Ironchip y haz clic en **Add Groups**.  3. Haz clic en **Start** para empezar la sincronización.  # Sincronización con Entra ID > Sincroniza usuarios y grupos de Microsoft Entra ID con Ironchip mediante SCIM: aplicación empresarial, aprovisionamiento, atributos y asignación. Sincroniza los usuarios y grupos de Microsoft Entra ID (antes Azure AD) con Ironchip mediante SCIM, usando una aplicación empresarial con aprovisionamiento automático. ## Requisitos [Sección titulada «Requisitos»](#requisitos) * Una única licencia P1 o P2 de Entra ID. * Un usuario con permisos en [portal.azure.com](https://portal.azure.com). * La información de sincronización (SCIM) de tu compañía de Ironchip. Para obtener el **Tenant URL** y el **Secret Token**, consulta [SCIM en la consola](/identidad/administracion/sincronizacion/#scim-en-la-consola). ## Crear la aplicación empresarial [Sección titulada «Crear la aplicación empresarial»](#crear-la-aplicación-empresarial) 1. Entra en el portal de Azure con un usuario con permisos.  2. Busca y entra en **Aplicaciones empresariales**.  3. Haz clic en **Nueva aplicación**.  4. Haz clic en **Cree su propia aplicación**.  5. Asígnale un nombre identificativo, selecciona la última de las tres opciones, **Integrar cualquier otra aplicación que no se encuentre en la galería**, y crea la aplicación.  ## Configurar el aprovisionamiento [Sección titulada «Configurar el aprovisionamiento»](#configurar-el-aprovisionamiento) 1. Dentro de la aplicación, en el menú lateral izquierdo, selecciona **Aprovisionamiento**.  2. Vuelve a seleccionar **Aprovisionamiento** y establece el modo en **Automático**.  3. Despliega **Credenciales de administrador** e introduce los datos de tu compañía de Ironchip: el Tenant URL en **URL de inquilino** y el Secret Token en **Token secreto**.  4. Haz clic en **Probar conexión**. Si aparece una notificación que indica que la conexión es correcta, guarda la configuración. ## Configurar la asignación de atributos [Sección titulada «Configurar la asignación de atributos»](#configurar-la-asignación-de-atributos) 1. En el aprovisionamiento de la aplicación, entra en **Editar asignaciones de atributos**.  2. Despliega la sección **Asignaciones** y haz clic en **Provision Microsoft Entra ID Users**.  3. Establece solo los atributos obligatorios o también los recomendados. Atributos obligatorios:  Atributos recomendados:  ### Atributo ID inmutable [Sección titulada «Atributo ID inmutable»](#atributo-id-inmutable) Se recomienda asignar también el atributo ID inmutable (`immutableId`). En algunos servicios es obligatorio. Para añadirlo: 1. En el panel de asignación de atributos, marca **Mostrar opciones avanzadas** y entra en **Editar lista de atributos**.  2. Baja hasta el final de la lista y añade un atributo de tipo `String` con el nombre `urn:ietf:params:scim:schemas:extension:2.0:User:immutableId`. Guarda los cambios.  3. De vuelta en la pestaña de asignación de atributos, haz clic en **Agregar nueva asignación**.  4. Deja **Tipo de asignación** en **Directo**, selecciona `immutableId` en **Atributo de origen** y `urn:ietf:params:scim:schemas:extension:2.0:User:immutableId` en **Atributo de destino**, y guarda.  ## Asignar usuarios [Sección titulada «Asignar usuarios»](#asignar-usuarios) Para elegir qué usuarios se sincronizan: 1. En la aplicación empresarial, entra en **Usuarios y grupos**.  2. Haz clic en **Agregar usuario o grupo** y selecciona los usuarios y grupos que quieres sincronizar.  ## Iniciar la sincronización [Sección titulada «Iniciar la sincronización»](#iniciar-la-sincronización) Con esto, la configuración básica está completa. Si hace falta, ajusta los parámetros a tu caso y reinicia o enciende la aplicación empresarial para que empiece a sincronizar. # Proxy LDAP > Instala y configura el proxy LDAP de Ironchip en Windows, sincroniza usuarios y grupos desde LDAP y protege grupos del directorio con Ironchip. El proxy LDAP de Ironchip se sitúa delante del controlador de dominio LDAP para proteger con Ironchip la autenticación de los usuarios de un grupo concreto, y permite sincronizar usuarios entre LDAP e Ironchip. Esta página es para quien administra la plataforma e integra su directorio LDAP. **Proxy LDAP de Ironchip**última versión v1.0.1, publicada el 15 de noviembre de 2024 * [ironchip_ldap_proxy](https://github.com/ironchip-security/Ironchip-LDAP-Proxy/releases/download/v1.0.1/ironchip_ldap_proxy) 5.0 MB * [ironchip_ldap_proxy-amd64](https://github.com/ironchip-security/Ironchip-LDAP-Proxy/releases/download/v1.0.1/ironchip_ldap_proxy-amd64) 5.0 MB * [ironchip_ldap_proxy-amd64.exe](https://github.com/ironchip-security/Ironchip-LDAP-Proxy/releases/download/v1.0.1/ironchip_ldap_proxy-amd64.exe) 5.0 MB * [ironchip_ldap_proxy.exe](https://github.com/ironchip-security/Ironchip-LDAP-Proxy/releases/download/v1.0.1/ironchip_ldap_proxy.exe) 5.0 MB [Todas las versiones y notas de cada una](https://github.com/ironchip-security/Ironchip-LDAP-Proxy/releases) ## Requisitos [Sección titulada «Requisitos»](#requisitos) * Una cuenta de administrador de la consola de administración de Ironchip. * La compañía creada en Ironchip. Para saber qué datos preparar, consulta [Antes de empezar](/identidad/protocolos/#antes-de-empezar) en Protocolos de integración. * Un controlador de dominio LDAP y un equipo Windows donde instalar el proxy. ## Crear la aplicación en Ironchip [Sección titulada «Crear la aplicación en Ironchip»](#crear-la-aplicación-en-ironchip) El proxy se conecta a Ironchip con la API key de una aplicación de tipo API KEY. 1. Ve a **Applications** y haz clic en **New Application**. 2. Escribe el nombre de la aplicación en **Name** y elige **API KEY** en **Application integration type**. 3. Sigue los pasos de la ventana hasta terminar. La aplicación aparece en el listado de **Applications**. Guarda la API key Guarda la API key que se devuelve al crear la aplicación. Solo se muestra esta vez y la necesitarás al configurar el proxy (`ironchip_api_key`). Para más información, consulta [Aplicaciones](/identidad/administracion/aplicaciones/). ## Dar acceso a los usuarios [Sección titulada «Dar acceso a los usuarios»](#dar-acceso-a-los-usuarios) 1. Ve a **Applications** y, en la columna **Add access** de la aplicación, haz clic en **Add**. Se abre la ventana **Add a new access**. 2. En **Select a group**, marca los usuarios o grupos que se autentican a través del proxy y haz clic en **Next**. 3. En **Select usernames**, define el nombre de usuario. Debe ser el mismo con el que el usuario se autentica. Haz clic en **Next**. 4. En **Select authentication policies**, elige el método de autenticación y haz clic en **Next**. 5. En **Review**, revisa el resumen y haz clic en **Add**. El acceso queda creado con la configuración elegida y puedes cambiarlo en cualquier momento. Para más información, consulta [Dar acceso a usuarios y grupos](/identidad/administracion/aplicaciones/#dar-acceso-a-usuarios-y-grupos). ## Descarga [Sección titulada «Descarga»](#descarga) El servicio de proxy LDAP está en la sección **Plugins** de la consola de administración de Ironchip. ## Instalación [Sección titulada «Instalación»](#instalación) 1. Mueve el ejecutable descargado a una carpeta del sistema adecuada para ejecutar servicios. 2. Ejecútalo con el parámetro `configuration` para generar el archivo de configuración predeterminado: ```powershell ldap-windows.exe configuration ``` 3. Edita el archivo de configuración (consulta la sección siguiente) e instala el servicio: ```powershell ldap-windows.exe service install ``` 4. Inicia el servicio: ```powershell ldap-windows.exe service start ``` ## Configuración [Sección titulada «Configuración»](#configuración) Puedes modificar el archivo de configuración en cualquier momento. Para que los cambios se apliquen, reinicia el servicio: ```powershell ldap-windows.exe service restart ``` El archivo de configuración tiene estas propiedades: * **Ruta**: la ruta del archivo de configuración. * **`ldap`**: * `server_address`: el FQDN del controlador de dominio LDAP. * `server_port`: el puerto del controlador de dominio LDAP. * `network`: el esquema de comunicación que usa el cliente. Actualmente solo se admite `tcp`. * `base_dn`: el DN base al que se adjunta el proxy. * **`proxy`**: * `server_address`: la dirección en la que sirve el proxy. * `server_port`: el puerto en el que sirve el proxy. * `protected_group`: el nombre del grupo protegido con Ironchip. * `network`: el esquema de comunicación que usa el proxy. Actualmente solo se admite `tcp`. * **`ironchip`**: * `ironchip_api_key`: la API key generada para el servicio de Ironchip asociado. * `ironchip_host`: la dirección de tu entorno de Ironchip. Normalmente, `https://api.ironchip.com`. Un archivo de configuración de ejemplo: ```json { "ldap": { "server_address": "localhost", "server_port": 389, "tls_enable": false, "key_file": "", "cert_file": "", "time_out_seconds": 5, "network": "tcp", "base_dn": "" }, "proxy": { "server_address": "0.0.0.0", "server_port": 4389, "tls_enable": false, "key_file": "", "cert_file": "", "protected_group": "", "time_out_seconds": 5, "network": "tcp" }, "ironchip": { "ironchip_api_key": "", "ironchip_host": "https://api.ironchip.com" } } ``` ## Grupos protegidos [Sección titulada «Grupos protegidos»](#grupos-protegidos) Los usuarios que pertenecen al grupo protegido quedan protegidos con Ironchip. 1. En el controlador de dominio, haz clic derecho y selecciona **Nuevo > Grupo**.  2. Crea el grupo con un nombre específico.  3. Para añadir un usuario al grupo, haz clic derecho en el usuario y selecciona **Agregar a un grupo…**  4. Selecciona el grupo y haz clic en **Aceptar**.  El usuario queda protegido con Ironchip. ## Comprobar la autenticación con LDAP Admin [Sección titulada «Comprobar la autenticación con LDAP Admin»](#comprobar-la-autenticación-con-ldap-admin) Con el servicio en marcha y el usuario en el grupo protegido, prueba la autenticación en la aplicación LDAP Admin: 1. Inicia una conexión: haz clic en **Start** y después en **Connect**. 2. Haz clic derecho en **Custom** y selecciona **Properties**. 3. Define estas propiedades y haz clic en **OK**: * **Host**: el nombre o la dirección del equipo donde se ejecuta el proxy. * **Port**: el puerto en el que sirve el proxy (`server_port` de `proxy`). * **Username**: el nombre de usuario que usaste en la configuración del servicio. 4. Haz clic de nuevo en **OK** para iniciar la autenticación. El usuario recibe una notificación del servicio y autoriza el acceso. La autenticación tarda unos segundos. Cuando termina, ves que el usuario se ha autorizado correctamente. ## Sincronización de usuarios [Sección titulada «Sincronización de usuarios»](#sincronización-de-usuarios) Para sincronizar los usuarios entre LDAP e Ironchip, el proxy incluye una herramienta: ```powershell ldap-windows.exe sync-users -ldap-user -ironchip-user -export-path ``` Estos son los parámetros: * `-ldap-user`: el usuario que se usa para el bind con el LDAP. * `-ironchip-user`: un administrador de Ironchip con acceso a la consola. * `-export-path`: la ruta donde se crea el archivo con los usuarios exportados. Cuando termina la importación, todos los usuarios están creados en Ironchip. ### Sincronización de un grupo de usuarios [Sección titulada «Sincronización de un grupo de usuarios»](#sincronización-de-un-grupo-de-usuarios) Para sincronizar solo los usuarios de un grupo, usa `sync-users` con un filtro de búsqueda: ```powershell ldap-windows.exe sync-users -ldap-user -ironchip-user --ldap-search-filter "(&(objectClass=person)(memberOf=))" ``` Por ejemplo, si los usuarios pertenecen al grupo `VPNAuthorized`, con el DN `CN=VPNAuthorized,DC=ironchip,DC=com`, el comando es: ```powershell ldap-windows.exe sync-users -ldap-user -ironchip-user --ldap-search-filter "(&(objectClass=person)(memberOf=CN=VPNAuthorized,DC=ironchip,DC=com))" ``` `sync-users` también admite el parámetro `--ldap-search-dn`. Por defecto vale el DN configurado en el archivo de configuración, pero puedes usarlo para sustituir el DN base de la búsqueda en esa ejecución. ## Supervisión [Sección titulada «Supervisión»](#supervisión) El proxy registra sus eventos en el visor de eventos de Windows con el nombre `Ironchip LDAP Proxy`. ## Desinstalación [Sección titulada «Desinstalación»](#desinstalación) Para desinstalar el servicio, ejecuta: ```powershell ldap-windows.exe service uninstall ``` ## Plugins de la consola [Sección titulada «Plugins de la consola»](#plugins-de-la-consola) Los plugins de Ironchip son herramientas adicionales que se integran con otros sistemas para reforzar la seguridad y la autenticación. En la sección **Plugins** de la consola de administración están todos los plugins disponibles para las distintas integraciones, con sus descargables: * **Windows NPS**: integra Ironchip con el Servidor de directivas de redes (NPS) de Windows, para usar la autenticación de Ironchip en los recursos protegidos por NPS. Consulta [NPS](/identidad/integraciones/red/nps/).  * **ADFS**: integra Ironchip con Active Directory Federation Services (ADFS), para autenticar usuarios en aplicaciones y servicios basados en ADFS con las credenciales de Ironchip. Consulta [ADFS](/identidad/integraciones/saas/adfs/).  * **LDAP**: integra Ironchip con servidores LDAP, para sincronizar usuarios de forma automática y autenticar con las credenciales de Ironchip. Es el proxy LDAP que describe esta página.  * **Logon** (**Windows Logon**, **Linux Logon** y **MacOS Logon**): agentes que protegen el acceso a los equipos Windows, Linux y Mac. Consulta [Inicio de sesión en Windows](/identidad/integraciones/puestos/windows-logon/), [Linux](/identidad/integraciones/puestos/linux-logon/) y [macOS](/identidad/integraciones/puestos/macos-logon/).  * **Passwordless RADIUS**: genera un servidor RADIUS para integrar Ironchip con ese protocolo. Consulta [Servidor RADIUS](/identidad/integraciones/red/radius-server/).  * **AD Connect**: sincroniza usuarios para gestionar las identidades directamente desde el AD. Consulta [AD Connect](/identidad/administracion/sincronizacion/ad-connect/).  Para ver la documentación de cada integración, consulta el [índice de integraciones](/identidad/integraciones/). # Usuarios genéricos y alias > Da de alta usuarios, configura cuentas compartidas con alias, gestiona cambios de rol, invitaciones que no llegan, recuperación de cuenta y recertificación. Esta página reúne las tareas habituales de gestión de usuarios en la consola: dar de alta usuarios, configurar cuentas genéricas o compartidas con alias, recuperar una cuenta y revisar los accesos de forma periódica. Descarga el manual en PDF: [Gestión de usuarios](https://7745202.fs1.hubspotusercontent-na1.net/hubfs/7745202/01-gestion-usuarios.pdf). ## Dar de alta un usuario [Sección titulada «Dar de alta un usuario»](#dar-de-alta-un-usuario) 1. Accede a la consola de administración como administrador. 2. Ve a **Directory > Users** y haz clic en **Add user**. 3. Introduce los datos del nuevo usuario: **Name**, **Surname**, **Email**, **External email** y **Preferred language**. 4. Activa **Send invitation** para que el usuario reciba el correo de alta de Ironchip. 5. Haz clic en **Add**. El usuario queda registrado en la plataforma. Para dar permisos de administración a un usuario o conocer el estado de su alta, consulta [Usuarios y grupos](/identidad/administracion/usuarios-y-grupos/#a%C3%B1adir-un-usuario). ## Configurar usuarios genéricos o cuentas compartidas [Sección titulada «Configurar usuarios genéricos o cuentas compartidas»](#configurar-usuarios-genéricos-o-cuentas-compartidas) Al dar acceso a una aplicación (ventana **Add a new access**), selecciona un grupo o un usuario y, en el paso **Select usernames**, asócialo a un alias: el nombre de usuario con el que se autentica en esa aplicación. Este nombre solo se aplica a ese acceso y no sustituye el nombre original del usuario en la plataforma. Para más información, consulta [Dar acceso a usuarios y grupos](/identidad/administracion/aplicaciones/#dar-acceso-a-usuarios-y-grupos).  Hay tres aproximaciones recomendadas: * **Token USB o NFC individual por persona**, aunque usen la misma cuenta del sistema. Mantiene la trazabilidad individual aunque la cuenta sea compartida. * **Alias de usuario**: crea el usuario en Ironchip con el alias de la cuenta genérica y vincúlalo al autenticador de la persona responsable. * **Magic Link temporal** para usuarios ocasionales sin dispositivo emparejado. Cuentas genéricas sin trazabilidad Las cuentas genéricas sin trazabilidad individual son un riesgo de seguridad. Ironchip recomienda asignar siempre autenticadores individuales, aunque la cuenta del sistema sea compartida. ## Invitación automática (Autoinvite) [Sección titulada «Invitación automática (Autoinvite)»](#invitación-automática-autoinvite) La invitación automática envía de forma automática la invitación de alta a los usuarios que se añaden a un grupo de AD configurado con esta opción, sin intervención manual del administrador. Requiere: * Un grupo de AD asociado al grupo de Ironchip con la invitación automática activa. * AD Connect sincronizando. * El atributo de correo electrónico correcto en AD. Para configurarla, consulta [Invitación automática](/identidad/administracion/invitacion-automatica/) y [AD Connect](/identidad/administracion/sincronizacion/ad-connect/). ## Cambios de rol [Sección titulada «Cambios de rol»](#cambios-de-rol) Con SCIM o AD Connect activos, un cambio de grupo en AD se propaga automáticamente a Ironchip y actualiza los accesos del usuario. Sin sincronización automática, el administrador hace el cambio a mano en la consola. Buena práctica: recertifica los accesos cada 6 meses para los accesos estándar y cada 12 meses para los roles funcionales. ## Un usuario no recibe el correo de invitación o de activación [Sección titulada «Un usuario no recibe el correo de invitación o de activación»](#un-usuario-no-recibe-el-correo-de-invitación-o-de-activación) Las causas más comunes y sus soluciones son: * **El correo está en la carpeta de spam**: añade `ironchip.com` a la lista de remitentes permitidos de tu servidor de correo. * **El atributo de correo está vacío o es incorrecto en AD**: corrige el atributo en el directorio. * **Reenvío manual**: el administrador puede reenviar la invitación desde la consola de Ironchip. ## Recuperar una cuenta [Sección titulada «Recuperar una cuenta»](#recuperar-una-cuenta) Si un usuario pierde el acceso, el administrador inicia la recuperación desde la consola y el usuario completa el proceso con la app de Ironchip. 1. El usuario contacta con el administrador del sistema para iniciar la recuperación de la cuenta. 2. El administrador envía al usuario el correo de recuperación desde **Directory > Users > Options > Recover account**. La consola envía un correo con un enlace de recuperación. 3. En el correo, el usuario hace clic en **Recuperar mi acceso**. 4. Se abre una ventana con un código QR. El usuario concede los permisos necesarios, acepta los términos y condiciones y escanea el código QR con la app móvil de Ironchip. 5. Tras escanear el código, la cuenta se recupera y el usuario puede volver a acceder. Si el usuario recupera el acceso con la app de escritorio de Ironchip, el proceso correcto es este: 1. Abre la app de escritorio de Ironchip en el PC. 2. Selecciona **Introducir código manualmente**. 3. Copia el código alfanumérico del correo de recuperación. No escanees el QR con la cámara del móvil. 4. Pega el código en la app de escritorio y completa el reemparejamiento. Para la vista del usuario, consulta [Recuperación de la cuenta](/identidad/usuarios/recuperacion/). ## Recertificación de accesos [Sección titulada «Recertificación de accesos»](#recertificación-de-accesos) La recertificación es la revisión periódica de que cada usuario solo tiene acceso a lo que corresponde a su rol actual: * Cada 6 meses para los accesos estándar. * Cada 12 meses para los accesos asociados a roles funcionales. Ironchip genera informes de auditoría exportables con todos los accesos activos por usuario, grupo y aplicación. # Usuarios y grupos > Añade usuarios a la compañía, interpreta su estado de protección, nombra administradores, exporta el directorio en CSV y organiza grupos y subgrupos. En la sección de usuarios gestionas a todas las personas registradas en la plataforma: puedes añadir usuarios, asignarles roles y permisos, controlar la protección de sus cuentas y organizarlos en grupos para dar accesos y permisos de forma conjunta. ## Usuarios [Sección titulada «Usuarios»](#usuarios) ### Ver el listado de usuarios [Sección titulada «Ver el listado de usuarios»](#ver-el-listado-de-usuarios) En la consola de administración, dentro de **Directory**, haz clic en **Users** para ver todos los usuarios de la compañía.  ### Añadir un usuario [Sección titulada «Añadir un usuario»](#añadir-un-usuario) 1. En **Directory > Users**, haz clic en **Add user**.  2. En la ventana que se abre, introduce los datos del usuario: nombre (**Name**), apellido (**Surname**), correo electrónico (**Email**), correo externo (**External email**) e idioma de preferencia (**Preferred language**). 3. Activa **Send invitation** si quieres dar de alta al usuario en Ironchip.  4. Haz clic en **Add**, en la esquina inferior derecha. Si no activas **Send invitation**, el usuario se crea pero no recibe ningún correo de Ironchip para registrarse. En la columna de protección aparece un escudo rojo tachado: el registro está incompleto. Es habitual dejar el interruptor desactivado cuando los usuarios llegan por sincronización LDAP. Para completar el alta, el usuario tiene que verificarse: recibe en su correo un código QR que debe escanear para quedar registrado de forma segura en la plataforma. Si tienes muchos usuarios, también puedes añadirlos o actualizarlos de forma automática con la [sincronización de usuarios](/identidad/administracion/sincronizacion/), que mantiene al día la base de datos de la plataforma. ### Estado de protección [Sección titulada «Estado de protección»](#estado-de-protección) La columna **Protection** del listado indica en qué punto está el registro de cada usuario: | Escudo | Significado | | ------- | ------------------------------------------------------------------------------------------------------------------------ | | Rojo | El usuario no ha completado el registro. | | Naranja | Se envió la invitación y el usuario recibió el correo, pero aún no se ha verificado. | | Verde | El usuario se ha verificado y el registro ha concluido. La cuenta está activa y protegida por Ironchip. | | Gris | La cuenta está deshabilitada. Consulta [cómo habilitarla](/identidad/administracion/dispositivos/#habilitar-una-cuenta). |  El ciclo de estados del escudo es este: ```text Rojo Registro incompleto: no se ha enviado la invitación. ↓ Se envía la invitación. Naranja Invitación enviada: el usuario aún no se ha verificado. ↓ El usuario escanea el código QR. Verde Verificado: la cuenta está activa y protegida. Gris Cuenta deshabilitada. Enable Ironchip la devuelve a verde. ``` ### Opciones de cada usuario [Sección titulada «Opciones de cada usuario»](#opciones-de-cada-usuario) El listado muestra, para cada usuario: * Sus datos: **User**, **Email** (el correo con el que se registró), **External email**, **User Name**, **Sam Account Name** e **ID**. * **Protection**: el estado de la cuenta, es decir, si está dada de alta en Ironchip o no. * **Options**: un desplegable con estas acciones: * **Add a device**: añadir un dispositivo. * **Recover account**: recuperar la cuenta. * **Delete user**: eliminar el usuario.  Para las dos primeras acciones, consulta [Dispositivos](/identidad/administracion/dispositivos/). ### Asignar un administrador [Sección titulada «Asignar un administrador»](#asignar-un-administrador) Para asignar un administrador, el usuario debe estar registrado previamente en la plataforma. Si aún no lo está, [añádelo](#a%C3%B1adir-un-usuario) primero. 1. Ve a la pestaña **Users**, dentro de la carpeta **Directory**. 2. Añade al usuario al grupo **Ironchip Administrators**. Consulta [cómo añadir usuarios a un grupo](#a%C3%B1adir-usuarios-a-un-grupo). ### Exportar el listado en CSV [Sección titulada «Exportar el listado en CSV»](#exportar-el-listado-en-csv) 1. En **Directory > Users**, haz clic en **Export CSV**, a la izquierda de **Add user**. Se descarga el listado completo de usuarios de la compañía.  2. Cuando termine la descarga, haz clic en **Close** para cerrar la ventana de exportación.  El CSV es útil para auditorías, revisiones periódicas del directorio o para cruzar los datos con otros sistemas (Active Directory, SCIM, etc.). ## Grupos [Sección titulada «Grupos»](#grupos) Los grupos organizan a los usuarios de forma jerárquica y agilizan la gestión de permisos: en lugar de asignar accesos usuario a usuario, das acceso a un grupo completo y cualquier miembro hereda esos permisos. En **Directory > Groups** ves los grupos que se han creado en la compañía. Siempre existen dos: * **All users**: incluye a todos los usuarios registrados en la plataforma. No se puede modificar ni eliminar. * El grupo de administradores (**Ironchip Administrators**): se puede modificar, pero no eliminar.  ### Crear un grupo [Sección titulada «Crear un grupo»](#crear-un-grupo) 1. En **Groups**, haz clic en **Add group**, en la parte superior derecha.  2. Escribe el nombre del grupo en **Group name**. En este mismo paso puedes activar **Email invitation sending** para enviar la invitación por correo a los usuarios que añadas al grupo.  3. Haz clic en **Add**. ### Añadir usuarios a un grupo [Sección titulada «Añadir usuarios a un grupo»](#añadir-usuarios-a-un-grupo) El grupo nuevo aparece en la pantalla principal junto al resto de grupos, con el contador de usuarios a 0. 1. En la fila del grupo, haz clic en **Options** y después en **Manage group**.  2. En la página del grupo, haz clic en **Add**.  3. En la ventana que se abre, selecciona los usuarios que quieres añadir.  4. Haz clic en **Add**. La consola confirma que los usuarios se han añadido correctamente.  ### Subgrupos [Sección titulada «Subgrupos»](#subgrupos) Los subgrupos son una pieza esencial de la gestión de usuarios y permisos en Ironchip: permiten organizar a los usuarios de forma jerárquica y administrar de forma más eficiente los derechos y privilegios dentro de la estructura de seguridad. Para añadir un subgrupo: 1. En la página del grupo, abre el apartado **Child Groups** y haz clic en **Add**. Se abre una ventana con los grupos disponibles.  2. Selecciona los subgrupos que quieres incorporar. 3. Haz clic en **Add** para confirmar. Para eliminar un subgrupo, selecciónalo en el mismo apartado y haz clic en **Delete**.  # Métodos de autenticación > Métodos de autenticación de Ironchip: app móvil, escritorio, passkeys y FIDO2, token USB, RFID, offline y magic link, y para qué puesto sirve cada uno. La misma política sirve para quien lleva móvil, quien comparte terminal en planta y el proveedor que entra una vez al mes. Cada método verifica al usuario de forma distinta; casi todos pueden combinarse con la firma de ubicación. | Método | Para quién | Cómo se verifica | Ubicación | | -------------------------------------------------------- | ------------------------------------------------- | ------------------------------------------------------------------------------ | ---------------------- | | [App móvil](/identidad/usuarios/app-movil/) | Plantilla con teléfono propio o de empresa | Notificación en el móvil, huella o cara y la firma del lugar, en un solo toque | Con firma de ubicación | | [App de escritorio](/identidad/usuarios/app-escritorio/) | Oficinas donde el móvil no está permitido | Clave guardada en el propio ordenador más un código temporal | Con firma de ubicación | | [Passkeys y FIDO2](/identidad/usuarios/fido2/) | Servicios web y equipos con llave física | Credencial criptográfica que no viaja al servidor, con la biometría del equipo | Con firma de ubicación | | Reconocimiento facial | Puestos donde no se quiere tocar nada | La cámara del equipo o del móvil, ligada a ese dispositivo concreto | Con firma de ubicación | | [Token USB](/identidad/usuarios/token-usb/) | Salas limpias, planta y entornos sin biometría | La clave se parte entre el token y el equipo: hacen falta los dos | Con firma de ubicación | | [Tarjeta NFC / RFID](/identidad/usuarios/rfid/) | Turnos y terminales compartidos | La misma tarjeta de fichar, acercada a un lector | Con firma de ubicación | | Magic link / SMS | Colaboradores que entran de forma puntual | Enlace o código que caduca tras un uso | Ubicación opcional | | Sin agentes | Servidores y equipos que no admiten instalaciones | La red de origen y la credencial que ya usaban, evaluadas en el servidor | Con firma de ubicación | Cada método enlaza con su guía de uso. El resto de guías están en la [guía de usuario](/identidad/usuarios/). ## Factores de autenticación configurables [Sección titulada «Factores de autenticación configurables»](#factores-de-autenticación-configurables) | Factor | Descripción | | ------------------------ | --------------------------------------------------------------------------------------------------------------------------------- | | Ubicación (Location) | La zona segura del usuario como factor de identidad contextual, continuo y silencioso. | | Push Notification | Notificación en el móvil o el escritorio del usuario para aprobar o rechazar accesos. | | Software OTP | Código de un solo uso generado por la app móvil o de escritorio de Ironchip. | | Hardware OTP / USB Token | Token físico para entornos que requieren un segundo factor tangible. | | Tarjeta NFC/RFID | Con un lector integrado en el teclado o un lector NFC conectado por USB, se puede integrar cualquier tarjeta o elemento NFC/RFID. | | Email / SMS | Métodos adicionales como factor secundario configurable por perfil. | | Contraseña (opcional) | Puede mantenerse o eliminarse por completo en modelos sin contraseña (passwordless). | ## Aplicación móvil (iOS y Android) [Sección titulada «Aplicación móvil (iOS y Android)»](#aplicación-móvil-ios-y-android) La app móvil es el método de autenticación más habitual. Está disponible para iOS y Android, con descarga en App Store y Google Play. Actúa como segundo factor mediante notificación push y verificación de localización electromagnética. ### Alta [Sección titulada «Alta»](#alta) 1. El administrador da de alta al usuario en la consola de administración. 2. El usuario recibe un correo con el botón **Verify my account**. 3. Pulsa **Continue** y descarga la app si todavía no la tiene. 4. Acepta los permisos que pide la app. 5. Opcionalmente, activa la biometría (huella o reconocimiento facial). 6. Escanea con la app de Ironchip el código QR que aparece en pantalla. El alta queda completada. ### Autenticación habitual [Sección titulada «Autenticación habitual»](#autenticación-habitual) 1. El usuario introduce sus credenciales en el servicio al que quiere acceder. 2. Llega una notificación push al móvil a través de la app de Ironchip. 3. Al pulsar la notificación se abre la app. Si hay biometría configurada, se valida. 4. Al pulsar **Authorize**, la app escanea las señales electromagnéticas del entorno y verifica si el usuario está en la zona segura autorizada. 5. Si la verificación es correcta, se concede el acceso al servicio. ### Autenticación alternativa, desde la app [Sección titulada «Autenticación alternativa, desde la app»](#autenticación-alternativa-desde-la-app) 1. El usuario introduce sus credenciales en el servicio. 2. En lugar de pulsar la notificación push, abre directamente la app de Ironchip. 3. En la pestaña **Servicios**, sobre el servicio al que ha intentado acceder, aparece una cuenta atrás. 4. Pulsa la tarjeta del servicio antes de que se agote el tiempo. 5. Pulsa **Authorize**: el sistema escanea las señales y verifica la localización. Se concede el acceso si está en una zona autorizada. Guía de uso: [Aplicación móvil](/identidad/usuarios/app-movil/). ## Aplicación de escritorio (Windows, Linux y macOS) [Sección titulada «Aplicación de escritorio (Windows, Linux y macOS)»](#aplicación-de-escritorio-windows-linux-y-macos) La app de escritorio permite autenticarse sin móvil. Funciona en Windows, Linux y macOS y actúa como segundo factor mediante una notificación local en el propio equipo. ### Alta [Sección titulada «Alta»](#alta-1) 1. El administrador da de alta al usuario en la consola de administración. 2. El usuario recibe el correo y pulsa **Verify my account**. 3. Con la app de escritorio ya instalada, pulsa **Continue**. 4. El usuario copia el código de seguridad que aparece en pantalla y lo introduce en la app de escritorio de Ironchip. El alta queda completada. ### Variante: identidad en un dispositivo externo (USB de datos) [Sección titulada «Variante: identidad en un dispositivo externo (USB de datos)»](#variante-identidad-en-un-dispositivo-externo-usb-de-datos) Es posible llevar las credenciales de identidad en un dispositivo de almacenamiento externo (USB). Así el usuario puede autenticarse en cualquier equipo que tenga instalados los servicios de escritorio de Ironchip. 1. Durante el alta, el usuario inserta el dispositivo externo de almacenamiento. 2. Pulsa el botón de refrescar para que se detecte el dispositivo. 3. Selecciona el dispositivo en la lista desplegable. El dispositivo externo debe permanecer conectado para usar la app de escritorio. ### Autenticación [Sección titulada «Autenticación»](#autenticación) 1. El usuario introduce sus credenciales en el servicio. 2. La app de escritorio muestra una notificación local. 3. Al pulsar la notificación se abre la app de Ironchip en el escritorio. 4. Al pulsar **Authorize**, el sistema verifica la localización y el dispositivo. Se concede el acceso si se cumplen las condiciones. Guía de uso: [Aplicación de escritorio](/identidad/usuarios/app-escritorio/). ## RFID / NFC (tarjetas y lectores) [Sección titulada «RFID / NFC (tarjetas y lectores)»](#rfid--nfc-tarjetas-y-lectores) El método RFID permite autenticar usuarios con tarjetas o tags RFID/NFC y un lector conectado al equipo. Es ideal para entornos industriales, hospitalarios, hoteleros o cualquier puesto con alta rotación en el que el usuario no puede o no debe usar el móvil. ### Pasos de configuración [Sección titulada «Pasos de configuración»](#pasos-de-configuración) 1. Descarga el agente **RFID Authenticator** desde la sección **Plugins** de la consola de administración. 2. Genera una API key: ve a **Authentication Policies > Device Policies > Add device policy** y activa **Use RFID protocol**. El sistema genera la API key automáticamente. 3. Crea el acceso de cada usuario: en el servicio creado, haz clic en **Add access**, selecciona el usuario autenticador e indica el usuario a proteger (formato `DOMINIO\usuario` o `EQUIPO\usuario`). 4. Registra las tarjetas RFID: ve a **Directory > Devices > RFID > Synchronize**. Descarga la plantilla CSV, completa los campos y súbela. Selecciona la política RFID y confirma. 5. Configura el agente: abre PowerShell como administrador en el directorio del agente descargado y ejecuta: ```powershell .\IronchipRFID.exe c --api_key ``` ### Flujo de autenticación con RFID [Sección titulada «Flujo de autenticación con RFID»](#flujo-de-autenticación-con-rfid) 1. El empleado acerca su tarjeta RFID o NFC al lector conectado al equipo. 2. El lector captura el UUID único del chip. 3. El agente de Ironchip valida el UUID contra el usuario emparejado y comprueba las condiciones de acceso (zona, horario, política). 4. Si la validación es correcta, se concede el acceso sin contraseña, PIN ni móvil. Guía completa: [Tarjeta NFC / RFID](/identidad/usuarios/rfid/). ## Autenticación sin conexión (OTP offline) [Sección titulada «Autenticación sin conexión (OTP offline)»](#autenticación-sin-conexión-otp-offline) El método Offline permite autenticarse sin conexión a internet con un código OTP generado en local. Es especialmente útil en entornos industriales, zonas sin cobertura o redes aisladas (air-gapped). * La app móvil o de escritorio genera un código OTP de un solo uso sin necesidad de conexión. * En Windows Logon, el servicio OTP se instala como componente adicional durante la instalación del plugin. * El código OTP tiene una validez temporal limitada y es único por dispositivo. * No requiere autorización del servidor de Ironchip en el momento del acceso. Más información: [Autenticarse con Ironchip](/identidad/usuarios/autenticacion/). ### ¿Puedo autenticarme en servicios de manera offline? [Sección titulada «¿Puedo autenticarme en servicios de manera offline?»](#puedo-autenticarme-en-servicios-de-manera-offline) Sí. Ironchip ofrece la función Offline, que te permite acceder al dispositivo sin autorización desde el móvil. La función usa un código offline para verificar tu identidad y permitir el acceso a los servicios aunque no tengas conexión a internet. ## Magic link (enlace por email) [Sección titulada «Magic link (enlace por email)»](#magic-link-enlace-por-email) El magic link es un enlace seguro de un solo uso que se envía por email y permite autenticarse sin instalar ningún agente ni registrar ningún dispositivo. Es ideal para proveedores externos, usuarios ocasionales o accesos puntuales. 1. El usuario intenta acceder al servicio. 2. Ironchip envía automáticamente un email al usuario con un enlace de autenticación. 3. El usuario hace clic en el enlace y se concede el acceso sin contraseña adicional. 4. El enlace caduca tras un solo uso o tras el tiempo que haya configurado el administrador. * No requiere instalar ningún agente ni app en el dispositivo del usuario. * El administrador puede configurar la duración y el alcance del acceso. * Es compatible con cualquier dispositivo que tenga acceso al correo electrónico. ## Biometría (huella dactilar y reconocimiento facial) [Sección titulada «Biometría (huella dactilar y reconocimiento facial)»](#biometría-huella-dactilar-y-reconocimiento-facial) ### ¿La aplicación de autenticación utiliza biometría? [Sección titulada «¿La aplicación de autenticación utiliza biometría?»](#la-aplicación-de-autenticación-utiliza-biometría) Sí. La aplicación de autenticación de Ironchip puede usar la biometría como factor adicional de seguridad. Los usuarios pueden configurarla en la aplicación y autenticarse con características físicas o de comportamiento únicas, como las huellas dactilares o el reconocimiento facial. La biometría actúa como capa de desbloqueo de la app móvil, no como factor de autenticación independiente. El usuario la configura durante el alta para no tener que introducir un PIN cada vez que aprueba una autenticación. * Métodos disponibles: huella dactilar y reconocimiento facial, según el dispositivo móvil. * La biometría se configura de forma opcional durante el alta en la app móvil. * Ironchip no guarda ningún dato biométrico en sus servidores: la validación ocurre únicamente en el dispositivo del usuario. * Cumple con el RGPD, porque no se transmiten ni se almacenan datos biométricos de forma centralizada. ## Resumen comparativo de métodos [Sección titulada «Resumen comparativo de métodos»](#resumen-comparativo-de-métodos) | Método | Dispositivo | Sin móvil | Offline | Sin instalación | Caso de uso principal | | ---------------------------------------------------------- | ----------------------- | --------- | ------- | --------------- | ---------------------------------------------------------- | | App móvil | iOS / Android | ✗ | ✗ | ✗ | Usuario estándar con móvil corporativo | | App de escritorio | Windows / Linux / macOS | ✓ | ✗ | ✗ | Usuario sin móvil corporativo | | [Windows Logon](/identidad/usuarios/autenticador-windows/) | Windows | ✓ | ✓ (OTP) | ✗ | Proteger el inicio de sesión del sistema operativo Windows | | Linux PAM | Linux | ✓ | ✗ | ✗ | Servidores, bastiones y SSH | | macOS PAM | macOS | ✓ | ✗ | ✗ | Equipos Apple corporativos | | RFID / NFC | Cualquier PC | ✓ | ✓ | ✗ | Puestos compartidos, entornos hospitalarios e industriales | | OTP offline | Móvil / escritorio | ✓ | ✓ | ✗ | Zonas sin cobertura, redes aisladas | | Magic link | Cualquier dispositivo | ✓ | ✗ | ✓ | Proveedores externos, usuarios ocasionales | | Biometría | Móvil | ✗ | ✗ | ✗ | Complemento de seguridad en la app móvil | ## Preguntas frecuentes [Sección titulada «Preguntas frecuentes»](#preguntas-frecuentes) ### ¿Es necesario usar un dispositivo móvil para autenticarse con Ironchip? [Sección titulada «¿Es necesario usar un dispositivo móvil para autenticarse con Ironchip?»](#es-necesario-usar-un-dispositivo-móvil-para-autenticarse-con-ironchip) No. Además de la notificación push en el móvil, existe una aplicación de escritorio que funciona en Windows, Linux y macOS. La plataforma también ofrece otros métodos, como la función Offline y la función USB. Con ellos puedes acceder al dispositivo sin autorización desde el móvil, usando un código offline o un USB. # Políticas de autenticación > Agrupa dispositivos y zonas seguras en políticas de acceso, integra contraseñas LDAP y consulta un ejemplo de las reglas de riesgo del ITDR. En la sección **Authentication policies** de la consola están las políticas de acceso, organizadas en grupos para que sea más fácil dar accesos a conjuntos de usuarios. Una política de acceso agrupa, por ejemplo, todas las políticas personales o todas las que se usan en una oficina. Las políticas se aplican al dar acceso a una aplicación: en el paso **Select authentication policies** eliges cuáles debe cumplir cada usuario o grupo. Consulta [Dar acceso a usuarios y grupos](/identidad/administracion/aplicaciones/#dar-acceso-a-usuarios-y-grupos). En **Authentication policies** hay tres apartados: **Device policies**, **Safe zone policies** y **Password policies**. Esta página describe las políticas de dispositivos y las de contraseña. ## Políticas de dispositivos [Sección titulada «Políticas de dispositivos»](#políticas-de-dispositivos) En **Authentication policies > Device policies** se agrupan los dispositivos y las zonas seguras que se pueden usar como políticas de autenticación en los accesos.  En el listado hay grupos añadidos por defecto, como **Any user devices** y **Any user safe zones**, y los grupos de accesos que hayas creado en la compañía. ### Crear una política de dispositivos [Sección titulada «Crear una política de dispositivos»](#crear-una-política-de-dispositivos) 1. Haz clic en **Add device policy**, en la parte superior derecha. 2. Escribe un nombre para la política y haz clic en **Continue**. La política nueva aparece en el listado. Desde su menú **Options** puedes eliminarla (**Delete device policy**) o asignarle los accesos que van a pertenecer a ella (**Configure device policy**).  ### Configurar los accesos de la política [Sección titulada «Configurar los accesos de la política»](#configurar-los-accesos-de-la-política) 1. Haz clic en **Configure device policy**. 2. En la página que se abre ves el nombre de la política y una tabla con todos los dispositivos y zonas seguras configurados en la compañía, con su nombre, tipo y plataforma. Marca en la columna de la izquierda los accesos que quieres incluir. 3. Si quieres, ordena la tabla para ver mejor los accesos elegidos antes de continuar.  4. Haz clic en **Apply**. Puedes modificar esta configuración cuando lo necesites con **Configure device policy**. ## Integración de contraseñas LDAP [Sección titulada «Integración de contraseñas LDAP»](#integración-de-contraseñas-ldap) La integración crea grupos de llaves (políticas de contraseña) con el protocolo LDAP. Para configurarla: 1. En **Authentication policies**, abre el apartado **Password policies**. 2. Haz clic en **Add password policy**, en la esquina superior derecha.  3. Añade la configuración necesaria: el nombre (**LDAP name**), el servidor (**Server host**) y, si quieres habilitar TLS seguro (**Enable TLS**), el certificado.  Puedes modificar cualquier campo que hayas añadido antes. Al añadir un grupo de llaves con LDAP, la consola comprueba que funciona pidiéndote un usuario y una contraseña de ejemplo. Una vez creado, también puedes probarlo con distintos usuarios desde las opciones del grupo de llaves. Las credenciales de prueba no se guardan: solo sirven para comprobar la conexión. ## Autenticación con LDAP [Sección titulada «Autenticación con LDAP»](#autenticación-con-ldap) Cuando tienes un grupo de llaves por LDAP, configúralo en un acceso para iniciar el proceso de autenticación. 1. El usuario inicia la autenticación en el servicio como siempre, con el **Username** que se configuró.  2. Si el acceso exige un grupo de llaves con LDAP, aparece un aviso para que introduzca la contraseña de su correo.  3. Si el acceso usa otro tipo de grupo de llaves, como el dispositivo, el usuario debe abrir su aplicación de Ironchip para terminar el proceso y entrar en el servicio. ## Reglas de riesgo [Sección titulada «Reglas de riesgo»](#reglas-de-riesgo) Además de las políticas de autenticación, el [ITDR](/identidad/administracion/itdr/) analiza los intentos de autenticación con un conjunto de reglas que gestionas en **ITDR > Ruleset**. Cada regla detecta una condición (red Tor, dispositivo con root, GPS falseado, países distintos en poco tiempo…) y le asigna un riesgo de 0 a 100 y una acción: permitir, registrar, pedir un factor adicional o denegar. El acceso toma el riesgo más alto de todas las reglas que se cumplen, nunca la suma. Las reglas se personalizan por compañía. Esta tabla muestra un ejemplo de conjunto de reglas: | Regla | Detecta | Riesgo | Acción | | ----------------------- | --------------------------------------------------- | ------------ | ---------------- | | Red Tor | La conexión llega desde la red Tor | Fraude · 100 | Denegar | | IPs en países distintos | Las conexiones vienen de países diferentes | Alto · 50 | Factor adicional | | Red VPN | La conexión pasa por una VPN, un proxy o un hosting | Bajo · 10 | Registrar | | Dispositivo manipulado | El teléfono tiene root o jailbreak | Fraude · 100 | Denegar | | Dispositivo conocido | El teléfono ya está registrado para el usuario | Limpio · 0 | Permitir | | Ubicación habitual | Al menos 10 operaciones previas desde este lugar | Limpio · 0 | Permitir | | En llamada | El usuario está en una llamada telefónica | Alto · 50 | Factor adicional | | GPS falseado | La ubicación está siendo manipulada | Fraude · 100 | Denegar | # Zonas seguras y geofencing > Cómo Ironchip define una zona segura sin GPS a partir de las señales wifi y móviles del entorno, cómo crearla, hacerla pública y qué pasa fuera de ella. Una zona segura es un lugar, o un conjunto de lugares, desde el que una política permite una acción. Las zonas seguras son ubicaciones geográficas únicas e insuplantables desde las que los usuarios suelen operar, y se configuran para garantizar la seguridad de los accesos y evitar operaciones fraudulentas desde ubicaciones no autorizadas. Los administradores gestionan las zonas seguras y asignan usuarios a ellas desde la consola de administración. ## ¿Qué es una zona segura? [Sección titulada «¿Qué es una zona segura?»](#qué-es-una-zona-segura) Una zona segura es una zona desde la que el usuario suele operar. Una operación fraudulenta tiende a realizarse desde un lugar alejado de las zonas seguras. Además, una zona segura es una localización geográfica única e insuplantable. Un administrador puede forzar que los usuarios solo puedan autenticarse desde la zona segura que se haya establecido. El concepto de zona segura se complementa con el sistema de reconocimiento de dispositivos de Ironchip. ## Zonas seguras personales y corporativas [Sección titulada «Zonas seguras personales y corporativas»](#zonas-seguras-personales-y-corporativas) Las zonas seguras se ven en el apartado **Directory > Safe zone** de la consola, dividido en dos secciones: **Personal** y **Corporate**.  ### Zona segura personal [Sección titulada «Zona segura personal»](#zona-segura-personal) En esta sección, cada usuario puede crear su propia zona segura desde su dispositivo enrolado: 1. En la aplicación de Ironchip, abre el menú izquierdo y selecciona **Llaves**. 2. Pulsa el icono **+**. 3. Asigna un nombre a la clave para generar la zona segura personal. Los pasos completos están en [Crear una zona segura](/identidad/usuarios/zonas-seguras/). ### Zona segura corporativa [Sección titulada «Zona segura corporativa»](#zona-segura-corporativa) En esta sección, el administrador configura y gestiona una zona segura global y aplica las políticas de seguridad a todos los usuarios de la organización: 1. Ve al apartado **Corporate**. 2. Haz clic en **New corporate safe zone**. 3. Indica la ubicación: búscala en **Search location** o dibuja un polígono o un círculo en el mapa. 4. Escribe un nombre en **Name**. 5. Elige el nivel de verificación en **Verification level**: **Standard** o **Strict**. Con **Strict**, la zona exige señales GPS y electromagnéticas (EM) para la mayor garantía de ubicación dentro del geofence. 6. Haz clic en **Create**. El listado **Corporate** muestra cada zona con su nivel de verificación. Al seleccionar una, el panel de la derecha muestra su nombre, el nivel de verificación, el tipo de geometría (por ejemplo, polígono) y un mapa.  ## Hacer pública una zona segura [Sección titulada «Hacer pública una zona segura»](#hacer-pública-una-zona-segura) Una zona segura personal puede hacerse visible para todos los usuarios de la compañía. Por ejemplo, una zona común pública sería la oficina. 1. Crea la zona segura desde tu dispositivo móvil, como de costumbre. 2. En la consola, ve a **Directory > Safe zone > Personal**. Aparece la lista de tus zonas seguras. 3. Haz clic en **Options** y después en **Make public**.  ## Preguntas frecuentes [Sección titulada «Preguntas frecuentes»](#preguntas-frecuentes) Estas son las preguntas que más se repiten al definir las zonas seguras. ### ¿Se puede crear una zona segura y aplicarla solo a un grupo crítico de usuarios? [Sección titulada «¿Se puede crear una zona segura y aplicarla solo a un grupo crítico de usuarios?»](#se-puede-crear-una-zona-segura-y-aplicarla-solo-a-un-grupo-crítico-de-usuarios) Sí. Las zonas seguras se asignan de forma granular a grupos específicos: 1. Crea la zona segura con las señales del entorno físico deseado (sala de servidores, sala de dirección, planta específica). 2. Crea o usa un grupo de usuarios (por ejemplo, «Equipo IT» o «Directivos»). 3. Asigna la zona segura al grupo. Los usuarios de otros grupos no se ven afectados. Ejemplo práctico: el equipo IT solo puede acceder a los sistemas críticos desde la sala de servidores; los empleados estándar tienen zonas más amplias.  ### ¿Cómo funciona el geofencing de Ironchip sin GPS? [Sección titulada «¿Cómo funciona el geofencing de Ironchip sin GPS?»](#cómo-funciona-el-geofencing-de-ironchip-sin-gps) Ironchip crea una huella electromagnética única del entorno físico: captura las señales wifi, GSM, LTE y Bluetooth y genera un «mapa de ondas» del espacio. Al autenticarse, el dispositivo genera una nueva muestra y la compara con el mapa almacenado. * No requiere permiso de GPS ni de localización en el móvil. * No es falsificable con GPS spoofing ni con VPN. * Funciona en interiores, donde el GPS falla. * Permite granularidad de sala dentro de un edificio. Las zonas corporativas con nivel de verificación **Strict** añaden señales GPS a las electromagnéticas. ### ¿Se puede definir una zona por sala, por planta o por edificio? [Sección titulada «¿Se puede definir una zona por sala, por planta o por edificio?»](#se-puede-definir-una-zona-por-sala-por-planta-o-por-edificio) Sí, las tres opciones. La granularidad depende de las diferencias electromagnéticas del espacio. Una sala de servidores tiene señales muy distintas a las de la sala contigua, lo que permite esa precisión. La calibración se hace in situ durante la puesta en marcha. En la consola puedes crear las ubicaciones de dos formas: * Por poblaciones, regiones y países.  * Con ubicaciones personalizadas, dibujando polígonos o círculos.  ### ¿Qué pasa si un usuario intenta autenticarse fuera de su zona segura? [Sección titulada «¿Qué pasa si un usuario intenta autenticarse fuera de su zona segura?»](#qué-pasa-si-un-usuario-intenta-autenticarse-fuera-de-su-zona-segura) Hay tres respuestas posibles, según la política configurada: * Bloqueo inmediato y alerta al administrador. * Autenticación reforzada (step-up): se pide un factor adicional antes de conceder el acceso. * Alerta y acceso permitido: útil durante el periodo de calibración inicial. La respuesta se configura por grupo y por aplicación. ### ¿Puede un usuario trabajar desde casa y autenticarse en Ironchip? [Sección titulada «¿Puede un usuario trabajar desde casa y autenticarse en Ironchip?»](#puede-un-usuario-trabajar-desde-casa-y-autenticarse-en-ironchip) * Con una zona segura de domicilio configurada: Ironchip valida que el usuario está en su casa. * Sin zona de casa: el acceso se marca como «fuera de zona habitual» (step-up o alerta). * Con VPN e Ironchip: doble capa de protección para el acceso remoto. # Integraciones > Guías paso a paso para integrar Ironchip con Windows, macOS, Linux, Entra ID, Microsoft 365, Google Workspace, Fortinet, Palo Alto y más de 30 productos. Cualquier servicio compatible con OIDC, SAML o RADIUS puede protegerse con Ironchip. Estas guías recogen la configuración concreta de los productos más habituales entre nuestros clientes, agrupados por dónde se autentica el usuario. ### Puestos y servidores * [Despliegue de agentes de inicio de sesiónGPO, MDM, MSI](/identidad/integraciones/puestos/agentes/) * [Escritorio remoto de Windows (RDP)NPS](/identidad/integraciones/puestos/rdp/) * [Escritorios virtuales (VDI)Agente](/identidad/integraciones/puestos/vdi/) * [HashiCorp BoundaryOIDC](/identidad/integraciones/puestos/boundary/) * [HashiCorp VaultOIDC](/identidad/integraciones/puestos/vault/) * [Inicio de sesión en LinuxPAM](/identidad/integraciones/puestos/linux-logon/) * [Inicio de sesión en macOSAgente](/identidad/integraciones/puestos/macos-logon/) * [Inicio de sesión en WindowsCredential Provider](/identidad/integraciones/puestos/windows-logon/) * [UDS Enterprise (Virtual Cable)RADIUS](/identidad/integraciones/puestos/uds-enterprise/) ### Directorio y SaaS * [ADFSMFA adapter](/identidad/integraciones/saas/adfs/) * [AirtableSAML](/identidad/integraciones/saas/airtable/) * [AtlassianSAML](/identidad/integraciones/saas/atlassian/) * [Entra IDSAML](/identidad/integraciones/saas/entra-id/) * [Entra ID como MFAExternal MFA](/identidad/integraciones/saas/entra-id-mfa/) * [Google WorkspaceSAML](/identidad/integraciones/saas/google-workspace/) * [HubSpotOTP](/identidad/integraciones/saas/hubspot/) * [Keeper SecuritySAML](/identidad/integraciones/saas/keeper-security/) * [Microsoft 365SAML](/identidad/integraciones/saas/microsoft-365/) * [NextcloudOIDC](/identidad/integraciones/saas/nextcloud/) * [SalesforceSAML](/identidad/integraciones/saas/salesforce/) * [SolarWindsSAML](/identidad/integraciones/saas/solarwinds/) * [WordPressSAML](/identidad/integraciones/saas/wordpress/) * [Zoho OneSAML](/identidad/integraciones/saas/zoho-one/) ### Red, VPN y cortafuegos * [Check PointRADIUS](/identidad/integraciones/red/check-point/) * [Citrix VPNRADIUS](/identidad/integraciones/red/citrix/) * [FortinetSAML, RADIUS](/identidad/integraciones/red/fortinet/) * [FortiWebRADIUS](/identidad/integraciones/red/fortiweb/) * [Ironchip RADIUS serverRADIUS](/identidad/integraciones/red/radius-server/) * [Microsoft NPSNPS](/identidad/integraciones/red/nps/) * [OpenVPNRADIUS](/identidad/integraciones/red/openvpn/) * [Palo AltoSAML](/identidad/integraciones/red/palo-alto/) * [Pulse SecureRADIUS](/identidad/integraciones/red/pulse-secure/) * [SonicWallNPS, SAML](/identidad/integraciones/red/sonicwall/) * [Sophos FirewallOTP](/identidad/integraciones/red/sophos/) * [StormshieldRADIUS](/identidad/integraciones/red/stormshield/) * [WatchGuardRADIUS](/identidad/integraciones/red/watchguard/) ## ¿Falta tu producto? [Sección titulada «¿Falta tu producto?»](#falta-tu-producto) Si el servicio admite OIDC, SAML o RADIUS, sigue la guía del [protocolo correspondiente](/identidad/protocolos/). Si no, la [API HTTP](/identidad/protocolos/http-api/) permite añadir la verificación de Ironchip a cualquier aplicación. # Despliegue de agentes de inicio de sesión > Despliega y mantén los agentes de inicio de sesión de Ironchip en Windows y Linux: GPO, MDM o instalación manual, proveedor único, actualizaciones y RDP. Respuestas a las dudas habituales sobre cómo desplegar, configurar y actualizar los agentes de inicio de sesión de Ironchip en parques amplios de equipos Windows y Linux. Para la instalación paso a paso de cada agente, consulta [Inicio de sesión en Windows](/identidad/integraciones/puestos/windows-logon/), [Inicio de sesión en Linux](/identidad/integraciones/puestos/linux-logon/) e [Inicio de sesión en macOS](/identidad/integraciones/puestos/macos-logon/). ## Desplegar el agente de Windows Logon en muchos equipos [Sección titulada «Desplegar el agente de Windows Logon en muchos equipos»](#desplegar-el-agente-de-windows-logon-en-muchos-equipos) Elige el método según tu entorno: * **GPO (recomendado)**: distribuye el MSI mediante Group Policy a todos los equipos del dominio. El despliegue es silencioso, sin interacción del usuario. * **MDM (Intune, SCCM)**: para entornos con herramientas de gestión de dispositivos. * **Manual**: para pilotos o grupos pequeños. No se recomienda para despliegues masivos. El instalador MSI oficial está en las [versiones publicadas en GitHub](https://github.com/Ironchip-Security/Ironchip-Windows-Logon/releases). Hay un instalador para equipos x64 (`IronchipWindowsLogon_x64.msi`) y otro para equipos ARM64 (`IronchipWindowsLogon_arm64.msi`). Las propiedades que admite el instalador están en [Inicio de sesión en Windows](/identidad/integraciones/puestos/windows-logon/#propiedades-del-instalador).  ## Hacer que Ironchip sea el único proveedor de credenciales [Sección titulada «Hacer que Ironchip sea el único proveedor de credenciales»](#hacer-que-ironchip-sea-el-único-proveedor-de-credenciales) En el instalador, que también puedes configurar con un fichero `.mst` desplegado mediante GPO, elige una opción **(Exclude other providers)** en cada escenario (valor `e` en las propiedades `CPUS_*`). Con ella: * Ironchip pasa a ser el único credential provider de Windows en ese escenario. * El segundo factor es obligatorio en cualquier inicio de sesión. * Desaparece el riesgo de saltarse el segundo factor usando el credential provider nativo de Windows. Pruébalo antes en un grupo piloto Elegir **(Exclude other providers)** sin pruebas exhaustivas puede dejar equipos sin acceso. Prueba siempre primero en un grupo piloto de TI. ## Actualizar Windows Logon [Sección titulada «Actualizar Windows Logon»](#actualizar-windows-logon) Ironchip publica las nuevas versiones en las [versiones de GitHub](https://github.com/Ironchip-Security/Ironchip-Windows-Logon/releases). Distribuye el nuevo MSI mediante GPO o MDM. Al instalar el MSI nuevo sobre el existente, el agente se actualiza y conserva su configuración y los usuarios guardados. No se puede instalar una versión anterior sobre una más reciente. Antes de desplegarlo en producción, espera a que Ironchip confirme que la versión está validada. ## Compatibilidad con software de gestión de credential providers [Sección titulada «Compatibilidad con software de gestión de credential providers»](#compatibilidad-con-software-de-gestión-de-credential-providers) Puede haber incompatibilidades. Se ha documentado un caso en el que la configuración de un software de terceros interfería con el credential provider de Ironchip y permitía saltarse el segundo factor. Ironchip lo corrigió en la versión 2.3.2 de Windows Logon. Si detectas una incompatibilidad con software de terceros, repórtala al soporte de Ironchip con capturas o un vídeo del comportamiento. ## Usar Ironchip con RDP [Sección titulada «Usar Ironchip con RDP»](#usar-ironchip-con-rdp) Hay dos opciones: * **Windows Logon en el equipo de destino**: protege la sesión RDP directamente. Elige **Local and Remote** u **Only Remote** en el escenario **Logon** del instalador (valores `0` y `1` de `CPUS_LOGON`). * **RD Gateway con RADIUS**: Ironchip actúa como segundo factor en el Gateway y protege todas las conexiones RDP que pasan por él. Consulta [Escritorio remoto de Windows (RDP)](/identidad/integraciones/puestos/rdp/). Hay clientes que usan Ironchip tanto con RDP directo como con una VPN de Citrix combinada con RDP. ## Desplegar el agente en Linux [Sección titulada «Desplegar el agente en Linux»](#desplegar-el-agente-en-linux) En Linux, Ironchip se integra mediante PAM (Pluggable Authentication Modules). Añade el segundo factor de Ironchip a cualquier servicio de Linux que use PAM, como SSH, `sudo`, `su` o el inicio de sesión local. Es especialmente útil en servidores de producción, bastiones y entornos de desarrollo. Los pasos están en [Inicio de sesión en Linux](/identidad/integraciones/puestos/linux-logon/). # HashiCorp Boundary > Integra Ironchip con HashiCorp Boundary por OIDC para iniciar sesión sin contraseña: crea el método de autenticación, la aplicación OIDC y prueba el acceso. Esta guía integra Ironchip con Boundary para añadirle una capa de seguridad con el inicio de sesión sin contraseña de Ironchip, mediante [OIDC](/identidad/protocolos/oidc/). ## Requisitos [Sección titulada «Requisitos»](#requisitos) * Un Boundary desplegado. * Acceso a la consola de administración de Ironchip. ## Configuración en Boundary [Sección titulada «Configuración en Boundary»](#configuración-en-boundary) 1. Ve a **Auth Methods**.  2. Haz clic en **New** y elige **OIDC** para crear un método de autenticación nuevo.  3. Ponle un nombre identificativo. En **Client ID** y **Client Secret** escribe cualquier valor para que te deje guardar: los modificarás más adelante.  4. En **API URL Prefix**, escribe la dirección de acceso a Boundary. Al guardar, Boundary te devuelve una URL que usarás en Ironchip.  ## Configuración en Ironchip [Sección titulada «Configuración en Ironchip»](#configuración-en-ironchip) 1. En la consola de Ironchip, crea una aplicación OIDC nueva y escribe la URL que obtuviste en Boundary. 2. Descarga el documento con los identificadores necesarios. 3. Añade a la aplicación los usuarios que quieras.   ## Completar la configuración en Boundary [Sección titulada «Completar la configuración en Boundary»](#completar-la-configuración-en-boundary) 1. De vuelta en el método de autenticación de Boundary, introduce los datos del documento de Ironchip en los campos correspondientes: **Issuer**, **Client ID** y **Client Secret**.  2. Añade los campos restantes en su lugar correspondiente: * **Signing Algorithms**: `RS256`. * **Claims Scopes**: `email`, `groups` y `profile`. * **Account Claim Maps**: `email` a `email` y `external_username` a `name`.  ## Comprobación [Sección titulada «Comprobación»](#comprobación) 1. Cierra sesión en Boundary y vuelve a iniciarla con la opción de Ironchip. 2. Escribe las credenciales del usuario que añadiste a la aplicación de Ironchip. 3. Autoriza el acceso con la notificación de la app móvil o de escritorio.   Si quieres que ese usuario tenga permisos en Boundary, añade sus credenciales al administrador de Boundary. [ Integración de Ironchip con BoundaryReproducir el vídeo](https://play.hubspotvideo.com/v/7745202/id/130741051001) ## Problemas frecuentes [Sección titulada «Problemas frecuentes»](#problemas-frecuentes) **La máquina Docker no resuelve el dominio `ironchip.com`.** Añade el dominio al archivo `/etc/hosts` de la máquina que resuelve el dominio. **Al comprobar el issuer aparece `https://idp.ironchip.com/oidc/` y da un error.** Elimina la `/` del final. # Inicio de sesión en Linux > Añade Ironchip como segundo factor en Linux con el módulo PAM: crea la aplicación, instala pam_ironchip_auth.so y protege sudo, SSH o el inicio de sesión local. Ironchip se integra en Linux mediante PAM (Pluggable Authentication Modules) y añade el segundo factor a servicios como `sudo`, SSH o el inicio de sesión local. Usa esta página para crear la aplicación, instalar el módulo y configurar PAM. **Ironchip Linux Logon**última versión v1.0.0, publicada el 26 de marzo de 2025 * [ironchip-pam-installer.tar.gz](https://github.com/ironchip-security/Ironchip-Linux-Logon/releases/download/v1.0.0/ironchip-pam-installer.tar.gz) 6 kB [Todas las versiones y notas de cada una](https://github.com/ironchip-security/Ironchip-Linux-Logon/releases) ## Requisitos [Sección titulada «Requisitos»](#requisitos) * Acceso a la consola de administración de Ironchip. * Un usuario con permisos de administrador (`root` o `sudo`) en el equipo Linux. * Conectividad desde el equipo con la API de Ironchip (`https://api.ironchip.com`). * Un sistema Linux con PAM. Para macOS, consulta [Inicio de sesión en macOS](/identidad/integraciones/puestos/macos-logon/). Puede bloquear el sistema Una configuración de PAM incorrecta puede dejarte sin acceso al equipo. Mantén abierta una sesión de `root` mientras pruebas y empieza por `sudo` antes de proteger SSH o el inicio de sesión. ## Configuración en Ironchip [Sección titulada «Configuración en Ironchip»](#configuración-en-ironchip) ### Crear la aplicación [Sección titulada «Crear la aplicación»](#crear-la-aplicación) 1. Ve a **Applications > New application**.  2. Selecciona el tipo de integración **Linux Logon**.  3. Escribe un nombre descriptivo para la aplicación y haz clic en **Add**.  4. Guarda la **API key** que se muestra al crear la aplicación: la necesitarás más tarde.  ### Dar acceso a los usuarios [Sección titulada «Dar acceso a los usuarios»](#dar-acceso-a-los-usuarios) 1. Abre la aplicación recién creada y haz clic en el botón para añadir un nuevo acceso.  2. Selecciona los usuarios que van a utilizar el servicio.  3. Configura el nombre de usuario para que coincida con el del sistema Linux.  4. Configura las condiciones de acceso que tiene que cumplir el usuario para acceder al equipo.  5. Guarda el acceso.  ## Configuración en Linux [Sección titulada «Configuración en Linux»](#configuración-en-linux) ### Instalar el módulo PAM [Sección titulada «Instalar el módulo PAM»](#instalar-el-módulo-pam) 1. Opcional: instala estas dependencias, que solo hacen falta en algunos casos. ```bash # Debian y Ubuntu sudo apt-get install libcurl4-openssl-dev libpam-dev uuid-dev # RHEL, AlmaLinux y CentOS sudo yum install curl-devel pam-devel libuuid libuuid-devel ``` 2. Crea una carpeta en una ubicación segura. ```bash mkdir /usr/local/lib/security ``` 3. Guarda en ella el archivo `pam_ironchip_auth.so`, que encontrarás en el apartado **Plugins** de la consola de Ironchip. ```bash mv pam_ironchip_auth.so /usr/local/lib/security/ ```  ### Configurar PAM [Sección titulada «Configurar PAM»](#configurar-pam) Ve a `/etc/pam.d` y abre con un editor de texto uno de estos archivos, según las necesidades de la compañía. Los nombres pueden cambiar según la arquitectura del sistema. | Archivo | Protege | | -------------- | -------------------------------------- | | `sudo` | La autenticación en el comando `sudo`. | | `sshd` | La autenticación en el servicio SSH. | | `gdm-password` | El inicio de sesión en el equipo. | | `common-auth` | Todos los servicios anteriores. | `gdm-password` gestiona el inicio de sesión gráfico (GNOME Display Manager). `common-auth` centraliza la autenticación que importan servicios como `sudo`, `login` o `sshd` con la línea `@include common-auth`. Añade esta línea con tus datos: ```text auth required host=https://api.ironchip.com api_key= ``` La API key es la que guardaste al crear la aplicación. ### Parámetros del módulo [Sección titulada «Parámetros del módulo»](#parámetros-del-módulo) | Parámetro | Obligatorio | Descripción | | ------------------- | ----------- | ------------------------------------------------------------------------------------------------------- | | `host` | Sí | URL del servidor de identidad de Ironchip, por ejemplo `https://api.ironchip.com`. | | `api_key` | Sí | API key de la aplicación, usada en la autenticación. | | `offline_skip` | No | Con `offline_skip=true`, si no hay conectividad con Ironchip el módulo se omite y PAM lo da por válido. | | `whitelisted_users` | No | Usuarios separados por `;` que omiten el módulo, por ejemplo `whitelisted_users=root;ubuntu`. | Precaución `offline_skip` y `whitelisted_users` hacen que esos casos no pidan el segundo factor. Úsalos solo cuando sea imprescindible. ### Exigir el segundo factor o aceptarlo como suficiente [Sección titulada «Exigir el segundo factor o aceptarlo como suficiente»](#exigir-el-segundo-factor-o-aceptarlo-como-suficiente) El verbo que uses en la línea `auth` decide cómo se combina Ironchip con el resto de módulos PAM: * `required`: el usuario debe superar este módulo **como mínimo**. Es la opción para que el segundo factor sea obligatorio. * `sufficient`: si el módulo se supera, PAM termina la autenticación con éxito de inmediato e ignora el resto de módulos. ```text auth required pam_ironchip_auth.so auth sufficient pam_ironchip_auth.so ``` ## SSH con clave pública e Ironchip [Sección titulada «SSH con clave pública e Ironchip»](#ssh-con-clave-pública-e-ironchip) Esta configuración exige a la vez la clave pública y Ironchip como autenticación interactiva (`keyboard-interactive`). ### Configurar sshd_config [Sección titulada «Configurar sshd_config»](#configurar-sshd_config) 1. Abre el archivo de configuración principal de SSH con privilegios de administrador. ```bash sudo nano /etc/ssh/sshd_config ``` 2. Localiza y ajusta estos parámetros, o añádelos al final del archivo. /etc/ssh/sshd_config ```text # Habilitar llaves y desactivar contraseñas simples PubkeyAuthentication yes PasswordAuthentication no # Forzar AMBOS: llave pública + Ironchip (keyboard-interactive) AuthenticationMethods publickey,keyboard-interactive # Configuración necesaria para que PAM (Ironchip) funcione UsePAM yes KbdInteractiveAuthentication yes # Ubuntu/Debian modernos ``` 3. Si tu sistema Linux no es Ubuntu o Debian, añade además esta línea. ```text ChallengeResponseAuthentication yes ``` ### Autenticar en SSH sin contraseña [Sección titulada «Autenticar en SSH sin contraseña»](#autenticar-en-ssh-sin-contraseña) Para que el servidor SSH reconozca a Ironchip como método de autenticación interactiva, modifica la configuración de PAM. Así el sistema valida la identidad con Ironchip sin pedir además la contraseña tradicional de Linux. 1. Abre el archivo que gestiona la autenticación del servicio SSH. ```bash sudo nano /etc/pam.d/sshd ``` 2. Añade esta línea al **principio** del archivo, para que sea el primer método que se evalúa en la fase interactiva. /etc/pam.d/sshd ```text auth sufficient pam_ironchip_auth.so host=https://api.ironchip.com api_key= ``` ### Permitir la conexión con SELinux [Sección titulada «Permitir la conexión con SELinux»](#permitir-la-conexión-con-selinux) El servidor debe hacer peticiones salientes a `api.ironchip.com` para validar la identidad. En sistemas con SELinux habilitado, como RHEL, AlmaLinux o CentOS, el servicio SSH tiene restringido el acceso a la red por defecto, y eso bloquearía la comunicación con Ironchip. Importa el módulo de política que permite al proceso de SSH establecer conexiones de red. ```bash semodule -i mi-sshdsession.pp ``` ### Aplicar los cambios [Sección titulada «Aplicar los cambios»](#aplicar-los-cambios) Guarda los archivos y reinicia el servicio SSH. ```bash # Sistemas con systemd (Ubuntu, Debian, RHEL 7+) sudo systemctl restart sshd # Verificar el estado del servicio sudo systemctl status sshd ``` Con `sufficient`, el cliente SSH sigue mostrando el aviso de contraseña. El usuario puede escribir cualquier valor: no se valida si Ironchip ya ha aceptado la autenticación. Para que no se pregunte, añade `PermitEmptyPasswords yes` en `/etc/ssh/sshd_config` y reinicia `sshd`. Hazlo solo si usas el módulo como método `sufficient`. Si esperas un segundo factor (MFA), no cambies este parámetro. ## Comprobación [Sección titulada «Comprobación»](#comprobación) 1. Mantén abierta una sesión de `root` y abre otra terminal. 2. Ejecuta un comando que pase por PAM, por ejemplo `sudo -k && sudo ls`. 3. Autoriza el acceso en Ironchip cuando te lo pida. 4. Si protegiste SSH, abre una conexión nueva con el usuario configurado en Ironchip y autoriza el acceso. Si algo falla, restaura la línea de PAM desde la sesión de `root`, que sigue abierta. [ Protección del inicio de sesión en Linux con IronchipReproducir el vídeo](https://play.hubspotvideo.com/v/7745202/id/145633784588) ## Registros [Sección titulada «Registros»](#registros) El módulo escribe sus registros en `syslog`. Consúltalos así: ```bash tail -f /var/log/auth.log ``` Para filtrar el inicio de sesión gráfico: ```bash tail -f /var/log/syslog | grep gdm-password ``` ## Problemas frecuentes [Sección titulada «Problemas frecuentes»](#problemas-frecuentes) **SSH sigue pidiendo la contraseña de Linux.** Comprueba que `UsePAM yes` está en `/etc/ssh/sshd_config` y reinicia el servicio. Si quieres evitar el aviso con el método `sufficient`, consulta [Aplicar los cambios](#aplicar-los-cambios). **En RHEL, AlmaLinux o CentOS, SSH no valida con Ironchip.** Importa el módulo de política de SELinux de la sección [Permitir la conexión con SELinux](#permitir-la-conexi%C3%B3n-con-selinux). # Inicio de sesión en macOS > Protege con Ironchip el inicio de sesión, sudo y SSH en macOS mediante el módulo PAM: crea la aplicación de tipo API Key y configura los archivos de /etc/pam.d. Esta guía explica cómo instalar el servicio Mac Logon de Ironchip en un equipo macOS. Se basa en un módulo PAM que añade el segundo factor al inicio de sesión, a `sudo` o a SSH. **Ironchip macOS Logon**última versión v1.0.0, publicada el 8 de mayo de 2025 * [pam_ironchip_auth_all.so](https://github.com/ironchip-security/Ironchip-Mac-Logon/releases/download/v1.0.0/pam_ironchip_auth_all.so) 68 kB * [pam_ironchip_auth_arm64.so](https://github.com/ironchip-security/Ironchip-Mac-Logon/releases/download/v1.0.0/pam_ironchip_auth_arm64.so) 35 kB * [pam_ironchip_auth_x86.so](https://github.com/ironchip-security/Ironchip-Mac-Logon/releases/download/v1.0.0/pam_ironchip_auth_x86.so) 14 kB [Todas las versiones y notas de cada una](https://github.com/ironchip-security/Ironchip-Mac-Logon/releases) ## Requisitos [Sección titulada «Requisitos»](#requisitos) * Acceso a la consola de administración de Ironchip. * Permisos de administrador sobre el dispositivo. * El archivo PAM de Ironchip, que te proporciona el equipo de Ironchip. ## Configuración en Ironchip [Sección titulada «Configuración en Ironchip»](#configuración-en-ironchip) 1. Entra en la consola de administración de Ironchip y crea una aplicación nueva de tipo **API Key**. Guarda la key en un lugar seguro.  2. Añade un acceso con el nombre de usuario de tu dispositivo Mac.  3. Para conocer el nombre de usuario exacto, abre un terminal en el Mac y ejecuta `whoami`.  ## Configuración en macOS [Sección titulada «Configuración en macOS»](#configuración-en-macos) Puede bloquear el sistema Este proceso puede bloquear de forma permanente el sistema y a los usuarios si no se ejecuta correctamente. Mantén abierto durante todo el proceso un terminal con permisos de administrador y empieza integrando el servicio solo en la autenticación de `sudo`, como prueba, para no quedarte fuera del sistema. 1. Descarga el archivo PAM en el equipo y cópialo en `/opt/local/lib/pam`. ```bash cp /opt/local/lib/pam ``` Si la carpeta no existe, créala antes. ```bash mkdir /opt/local/lib/pam ``` 2. Ve a `/etc/pam.d`. Según lo que necesites proteger, añade una línea al principio de uno de estos archivos: | Archivo | Protege | | ------------------------------- | ----------------------------------------------------------------------------------- | | `sudo` | La autenticación al ejecutar acciones de administrador, como `sudo su` o similares. | | `authorization` y `screensaver` | La autenticación al iniciar la sesión del usuario. | | `sshd` | La autenticación al establecer una conexión SSH. |  3. Edita uno de esos archivos y añade al principio la siguiente línea, con la API key de tu aplicación de Ironchip. ```text auth required /opt/local/lib/pam/pam_ironchip_auth.so host=https://api.ironchip.com api_key= ``` 4. Ejecuta este comando para deshabilitar la protección de software de desarrolladores no identificados solo para este archivo. Si no lo haces, macOS no permitirá ejecutar el archivo PAM. ```bash xattr -dr com.apple.quarantine ``` ## Registros [Sección titulada «Registros»](#registros) Para ver en directo los registros del módulo PAM de Ironchip, ejecuta en un terminal: ```bash log stream --predicate 'sender == "pam_ironchip_auth.so"' --level debug ``` # Escritorio remoto de Windows (RDP) > Protege el Escritorio remoto de Windows con Ironchip: configura RD Gateway, las políticas RD CAP y RD RAP, el plugin NPS y limita RDP al acceso por Gateway. RDP (Remote Desktop Protocol) es el protocolo que permite la comunicación entre un terminal y un servidor Windows para ejecutar aplicaciones de forma remota. Esta guía protege RDP con Ironchip mediante RD Gateway y un servidor NPS protegido por Ironchip. ## Requisitos [Sección titulada «Requisitos»](#requisitos) * Un Directorio Activo funcional. * Servicios DHCP y DNS activos. * RDP instalado en el servidor. * NPS protegido por Ironchip. Consulta [Microsoft NPS](/identidad/integraciones/red/nps/). * Una integración HTTP-MFA (aplicación MFA) creada en Ironchip. Consulta [Crear una integración HTTP-MFA](/identidad/administracion/aplicaciones/#crear-una-integraci%C3%B3n-http-mfa). ## Preparar el entorno Windows [Sección titulada «Preparar el entorno Windows»](#preparar-el-entorno-windows) Si ya tienes un dominio de Active Directory con DHCP y DNS, y RDP habilitado en el servidor y en los clientes, salta a [Configuración en Ironchip](#configuraci%C3%B3n-en-ironchip). Si no, prepara el entorno así. ### Instalar Active Directory [Sección titulada «Instalar Active Directory»](#instalar-active-directory) 1. En **Administrador del servidor**, abre **Agregar roles y características** y añade estos roles: * Servicios de dominio de Active Directory. * Servidor DHCP. * Servidor DNS. 2. Haz clic en **Siguiente** hasta el final. Aparece una barra de progreso. 3. De vuelta en la página principal del Administrador del servidor, comprueba que los tres roles aparecen en el menú de la izquierda. En el menú superior aparecen también dos alertas. 4. Haz clic en la primera alerta, **Promover este servidor a controlador de dominio**. 5. Selecciona **Agregar un nuevo bosque** y escribe el nombre de dominio que quieras. 6. Sigue los pasos hasta el final y haz clic en **Instalar**. Al terminar aparece otra alerta sobre el DNS, que resolverás más adelante. ### Configurar DHCP [Sección titulada «Configurar DHCP»](#configurar-dhcp) 1. Haz clic en la segunda alerta para aplicar la configuración por defecto y en **Siguiente** hasta el final. 2. Abre DHCP desde las herramientas administrativas. 3. Haz clic derecho en **IPv4**, selecciona **Ámbito nuevo…** y escribe un rango de IP, por ejemplo de `192.168.11.50` a `192.168.11.100`. Deja el resto de opciones por defecto y haz clic en **Finalizar**. 4. Haz clic derecho en el nombre del servidor, dentro de DHCP, y en **Autorizar**. Al actualizar la página, el icono de IPv4 pasa de rojo a verde. ### Configurar DNS [Sección titulada «Configurar DNS»](#configurar-dns) Añade un reenviador: 1. Abre DNS desde las herramientas administrativas. 2. Haz clic derecho en el servidor y selecciona **Propiedades**. 3. En la pestaña **Reenviadores**, añade los servidores DNS externos que necesites, como `8.8.8.8` y `8.8.4.4`. ### Habilitar RDP y unir el cliente al dominio [Sección titulada «Habilitar RDP y unir el cliente al dominio»](#habilitar-rdp-y-unir-el-cliente-al-dominio) Habilita RDP en el servidor y en el equipo cliente: * **Equipo cliente**: desde Inicio, abre la configuración para desarrolladores y permite las conexiones remotas. * **Servidor**, si lo anterior no funciona: en el Administrador del servidor, abre **Servidor local**. Entre las propiedades verás **Escritorio remoto**. Haz clic en **Deshabilitado**, selecciona **Permitir las conexiones remotas con este equipo** y haz clic en **Aplicar**. Después haz clic en **Seleccionar usuarios…** y elige los usuarios que podrán acceder al servidor. Después, une el equipo cliente al dominio: 1. Haz clic derecho en **Este equipo** y, en **Configuración de nombre, dominio y grupo de trabajo**, haz clic en **Cambiar configuración**. 2. Escribe el nombre del equipo y el dominio al que pertenece. 3. Cuando aparezca el inicio de sesión de Active Directory, escribe el usuario y la contraseña del Directorio Activo. 4. Reinicia el equipo e inicia sesión con **Otro usuario**, con el mismo usuario y contraseña que escribiste en Active Directory. 5. Abre una conexión RDP con **Conexión a Escritorio remoto**. Te pedirá las credenciales del administrador. ## Configuración en Ironchip [Sección titulada «Configuración en Ironchip»](#configuración-en-ironchip) 1. Crea en la consola de administración una aplicación que haga referencia a la integración HTTP-MFA. Como **External ID**, usa el nombre de la política RD CAP que crearás en Windows (en esta guía, `IronchipCAP`).  2. Añade los usuarios a la aplicación con el formato `Dominio\Usuario`. [ Crear la aplicación en Ironchip y añadir usuarios para RDPReproducir el vídeo](https://play.hubspotvideo.com/v/7745202/id/130735482939) ## Configuración en Windows [Sección titulada «Configuración en Windows»](#configuración-en-windows) ### Instalar RD Gateway [Sección titulada «Instalar RD Gateway»](#instalar-rd-gateway) 1. En el Administrador del servidor, ve a **Servicios de Escritorio remoto**.  2. Haz clic en el botón **Puerta de enlace de Escritorio remoto**.  3. Selecciona el servidor en el que instalarás el servicio. En la pantalla siguiente, escribe el nombre de dominio completo.  4. Haz clic en **Siguiente** y después en **Agregar**. 5. Cuando termine el proceso, Windows te pide configurar un certificado. Este ejemplo usa un certificado autofirmado.  6. Si no tienes un certificado, haz clic en **Crear nuevo certificado**.  7. Escribe el nombre de dominio completo, una contraseña y una ruta para guardar el certificado, y marca la casilla del final. Haz clic en **Aceptar** y después en **Aplicar**.  8. Añade el mismo certificado a todos los servicios de la lista seleccionándolo. ### Crear o cambiar el certificado de RD Gateway [Sección titulada «Crear o cambiar el certificado de RD Gateway»](#crear-o-cambiar-el-certificado-de-rd-gateway) Si ya tienes RD Gateway instalado, o quieres crear el certificado más tarde, hazlo desde el administrador: 1. En **Herramientas**, ve a **Servicio de Escritorio remoto** y selecciona **Administración de la Puerta de enlace de Escritorio remoto**.  2. Haz clic derecho en el servidor, abre **Propiedades** y ve a la pestaña **SSL Certificate**.  3. Selecciona **Crear un certificado autofirmado** y haz clic en **Crear e importar certificado…** y en **Aceptar**. El certificado se guarda en la carpeta **Documentos** del equipo.  ### Instalar el certificado en las máquinas [Sección titulada «Instalar el certificado en las máquinas»](#instalar-el-certificado-en-las-máquinas) Copia el certificado a todas las máquinas, el propio servidor y los clientes, e instálalo en cada una con el mismo proceso: 1. Haz clic derecho en el certificado. 2. Selecciona **Instalar certificado**. 3. Selecciona **Máquina local** y haz clic en **Siguiente**. 4. Selecciona **Colocar todos los certificados en el siguiente almacén** y haz clic en **Examinar…**. 5. En la ventana que se abre, selecciona la carpeta **Autoridades de certificación raíz de confianza** y haz clic en **Aceptar**. 6. Haz clic en **Siguiente** y en **Finalizar**. ### Crear las políticas RD CAP y RD RAP [Sección titulada «Crear las políticas RD CAP y RD RAP»](#crear-las-políticas-rd-cap-y-rd-rap) 1. En el administrador de la puerta de enlace de Escritorio remoto, selecciona tu servidor y crea una directiva nueva con clic derecho en **Directivas**.  2. Selecciona **Crear una CAP de RD y una RAP de RD**.  3. Ponle un nombre identificativo. El nombre de la política RD CAP (aquí, `IronchipCAP`) debe ser el mismo que el **External ID** de la aplicación creada en la consola de Ironchip.  4. Añade los grupos de usuarios del dominio a los que se aplicará la directiva: haz clic en **Agregar grupo…**, después en **Opciones avanzadas…** y en **Buscar ahora** para ver todos los grupos que puedes seleccionar.  5. En la pestaña siguiente, selecciona la primera opción y marca la casilla del final, **Permitir solamente conexiones de cliente a servidores host de sesión de Escritorio remoto que apliquen la redirección de dispositivos de Puerta de enlace de Escritorio remoto**. Las demás opciones no son necesarias: haz clic en **Siguiente** hasta llegar a la directiva de autorización de recursos.  6. Ponle un nombre identificativo a la directiva de autorización de recursos.  7. Añade los grupos de usuarios del dominio a los que se aplicará, con el mismo procedimiento.  8. Selecciona la última opción, **Permitir que los usuarios se conecten a cualquier recurso de red**. La opción siguiente no es necesaria: haz clic en **Siguiente** hasta finalizar.  ### Crear la directiva de grupo [Sección titulada «Crear la directiva de grupo»](#crear-la-directiva-de-grupo) 1. Abre **Administración de directivas de grupo**, haz clic derecho en tu servidor y selecciona **Crear un GPO en este dominio y vincularlo aquí**.  2. Escribe un nombre, por ejemplo `Ironchip`. 3. Haz clic derecho en el GPO creado y selecciona **Editar**. 4. En el Editor de administración de directivas de grupo, ve a **Configuración de usuario > Directivas > Plantillas administrativas > Componentes de Windows > Servicio de Escritorio remoto > Puerta de enlace de Escritorio remoto**.  5. Selecciona **Método de autenticación de RD Gateway**, actívalo con **Habilitado** y elige **Solicitar credenciales, usar protocolo de negociación**. En un Windows en inglés, como el de la captura, la directiva es **Set RD Gateway authentication method** y la opción, **Ask for credentials, use Negotiate protocol**.  6. Selecciona **Habilitar conexión a través de RD Gateway** y actívalo con **Habilitado**. 7. Selecciona **Establecer dirección del servidor de puerta de enlace de RD**, actívalo con **Habilitado** e introduce la dirección de tu servidor, por ejemplo `10.0.0.2`. 8. Ejecuta `gpupdate` en PowerShell en todas las máquinas relacionadas. ### Añadir las políticas al plugin [Sección titulada «Añadir las políticas al plugin»](#añadir-las-políticas-al-plugin) Si todavía no has instalado el plugin NPS, sigue [Instalar el plugin NPS](/identidad/integraciones/red/nps/#instalar-el-plugin-nps). Después, añade al plugin las políticas que has creado: 1. Ejecuta de nuevo el instalador del plugin y haz clic en **Change**. 2. En **NPS Policies**, añade la política de red protegida por Ironchip y la RD CAP, separadas por comas.  3. Reinicia los servicios NPS y RDP. ## Comprobación [Sección titulada «Comprobación»](#comprobación) Necesitas un equipo cliente conectado al dominio. Sigue los pasos del vídeo. [ Comprobar el acceso por RDP protegido con IronchipReproducir el vídeo](https://play.hubspotvideo.com/v/7745202/id/130735482976) ### Vídeo tutorial [Sección titulada «Vídeo tutorial»](#vídeo-tutorial) [ Tutorial completo de RDP con IronchipReproducir el vídeo](https://play.hubspotvideo.com/v/7745202/id/130735483054) ## Permitir RDP solo por Gateway [Sección titulada «Permitir RDP solo por Gateway»](#permitir-rdp-solo-por-gateway) Configura el firewall del servidor para que solo acepte conexiones RDP a través de la puerta de enlace. 1. Abre **Windows Defender Firewall con seguridad avanzada**.  2. Ve a **Reglas de entrada** y busca **Escritorio remoto - Modo usuario (TCP de entrada)** y **Escritorio remoto - Modo usuario (UDP de entrada)**.  3. Abre la regla TCP. Las dos configuraciones son iguales: 1. En la pestaña **General**, activa **Bloquear la conexión**. 2. En la pestaña **Ámbito**, añade la IP de tu servidor en **Dirección IP local**. 3. Aplica los cambios.   4. Repite los pasos anteriores con la regla UDP. # UDS Enterprise (Virtual Cable) > Integra Ironchip con UDS Enterprise 3.5 mediante un autenticador SAML: crea la aplicación, configura el autenticador, define los atributos y los grupos. Esta guía integra un autenticador [SAML](/identidad/protocolos/saml/) de UDS Enterprise 3.5 para validar usuarios en Ironchip, de modo que los usuarios de Ironchip puedan acceder al servicio de UDS. ## Requisitos [Sección titulada «Requisitos»](#requisitos) * Acceso a la consola de administración de Ironchip con un usuario con permisos de administración. * Una cuenta con permisos para realizar la configuración en UDS Enterprise. * Usuarios dados de alta en ambas plataformas. ## Configuración en Ironchip [Sección titulada «Configuración en Ironchip»](#configuración-en-ironchip) ### Crear la aplicación SAML [Sección titulada «Crear la aplicación SAML»](#crear-la-aplicación-saml) 1. En la consola de administración de Ironchip, selecciona **SAML apps**.  2. Da de alta una aplicación SAML personalizada.  3. En el asistente, indica un nombre para identificar la aplicación y selecciona el tipo de integración **SAML**.  4. Descarga el metadata que genera Ironchip. Lo necesitarás en UDS Enterprise. Deja esta ventana abierta y continúa con el siguiente paso.  ## Configuración en UDS Enterprise [Sección titulada «Configuración en UDS Enterprise»](#configuración-en-uds-enterprise) ### Crear el autenticador SAML [Sección titulada «Crear el autenticador SAML»](#crear-el-autenticador-saml) 1. En la administración de UDS Enterprise, ve a **Autenticadores**, selecciona **Nuevo** y elige **SAML Authenticator**.  2. En la pestaña **Main**, indica un nombre para el autenticador (no puede contener espacios), la prioridad y un **Label**.  3. En la pestaña **Certificates**, indica un certificado válido y su clave. Tienen que estar en formato PEM.  #### Generar un certificado con OpenSSL [Sección titulada «Generar un certificado con OpenSSL»](#generar-un-certificado-con-openssl) Si no tienes certificados, puedes generar uno con OpenSSL. El servidor de UDS tiene OpenSSL instalado, así que puedes usar esa máquina. 1. Genera el certificado y la clave. ```bash openssl req -new -newkey rsa:2048 -days 3650 -x509 -nodes -keyout server.key -out server.crt ```  2. Completa los datos que te pide para generar el certificado.  3. Convierte la clave a formato RSA. ```bash openssl rsa -in server.key -out server_rsa.key ```  4. Copia el contenido del certificado y de la clave RSA en UDS.  5. Pega la clave en **Private Key** y el certificado en **Certificate**.  ### Añadir el metadata de Ironchip [Sección titulada «Añadir el metadata de Ironchip»](#añadir-el-metadata-de-ironchip) 1. En la pestaña **Metadata**, rellena **IDP Metadata** con el metadata que descargaste de Ironchip al crear la aplicación SAML personalizada. Copia el contenido completo del fichero. Ábrelo con un editor adecuado y nunca con un navegador, porque oculta partes del código.  2. Deja **Entity ID** vacío: se rellena automáticamente al guardar el autenticador, a partir de la URL que uses para conectar con el portal de UDS Enterprise. 3. Guarda el autenticador. Para que te deje guardar, indica cualquier dato en la pestaña **Attributes**; volverás a este apartado más adelante para aplicar la configuración definitiva. 4. Vuelve a editar el autenticador. Ahí obtienes los datos de **Entity ID** que necesitas para terminar de configurar la aplicación SAML personalizada en la consola de Ironchip.  ## Terminar la configuración en Ironchip [Sección titulada «Terminar la configuración en Ironchip»](#terminar-la-configuración-en-ironchip) 1. Retoma el asistente de Ironchip para crear la aplicación SAML personalizada. Te pedirá la **Metadata URL** que generó UDS Enterprise al guardar y volver a editar el autenticador.  2. Introduce la URL y finaliza el asistente. 3. Da acceso a tus usuarios a la aplicación creada. Puedes añadir usuarios individuales o grupos de usuarios.      ## Definir los atributos y los grupos en UDS Enterprise [Sección titulada «Definir los atributos y los grupos en UDS Enterprise»](#definir-los-atributos-y-los-grupos-en-uds-enterprise) 1. En la administración de UDS Enterprise, selecciona el autenticador SAML que creaste y edítalo.  2. En **Attributes**, indica los atributos correctos. Están definidos y visibles en la documentación de Ironchip. Por defecto son: | Description | Friendly Name | SAML Name | | ---------------- | ---------------------- | ----------------------------------- | | User Name | `uid` | `urn:oid:0.9.2342.19200300.100.1.1` | | User Email | `mail` | `urn:oid:0.9.2342.19200300.100.1.3` | | User given Name | `givenName` | `urn:oid:2.5.4.42` | | User common Name | `cn` | `urn:oid:2.5.4.3` | | User Groups | `eduPersonAffiliation` | `urn:oid:1.3.6.1.4.1.5923.1.1.1.1` |  3. Guarda y accede al autenticador creado en UDS Enterprise. 4. Ve al apartado **Groups** y añade los grupos necesarios. Tienes que añadirlos manualmente, porque la búsqueda automática no se aplica a este tipo de autenticador.  5. Añade todos los grupos necesarios. En este ejemplo se añaden los departamentos a los que pertenecen los usuarios, porque el atributo de pertenencia a departamentos que usa Ironchip es `Groups`.  ## Comprobación [Sección titulada «Comprobación»](#comprobación) 1. Accede al portal de UDS Enterprise a través del autenticador SAML que acabas de crear.  2. Al seleccionar el autenticador SAML, UDS Enterprise te redirige a la página del proveedor. En este caso, el sistema te pide el correo electrónico del usuario al que se enviará una notificación push.   3. Tras iniciar sesión en Ironchip, se te redirige de vuelta a la página de servicios de UDS Enterprise.  Si el grupo al que pertenece el usuario tiene servicios asignados, se le muestran y puede acceder a ellos. 4. Para comprobar a qué grupos pertenece un usuario, accede al autenticador y edita el usuario.  En este ejemplo, el usuario pertenece al grupo UDS Enterprise y, como ese grupo está dado de alta en el autenticador, puede acceder. # HashiCorp Vault > Integra Ironchip con HashiCorp Vault mediante OIDC: crea la aplicación en Ironchip, habilita el método de autenticación oidc y define las políticas y los roles. Esta guía configura HashiCorp Vault para que los usuarios inicien sesión con Ironchip mediante [OIDC](/identidad/protocolos/oidc/). Incluye la aplicación en Ironchip, el método de autenticación en Vault y las políticas y roles de usuario y de administrador. ## Requisitos [Sección titulada «Requisitos»](#requisitos) * Acceso a la consola de administración de Ironchip. * Un usuario con permisos para realizar la configuración en Vault. ## Configuración en Ironchip [Sección titulada «Configuración en Ironchip»](#configuración-en-ironchip) En la sección **Applications** puedes ver todos los servicios protegidos que se han añadido a Ironchip y sus características. 1. Haz clic en **New application**. Se abre una ventana nueva. 2. Elige **Custom application**. 3. Rellena los parámetros de la nueva aplicación: * **Nombre de la aplicación**. * **Tipo de integración**: OIDC - OAuth 2.0. * **URIs de redirección**: * `http://:8250/oidc/callback` * `http://:8200/ui/vault/auth/oidc/oidc/callback`  4. Haz clic en **Add service**. El servicio aparece en la sección correspondiente. Guarda los datos de la aplicación Guarda los campos que Ironchip devuelve al crear el servicio (el client ID y el client secret): solo aparecen esta vez. ## Configuración en Vault [Sección titulada «Configuración en Vault»](#configuración-en-vault) ### Habilitar el método de autenticación OIDC [Sección titulada «Habilitar el método de autenticación OIDC»](#habilitar-el-método-de-autenticación-oidc) 1. En la pestaña de acceso (**Access**), crea un nuevo método de autenticación **oidc**.  2. Introduce la ruta `oidc`, habilita **List method when unauthenticated** y haz clic en el botón para habilitar el método.  3. En la configuración de OIDC, rellena estos parámetros: * **OIDC discovery url**: `https://idp.ironchip.com/oidc` * **Default role**: `demo` * **OIDC response mode**: `query`  4. Rellena también estos dos campos con los datos que devolvió Ironchip al crear la aplicación: * **OIDC client ID**: el ID de cliente. * **OIDC client secret**: el secreto del cliente.  5. Haz clic en guardar. El nuevo método de autenticación oidc queda creado. ### Crear las políticas [Sección titulada «Crear las políticas»](#crear-las-políticas) En la pestaña de políticas, si no hay ninguna política `default` definida, créala con este contenido. Es la política de los usuarios ordinarios, que no tendrán acceso a la pestaña de políticas. Política default ```hcl # Allow tokens to look up their own properties path "auth/token/lookup-self" { capabilities = ["read"] } # Allow tokens to renew themselves path "auth/token/renew-self" { capabilities = ["update"] } # Allow tokens to revoke themselves path "auth/token/revoke-self" { capabilities = ["update"] } # Allow a token to look up its own capabilities on a path path "sys/capabilities-self" { capabilities = ["update"] } # Allow a token to look up its own entity by id or name path "identity/entity/id/{{identity.entity.id}}" { capabilities = ["read"] } path "identity/entity/name/{{identity.entity.name}}" { capabilities = ["read"] } # Allow a token to look up its resultant ACL from all policies. This is useful # for UIs. It is an internal path because the format may change at any time # based on how the internal ACL features and capabilities change. path "sys/internal/ui/resultant-acl" { capabilities = ["read"] } # Allow a token to renew a lease via lease_id in the request body; old path for # old clients, new path for newer path "sys/renew" { capabilities = ["update"] } path "sys/leases/renew" { capabilities = ["update"] } # Allow looking up lease properties. This requires knowing the lease ID ahead # of time and does not divulge any sensitive information. path "sys/leases/lookup" { capabilities = ["update"] } # Allow a token to manage its own cubbyhole path "cubbyhole/*" { capabilities = ["create", "read", "update", "delete", "list"] } # Allow a token to wrap arbitrary values in a response-wrapping token path "sys/wrapping/wrap" { capabilities = ["update"] } # Allow a token to look up the creation time and TTL of a given # response-wrapping token path "sys/wrapping/lookup" { capabilities = ["update"] } # Allow a token to unwrap a response-wrapping token. This is a convenience to # avoid client token swapping since this is also part of the response wrapping # policy. path "sys/wrapping/unwrap" { capabilities = ["update"] } # Allow general purpose tools path "sys/tools/hash" { capabilities = ["update"] } path "sys/tools/hash/*" { capabilities = ["update"] } # Allow checking the status of a Control Group request if the user has the # accessor path "sys/control-group/request" { capabilities = ["update"] } # Allow a token to make requests to the Authorization Endpoint for OIDC providers. path "identity/oidc/provider/+/authorize" { capabilities = ["read", "update"] } ```  Si quieres configurar un usuario administrador, crea una política `admin` con este contenido: Política admin ```hcl path "sys/health" { capabilities = ["read", "sudo"] } path "sys/policies/acl" { capabilities = ["list"] } path "sys/policies/acl/*" { capabilities = ["create", "read", "update", "delete", "list", "sudo"] } path "auth/*" { capabilities = ["create", "read", "update", "delete", "list", "sudo"] } path "sys/auth/*" { capabilities = ["create", "update", "delete", "sudo"] } path "sys/auth" { capabilities = ["read"] } path "secret/*" { capabilities = ["create", "read", "update", "delete", "list", "sudo"] } path "sys/mounts/*" { capabilities = ["create", "read", "update", "delete", "list", "sudo"] } path "sys/mounts" { capabilities = ["read"] } ``` ### Crear los roles [Sección titulada «Crear los roles»](#crear-los-roles) Con las políticas definidas, crea un rol para cada una. Se hace desde el terminal que ofrece la aplicación Vault. Sustituye `CLIENT_ID` por el client ID de la aplicación de Ironchip. Para el usuario común, crea el rol `demo`: ```bash vault write auth/oidc/role/demo \ bound_audiences="CLIENT_ID" \ allowed_redirect_uris="http://:8200/ui/vault/auth/oidc/oidc/callback" \ allowed_redirect_uris="http://:8250/oidc/callback" \ user_claim="sub" \ policies="default" \ verbose_oidc_logging="true" ``` Para el administrador, crea el rol `admin`: ```bash vault write auth/oidc/role/admin \ bound_audiences="CLIENT_ID" \ allowed_redirect_uris="http://:8200/ui/vault/auth/oidc/oidc/callback" \ allowed_redirect_uris="http://:8250/oidc/callback" \ user_claim="sub" \ policies="admin" \ verbose_oidc_logging="true" ``` ## Comprobación [Sección titulada «Comprobación»](#comprobación) Antes de probar, comprueba que el usuario está añadido a la aplicación de Ironchip. 1. Abre la página de inicio de sesión de Vault y selecciona el método **OIDC**. 2. Si eres un usuario común, deja el **Role** vacío: Vault usa el rol por defecto `demo`. Para entrar como administrador, escribe `admin`. 3. Haz clic en **Sign in with OIDC Provider**. Vault te redirige a Ironchip. 4. Autoriza el acceso con Ironchip. Vuelves a Vault con la sesión iniciada y las políticas del rol. # Escritorios virtuales (VDI) > Usa una misma identidad de Ironchip Authenticator en varios equipos del dominio con una carpeta compartida: instalación por terminal, enrolamiento y pruebas. En entornos de escritorios virtuales (VDI), Ironchip Authenticator puede guardar la identidad en una carpeta compartida para que el mismo usuario la use desde distintos equipos del dominio sin volver a enrolarse. Esta página explica cómo preparar la carpeta, instalar el autenticador y probarlo. ## Requisitos [Sección titulada «Requisitos»](#requisitos) * Equipos unidos al dominio. * Una carpeta compartida accesible mediante una ruta UNC. * El usuario debe tener permisos de lectura y escritura sobre la carpeta compartida. * Conectividad con el servidor donde se encuentra el recurso compartido. ## Preparar la carpeta compartida [Sección titulada «Preparar la carpeta compartida»](#preparar-la-carpeta-compartida) 1. Crea en el servidor la carpeta que se usará como recurso compartido. 2. Compártela con los usuarios que vayan a utilizar la identidad de Ironchip y comprueba que tienen permisos de lectura y escritura. La ruta de acceso al recurso tiene este formato: ```text \\\ ```  ## Instalar Ironchip Authenticator [Sección titulada «Instalar Ironchip Authenticator»](#instalar-ironchip-authenticator) Descarga `IronchipWindowsAuthenticator.msi` como se explica en [Instalación del autenticador en Windows](/identidad/usuarios/autenticador-windows/) e instálalo desde un terminal con este comando: ```powershell msiexec.exe /i IronchipWindowsAuthenticator.msi IRONCHIP_HOST="https://" ADDLOCAL="AuthenticatorFeature" IRONCHIP_REMOTE_PATH="\\\" /qb ``` | Parámetro | Descripción | | ---------------------- | ------------------------------------------------------------------------ | | `IRONCHIP_HOST` | URL de la API de Ironchip (`https://api.ironchip.com` por defecto). | | `ADDLOCAL` | Componente a instalar (`AuthenticatorFeature`, sin soporte USB). | | `IRONCHIP_REMOTE_PATH` | Ruta UNC de la carpeta compartida. | | `/qb` | Ejecuta la instalación mostrando solo la interfaz básica del instalador. | ## Comprobación [Sección titulada «Comprobación»](#comprobación) Usa dos equipos para comprobar que la identidad se puede utilizar desde diferentes equipos del dominio. 1. Instala y configura Ironchip Authenticator en el **Equipo 1**. 2. Enrola el Authenticator con el usuario correspondiente. 3. Cuando termine el enrolamiento, se genera la identidad en la carpeta compartida. 4. Configura el **Equipo 2** con la misma configuración y mantenlo unido al dominio. 5. Inicia sesión en el Equipo 2 con el mismo usuario que usaste en el primer enrolamiento. 6. Abre Ironchip Authenticator. ### Enrolar el primer equipo [Sección titulada «Enrolar el primer equipo»](#enrolar-el-primer-equipo) Desde el Equipo 1, enrola Ironchip Authenticator.  Al terminar, abre la carpeta compartida: contiene una carpeta nueva con la identidad que acabas de crear.  ### Acceder desde un segundo equipo [Sección titulada «Acceder desde un segundo equipo»](#acceder-desde-un-segundo-equipo) Con la identidad creada, puedes usarla desde el Equipo 2 sin enrolarte de nuevo. El Equipo 2 debe: * Estar unido al mismo dominio. * Tener instalado y configurado Ironchip Authenticator. * Usar el mismo usuario con el que se hizo el primer enrolamiento. * Tener acceso a la carpeta compartida. Al abrir Ironchip Authenticator en el Equipo 2, la aplicación accede a la identidad almacenada en el recurso compartido y muestra la misma identidad que se enroló en el Equipo 1.  Así, la identidad queda disponible para el mismo usuario en distintos equipos del dominio, sin enrolarse de nuevo en cada uno. # Inicio de sesión en Windows > Protege el inicio de sesión de Windows, local y por RDP, con Ironchip: crea la aplicación, instala el plugin, despliégalo con GPO y personaliza la pantalla. Ironchip Windows Logon añade un segundo factor al inicio de sesión de Windows, tanto local como remoto por RDP. Usa esta página para crear la aplicación en Ironchip, instalar el plugin en los equipos y desplegarlo de forma masiva. **Ironchip Windows Logon**última versión v2.3.6, publicada el 29 de septiembre de 2026 * [IronchipWindowsLogon_arm64.msi](https://github.com/ironchip-security/Ironchip-Windows-Logon/releases/download/v2.3.6/IronchipWindowsLogon_arm64.msi) 30.0 MB * [IronchipWindowsLogon_x64.msi](https://github.com/ironchip-security/Ironchip-Windows-Logon/releases/download/v2.3.6/IronchipWindowsLogon_x64.msi) 29.4 MB [Todas las versiones y notas de cada una](https://github.com/ironchip-security/Ironchip-Windows-Logon/releases) ## Requisitos [Sección titulada «Requisitos»](#requisitos) * Acceso a la consola de administración de Ironchip, con permisos en la compañía para crear aplicaciones y dar accesos. * Equipos con Windows 8 o posterior de 64 bits (x64 o ARM64). * Permisos de administrador en cada equipo donde instales el plugin. * Conectividad HTTPS con `api.ironchip.com` (o con el host de tu entorno). * El certificado raíz **ISRG Root X1** de Let’s Encrypt entre las entidades de certificación de confianza del equipo. Consulta [Certificado de Let’s Encrypt](#certificado-de-lets-encrypt). ## Configuración en Ironchip [Sección titulada «Configuración en Ironchip»](#configuración-en-ironchip) ### Crear la aplicación [Sección titulada «Crear la aplicación»](#crear-la-aplicación) 1. Ve a **Applications > New application** y elige la integración **Windows Logon**, en la sección **Operating system security**.   2. Asigna un nombre descriptivo. Este nombre aparece en el autenticador, así que te ayudará a identificar la aplicación.   3. Guarda la API key que se muestra al crear la aplicación. Solo se muestra en ese momento y la necesitarás al instalar el plugin.  ### Dar acceso a los usuarios [Sección titulada «Dar acceso a los usuarios»](#dar-acceso-a-los-usuarios) Los accesos determinan qué grupo de usuarios puede autorizar el inicio de sesión y con qué políticas de autenticación. 1. Abre la aplicación recién creada y haz clic en **Add access**.   2. En **Select a group**, selecciona el grupo que va a utilizar el servicio. Si aún no existe, créalo antes en **Directory > Groups**. 3. En **Select usernames**, crea la plantilla del nombre de usuario. Ironchip Logon trabaja por defecto con el formato SAM, así que la plantilla debe coincidir con `equipo\usuario` o con `dominio\usuario`. Por ejemplo: * Usuarios locales: `nombre-del-equipo\usuario`, como `PC-prueba\prueba`. * Usuarios del dominio: `dominio\usuario`, como `SERVER0\prueba`.  4. En **Select authentication policies**, haz clic en **+ Select authentication policy** y elige cómo tendrá que autorizar el usuario el inicio de sesión. Por ejemplo, con una notificación al móvil, un magic link o una tarjeta RFID.  5. Revisa el resumen en **Review** y haz clic en **Add**. El resultado debe ser similar a este:  ## Configuración en Windows [Sección titulada «Configuración en Windows»](#configuración-en-windows) ### Instalar el plugin con el asistente [Sección titulada «Instalar el plugin con el asistente»](#instalar-el-plugin-con-el-asistente) 1. Descarga el plugin de Windows Logon desde la sección **Plugins** de la consola de administración de Ironchip. En la sección **Logon**, busca la tarjeta **Windows Logon** y haz clic en **Download x64** o **Download ARM**, según la arquitectura del equipo. Los instaladores se llaman `IronchipWindowsLogon_x64.msi` e `IronchipWindowsLogon_arm64.msi`.  2. Ejecuta el instalador `.msi` en el equipo cuyo inicio de sesión quieres proteger. 3. Haz clic en **Next**, acepta los términos de uso y vuelve a hacer clic en **Next**.  4. Elige los componentes a instalar: * **Ironchip Logon** instala el proveedor de credenciales de Ironchip y su filtro. * **Offline** instala el servicio OTP (**Ironchip Offline Service**) para el inicio de sesión sin conexión. Genera un código OTP que permite iniciar sesión cuando el equipo no tiene conexión a internet. Puedes cambiar las opciones de instalación con el desplegable que hay a la izquierda del nombre de cada componente. Haz clic en **Reset** para volver a los valores por defecto y, cuando estés conforme, en **Next**.  5. Rellena los dos campos. Ninguno puede quedar vacío. * **Ironchip target host**: la URL de la API. Déjala como está para producción (`https://api.ironchip.com`) y cámbiala solo si tu compañía está en otro entorno. * **Ironchip application APIKEY**: la API key que generaste al crear la aplicación. Haz clic en **Validate** para comprobar la configuración. Necesita conexión a internet, así que puedes omitirlo si instalas sin conexión.  6. En **Advanced configuration**, indica con **Enable remember user password during login** si quieres recordar las credenciales de los usuarios que inicien sesión con el agente. Viene activada por defecto. Si la dejas activada, al iniciar sesión el usuario verá un botón para recordar sus credenciales y no volver a escribirlas.  7. En **Ironchip Logon scenarios**, elige para cada escenario cómo protege el agente el equipo. Puedes activarlo en estos escenarios: * **Logon** (inicio de sesión): al iniciar sesión en el equipo. * **Unlock** (desbloqueo de sesión): al iniciar sesión en un equipo que se había bloqueado. * **CredUI** (escalada de privilegios): cuando Windows pide credenciales para elevar privilegios, por ejemplo con **Ejecutar como administrador**. * **Password Change** (cambio de contraseña): al cambiar la contraseña. Cada escenario tiene un desplegable con estas opciones: * **None**: deshabilita Ironchip en ese escenario. * **Local and Remote**, **Only Remote** u **Only Local**: aplica Ironchip en accesos locales y remotos por RDP, solo remotos o solo locales. * Las mismas tres opciones con **(Exclude other providers)**: además, ocultan los demás proveedores de credenciales de Windows en ese escenario. Por defecto, los cuatro escenarios usan **Local and Remote**. Para que Ironchip sea el único método de inicio de sesión, consulta [Usar Ironchip como único método de inicio de sesión](#usar-ironchip-como-%C3%BAnico-m%C3%A9todo-de-inicio-de-sesi%C3%B3n).  8. Con todos los parámetros correctos, haz clic en **Install**.  9. Cuando termine la instalación, haz clic en **Finish**.  Cambiar la configuración después Puedes modificar la configuración una vez instalado el plugin: vuelve a ejecutar el instalador, haz clic en **Next** y, en la siguiente pantalla, elige **Change**.  ### Instalar el plugin por línea de comandos [Sección titulada «Instalar el plugin por línea de comandos»](#instalar-el-plugin-por-línea-de-comandos) Puedes instalar **Ironchip Windows Logon** de forma automatizada con `msiexec.exe`. Es lo más útil para despliegues masivos y configuraciones remotas. 1. Pulsa `Win + R`, escribe `cmd` y pulsa `Ctrl + Shift + Enter` para abrir la consola como administrador. El instalador necesita permisos de administrador. 2. Localiza la ruta completa del instalador de Ironchip, por ejemplo en la carpeta de descargas o en una unidad de red. 3. Ejecuta el comando de instalación. El parámetro `/i` indica instalación y `/q` la hace en modo silencioso, sin interfaz gráfica. ```powershell msiexec.exe /i "C:\Ruta\Al\Archivo\IronchipWindowsLogon_x64.msi" IRONCHIP_SECRET="" IRONCHIP_REMEMBER_CREDENTIALS="1" CPUS_LOGON="0d" CPUS_UNLOCK="0d" CPUS_CREDUI="0d" CPUS_CHANGE_PASSWORD="0d" /q ``` La instalación puede tardar unos segundos. Como has usado `/q`, el terminal devuelve el control cuando termina. #### Propiedades del instalador [Sección titulada «Propiedades del instalador»](#propiedades-del-instalador) La única propiedad obligatoria es `IRONCHIP_SECRET`. Las demás son opcionales y solo hace falta pasarlas para cambiar el valor por defecto. Si el equipo ya tenía Ironchip Logon instalado, las propiedades que no pases conservan el valor que tenían. | Propiedad | Valor por defecto | Descripción | | ------------------------------- | -------------------------- | ------------------------------------------------------------------------------------------- | | `IRONCHIP_SECRET` | Ninguno | API key de la aplicación. | | `IRONCHIP_URL` | `https://api.ironchip.com` | URL de la API. Cámbiala solo si tu compañía está en otro entorno. | | `IRONCHIP_REMEMBER_CREDENTIALS` | `1` | `1` permite recordar las credenciales al iniciar sesión; `0` lo desactiva. | | `CPUS_LOGON` | `0d` | Escenario de inicio de sesión. Valores en la [tabla siguiente](#valores-de-los-escenarios). | | `CPUS_UNLOCK` | `0d` | Escenario de desbloqueo de sesión. | | `CPUS_CREDUI` | `0d` | Escenario de elevación de privilegios (CredUI). | | `CPUS_CHANGE_PASSWORD` | `0d` | Escenario de cambio de contraseña. | | `IRONCHIP_TIMEOUT` | `5` | Segundos de espera al comprobar la conexión con Ironchip. | | `IRONCHIP_TIMEOUTCP` | `60` | Segundos que espera el agente a que el usuario autorice el acceso. | | `IRONCHIP_CACHE` | `1` | `1` guarda los usuarios que inician sesión para mostrarlos como mosaicos; `0` lo desactiva. | | `IRONCHIP_COMPANY_NAME` | Vacío | Nombre de la empresa que se muestra en la pantalla de inicio de sesión. | | `IRONCHIP_COMPANY_LOGO_PATH` | Vacío | Ruta del logotipo que se muestra en la pantalla de inicio de sesión. | | `IRONCHIP_LOG_LEVEL` | `info` | Nivel de registro: `error`, `warning`, `info` o `debug`. Consulta [Registros](#registros). | #### Valores de los escenarios [Sección titulada «Valores de los escenarios»](#valores-de-los-escenarios) Los parámetros `CPUS_*` combinan un número (`0` a `3`) y una letra (`e` o `d`): | Valor | Efecto | | ----- | --------------------------------------------------------------------- | | `0` | Aplica Ironchip en el acceso local y en el remoto (RDP). | | `1` | Aplica Ironchip solo en los accesos remotos (RDP). | | `2` | Aplica Ironchip solo en los accesos locales. | | `3` | Deshabilita por completo el proveedor de credenciales de Ironchip. | | `e` | Permite solo Ironchip y deshabilita cualquier otro método de entrada. | | `d` | Permite que el usuario elija otros proveedores de credenciales. | Por ejemplo, `CPUS_LOGON="0d"` aplica Ironchip en accesos locales y remotos y permite otros proveedores. En el instalador con asistente, estos valores corresponden a las opciones del desplegable de cada escenario: `3d` es **None**, `0d` es **Local and Remote**, `1d` es **Only Remote**, `2d` es **Only Local**, y `0e`, `1e` y `2e` son las mismas opciones con **(Exclude other providers)**. ### Iniciar sesión sin conexión [Sección titulada «Iniciar sesión sin conexión»](#iniciar-sesión-sin-conexión) Para usar el agente sin conexión, instala el componente **Offline** y configura el OTP de cada usuario. Inicia sesión en el equipo con ese usuario y abre el acceso directo **Ironchip Offline Setup**, que está en el escritorio y en la carpeta **Ironchip** del menú Inicio, o entra en `localhost:10000` desde un navegador. 1. Haz clic en **Continuar** y después en **Generar mi clave**.  2. En **Generar clave sin conexión**, haz clic en **Generar**.   3. Se muestra un código QR y la opción de introducir el código manualmente.  Para añadir el OTP al autenticador de Ironchip del móvil, elige una de estas dos opciones. #### Escanear el QR [Sección titulada «Escanear el QR»](#escanear-el-qr) 1. Abre el autenticador de Ironchip en el móvil.  2. Ve al apartado **OTPs**, abajo a la derecha.  3. Pulsa el botón **+**, elige **Scan a QR code** y escanea el QR. El OTP ya está disponible.  #### Introducir el código manualmente [Sección titulada «Introducir el código manualmente»](#introducir-el-código-manualmente) 1. En la pantalla del equipo, haz clic en **Copiar código de texto en portapapeles**.  2. En el autenticador de Ironchip, ve a **OTPs**, pulsa **+** y elige **Enter URL**. 3. Pega el código que copiaste.  Una vez añadido el código, ya tienes disponible el inicio de sesión sin conexión con OTP. Guarda el QR o el código de texto: es la forma de iniciar sesión cuando el equipo no tiene internet.  ## Comprobación [Sección titulada «Comprobación»](#comprobación) Para iniciar sesión en Windows, escribe tu usuario y contraseña como siempre. Según las políticas del acceso, el usuario autoriza el inicio de sesión con una **notificación** en el móvil, un código recibido por SMS o un código OTP. El proceso tarda unos segundos y, al terminar, el usuario queda autorizado. [ Inicio de sesión en Windows con Ironchip Windows LogonReproducir el vídeo](https://play.hubspotvideo.com/v/7745202/id/113066937349) ## Despliegue masivo con GPO [Sección titulada «Despliegue masivo con GPO»](#despliegue-masivo-con-gpo) Para desplegar Windows Logon con una directiva de grupo (GPO) necesitas una herramienta que edite el MSI. Esta guía usa **Orca**, incluida en los [componentes de Windows para desarrolladores de instaladores](https://docs.microsoft.com/en-us/windows/desktop/msi/platform-sdk-components-for-windows-installer-developers). ### Generar el fichero .mst [Sección titulada «Generar el fichero .mst»](#generar-el-fichero-mst) El fichero `.mst` contiene la configuración que se aplicará al instalar el MSI mediante la GPO. 1. Descarga el instalador `.msi` que quieres transformar (`IronchipWindowsLogon_x64.msi` o `IronchipWindowsLogon_arm64.msi`), haz clic derecho en el archivo y elige **Edit with Orca**.  2. En Orca, haz clic en **Transform > New transform**.  3. Ve a **Property** y pon en las propiedades `CPUS_` los valores que quieras aplicar en la instalación. Las opciones son las mismas que en la [tabla de escenarios](#valores-de-los-escenarios). Si una propiedad no aparece en la tabla, añádela como fila nueva, como se explica en el paso siguiente. Si trabajas en un entorno distinto de producción, edita también `IRONCHIP_URL` e indica la URL de la API del entorno correcto.  4. Añade la API key: haz clic derecho y añade una fila nueva.  5. Llama a la propiedad `IRONCHIP_SECRET` y pon la API key en **Value**.  6. Configura `IRONCHIP_REMEMBER_CREDENTIALS`, que activa la opción de recordar las credenciales tras el inicio de sesión: `1` para activarla o `0` para desactivarla. Si no aparece en la tabla, añádela como fila nueva.  7. Haz clic en **Transform > Generate Transform** para guardar la configuración.  ### Publicar el instalador [Sección titulada «Publicar el instalador»](#publicar-el-instalador) Crea una carpeta compartida, guarda en ella el instalador y el `.mst` y compártela con todos con permisos de lectura.  ### Crear la GPO [Sección titulada «Crear la GPO»](#crear-la-gpo) 1. En el servidor, abre **Administración de directivas de grupo**. Expande el nodo de tu dominio y, en la carpeta **Dominios**, elige **Crear un GPO en este dominio y vincularlo aquí**. Dale un nombre que describa lo que hace, haz clic en **Aceptar** y edítala con clic derecho en **Editar**.  2. Ve a **Computer Configuration > Policies > Software Settings > Software installation**, haz clic derecho en **Software installation** y selecciona **New > Package**. Elige el `.msi` de la carpeta compartida que creaste al principio y haz clic en **Open**.   3. En la ventana siguiente, selecciona **Avanzado** y haz clic en **OK**.  4. En las propiedades de la política, selecciona **Asignados** (aunque ya aparezca marcada). Así se habilita **Instalar esta aplicación al inicio de sesión**, que también debes marcar.  5. Ve a la pestaña **Modificaciones** y haz clic en **Agregar**.  6. Elige el fichero `.mst` que generaste, desde la misma carpeta compartida en la que está el `.msi`, y haz clic en **Open**.  7. Comprueba la ruta del fichero seleccionado y haz clic en **OK**.  8. Vuelve a la configuración de la GPO e indica en qué equipos quieres que se instale Windows Logon.   9. Cierra **Group Policy Management**, abre una consola de comandos de Windows y ejecuta `gpupdate /force`. 10. El servidor avisará de que no puede aplicar la política de instalación sin reiniciar y te ofrecerá hacerlo. Escribe `Y` y pulsa **Enter**: el sistema se reiniciará un minuto después. También puedes reiniciar el servidor desde el menú Inicio. Después, Windows Logon aparecerá instalado en todos los equipos incluidos en la GPO. ### Excluir usuarios de Ironchip con una GPO [Sección titulada «Excluir usuarios de Ironchip con una GPO»](#excluir-usuarios-de-ironchip-con-una-gpo) Puedes eximir a una lista de usuarios de la autorización de Ironchip, por ejemplo cuentas de servicio, al distribuir Windows Logon con una GPO. 1. En el servidor, abre **Administración de directivas de grupo**. 2. Crea una GPO nueva con **Crear un GPO en este dominio y vincularlo aquí**. También puedes reutilizar la GPO con la que distribuyes la aplicación a un grupo de usuarios, como se explica en [Crear la GPO](#crear-la-gpo). 3. Edita la GPO. Ve a **Configuración del equipo > Preferencias > Configuración de Windows > Registro**, haz clic derecho y elige **Nuevo > Elemento de registro**. 4. En la ventana que se abre, rellena estos valores en la pestaña **General**: * **Acción**: `Actualizar` * **Subárbol**: `HKEY_LOCAL_MACHINE` * **Ruta de la clave**: `SOFTWARE\Classes\CLSID\{D2CBBFE7-22CC-4FF0-A7C4-8FCDCFB141B7}` * **Nombre de valor**: `ironchipExcludedUsers` * **Tipo de valor**: `REG_MULTI_SZ` * **Información del valor**: un usuario por línea, con el formato `DOMINIO\usuario` o `EQUIPO\usuario`. Ironchip compara cada línea con el usuario que inicia sesión sin distinguir mayúsculas de minúsculas. La coincidencia es exacta: no admite comodines ni expresiones regulares. Si escribes un usuario sin dominio, se interpreta como un usuario local del equipo. 5. Haz clic en **Aplicar** y en **Aceptar**. ## Usar Ironchip como único método de inicio de sesión [Sección titulada «Usar Ironchip como único método de inicio de sesión»](#usar-ironchip-como-único-método-de-inicio-de-sesión) Puedes excluir el proveedor de credenciales de contraseña de Windows para que los usuarios solo puedan autenticarse con Ironchip Windows Logon. La forma más sencilla es hacerlo al instalar el plugin, con el valor `e` de los escenarios `CPUS_*` o con una opción **(Exclude other providers)** del instalador: el filtro de credenciales de Ironchip oculta entonces los demás proveedores en ese escenario. Si no puedes volver a configurar el plugin, usa una directiva de grupo como se explica a continuación. Consulta [Despliegue de agentes de inicio de sesión](/identidad/integraciones/puestos/agentes/#hacer-que-ironchip-sea-el-%C3%BAnico-proveedor-de-credenciales). Pruébalo antes en un grupo piloto Si excluyes el proveedor de contraseña, el segundo factor de Ironchip pasa a ser imprescindible para iniciar sesión. Comprueba antes que Windows Logon funciona en un equipo piloto. ### Inicio de sesión automático [Sección titulada «Inicio de sesión automático»](#inicio-de-sesión-automático) Si has configurado el inicio de sesión automático con [Autologon](https://learn.microsoft.com/en-us/sysinternals/downloads/autologon) de Sysinternals y no excluyes los demás proveedores, Windows muestra su proveedor predeterminado. Para que Ironchip sea el proveedor predeterminado: 1. Pulsa `Win + R`, escribe `gpedit.msc` y pulsa **Enter**. 2. Ve a **Local Computer Policy > Computer Configuration > Administrative Templates > System > Logon** y abre **Assign a default credential provider**. 3. Habilita la directiva y escribe el GUID del proveedor de Ironchip: `{D2CBBFE7-22CC-4FF0-A7C4-8FCDCFB141B7}`. ### Configurarlo en una política local o existente [Sección titulada «Configurarlo en una política local o existente»](#configurarlo-en-una-política-local-o-existente) 1. Ve a **Editar directiva de grupo**. 2. Selecciona la carpeta **Plantillas administrativas** y después **Sistema**. 3. Abre la carpeta **Inicio de sesión** y elige **Excluir proveedores de credenciales**. 4. Cambia la opción de **No configurada** a **Habilitada**. 5. En el campo **Excluir los siguientes proveedores de credenciales**, escribe el **GUID** del proveedor `PasswordProvider`. 6. Haz clic en **Aplicar** y en **Aceptar**. La autenticación queda habilitada solo con Ironchip Windows Logon. ### Distribuirlo con una GPO [Sección titulada «Distribuirlo con una GPO»](#distribuirlo-con-una-gpo) 1. En el servidor, abre **Administración de directivas de grupo**. 2. Expande el nodo de tu dominio y, en la carpeta **Dominios**, elige **Crear un GPO en este dominio y vincularlo aquí**. 3. Dale a la directiva un nombre que describa lo que hace y haz clic en **Aceptar**. 4. Haz clic derecho en el nombre de la directiva y elige **Editar**. 5. Ve a **Directivas > Plantillas administrativas > Sistema > Inicio de sesión** y elige **Excluir proveedores de credenciales**. 6. Cambia la opción de **No configurada** a **Habilitada**. 7. En el campo **Excluir los siguientes proveedores de credenciales**, escribe el **GUID** del proveedor `PasswordProvider`. 8. Haz clic en **Aplicar** y en **Aceptar**. La autenticación queda habilitada solo con Ironchip Windows Logon. 9. Cierra **Administración de directivas de grupo**, abre una consola de comandos de Windows y ejecuta `gpupdate /force`. Cuando el servidor ofrezca reiniciar, escribe `Y` y pulsa **Enter**, o reinicia el servidor desde el menú Inicio. Tras el reinicio, la directiva se aplica a todos los equipos incluidos en la GPO. ## Registro de Windows [Sección titulada «Registro de Windows»](#registro-de-windows) Con el registro de Windows puedes personalizar la pantalla de inicio de sesión y ajustar el comportamiento del agente. Abre el editor del registro y ve a la clave `Computer\HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{D2CBBFE7-22CC-4FF0-A7C4-8FCDCFB141B7}`. Solo los administradores y el sistema pueden leerla y modificarla.  ### Valores del registro [Sección titulada «Valores del registro»](#valores-del-registro) | Valor | Tipo | Descripción | | ----------------------------------------------------------- | -------------- | ------------------------------------------------------------------------------------- | | `ironchipServers` | `REG_SZ` | URL de la API de Ironchip. | | `ironchipSharedSecret` | `REG_SZ` | API key de la aplicación. No la compartas. | | `ironchipServerTimeout` | `REG_DWORD` | Segundos de espera al comprobar la conexión con Ironchip. Por defecto, `5`. | | `ironchipTimeout` | `REG_DWORD` | Segundos que espera el agente a que el usuario autorice el acceso. Por defecto, `60`. | | `ironchipRememberCredentialsEnabled` | `REG_DWORD` | `1` permite recordar las credenciales; `0` lo desactiva. | | `ironchipCacheEnabled` | `REG_DWORD` | `1` guarda los usuarios que inician sesión para mostrarlos como mosaicos. | | `ironchipCachedUsers` | `REG_MULTI_SZ` | Usuarios guardados. | | `ironchipExcludedUsers` | `REG_MULTI_SZ` | Usuarios exentos de la autorización de Ironchip. | | `cpus_logon`, `cpus_unlock`, `cpus_credui`, `cpus_password` | `REG_SZ` | Escenarios, con los [valores de los escenarios](#valores-de-los-escenarios). | | `companyName`, `companyLogoPath` | `REG_SZ` | Nombre y logotipo de la empresa en la pantalla de inicio de sesión. | | `logLevel` | `REG_SZ` | Nivel de registro. Por defecto, `info`. | ### Logotipo y nombre de la empresa [Sección titulada «Logotipo y nombre de la empresa»](#logotipo-y-nombre-de-la-empresa) `companyLogoPath` personaliza el logotipo que se muestra en la pantalla de inicio de sesión. Edita estos dos campos: * **Nombre de valor**: déjalo como está. * **Información del valor**: escribe la ubicación del logotipo de la empresa. El logotipo debe cumplir estos requisitos: * Dimensiones de 512x512 px. * Extensión `.bmp`. * Menos de 1 MB. * 24 bits.  `companyName` personaliza el nombre de la empresa que se muestra en la pantalla de inicio de sesión.  Con los dos parámetros configurados, la pantalla de inicio de sesión muestra el logotipo y el nombre de tu empresa:  ### Usuarios en caché y usuarios excluidos [Sección titulada «Usuarios en caché y usuarios excluidos»](#usuarios-en-caché-y-usuarios-excluidos) `ironchipCachedUsers` almacena los nombres de usuario para facilitar accesos futuros. Se activa con `ironchipCacheEnabled`.  `ironchipExcludedUsers` define una lista de usuarios exentos de autorización. Los usuarios incluidos aquí no necesitan una validación adicional al iniciar sesión en el equipo. Escribe un usuario por línea con el formato `DOMINIO\usuario` o `EQUIPO\usuario`. Para distribuirlo con una GPO, consulta [Excluir usuarios de Ironchip con una GPO](#excluir-usuarios-de-ironchip-con-una-gpo). ### Modificar el registro con una GPO [Sección titulada «Modificar el registro con una GPO»](#modificar-el-registro-con-una-gpo) Sigue este procedimiento para cambiar claves del registro en varios equipos con directivas de grupo. El ejemplo cambia el nombre de la empresa. 1. Abre el **Administrador de directivas de grupo** en el servidor y crea una GPO nueva en la unidad organizativa (OU) correspondiente.  2. En **Filtrado de seguridad**, añade los equipos o grupos a los que quieres aplicar la directiva.  3. Edita la GPO y ve a **Configuración del equipo > Preferencias > Configuración de Windows > Registro**.  4. Haz clic derecho en el panel derecho y selecciona **Nuevo elemento de registro**.  5. Rellena el elemento: * **Subárbol**: `HKEY_LOCAL_MACHINE` * **Ruta de la clave**: `SOFTWARE\Classes\CLSID\{D2CBBFE7-22CC-4FF0-A7C4-8FCDCFB141B7}` * **Nombre de valor**: el valor a modificar, por ejemplo `companyName`. * **Tipo de valor**: `REG_SZ` * **Información del valor**: el nombre de la empresa tal como debe aparecer en pantalla.  6. En el equipo cliente, abre un símbolo del sistema o PowerShell con privilegios de administrador y ejecuta `gpupdate /force`. 7. Haz clic en **Aplicar** y accede a uno de los equipos asignados para comprobar el resultado. El nombre de la empresa debería aparecer en la pantalla de inicio de sesión.  ### Cambiar la imagen de la empresa con una GPO [Sección titulada «Cambiar la imagen de la empresa con una GPO»](#cambiar-la-imagen-de-la-empresa-con-una-gpo) 1. Crea una carpeta compartida en el servidor y guarda en ella la imagen corporativa. Concede permisos de lectura a los usuarios o grupos de equipos a los que se aplicará la directiva.  2. En la GPO correspondiente, ve a la sección **Registro** y crea un elemento nuevo con estos parámetros: * **Subárbol**: `HKEY_LOCAL_MACHINE` * **Ruta de la clave**: `SOFTWARE\Classes\CLSID\{D2CBBFE7-22CC-4FF0-A7C4-8FCDCFB141B7}` * **Nombre de valor**: `companyLogoPath` * **Tipo de valor**: `REG_SZ` * **Información del valor**: la dirección de red de la carpeta compartida con la imagen.  3. En el equipo cliente, abre un símbolo del sistema o PowerShell con privilegios de administrador y ejecuta `gpupdate /force`. 4. Bloquea el equipo (`Win + L`) o cierra la sesión. La imagen corporativa debería aparecer en la pantalla de inicio de sesión de todos los equipos a los que se ha aplicado la directiva.  ## Problemas frecuentes [Sección titulada «Problemas frecuentes»](#problemas-frecuentes) ### Registros [Sección titulada «Registros»](#registros) El proveedor de credenciales escribe sus registros en el Visor de eventos de Windows. 1. Abre el Visor de eventos (`eventvwr.msc`). 2. Ve a **Registros de Windows > Aplicación**. 3. Busca los eventos del origen `Ironchip Logon`. Para cambiar el nivel de detalle, modifica el valor `logLevel` de la clave del registro de Ironchip: | Valor | Qué registra | | --------- | ------------------------------------------------------------------------------------------ | | `error` | Solo errores. | | `warning` | Advertencias y errores. | | `info` | Información general de funcionamiento, advertencias y errores. Es el valor por defecto. | | `debug` | Información detallada de diagnóstico. No lo uses de forma habitual: genera muchos eventos. | ### Diagnóstico [Sección titulada «Diagnóstico»](#diagnóstico) La herramienta **Ironchip Logon Diagnostic Tool** comprueba si un equipo cumple los requisitos para Ironchip Windows Logon. Descarga `IronchipLogonDiagnoseTool.exe` de las [versiones publicadas en GitHub](https://github.com/Ironchip-Security/Ironchip-Logon-Diagnostic-Tool/releases/latest) y ejecútalo en el equipo. Muestra la versión de Windows, el usuario y el dominio, las dependencias de DLL, la versión de OpenSSL, si el certificado ISRG Root X1 está instalado y si el equipo se conecta con los servidores de Ironchip. Si Windows Logon está instalado, también usa su configuración para consultar las condiciones de acceso del usuario actual y enviarle una solicitud de autorización de prueba. Al terminar puedes guardar el informe en la carpeta **Documentos**. ### Certificado de Let’s Encrypt [Sección titulada «Certificado de Let’s Encrypt»](#certificado-de-lets-encrypt) Desde la versión 2.2.0, Windows Logon usa OpenSSL en lugar de Schannel para las comunicaciones. Esto mejora la compatibilidad con versiones antiguas de Windows (sobre todo Windows 8) y permite usar TLS 1.3. Los servidores de Ironchip usan un certificado firmado por Let’s Encrypt, así que el equipo debe tener su certificado raíz **ISRG Root X1** entre las entidades de certificación de confianza. Si falta, descárgalo de la [documentación de Let’s Encrypt](https://letsencrypt.org/certificates/) e instálalo en el almacén de entidades de certificación raíz de confianza del equipo. # Check Point > Proteger la VPN de acceso remoto de Check Point con Ironchip por RADIUS, con un servidor NPS para usuarios del dominio o con el Ironchip RADIUS server. Esta guía explica cómo proteger el acceso remoto de **Check Point** con la autenticación de Ironchip mediante [RADIUS](/identidad/protocolos/radius/). Hay dos opciones de servidor RADIUS, y la configuración en Check Point es la misma para las dos: un servidor [NPS](/identidad/integraciones/red/nps/) para los usuarios del dominio (Active Directory) o el [Ironchip RADIUS server](/identidad/integraciones/red/radius-server/) para los usuarios propios de Check Point. ## Requisitos [Sección titulada «Requisitos»](#requisitos) * Para usuarios del dominio (Active Directory): un servidor [NPS](/identidad/integraciones/red/nps/) con el plugin de Ironchip. * Para usuarios propios de Check Point: el [Ironchip RADIUS server](/identidad/integraciones/red/radius-server/) instalado y una aplicación de tipo API key configurada. * Acceso a la **Smart Console** de Check Point. ## Arquitectura [Sección titulada «Arquitectura»](#arquitectura) Escenario base de Check Point:  Integración con Ironchip:  ## Configuración en Check Point [Sección titulada «Configuración en Check Point»](#configuración-en-check-point) ### Crear el host [Sección titulada «Crear el host»](#crear-el-host) 1. Abre la **Smart Console** de Check Point.  2. En la parte superior derecha, haz clic en **New** y elige **Host**.  3. Escribe un nombre para el host en **Enter Object Name** y, en **IPv4 address**, la IP del equipo donde se ejecuta el servidor RADIUS (el servidor NPS o el Ironchip RADIUS server). Haz clic en **OK**.  Se crea el host.  ### Crear el servicio RADIUS [Sección titulada «Crear el servicio RADIUS»](#crear-el-servicio-radius) 1. En el buscador de la esquina superior derecha, busca **RADIUS** y clona el protocolo de la sección **UDP service**. Así generas un nuevo servicio RADIUS con las propiedades que habilitan el acceso. 2. En la pestaña **General**, ponle un nombre al servicio (por ejemplo, `Ironchip_Protected_Protocol`), comprueba que el **protocolo** y el **puerto** coinciden con los de tu servidor RADIUS y haz clic en **OK**.  3. En la pestaña **Advanced**, en **Virtual session timeout**, elige **Specific** con valor `60`, deja desmarcada **Enable aggressive aging** y haz clic en **OK**.  ### Crear el servidor RADIUS [Sección titulada «Crear el servidor RADIUS»](#crear-el-servidor-radius) 1. Con el host y el servicio ya creados, crea un servidor RADIUS: en la parte superior derecha, ve a **New > More > Server > RADIUS…**.  2. Ponle un nombre descriptivo y configúralo en la ventana siguiente. En este ejemplo se llama `NPS_IRONCHIP_RADIUS`.  * **Host**: el host creado en el primer paso. * **Service**: el servicio creado en el paso anterior. * **Shared secret**: una cadena segura que debe coincidir con la configurada en NPS o en el Ironchip RADIUS server. * **Protocol**: `PAP`. 3. Haz clic en **OK**. ### Configurar Mobile Access [Sección titulada «Configurar Mobile Access»](#configurar-mobile-access) Crea un perfil de usuario externo (**External User Profile**), necesario para autenticar usuarios que no están registrados internamente en Check Point. 1. En la página principal de la Smart Console, en el menú de la izquierda, ve a **Manage & Settings > Mobile Access** y haz clic en **Configure in SmartDashboard…**.  2. En SmartDashboard, en el panel **Users** de la parte inferior izquierda, crea un nuevo **External User Profile**. Configura sus parámetros según tu dominio y haz clic en **OK**.  3. Crea un grupo para los usuarios del dominio. En la parte superior derecha ve a **New > More > User/Identity > User Group**.  4. Ponle un nombre identificativo y haz clic en el icono **+**.  5. Haz clic en **All**, después en **External User Profiles** y selecciona el perfil que has creado.   ### Configurar las políticas de seguridad [Sección titulada «Configurar las políticas de seguridad»](#configurar-las-políticas-de-seguridad) 1. Ve a **Security Policies > VPN Communities**, haz clic derecho sobre **Remote Access** y elige **Edit**.  2. En la pestaña **Participating Gateways**, haz clic en **+** y selecciona tu cortafuegos.  3. En la pestaña **Participant User Groups**, haz clic en **+** y selecciona el grupo que has creado.  4. En la pantalla principal, abre el gateway que tiene configurada la VPN y, en el panel izquierdo, selecciona **VPN Clients > Authentication**. 5. Haz clic en **Add** y después en **New**, selecciona el tipo y haz clic en **OK**. 6. En las opciones de **Login Option**, escribe un nombre (por ejemplo, `NPS_IRONCHIP_ACCESS` o `RADIUS_IRONCHIP_ACCESS`). Puedes rellenar también **Comment** y **Display Name**, que es el nombre que se muestra en la pantalla inicial. Haz clic en **OK**. 7. En **Authentication Methods**, haz clic en **Add**, elige **RADIUS** como método y selecciona el servidor RADIUS que has creado. Haz clic en **OK**. 8. En **User Directories**, selecciona **Manual configuration** y habilita la autenticación solo para **External user profiles**. ### Ajustar las propiedades globales [Sección titulada «Ajustar las propiedades globales»](#ajustar-las-propiedades-globales) 1. En la parte superior izquierda, haz clic en **Global Properties**.  2. Ve al último apartado, **Advanced**, y haz clic en **Configure**.  3. Despliega **Firewall-1**, haz clic en **Authentication** y establece `au_connect_timeout` en `60`.  4. Haz clic en **RADIUS**, establece `radius_retrant_num` en `1` y `radius_retrant_timeout` en `60`.  ## Comprobación [Sección titulada «Comprobación»](#comprobación) Cuando todo esté configurado, haz una prueba de autenticación desde el cliente VPN con un usuario que tenga acceso. Elige el método de inicio de sesión que has creado (aparece con su **Display Name**) e introduce tus credenciales: después se te pedirá que te autentiques con Ironchip. ## Problemas frecuentes [Sección titulada «Problemas frecuentes»](#problemas-frecuentes) * **La autenticación falla porque se agota el tiempo de espera**: Ironchip espera la respuesta del usuario, así que los tiempos tienen que ser largos. Comprueba `Virtual session timeout` (`60`), `au_connect_timeout` (`60`), `radius_retrant_timeout` (`60`) y `radius_retrant_num` (`1`). * **El servidor RADIUS rechaza la petición**: comprueba que el secreto compartido es el mismo en Check Point y en NPS o en el Ironchip RADIUS server, y que el host del servidor RADIUS tiene la IP correcta. # Citrix VPN > Proteger Citrix Gateway con Ironchip por RADIUS y NPS: configurar RADIUS, LDAP y el servidor virtual de Citrix, y depurar problemas de autenticación. Esta guía explica cómo integrar tu VPN de **Citrix** con la autenticación de Ironchip mediante [RADIUS](/identidad/protocolos/radius/). ## Requisitos [Sección titulada «Requisitos»](#requisitos) * Un servidor Windows con [NPS](/identidad/integraciones/red/nps/) protegido por Ironchip. * Acceso a la consola de administración de Ironchip. * Citrix VPN implementado y funcional. ## Configuración en Windows Server [Sección titulada «Configuración en Windows Server»](#configuración-en-windows-server) 1. Crea un cliente RADIUS que apunte a la dirección IP de tu instalación de Citrix.  2. Comprueba que el cortafuegos del servidor tiene una regla que acepta los puertos de LDAP y RADIUS. ## Configuración en Citrix [Sección titulada «Configuración en Citrix»](#configuración-en-citrix) ### RADIUS [Sección titulada «RADIUS»](#radius) 1. En el panel de configuración de Citrix, ve a **Citrix Gateway > Policies > Authentication > RADIUS > Servers** y haz clic en **Add**.  2. Rellena los datos: * **Name**: un nombre descriptivo para la configuración. * **IP Address** y **Port**: la IP y el puerto por los que Citrix se comunicará con tu servidor RADIUS. * **Secret Key** y **Confirm Secret Key**: el secreto compartido de tu servidor RADIUS. * **Transport**: el protocolo de transporte. * **Time-out (seconds)**: `60`.  3. Despliega **More**.  4. Ve al final de la página y modifica estos parámetros: * **Password Encoding**: `mschapv2`. * **Authentication Server Retry**: `1`. * Comprueba que la casilla **Authentication** está marcada.  5. Haz clic en **OK** y guarda la configuración. 6. Ve al apartado **Policies** y crea dos políticas que apunten al servidor RADIUS creado. Los nombres son opcionales, pero te recomendamos usar los mismos para facilitar los pasos siguientes. | Nombre | Expresión | | --------------------- | ------------------------------------------------------- | | `ReceiverSelfService` | `REQ.HTTP.HEADER User-Agent CONTAINS CitrixReceiver` | | `ReceiverForWeb` | `REQ.HTTP.HEADER User-Agent NOTCONTAINS CitrixReceiver` |  ### LDAP [Sección titulada «LDAP»](#ldap) Hace falta una segunda autenticación por LDAP. Solo sirve para que Citrix lea los usuarios del Active Directory, no para iniciar sesión. 1. Ve a **Citrix Gateway > Policies > Authentication > LDAP > Servers** y haz clic en **Add**.  2. Modifica los parámetros: * **Name**: un nombre descriptivo. * **IP Address**, **Security Type** y **Port**: la IP de tu servidor RADIUS, el tipo de seguridad y el puerto LDAP. Te recomendamos SSL con el puerto `636`. * **Server Type**, **Time-out (seconds)** en `60` y la opción **Authentication** desmarcada. * En **Connection Settings**, tu dominio en formato `DC=,DC=` en **Base DN (location of users)** y el **Administrator Bind DN** con su contraseña. Para obtener el Bind DN, ejecuta en PowerShell `get-aduser -Properties *` y busca el parámetro `DistinguishedName`.  3. Cambia **Server Logon Name Attribute** a `SamaccountName` y guarda la configuración.  4. Ve al apartado **Policies** y crea dos políticas que apunten al servidor LDAP creado. Los nombres son opcionales, pero te recomendamos usar los mismos. | Nombre | Expresión | | ------------------------------- | ------------------------------------------------------- | | `LDAP-Corp-ReceiverSelfService` | `REQ.HTTP.HEADER User-Agent CONTAINS CitrixReceiver` | | `LDAP-Corp-ReceiverForWeb` | `REQ.HTTP.HEADER User-Agent NOTCONTAINS CitrixReceiver` |  ### Servidor virtual de Citrix [Sección titulada «Servidor virtual de Citrix»](#servidor-virtual-de-citrix) 1. Ve a la configuración de **Virtual Servers** y edita el que aloja la VPN.  2. En **Basic Authentication**, añade las cuatro políticas creadas en este orden: | Política | Tipo | Prioridad | | ------------------------------- | ------ | --------- | | `LDAP-Corp-ReceiverForWeb` | LDAP | Primary | | `ReceiverSelfService` | RADIUS | Primary | | `LDAP-Corp-ReceiverSelfService` | LDAP | Secondary | | `ReceiverForWeb` | RADIUS | Secondary |  ## Comprobación [Sección titulada «Comprobación»](#comprobación) En la consola de administración de Ironchip, da acceso a los usuarios a la aplicación creada para este servicio. Al iniciar sesión en la VPN, después de introducir usuario y contraseña, se te pedirá que te autentiques con Ironchip. ## Problemas frecuentes [Sección titulada «Problemas frecuentes»](#problemas-frecuentes) ### Ver el registro de autenticación [Sección titulada «Ver el registro de autenticación»](#ver-el-registro-de-autenticación) Para depurar la autenticación y ver un registro completo en tiempo real: 1. Conéctate a la interfaz de línea de comandos del ADC (Application Delivery Controller) con un cliente SSH. 2. Cambia al indicador de comandos de la shell: ```bash shell ``` 3. Cambia al directorio `/tmp`: ```bash cd /tmp ``` 4. Inicia la depuración: ```bash cat aaad.debug ``` # Fortinet > Proteger la VPN de FortiGate con Ironchip: SSL VPN por SAML o RADIUS con NPS, y túnel IPsec de acceso remoto con SAML, con comprobación con FortiClient. Esta guía explica las formas de integrar **Fortinet** (FortiGate) con Ironchip: SSL VPN con [SAML](/identidad/protocolos/saml/), SSL VPN con [RADIUS](/identidad/protocolos/radius/) a través de [NPS](/identidad/integraciones/red/nps/), e IPsec de acceso remoto con SAML. ## SSL VPN con SAML [Sección titulada «SSL VPN con SAML»](#ssl-vpn-con-saml) Integra la VPN SSL de FortiGate con la autenticación de Ironchip por SAML. ### Requisitos [Sección titulada «Requisitos»](#requisitos) * Acceso a la consola de administración de Ironchip. * Un usuario con permisos para realizar la configuración en Fortinet. ### Configuración en Ironchip [Sección titulada «Configuración en Ironchip»](#configuración-en-ironchip) 1. En la consola de administración de Ironchip, ve a **Applications** y haz clic en el botón verde **New application**.  2. Selecciona el tipo **SAML** y descarga los metadatos con **Download metadata file**. Los usarás en los pasos siguientes.  Más adelante volverás a esta aplicación para terminar la configuración. ### Configuración en FortiGate [Sección titulada «Configuración en FortiGate»](#configuración-en-fortigate) 1. En el panel de administración de FortiGate, ve a **User & Authentication > Single Sign-On** y haz clic en **Create New**, arriba a la izquierda.  2. Configura estos parámetros, todos obligatorios: * **Name**: un nombre identificativo. * **Address**, en **Service Provider Configuration**: la dirección IP pública a la que se enviará la solicitud de autenticación. Normalmente es la misma IP que la de la VPN. * **Entity ID**, **Assertion consumer service URL** y **Single logout service URL**: las URL que usará Ironchip para comunicarse con Fortinet. * **Certificate**: el certificado de Fortinet que se utilizará.  3. Haz clic en **Next**. El segundo apartado se edita con comandos: haz clic en **Edit in CLI**.  4. En la consola que se abre, ejecuta estos comandos y sustituye `` por la IP de tu VPN: ```text set entity-id "https:///remote/saml/metadata/" set single-sign-on-url "https:///remote/saml/login" set single-logout-url "https:///remote/saml/logout" end ``` 5. Cierra la terminal y haz clic en **Cancel**. Así evitas que se restablezcan los datos por defecto. ### Volver a Ironchip: metadatos de FortiGate [Sección titulada «Volver a Ironchip: metadatos de FortiGate»](#volver-a-ironchip-metadatos-de-fortigate) En la aplicación de Ironchip hay que indicar la URL de metadatos que usará para comunicarse con Fortinet. 1. Abre una terminal en Fortinet y ejecuta: ```text diag vpn ssl saml-metadata "" ``` 2. Sube el resultado a una dirección pública de internet y copia la URL en formato raw. 3. Pega esa URL en el campo **Metadata URL** de la aplicación de Ironchip.  4. Haz clic en **Add service** para terminar la configuración en Ironchip. ### Terminar la configuración en FortiGate [Sección titulada «Terminar la configuración en FortiGate»](#terminar-la-configuración-en-fortigate) Vuelve a la pantalla de Fortinet donde lo dejaste. Ten abierto el archivo de metadatos que descargaste de Ironchip. 1. En **Type**, selecciona `Custom`. 2. Rellena las URL del IdP con los datos del archivo de metadatos: * **EntityID**: la propiedad `entityID` de la etiqueta XML `EntityDescriptor`. * **Assertion consumer service URL**: la propiedad `Location` de la etiqueta XML `SingleSignOnService`. * **Single logout service URL**: la propiedad `Location` de la etiqueta XML `SingleLogoutService`. * **Certificate**: crea un fichero con extensión `.crt` y pega en él el resultado de introducir el contenido de la etiqueta XML `X509Certificate` del archivo de metadatos en el primer campo de [SAML Tool](https://www.samltool.com/format_x509cert.php). Los dos certificados son idénticos. 3. Introduce los atributos: * **Attribute used to identify users**: `urn:oid:0.9.2342.19200300.100.1.1` * **Attribute used to identify groups**: `urn:oid:1.3.6.1.4.1.5923.1.1.1.1`  4. Haz clic en **Submit** para guardar la configuración. ### Configuración adicional [Sección titulada «Configuración adicional»](#configuración-adicional) 1. Crea un grupo que tenga como miembro la configuración de SSO de Fortinet.  2. Añade el grupo a la configuración de la SSL VPN, en **Authentication/Portal Mapping**.  3. Añade el grupo a la política de la VPN, en el apartado **Source**.  4. Configura los tiempos de autenticación. Abre una terminal de Fortinet con el icono de la parte superior derecha y ejecuta estos comandos, que dan 60 segundos para autenticarse a los usuarios del grupo asociado: ```text config user group edit set authtimeout 60 end ``` ```text config system global set remoteauthtimeout 60 end ``` ### Autenticación por SAML o contraseña simultáneamente (opcional) [Sección titulada «Autenticación por SAML o contraseña simultáneamente (opcional)»](#autenticación-por-saml-o-contraseña-simultáneamente-opcional) Para que los usuarios puedan entrar tanto por SAML como con contraseña local, elige una de estas opciones. **Opción 1.** Añade los usuarios locales al grupo creado antes.  **Opción 2.** Crea un grupo nuevo con los usuarios locales.  Después añade ese grupo a **SSL-VPN Settings** y a la política creada anteriormente.   ## SSL VPN con RADIUS [Sección titulada «SSL VPN con RADIUS»](#ssl-vpn-con-radius) Implementa el servicio RADIUS en Fortinet e intégralo con un servidor NPS en un entorno de Active Directory. ### Requisitos [Sección titulada «Requisitos»](#requisitos-1) * Un Active Directory funcional. * El rol de NPS instalado en un Windows Server y protegido por Ironchip. Consulta [Microsoft NPS](/identidad/integraciones/red/nps/). * Una aplicación MFA creada en la consola de administración de Ironchip. * La app de Ironchip descargada. ### Configuración de NPS [Sección titulada «Configuración de NPS»](#configuración-de-nps) 1. En tu servidor AD, abre la configuración de NPS (Servidor de directivas de redes) y crea un nuevo cliente RADIUS que apunte a la IP de Fortinet.  2. Introduce estos datos: * Un nombre identificativo para RADIUS. * La IP de Fortinet. * Una clave secreta para RADIUS.  ### Usuarios y grupos en FortiGate [Sección titulada «Usuarios y grupos en FortiGate»](#usuarios-y-grupos-en-fortigate) 1. Entra en el panel de configuración de Fortinet desde un navegador, con la IP de tu Fortinet.  2. Ve a **User & Authentication > RADIUS Servers** y añade uno nuevo.  3. Rellena los datos: un nombre identificativo, la IP del servidor donde creaste el RADIUS y el secreto de RADIUS.  4. Para confirmar que se conectó correctamente, haz clic en **Test Connectivity**. Si el resultado es `Successful`, haz clic en **Test User Credentials** e inicia sesión con un usuario de tu dominio. Si falla, comprueba que el cortafuegos de Windows Server tiene una regla de entrada que permite el tráfico RADIUS (UDP) desde la IP de Fortinet. 5. Crea un grupo y usuarios que hagan referencia al dominio en Fortinet. Ve a **User & Authentication > User Groups** y añade uno nuevo.  6. Ponle un nombre, selecciona la opción **Firewall** y en **Remote groups** selecciona tu servidor RADIUS.  7. Para configurar los usuarios, ve a la pestaña **User Definition** y repite estos pasos por cada usuario: 1. Haz clic en **Create New**. 2. Selecciona **Remote RADIUS User**. 3. Escribe el usuario con formato `dominio\usuario` y selecciona el servidor RADIUS creado antes. 4. Deja **Two-factor** deshabilitado. 5. Habilita **User Group** y selecciona el grupo creado. [ Crear usuarios RADIUS remotos en FortiGateReproducir el vídeo](https://play.hubspotvideo.com/v/7745202/id/130741975671) #### Atributo en la directiva de red (opcional) [Sección titulada «Atributo en la directiva de red (opcional)»](#atributo-en-la-directiva-de-red-opcional) Para no crear los usuarios uno a uno, añade un atributo a la directiva de red del dominio. 1. Abre el **Servidor de directivas de red**.  2. Ve a **Directivas > Directivas de red** y haz doble clic en la directiva.   3. Ve a **Configuración**, en **Atributos RADIUS** selecciona **Específico del proveedor** y haz clic en **Agregar**.  4. En el desplegable **Proveedor**, selecciona **Personalizado** y después la opción `vendor-specific`.  5. Haz clic en **Agregar**. Aparece esta ventana:  6. Haz clic en **Agregar** y deja la ventana siguiente configurada así:  7. Haz clic en **Configurar atributo** y en la ventana que aparece establece: 1. **Número de atributo asignado por el proveedor**: `1`. 2. **Formato del atributo**: `Cadena`. 3. **Valor de atributo**: el grupo creado antes en Fortinet.  ### Configurar la VPN [Sección titulada «Configurar la VPN»](#configurar-la-vpn) 1. Ve a **VPN > SSL-VPN Settings**.  2. Modifica los campos así: * Selecciona las interfaces que vas a usar, por ejemplo la WAN o la LAN. * Cambia el puerto para evitar conflictos. Te recomendamos `4443` o `10443`. * No es necesario crear un certificado, pero puedes crear uno autofirmado si lo necesitas. 3. Baja hasta el final de la página, donde hay otros dos campos por configurar.  4. En **Authentication/Portal Mapping**, haz clic en **Create New**, selecciona tu grupo de usuarios y asígnale el portal `tunnel-access`. 5. Haz clic en **Apply**. ### Política de cortafuegos [Sección titulada «Política de cortafuegos»](#política-de-cortafuegos) 1. Ve a **Policy & Objects > Firewall Policy** y crea una política nueva.  2. Configúrala así: * **Name**: un nombre para la política. Es el que escribirás en la aplicación de la consola de Ironchip y en el plugin. * **Incoming Interface**: `SSL-VPN tunnel interface`. * **Outgoing Interface**: la interfaz física. * **Source**: `all` y, muy importante, el grupo que has creado. * **Destination**: `all`. * **Service**: `ALL`. 3. Haz clic en **OK**. 4. Configura el timeout de Fortinet y de la conexión RADIUS en 60 segundos, para que los usuarios tengan tiempo de completar la autenticación. Abre una terminal de Fortinet con el icono de la parte superior derecha. Este comando da 60 segundos a los usuarios del grupo asociado: ```text config user group edit set authtimeout 60 end ``` 5. Haz lo mismo para la conexión RADIUS: ```text config system global set remoteauthtimeout 60 end ``` 6. Cambia la configuración para que, al autenticarte, Fortinet no mande más de una petición: ```text config user radius edit set timeout 60 end ``` ### Aplicación en Ironchip [Sección titulada «Aplicación en Ironchip»](#aplicación-en-ironchip) [ Crear la aplicación de Fortinet en la consola de IronchipReproducir el vídeo](https://play.hubspotvideo.com/v/7745202/id/130740447107) ### Comprobación con FortiClient [Sección titulada «Comprobación con FortiClient»](#comprobación-con-forticlient) El servidor NPS y Fortinet deben estar iniciados al hacer las pruebas. 1. En FortiClient, selecciona **ACCESO REMOTO**.  2. En la ventana siguiente, elige **Configurar VPN**.  3. Rellena los datos de la VPN. Respeta el mismo patrón de identificación de usuario que hayas establecido en el grupo y en la aplicación de la consola de Ironchip. Haz clic en **Guardar**.  4. En la pantalla siguiente verás el nombre de la conexión y el usuario. Escribe la contraseña y haz clic en **Conectar**. Si el cortafuegos del equipo bloquea la conexión, crea una regla que permita a FortiClient conectar con la IP y el puerto de la VPN en lugar de desactivar el cortafuegos.  5. Aparece una alerta de seguridad. Léela y haz clic en **Sí**.  6. Continúa el proceso de conexión. Recibirás un mensaje para autorizar el acceso desde la app de Ironchip. Al aceptarlo, se completa la conexión. 7. Cuando se establece la conexión, aparece una ventana con una breve descripción.  [ Demostración de acceso a la VPN de Fortinet con IronchipReproducir el vídeo](https://play.hubspotvideo.com/v/7745202/id/130741050703) ## IPsec con SAML [Sección titulada «IPsec con SAML»](#ipsec-con-saml) Protege un túnel VPN IPsec de acceso remoto (dial-up, IKEv2) en FortiGate con autenticación SAML mediada por Ironchip. ### Requisitos [Sección titulada «Requisitos»](#requisitos-2) * Acceso administrativo a la GUI y a la CLI de FortiGate. * Una cuenta de administrador en la consola de Ironchip con permisos para crear aplicaciones SAML. * **FortiClient VPN** instalado en los equipos cliente, con soporte de SSO/SAML para IPsec. * Una VPN IPsec de acceso remoto (IKEv2). ### Habilitar el puerto SAML global [Sección titulada «Habilitar el puerto SAML global»](#habilitar-el-puerto-saml-global) Desde la CLI de Fortinet, ejecuta: ```text config system global set auth-ike-saml-port 1001 end ``` ### Configurar la aplicación SAML [Sección titulada «Configurar la aplicación SAML»](#configurar-la-aplicación-saml) Configura el SSO con SAML en Fortinet y en Ironchip. 1. En FortiGate, ve a **User & Authentication > Single Sign-On** y haz clic en **Create New**.  2. Indica un nombre para la configuración, la IP o el DNS de la VPN junto con el puerto SAML configurado antes y el certificado que uses en la VPN.  3. La siguiente ventana pide los metadatos del proveedor de identidad (IdP), en este caso Ironchip. Para obtenerlos, ve a la consola de administración de Ironchip > **Applications > New application > SAML**.   4. Al crear la aplicación te pide un nombre. Usa uno descriptivo, porque aparecerá más tarde en los dispositivos autenticadores de los usuarios.  5. Ve al apartado **Identity Provider (IdP)** y copia estos datos: * **IdP Entity ID or Issuer** * **Single Sign On Service (URL)** * **Signing X.509 Certificate**. Este certificado debes importarlo en Fortinet.  6. Pega los datos en la configuración de Fortinet: * **IdP Entity ID or Issuer** en **Entity ID**. * **Single Sign On Service** en **Assertion consumer service URL**. * **Single logout service URL**: usa la misma URL que la de **Assertion consumer service URL**, pero cambia `sso` por `slo` en la ruta. 7. Indica los atributos que pide Fortinet para autenticar a los usuarios: * **Attribute used to identify users**: `urn:oid:0.9.2342.19200300.100.1.1` * **Attribute used to identify groups**: `urn:oid:1.3.6.1.4.1.5923.1.1.1.1`  8. Obtén los metadatos de Fortinet para importarlos en Ironchip. Abre la CLI global de Fortinet y ejecuta: ```text diag vpn ssl saml-metadata "" ``` 9. Copia el resultado. En la aplicación que creaste en la consola de Ironchip, abre el apartado **Service Provider (SP)**, elige **Text** en **SP Metadata**, pega el resultado y haz clic en **Import**.  10. Haz clic en **Add** para terminar de crear la aplicación en Ironchip. ### Crear el grupo de usuarios [Sección titulada «Crear el grupo de usuarios»](#crear-el-grupo-de-usuarios) Asigna esta configuración SAML a un grupo, para poder asociarlo después a las políticas del cortafuegos.   ### Activar EAP en la interfaz de fase 1 [Sección titulada «Activar EAP en la interfaz de fase 1»](#activar-eap-en-la-interfaz-de-fase-1) Edita la interfaz de fase 1 para sustituir PSK por EAP contra el grupo de usuarios de Ironchip: ```text config vpn ipsec phase1-interface edit IPSEC-DIALUP set eap enable set eap-identity send-request set authusrgrp SAML-Group end ``` # FortiWeb > Proteger el acceso a una web publicada con FortiWeb usando SAML e Ironchip: crear la aplicación, el servidor SAML y la regla de Site Publish. Esta guía explica cómo proteger con Ironchip y [SAML](/identidad/protocolos/saml/) el acceso a una web publicada con **FortiWeb**. ## Requisitos [Sección titulada «Requisitos»](#requisitos) * Acceso a la consola de administración de Ironchip. * Un usuario con permisos para realizar la configuración en FortiWeb. ## Configuración en Ironchip [Sección titulada «Configuración en Ironchip»](#configuración-en-ironchip) 1. En la consola de administración de Ironchip, ve a **Applications**.  2. Haz clic en **New Application** y selecciona **SAML**.   3. Encima del nombre de la aplicación aparecen los apartados **Service Provider** e **Identity Provider**.  * En **Service Provider** importarás los metadatos de FortiWeb. * En **Identity Provider** están los metadatos de Ironchip, que importarás en FortiWeb. ## Configuración en FortiWeb [Sección titulada «Configuración en FortiWeb»](#configuración-en-fortiweb) ### Servidor SAML [Sección titulada «Servidor SAML»](#servidor-saml) 1. En FortiWeb, ve a **User > Remote Server > SAML Server** y haz clic en **Create New**. 2. Ponle un nombre (**Name**) al servidor SAML y, en **Entity ID**, escribe la IP o el DNS de la web que quieres proteger. 3. Obtén los metadatos de Ironchip. Su URL está en el campo **URL Metadata**, al final del apartado **Identity Provider** de la aplicación en la consola de administración de Ironchip.  4. Abre esa URL en el navegador para descargar el XML. En FortiWeb, en **Identity Provider Metadata**, haz clic en **Upload** y sube ese XML. Haz clic en **OK**.  5. Con el servidor SAML creado, selecciónalo en la pestaña **SAML Server** y haz clic en **Generate Service Provider Metadata**. Se descarga otro XML.  6. En la aplicación de la consola de administración de Ironchip, abre el apartado **Service Provider (SP)**. En **SP Metadata**, elige **File**, selecciona ese XML y haz clic en **Import**.  7. Haz clic en **Add** para terminar de crear la aplicación. ### Regla de Site Publish [Sección titulada «Regla de Site Publish»](#regla-de-site-publish) Aplica el servidor SAML a la regla de **Site Publish** para que pida autenticación al acceder. 1. En FortiWeb, ve a **Application Delivery > Site Publish > Site Publish** y edita la regla en la pestaña **Site Publish Rule**. 2. En **Client Authentication Method**, selecciona **SAML Authentication**. 3. En **SAML Server**, selecciona el servidor SAML que has creado y haz clic en **OK**.  ## Dar acceso a los usuarios [Sección titulada «Dar acceso a los usuarios»](#dar-acceso-a-los-usuarios) Da acceso a los usuarios en la aplicación creada en la consola de administración de Ironchip: ve a **Applications**, busca la aplicación de FortiWeb y, en la columna **Add access**, haz clic en **Add**.  ## Comprobación [Sección titulada «Comprobación»](#comprobación) Abre la web publicada con un usuario que tenga acceso a la aplicación. FortiWeb te pide que te autentiques con Ironchip antes de dejarte entrar. # Microsoft NPS > Protege Microsoft NPS con el plugin de Ironchip: crea la política de red, instala el plugin, registra la aplicación y prueba el acceso RADIUS con NTRadPing. NPS (Servidor de directivas de redes) permite crear y aplicar directivas de acceso a la red de toda la organización para autenticar y autorizar solicitudes de conexión. Esta guía lo protege con Ironchip para poder usar Ironchip en otros servicios, como RDP o VPN, mediante [RADIUS](/identidad/protocolos/radius/). **Plugin de Ironchip para NPS**última versión v1.0.1, publicada el 15 de noviembre de 2024 * [ironchip_nps_plugin.msi](https://github.com/ironchip-security/Ironchip-NPS-Plugin/releases/download/v1.0.1/ironchip_nps_plugin.msi) 13.7 MB [Todas las versiones y notas de cada una](https://github.com/ironchip-security/Ironchip-NPS-Plugin/releases) ## Requisitos [Sección titulada «Requisitos»](#requisitos) * Un Directorio Activo funcional. * Servicios DHCP y DNS activos. Si no los tienes, consulta [Preparar el entorno Windows](/identidad/integraciones/puestos/rdp/#preparar-el-entorno-windows). * Una integración HTTP-MFA (aplicación MFA) creada en Ironchip. Consulta [Crear una integración HTTP-MFA](/identidad/administracion/aplicaciones/#crear-una-integraci%C3%B3n-http-mfa). ## Configuración en Ironchip [Sección titulada «Configuración en Ironchip»](#configuración-en-ironchip) 1. Crea en la consola de administración la aplicación que hace referencia a la integración HTTP-MFA. En **External ID**, escribe el nombre de la política de red que vas a proteger con el plugin (en esta guía, `IronchipProtected`) y haz clic en **Add service**.  2. Guarda la API key que muestra Ironchip al crear la aplicación: solo aparece esta vez y la necesitarás al instalar el plugin. 3. Añade usuarios a esa aplicación con el formato `Dominio\Usuario`. [ Crear la aplicación en Ironchip y añadir usuarios para NPSReproducir el vídeo](https://play.hubspotvideo.com/v/7745202/id/130733054997) ## Configuración en Microsoft NPS [Sección titulada «Configuración en Microsoft NPS»](#configuración-en-microsoft-nps) ### Instalar NPS en el servidor [Sección titulada «Instalar NPS en el servidor»](#instalar-nps-en-el-servidor) Instala el rol **Servicios de acceso y directivas de redes** desde **Agregar roles y características**. [](/media/identidad/integraciones/red/nps/imageedit-7-2537700353.mp4) ### Crear la política de red [Sección titulada «Crear la política de red»](#crear-la-política-de-red) 1. Abre el servidor de directivas de redes. En la pestaña **Directivas**, haz clic derecho en **Directivas de red** y crea una nueva política.  2. Ponle un nombre identificativo y haz clic en **Siguiente**. Este nombre se usa al instalar el plugin NPS para determinar qué política proteger.  3. Selecciona el grupo de usuarios al que se aplicará la política. [](/media/identidad/integraciones/red/nps/imageedit-11-5533437787.mp4) 4. En la pestaña siguiente, deja seleccionado **Acceso concedido**.  5. Configura los métodos de autenticación que usará la política y haz clic en **Siguiente**.  6. Configura las restricciones que denegarán automáticamente el acceso si no se cumplen. Complétalo con las opciones que quieras y haz clic en **Siguiente**.  7. Añade la configuración que se aplicará cuando se cumplan las restricciones de la política y haz clic en **Siguiente**.  8. Revisa el resumen de la configuración y haz clic en **Finalizar**.  La política de red queda creada. Ya puedes instalar el plugin NPS.  ### Instalar el plugin NPS [Sección titulada «Instalar el plugin NPS»](#instalar-el-plugin-nps) 1. En la sección **Plugins** de la consola de Ironchip, busca **Windows NPS** y haz clic en **Download**.  2. Ejecuta el instalador.  3. Haz clic en **Next**, acepta los términos de uso y vuelve a hacer clic en **Next**.  4. Completa la pantalla siguiente y haz clic en **Next**: * **Ironchip Host**: tu host de Ironchip. Si usas la solución en la nube, es `api.ironchip.com`; si no, indica tu host personalizado. * **Ironchip API Key**: la API key de tu empresa, que obtuviste al crear el servicio. * **NPS Policies**: el nombre de la política de red que quieres proteger con Ironchip NPS. En el ejemplo, la política creada, `IronchipProtected`. Para añadir más de una, sepáralas con comas.  5. Con todos los parámetros correctos, haz clic en **Install**.  6. Cuando termine la instalación, haz clic en **Finish**.  Instala el certificado de `https://api.ironchip.com` en todos los dispositivos que vayan a utilizar este servicio. ### Instalar en Windows Server 2008 y Windows Server 2012 [Sección titulada «Instalar en Windows Server 2008 y Windows Server 2012»](#instalar-en-windows-server-2008-y-windows-server-2012) Antes de instalar el plugin NPS de Ironchip en estas versiones, necesitas instalar JDK y .NET (nuestro equipo te proporciona estos componentes) y cambiar el formato del certificado de Ironchip para que sea aceptado. #### Instalar el JDK [Sección titulada «Instalar el JDK»](#instalar-el-jdk) 1. Abre el programa y haz clic en **Next**. 2. Acepta los términos del acuerdo y haz clic en **Next** de nuevo. 3. La ventana siguiente permite personalizar la instalación. La configuración por defecto es suficiente: haz clic en **Next**. 4. Haz clic en **Install**. 5. Cuando termine la instalación, haz clic en **Finish**. #### Instalar .NET [Sección titulada «Instalar .NET»](#instalar-net) Este paso es opcional en Windows Server 2012. 1. Ejecuta el programa, acepta los términos y condiciones y haz clic en **Install**. 2. Cuando termine la instalación, haz clic en **Finish**. #### Cambiar el formato del certificado de Ironchip [Sección titulada «Cambiar el formato del certificado de Ironchip»](#cambiar-el-formato-del-certificado-de-ironchip) 1. Abre `api.ironchip.com` en tu navegador (vale cualquiera). 2. Haz clic en **No seguro** y después en **El certificado no es válido**. 3. En la ventana siguiente, ve a **Detalles** y haz clic en **Copiar en archivo…**. 4. Elige la tercera opción y selecciona **Incluir todos los certificados en la ruta de acceso de certificación, si es posible**. Haz clic en **Siguiente**. 5. En la ventana nueva, haz clic en **Siguiente**. 6. Elige la ruta donde quieres exportar el certificado y el nombre del archivo. Haz clic en **Siguiente**. 7. Cuando termine la exportación, haz clic en **Finalizar**. El certificado ya está en tu equipo con el formato correcto. Impórtalo ahora: 1. Busca `mmc` en el buscador de programas y ábrelo. 2. Elige **Archivo** y después **Agregar o quitar complemento…**. 3. Selecciona **Certificados** y haz clic en **Agregar**. 4. Elige **Cuenta de equipo** y haz clic en **Siguiente**. 5. Elige la primera opción y haz clic en **Finalizar**. 6. En **Raíz de consola**, haz clic en **Certificados (equipo local)** y elige **Entidades de certificación raíz de confianza**. 7. Despliega la carpeta **Certificados**. En el panel de la derecha, elige **Más acciones**, después **Todas las tareas** y **Importar**. 8. Elige la ubicación donde exportaste el certificado. Selecciona la extensión correcta: elige **Todos los archivos (\*.\*)**. Haz clic en **Siguiente**. 9. En la ventana siguiente, haz clic en **Siguiente** de nuevo. 10. Revisa el resumen de la importación y haz clic en **Finalizar**. 11. Cuando aparezca el mensaje de importación correcta, haz clic en **Aceptar**. ## Comprobación [Sección titulada «Comprobación»](#comprobación) ### Comprobar los registros del plugin [Sección titulada «Comprobar los registros del plugin»](#comprobar-los-registros-del-plugin) 1. Abre el **Visor de eventos** para ver los registros del plugin NPS de Ironchip. 2. Si todo está bien, verás **NPSP Ironchip Plugin** en la lista de registros de aplicaciones y servicios. Haz clic en él. Si el plugin está instalado, los registros muestran `Ironchip NPS plugin initialized successfully.` ### Probar el acceso RADIUS con NTRadPing [Sección titulada «Probar el acceso RADIUS con NTRadPing»](#probar-el-acceso-radius-con-ntradping) Para comprobar que todo está bien configurado y funciona, usa la herramienta de terceros NTRadPing.  1. Descarga la aplicación desde [NTRadPing](https://ntradping.apponic.com/). 2. Crea un cliente RADIUS para poder hacer la prueba: abre el servidor de directivas de redes, ve a **Clientes y servidores RADIUS** y crea uno nuevo con clic derecho en **Clientes RADIUS**.  3. En el panel que se abre, introduce estos datos: 1. Un nombre identificativo para el cliente RADIUS. 2. La IP del servidor en el que vas a instalarlo. 3. Una clave secreta para RADIUS.  4. Reinicia el servicio para que se apliquen los ajustes. 5. Abre NTRadPing y completa los campos: 1. IP de tu servidor. 2. Puerto de conexión (por defecto, `1645`). 3. Tiempo antes de abortar y número de veces que se ejecutará. 4. Contraseña del usuario. 5. Clave del servidor RADIUS. 6. Usuario que se va a utilizar.  ### Vídeo tutorial [Sección titulada «Vídeo tutorial»](#vídeo-tutorial) [ Tutorial de Ironchip con NPSReproducir el vídeo](https://play.hubspotvideo.com/v/7745202/id/130734361351) ## Problemas frecuentes [Sección titulada «Problemas frecuentes»](#problemas-frecuentes) El plugin muestra sus mensajes en inglés. Cada apartado cita el mensaje tal como aparece y explica qué significa. ### “User XXX is not authenticated in service XXX. Please, try again.” [Sección titulada «“User XXX is not authenticated in service XXX. Please, try again.”»](#user-xxx-is-not-authenticated-in-service-xxx-please-try-again) El usuario no está autenticado o la autenticación no ha sido válida. Vuelve a intentar la autenticación en la misma página. ### “Unable to load IronChip license key” [Sección titulada «“Unable to load IronChip license key”»](#unable-to-load-ironchip-license-key) El mensaje completo es: “Unable to load IronChip license key. Check that it is the correct license and try again. If problem persist contact IronChip support for help.” (No se puede cargar la clave de licencia de Ironchip). El formato de la licencia no es válido. Escribe a con el error: validaremos la clave de licencia que usas y te daremos una válida si no lo es. ### “Id. de evento 4402: no hay ningún controlador de dominio disponible para el dominio” [Sección titulada «“Id. de evento 4402: no hay ningún controlador de dominio disponible para el dominio”»](#id-de-evento-4402-no-hay-ningún-controlador-de-dominio-disponible-para-el-dominio) No necesitas cambiar el nombre de tu dominio ni volver a una revisión anterior. Se resuelve añadiendo esta clave de registro, que fuerza a la autenticación a usar el nombre DNS en lugar del nombre NetBIOS: * Nuevo valor de cadena (`REG_SZ`): `Default Domain`. * Datos: `ejemplo.loc` (o `ejemplo.dominio.loc`). ### “The API-Key provided is not valid” [Sección titulada «“The API-Key provided is not valid”»](#the-api-key-provided-is-not-valid) El mensaje completo es: “The API-Key provided is not valid. Please, contact IronChip support and send logs for assistance.” (La API key proporcionada no es válida). La licencia tiene el formato correcto, pero es antigua o no es válida. Escribe a con el error: validaremos la clave de licencia que usas y te daremos una válida si no lo es. ### “Ironchip has failed. Sorry.” [Sección titulada «“Ironchip has failed. Sorry.”»](#ironchip-has-failed-sorry) El mensaje completo es: “Ironchip has failed. Sorry. Contact support to allow us to solve the problem.” (Ironchip ha fallado). Ha ocurrido algo inesperado. Escribe al soporte de Ironchip, , y adjunta el registro de error que aparece en los registros MFA de Ironchip del Visor de eventos. # OpenVPN > Proteger OpenVPN Access Server con Ironchip mediante SAML o RADIUS con NPS: crear la aplicación, configurar el servidor, dar acceso y probar el cliente. Esta guía explica cómo integrar **OpenVPN Access Server** con Ironchip por [SAML](/identidad/protocolos/saml/) o por [RADIUS](/identidad/protocolos/radius/) a través de [NPS](/identidad/integraciones/red/nps/). ## SAML [Sección titulada «SAML»](#saml) ### Requisitos [Sección titulada «Requisitos»](#requisitos) * OpenVPN Access Server configurado. * Acceso a la consola de administración de Ironchip. ### Configuración en Ironchip [Sección titulada «Configuración en Ironchip»](#configuración-en-ironchip) 1. Ve a **Applications** y haz clic en **New Application**. 2. Ponle un nombre descriptivo a la aplicación y selecciona el tipo de integración **SAML**.  3. Al seleccionar el tipo, aparece abajo el botón **Download metadata file**. Descarga los metadatos: se los proporcionarás al proveedor de servicio (SP), en este caso OpenVPN. ### Configuración en OpenVPN [Sección titulada «Configuración en OpenVPN»](#configuración-en-openvpn) 1. En OpenVPN, ve a **Authentication > SAML**.  2. Activa SAML. A continuación introducirás los metadatos descargados.  3. OpenVPN ofrece dos opciones para introducir los metadatos: con el archivo descargado o de forma manual. En esta guía se usa el archivo: en **Configure Identity Provider (IdP) Automatically via Metadata**, haz clic en **Seleccionar archivo**.  4. Selecciona el archivo de metadatos y haz clic en **Upload**. Para comprobar que se ha añadido correctamente, ve a la configuración manual: los campos deben estar rellenos con los datos correspondientes.  5. Añade los metadatos del SP (OpenVPN) a la aplicación de Ironchip. En el apartado **Service Provider (SP) identity and URL**, copia la URL de **SP Identity**.  6. Pega esa URL en el campo **Metadata URL** de la aplicación que estás creando en la consola de administración de Ironchip. 7. En OpenVPN, ve a **Authentication > Settings**, selecciona SAML como método de autenticación, haz clic en **Save Settings** y después en **Update Running Server** para aplicar los cambios.  ### Dar acceso a los usuarios [Sección titulada «Dar acceso a los usuarios»](#dar-acceso-a-los-usuarios) 1. Entra en la aplicación creada en la consola de Ironchip y haz clic en el botón verde **Add access**.  2. Selecciona el usuario que hará la autenticación.  3. Selecciona el nombre de usuario con el que accederá a la VPN.  4. Configura las condiciones de acceso.  ### Comprobación con el cliente de OpenVPN [Sección titulada «Comprobación con el cliente de OpenVPN»](#comprobación-con-el-cliente-de-openvpn) Al crear una nueva conexión en el cliente, te redirige al portal de cliente de OpenVPN, donde puedes elegir entre usar un usuario local o SAML.    ## RADIUS [Sección titulada «RADIUS»](#radius) ### Requisitos [Sección titulada «Requisitos»](#requisitos-1) * El rol de NPS instalado en un servidor. * Acceso a la interfaz de administración de OpenVPN con permisos de administrador. * Acceso a la consola de administración de Ironchip con permisos de administrador. ### Configuración en Ironchip [Sección titulada «Configuración en Ironchip»](#configuración-en-ironchip-1) 1. Ve a **Applications** y selecciona **MFA Integrations**.  2. Haz clic en **ADD MFA** y ponle un nombre descriptivo, en este caso `OpenVPN`.  3. En la ventana siguiente, copia o descarga las credenciales.  4. Vuelve a **Applications** y selecciona **New Application**. Añade un nombre descriptivo, selecciona el método de integración que acabas de crear y, en el apartado que se habilita, añade la política que crearás más tarde en el servidor.  ### Configuración de NPS [Sección titulada «Configuración de NPS»](#configuración-de-nps) 1. Crea dos grupos en el Directorio Activo: uno para autenticar con Ironchip y otro para los usuarios que no necesitan MFA. 2. Con los grupos creados y los usuarios asignados, abre la administración de NPS y crea una **política de red**.  3. En la ventana siguiente, haz clic en **Add > User Groups** y añade uno de los grupos creados.  4. Haz clic en **Next** hasta llegar a **Configure Authentication Methods**. Marca **Encrypted authentication (CHAP)** y **Unencrypted Authentication (PAP, SPAP)**. Haz clic en **Next** hasta finalizar.  5. Ve a **RADIUS Clients** y crea un cliente RADIUS que apunte a OpenVPN Server. Indica un nombre descriptivo (el del SP al que apunta), la IP y el secreto compartido, que puedes escribir o generar automáticamente.  6. En la consola de Ironchip, ve al apartado **Plugins** y descarga el plugin de NPS en el servidor.  7. Ejecuta el plugin, acepta los términos y condiciones y rellena los parámetros: * La API key, que está en el archivo de credenciales que descargaste al crear la integración MFA. * En **NPS Policies**, la política que quieres proteger con Ironchip.  ### Configuración en OpenVPN Server [Sección titulada «Configuración en OpenVPN Server»](#configuración-en-openvpn-server) 1. En la interfaz de administración de OpenVPN, ve a **Authentication** y selecciona RADIUS. Activa RADIUS y los accounting reports.  2. Ve a **RADIUS Server**, añade la IP del servidor donde has configurado NPS y el secreto que pusiste en el cliente RADIUS.  ### Dar acceso a los usuarios [Sección titulada «Dar acceso a los usuarios»](#dar-acceso-a-los-usuarios-1) Para que un usuario acceda a la VPN, además de estar en el grupo del Directorio Activo, tienes que generarle un acceso en la aplicación de la consola de Ironchip. 1. Entra en la aplicación en la consola de Ironchip y haz clic en **Add Access**.  2. Aparecen los usuarios y grupos de la plataforma. Selecciona el usuario que hará la autenticación.  3. En la ventana siguiente se pide un **User Name**. Por defecto está el email: elimina la etiqueta por defecto y escribe el nombre de usuario. Si tienes el Directorio Activo sincronizado, con [AD Connect](/identidad/administracion/sincronizacion/ad-connect/) para un directorio on-premise o con una [aplicación empresarial](/identidad/administracion/sincronizacion/entra-id/) de Entra ID (antes Azure AD), puedes usar la etiqueta `samAccountName`.  4. Configura las condiciones de acceso.  ### Comprobación con el cliente de OpenVPN [Sección titulada «Comprobación con el cliente de OpenVPN»](#comprobación-con-el-cliente-de-openvpn-1) En el cliente de OpenVPN, genera un nuevo perfil y usa las credenciales del dominio para conectarte a la VPN.  Al generar el perfil, te pide autenticarte.  # Palo Alto > Proteger GlobalProtect en Palo Alto con Ironchip mediante SAML o RADIUS con NPS: perfiles de autenticación, puerta de enlace y portal GlobalProtect. Esta guía explica cómo integrar dispositivos **Palo Alto** con Ironchip mediante [SAML](/identidad/protocolos/saml/) o [RADIUS](/identidad/protocolos/radius/). Con la integración puedes centralizar la gestión de usuarios y reforzar la seguridad en el acceso. ## SAML [Sección titulada «SAML»](#saml) ### Requisitos [Sección titulada «Requisitos»](#requisitos) * Acceso a la consola de administración de Ironchip. * Un usuario con permisos para realizar la configuración en Palo Alto. * GlobalProtect configurado, con un portal y una puerta de enlace. ### Configurar el perfil SAML en Palo Alto [Sección titulada «Configurar el perfil SAML en Palo Alto»](#configurar-el-perfil-saml-en-palo-alto) 1. Inicia sesión en la consola de administración de Palo Alto Networks con privilegios suficientes. 2. Ve a **Device > Perfiles de servidor > Proveedor de identidad** y haz clic en **Importar** para definir un nuevo IdP SAML.   3. Introduce estos datos: * **Nombre de perfil**: un nombre único e identificativo. * **Metadatos de proveedor de identidad**: los encuentras al crear una aplicación de tipo SAML en Ironchip. Descárgalos y súbelos con **Examinar…**.  * **Sesgo máximo de reloj (sec)**: `60`.  4. Haz clic en **Aceptar** y abre el perfil creado. 5. Desmarca **Validate Identity Provider Certificate** y **Firmar mensaje SAML en IDP**. 6. Haz clic en **Aceptar** para guardar.  ### Obtener los metadatos para Ironchip [Sección titulada «Obtener los metadatos para Ironchip»](#obtener-los-metadatos-para-ironchip) 1. Ve a **Device > Perfil de autenticación** y haz clic en **Añadir**.  2. Modifica estos parámetros: * **Nombre**: un nombre identificativo. * **Type**: `SAML`. * **Perfil de servidor IdP**: el perfil SAML creado. * **Habilitar cierre de sesión único**: marcado. * **Username Attribute**: `uid`. * **User Group Attribute**: `eduPersonAffiliation`.  3. Haz clic en **Aceptar**. En la lista de perfiles de autenticación, haz clic en el enlace **Metadatos** del perfil que acabas de crear.  4. En la ventana **Exportar metadatos de SAML**, selecciona `management` en **Servicio**, introduce la IP de conexión de tu VPN y descarga los metadatos.  5. Sube el archivo descargado a una dirección pública de internet y copia la URL en formato raw en el campo **Metadata URL** de la aplicación de Ironchip.  ### Aplicar el perfil SAML a la puerta de enlace [Sección titulada «Aplicar el perfil SAML a la puerta de enlace»](#aplicar-el-perfil-saml-a-la-puerta-de-enlace) 1. Ve a **Network > GlobalProtect > Puertas de enlace** y abre tu puerta de enlace GlobalProtect. 2. En la pestaña **Autenticación**, dentro de **Autenticación de cliente**, haz clic en **Añadir** para actualizar la autenticación del cliente con el perfil que acabas de configurar. 3. Deja la configuración predeterminada excepto estos campos: * **Nombre**: un nombre único e identificativo. * **SO**: `Any`. * **Perfil de autenticación**: el perfil de autenticación que configuraste antes. * **Mensaje de autenticación**: instrucciones para los usuarios finales, como `Introduce tus credenciales`. 4. Haz clic en **Aceptar** para guardar.  ### Aplicar el perfil SAML al portal GlobalProtect [Sección titulada «Aplicar el perfil SAML al portal GlobalProtect»](#aplicar-el-perfil-saml-al-portal-globalprotect) Aplica al portal la misma configuración que acabas de aplicar a la puerta de enlace. 1. Ve a **Network > GlobalProtect > Portales** y abre tu portal GlobalProtect. 2. En la pestaña **Autenticación**, dentro de **Autenticación de cliente**, haz clic en **Añadir** para actualizar la autenticación del cliente con el perfil SAML. 3. Deja la configuración predeterminada excepto estos campos: * **Nombre**: un nombre único e identificativo. * **SO**: `Any`. * **Perfil de autenticación**: el perfil de autenticación que configuraste antes. * **Mensaje de autenticación**: instrucciones para los usuarios finales, como `Introduce tus credenciales`. 4. Haz clic en **Aceptar** para guardar.  ### Comprobación [Sección titulada «Comprobación»](#comprobación) Da acceso a los usuarios a la aplicación creada en la consola de Ironchip. Conéctate con el cliente GlobalProtect con uno de ellos: al iniciar sesión se te pedirá que te autentiques con Ironchip. ### Administrador con SAML (opcional) [Sección titulada «Administrador con SAML (opcional)»](#administrador-con-saml-opcional) 1. Ve a **Device > Administradores** y crea un perfil de administración o edita uno existente.  2. En **Perfil de autenticación**, selecciona el perfil SAML creado.  3. Ve a **Device > Configuración** y, en la pestaña **Gestión**, edita **Configuración de autenticación** con el icono del engranaje.  4. En **Perfil de autenticación**, selecciona el perfil SAML creado.  ## RADIUS [Sección titulada «RADIUS»](#radius) Configura Palo Alto para que autentique contra RADIUS e intégralo con un servidor NPS en un entorno de Active Directory. Si prefieres no usar NPS, puedes usar el [Ironchip RADIUS server](/identidad/integraciones/red/radius-server/): los datos de conexión (IP, secreto y puerto) son los de ese servidor. ### Requisitos [Sección titulada «Requisitos»](#requisitos-1) * Un servidor Windows con el rol de [NPS](/identidad/integraciones/red/nps/) configurado y protegido por Ironchip. * Un cliente RADIUS creado en NPS que apunte a la IP de Palo Alto, con su secreto compartido. * Acceso a la consola de administración de Ironchip. * Un usuario con permisos para realizar la configuración en Palo Alto. * Un servicio de [VPN](https://knowledgebase.paloaltonetworks.com/KCSArticleDetail?id=kA10g000000ClHdCAK) configurado y funcional. ### Crear el perfil de servidor RADIUS [Sección titulada «Crear el perfil de servidor RADIUS»](#crear-el-perfil-de-servidor-radius) 1. Inicia sesión en la consola de administración de Palo Alto Networks con privilegios suficientes. 2. Ve a **Device > Server Profiles > RADIUS** y haz clic en **Add** para definir un perfil de servidor RADIUS.  3. Escribe un **Profile Name** único e identificativo y configura: * **Timeout (sec)**: `60`. * **Authentication Protocol**: `PAP`. * **Retries**: `1`. 4. En **Servers**, haz clic en **Add** e introduce: * **Name**: un nombre único e identificativo. * **RADIUS Server**: la dirección IP del servidor NPS. * **Secret**: el secreto compartido que definiste en el cliente RADIUS de NPS. * **Port**: el puerto UDP en el que escucha NPS para RADIUS, por ejemplo `1812`. 5. Haz clic en **OK** para guardar. ### Definir el perfil de autenticación [Sección titulada «Definir el perfil de autenticación»](#definir-el-perfil-de-autenticación) 1. Ve a **Device > Authentication Profile** y haz clic en **Add**. 2. En la pestaña **Authentication**, deja los valores predeterminados excepto: * **Type**: `RADIUS`. * **Server Profile**: el perfil de servidor que definiste en el apartado anterior.  3. En la pestaña **Advanced**, dentro de **Allow List**, haz clic en **Add** y selecciona `all`.  4. Haz clic en **OK** y después en **Commit** para guardar el perfil de autenticación RADIUS. 5. Abre la CLI de Palo Alto Networks y prueba el perfil de autenticación. ### Aplicar el perfil RADIUS a la puerta de enlace [Sección titulada «Aplicar el perfil RADIUS a la puerta de enlace»](#aplicar-el-perfil-radius-a-la-puerta-de-enlace) 1. Ve a **Network > GlobalProtect > Gateways** y abre tu puerta de enlace GlobalProtect. 2. En la pestaña **Authentication**, haz clic en **Add** para actualizar la autenticación del cliente con el perfil RADIUS que acabas de configurar. 3. Deja la configuración predeterminada excepto estos campos: * **Name**: un nombre único e identificativo. * **OS**: `Any`. * **Authentication Profile**: el perfil de autenticación que configuraste antes. * **Authentication Message**: instrucciones para los usuarios finales, como `Introduce tus credenciales`. 4. Ve a **Agent > Client Settings**, abre la configuración del cliente y, en la pestaña **Authentication Override**, marca **Generate cookie for authentication override** y **Accept cookie for authentication override**.  5. Haz clic en **OK** para guardar. ### Aplicar el perfil RADIUS al portal GlobalProtect [Sección titulada «Aplicar el perfil RADIUS al portal GlobalProtect»](#aplicar-el-perfil-radius-al-portal-globalprotect) Aplica al portal la misma configuración que acabas de aplicar a la puerta de enlace. 1. Ve a **Network > GlobalProtect > Portals** y abre tu portal GlobalProtect. 2. En la pestaña **Authentication**, haz clic en **Add** para actualizar la autenticación del cliente con el perfil RADIUS que acabas de configurar. 3. Deja la configuración predeterminada excepto estos campos: * **Name**: un nombre único e identificativo. * **OS**: `Any`. * **Authentication Profile**: el perfil de autenticación que configuraste antes. * **Authentication Message**: instrucciones para los usuarios finales, como `Introduce tus credenciales`. 4. Ve a **Agent**, abre la configuración del agente y, en la pestaña **Authentication**, dentro de **Authentication Override**, marca **Generate cookie for authentication override** y **Accept cookie for authentication override**.  5. Haz clic en **OK** para guardar. ### Confirmar la configuración [Sección titulada «Confirmar la configuración»](#confirmar-la-configuración) Haz clic en **Commit** para guardar la configuración RADIUS en la consola de administración de Palo Alto Networks. Por defecto, las conexiones RADIUS salen por la interfaz de administración. Para cambiarlo, consulta la [base de conocimiento de Palo Alto Networks](https://knowledgebase.paloaltonetworks.com/KCSArticleDetail?id=kA10g000000ClGJCA0). ### Comprobación [Sección titulada «Comprobación»](#comprobación-1) Da acceso a los usuarios a la aplicación creada en la consola de Ironchip. Conéctate con el cliente GlobalProtect con uno de ellos: después de introducir usuario y contraseña, se te pedirá que te autentiques con Ironchip. ### Problemas frecuentes [Sección titulada «Problemas frecuentes»](#problemas-frecuentes) * **La autenticación falla por tiempo de espera**: comprueba que el tiempo de espera del perfil de servidor RADIUS es `60` segundos y los reintentos `1`, para dejar tiempo a que el usuario responda a Ironchip. * **El servidor RADIUS rechaza la conexión**: comprueba que la IP de Palo Alto está configurada como cliente RADIUS en NPS y que el secreto compartido es el mismo en los dos lados. # Pulse Secure > Proteger el acceso VPN de Pulse Secure con Ironchip por RADIUS: crear el servidor de autenticación, el dominio de usuario y la política de inicio de sesión. Esta guía explica cómo configurar **Pulse Secure** (ahora Ivanti Connect Secure) para autenticar a los usuarios contra Ironchip mediante [RADIUS](/identidad/protocolos/radius/). ## Requisitos [Sección titulada «Requisitos»](#requisitos) * Un servidor RADIUS: un servidor [NPS](/identidad/integraciones/red/nps/) protegido por Ironchip o el [Ironchip RADIUS server](/identidad/integraciones/red/radius-server/). * La IP, el puerto y el secreto compartido de ese servidor RADIUS. * Acceso de administrador a Pulse Secure. ## Configuración en Pulse Secure [Sección titulada «Configuración en Pulse Secure»](#configuración-en-pulse-secure) ### Crear el servidor de autenticación [Sección titulada «Crear el servidor de autenticación»](#crear-el-servidor-de-autenticación) 1. Inicia sesión como administrador en Pulse Secure. 2. Ve a **Authentication > Authentication Servers > New**. Crea un servidor para realizar la autenticación e introduce los valores del servidor RADIUS. 3. Si lo necesitas, crea un servidor de respaldo. Ignora la sección de contabilidad RADIUS. 4. En la sección **Custom RADIUS Rules**, haz clic en **New RADIUS Rule** e introduce los datos de la regla en la ventana que aparece. 5. Haz clic en **Save Changes** e ignora las advertencias que aparezcan. 6. Haz clic de nuevo en **Save Changes** para guardar el servidor de autenticación. ### Crear el dominio de usuario [Sección titulada «Crear el dominio de usuario»](#crear-el-dominio-de-usuario) 1. Ve a **Users > User Realms > New**. 2. Define un nuevo dominio de autenticación (realm) e introduce los valores. 3. Haz clic en **Save Changes**. Opcionalmente, puedes configurar la asignación de roles (**Role Mapping**) a partir de los atributos del usuario. También puedes apoyarte en la configuración avanzada de RADIUS para roles dinámicos. ### Configurar las políticas de acceso [Sección titulada «Configurar las políticas de acceso»](#configurar-las-políticas-de-acceso) 1. Ve a **Authentication > Signing In > Sign-in Policies**. 2. Identifica la política y haz clic en su URL para confirmar o editar los dominios (realms) seleccionados. 3. Abre la sección **Authentication realm** de la página de detalles de la política. ## Comprobación [Sección titulada «Comprobación»](#comprobación) Da acceso a los usuarios a la aplicación de Ironchip que usa tu servidor RADIUS (la de NPS o la de tipo API key del Ironchip RADIUS server) en la consola de administración de Ironchip. Inicia sesión en la VPN con uno de ellos: después de introducir usuario y contraseña, se te pedirá que te autentiques con Ironchip. ## Problemas frecuentes [Sección titulada «Problemas frecuentes»](#problemas-frecuentes) * **El servidor RADIUS rechaza la conexión**: comprueba que el secreto compartido es el mismo en Pulse Secure y en tu servidor RADIUS (`radius_key` en el Ironchip RADIUS server) y, si usas NPS, que la IP de Pulse Secure está configurada como cliente RADIUS. # Ironchip RADIUS server > Instalar el Ironchip RADIUS server para proteger servicios compatibles con RADIUS con una API key, sin NPS ni contraseñas: aplicación, instalación y ejemplo. El **Ironchip RADIUS server** es un servidor RADIUS propio de Ironchip que permite integrar servicios compatibles con [RADIUS](/identidad/protocolos/radius/) mediante una API key, sin necesidad de usar [NPS](/identidad/integraciones/red/nps/). Esta guía es para quien administra el servicio y lo instala en Windows o Linux. Funciona sin contraseñas: el usuario aprueba el acceso en su dispositivo. **Ironchip RADIUS Server**última versión v1.2.0, publicada el 15 de noviembre de 2024 * [ironchip_lbauth_radius_server](https://github.com/ironchip-security/Ironchip-Radius-Server/releases/download/v1.2.0/ironchip_lbauth_radius_server) 11.5 MB * [ironchip_lbauth_radius_server.exe](https://github.com/ironchip-security/Ironchip-Radius-Server/releases/download/v1.2.0/ironchip_lbauth_radius_server.exe) 11.8 MB [Todas las versiones y notas de cada una](https://github.com/ironchip-security/Ironchip-Radius-Server/releases) ## Requisitos [Sección titulada «Requisitos»](#requisitos) * Acceso a la consola de administración de Ironchip. * Un servidor Windows (64 bits) o Linux (64 bits) donde ejecutar el servidor RADIUS. * Que el equipo o servicio que quieres proteger (VPN, cortafuegos, wifi) pueda enviar peticiones RADIUS al puerto UDP `1812` de ese servidor. * Los usuarios dados de alta en Ironchip, o la [sincronización de identidades](/identidad/administracion/sincronizacion/) configurada. ## Configuración en Ironchip [Sección titulada «Configuración en Ironchip»](#configuración-en-ironchip) Crea una aplicación **Passwordless RADIUS**. La consola te da una API key que el servidor RADIUS usa para hablar con Ironchip. 1. Ve a **Applications** y haz clic en **New application**. 2. En la sección **Standard authentication protocols**, elige **Passwordless RADIUS**. 3. Ponle un nombre identificativo (mínimo 3 caracteres) y haz clic en **Add**. 4. Copia la API key o haz clic en **Download credentials** para descargarla en el fichero `credentials.json`. Precaución La consola no vuelve a mostrar la API key. Descárgala o guárdala ahora. ## Configuración del Ironchip RADIUS server [Sección titulada «Configuración del Ironchip RADIUS server»](#configuración-del-ironchip-radius-server) 1. Descarga el ejecutable de la [última versión](https://github.com/Ironchip-Security/Ironchip-Radius-Server/releases/latest): `ironchip_lbauth_radius_server.exe` para Windows o `ironchip_lbauth_radius_server` para Linux. 2. Cópialo a una carpeta definitiva del servidor. El servicio se ejecuta desde esa ubicación, así que no la muevas después. 3. Crea junto al ejecutable un fichero de configuración con el mismo nombre que el ejecutable y extensión `.json`: `ironchip_lbauth_radius_server.json`. Si renombras el ejecutable, renombra también el fichero. 4. Pega este contenido y sustituye los valores entre `<>`: ironchip_lbauth_radius_server.json ```json { "radius_address": "0.0.0.0:1812", "radius_key": "", "ironchip_api_host": "https://api.ironchip.com", "ironchip_api_secret": "", "log_level": "info" } ``` 5. Abre una terminal con permisos de administrador (PowerShell en Windows, o `sudo` en Linux) y ve a la carpeta del ejecutable. 6. Instala el servicio: Windows ```powershell .\ironchip_lbauth_radius_server.exe service install ``` Linux ```bash chmod +x ironchip_lbauth_radius_server sudo ./ironchip_lbauth_radius_server service install ``` 7. Inicia el servicio: Windows ```powershell .\ironchip_lbauth_radius_server.exe service start ``` Linux ```bash sudo ./ironchip_lbauth_radius_server service start ``` 8. Configura el servicio que quieres proteger para que use este servidor como servidor RADIUS: la dirección del equipo donde corre, el puerto `1812` y el mismo secreto compartido que pusiste en `radius_key`. ### Campos del fichero de configuración [Sección titulada «Campos del fichero de configuración»](#campos-del-fichero-de-configuración) | Campo | Obligatorio | Valor por defecto | Descripción | | ---------------------------- | ----------- | -------------------------- | ------------------------------------------------------------------------------------------------------------------------------------- | | `radius_address` | No | `0.0.0.0:1812` | Dirección y puerto UDP en los que escucha el servidor. | | `radius_key` | Sí | | Secreto compartido con el equipo que envía las peticiones RADIUS. Lo eliges tú, pero debe ser el mismo en el fichero y en ese equipo. | | `ironchip_api_host` | No | `https://api.ironchip.com` | URL de la API de Ironchip. | | `ironchip_api_secret` | Sí | | La API key de la aplicación **Passwordless RADIUS**. | | `log_level` | No | `info` | Nivel de registro: `debug`, `info`, `warning`, `error` o `fatal`. | | `attributes` | No | | Atributos RADIUS estándar que se añaden a la respuesta de acceso aceptado. Mira [Atributos de respuesta](#atributos-de-respuesta). | | `vendor-specific_attributes` | No | | Atributos específicos de fabricante que se añaden a la respuesta. Mira [Atributos de respuesta](#atributos-de-respuesta). | El ejecutable lee este fichero con cualquier comando, también con `service install`, así que créalo antes de instalar el servicio. Si no lo encuentra, falta un campo obligatorio o `log_level` no es válido, termina con un error. ### Atributos de respuesta [Sección titulada «Atributos de respuesta»](#atributos-de-respuesta) Algunos equipos necesitan atributos en la respuesta RADIUS, por ejemplo para asignar a cada usuario un grupo de la VPN. Defínelos en `attributes` (atributos estándar del [RFC 2865](https://datatracker.ietf.org/doc/html/rfc2865#section-5)) y en `vendor-specific_attributes` (atributos de fabricante, que el servidor envía dentro del atributo 26). Cada atributo tiene tres campos: * `number`: el número del atributo. En `vendor-specific_attributes` es el número de fabricante (Vendor-Id). * `type`: el tipo del dato: `string`, `short`, `integer` o `integer64`. * `data`: un valor fijo o una plantilla con datos del usuario que acaba de autenticarse. Puedes repetir el mismo `number` en varios atributos. La plantilla tiene que ser todo el valor de `data`, como en el ejemplo de abajo: si la mezclas con otro texto, el atributo no se envía. Estas son las plantillas disponibles: | Plantilla | Dato | | -------------------------- | -------------------------------------------------------- | | `{{.subject}}` | Identificador del usuario. | | `{{.name}}` | Nombre del usuario. | | `{{.email}}` | Correo electrónico del usuario. | | `{{.timestamp}}` | Marca de tiempo de la autorización. | | `{{.external_username}}` | Nombre de usuario en el servicio externo. | | `{{.external_service_id}}` | Identificador del servicio externo. | | `{{.customer_name}}` | Nombre de la compañía. | | `{{.group_names}}` | Grupos del usuario. Se envía un atributo por cada grupo. | | `{{.location_name}}` | Nombre de la ubicación desde la que accede. | | `{{.location_score}}` | Puntuación de la ubicación. | ironchip_lbauth_radius_server.json ```json { "radius_address": "0.0.0.0:1812", "radius_key": "", "ironchip_api_host": "https://api.ironchip.com", "ironchip_api_secret": "", "log_level": "info", "attributes": [{ "number": 11, "type": "string", "data": "{{.group_names}}" }], "vendor-specific_attributes": [{ "number": 43, "type": "string", "data": "1304" }] } ``` En este ejemplo, el atributo `Filter-Id` (11) lleva el nombre de cada grupo del usuario. Usa el tipo `string` salvo que el equipo exija otro. ## Comprobación [Sección titulada «Comprobación»](#comprobación) 1. Comprueba que el servicio está en marcha: Windows ```powershell .\ironchip_lbauth_radius_server.exe service status ``` Linux ```bash sudo ./ironchip_lbauth_radius_server service status ``` La salida incluye `status: running`. 2. Inicia sesión desde el servicio protegido con un usuario de Ironchip. El usuario recibe la petición de aprobación en su dispositivo y, al aprobarla, el servidor responde con acceso aceptado. Si Ironchip no autoriza al usuario, responde con acceso rechazado. El servidor usa solo el nombre de usuario de la petición; la contraseña se ignora. Aun así, algunos equipos exigen rellenarla, como se ve en el ejemplo siguiente. ## Comandos del servicio [Sección titulada «Comandos del servicio»](#comandos-del-servicio) El ejecutable se maneja con `service` (alias `s`). `service status` también tiene el alias `s`, así que `s s` equivale a `service status`. | Comando | Qué hace | | ------------------- | ------------------------------------------------------------------------------------------------------------------------------ | | `service install` | Instala el servicio `IronchipRADIUS` (nombre visible: Ironchip RADIUS server). | | `service start` | Inicia el servicio. | | `service stop` | Detiene el servicio. | | `service restart` | Reinicia el servicio. Hazlo tras cambiar el fichero de configuración. | | `service status` | Muestra si el servicio está en marcha (`running`) o detenido (`stopped`). | | `service uninstall` | Desinstala el servicio. | | `service run` | Ejecuta el servidor en la terminal, fuera del gestor de servicios. Falla si el servicio no está instalado o ya está en marcha. | ## Registros [Sección titulada «Registros»](#registros) En Windows, el servidor escribe en el Visor de eventos, en el registro **Application**, con el origen `Ironchip RADIUS Server`. En Linux escribe en la salida del proceso, que recoge el gestor de servicios del sistema (con systemd, consúltala con `journalctl -u IronchipRADIUS`). Sube `log_level` a `debug` para ver el detalle de cada autorización, y vuelve a `info` cuando termines. ## Problemas frecuentes [Sección titulada «Problemas frecuentes»](#problemas-frecuentes) * **El servicio no arranca**: comprueba que existe el fichero `.json` con el mismo nombre que el ejecutable, en la misma carpeta, y que `radius_key` e `ironchip_api_secret` tienen valor. * **El equipo no recibe respuesta**: abre el puerto UDP `1812` (o el de `radius_address`) en el cortafuegos del servidor y comprueba que el equipo apunta a la IP correcta. * **Acceso rechazado para un usuario que existe**: comprueba que `ironchip_api_secret` es la API key de la aplicación **Passwordless RADIUS** y que el nombre de usuario de la petición es el que Ironchip conoce. El servidor anota el error de autorización en el registro. * **El secreto compartido no coincide**: el equipo descarta las respuestas. Usa exactamente el mismo valor en `radius_key` y en el equipo. * **Faltan atributos en la respuesta**: comprueba que cada `data` es un valor fijo o una sola plantilla y que el dato es del tipo indicado en `type`. Si un atributo falla, el servidor acepta el acceso igualmente, pero no envía ese atributo ni los siguientes, y anota el error en el registro. ## Ejemplo de autenticación [Sección titulada «Ejemplo de autenticación»](#ejemplo-de-autenticación) El vídeo muestra el acceso a una VPN de [WatchGuard](/identidad/integraciones/red/watchguard/) con el Ironchip RADIUS server en funcionamiento. En el vídeo se escribe una contraseña porque WatchGuard no permite campos vacíos. El texto de ese campo puede ser aleatorio, como en los dos ejemplos del vídeo. [ Acceso a una VPN de WatchGuard con el Ironchip RADIUS serverReproducir el vídeo](https://play.hubspotvideo.com/v/7745202/id/147408409421) # SonicWall > Proteger el acceso a SonicWall con Ironchip por RADIUS con NPS o por SAML: servidores de autenticación, control de acceso y metadatos de la aplicación. Esta guía explica cómo proteger **SonicWall** con Ironchip por [RADIUS](/identidad/protocolos/radius/) a través de [NPS](/identidad/integraciones/red/nps/) o por [SAML](/identidad/protocolos/saml/). ## RADIUS con NPS [Sección titulada «RADIUS con NPS»](#radius-con-nps) ### Requisitos [Sección titulada «Requisitos»](#requisitos) * Un Directorio Activo funcional. * NPS protegido por Ironchip. Consulta [Microsoft NPS](/identidad/integraciones/red/nps/). * Una [aplicación](/identidad/administracion/aplicaciones/) MFA creada en la consola de administración de Ironchip. * La app de Ironchip descargada. ### Configuración en SonicWall [Sección titulada «Configuración en SonicWall»](#configuración-en-sonicwall) 1. En el menú de la izquierda, dentro de **System Configuration**, entra en **Authentication Servers**.  2. Haz clic en **New** para crear una configuración.  3. Selecciona el tipo **RADIUS (Username/Password)**.  4. Introduce los datos de tu servidor RADIUS: * **Name**: un nombre descriptivo para la configuración. * **Primary RADIUS server**: la IP de tu servidor RADIUS. Con **Test** puedes comprobar que SonicWall llega al servidor. * **Shared secret**: el secreto compartido de RADIUS. * **Match RADIUS groups by**: el atributo Filter-ID (11), que en el desplegable aparece como `filterid attribute`. * **Timeout**: `60` segundos.  5. Guarda los cambios, ve a **Security Administration** y crea una entrada nueva en **Access Control**.  6. Rellena los campos como en la imagen. La descripción puede ser personalizada: * **Position**: `1`, con **Enabled** marcado. * **Description**: el texto que prefieras. * **Action**: `Permit`. * **Direction**: `User`. * **From**: `Any user`. * **To**: `Any resource`. 7. Guarda los cambios.  8. Por último, en NPS (**Servidor de directivas de redes**), crea un cliente RADIUS que apunte a la IP de SonicWall.  ### Comprobación [Sección titulada «Comprobación»](#comprobación) Al iniciar sesión en SonicWall Workplace, selecciona en **Log in to** el servidor de autenticación que has creado, introduce tus credenciales de usuario y acepta la notificación de Ironchip en tu teléfono para entrar.   ## SAML [Sección titulada «SAML»](#saml) ### Requisitos [Sección titulada «Requisitos»](#requisitos-1) * Acceso a la consola de administración de Ironchip. * La app de Ironchip descargada. ### Configuración en SonicWall [Sección titulada «Configuración en SonicWall»](#configuración-en-sonicwall-1) 1. En el menú de la izquierda, dentro de **System Configuration**, entra en **Authentication Servers**.  2. Haz clic en **New** para crear una configuración.  3. Selecciona **SAML 2.0**.  ### Intercambiar los metadatos con Ironchip [Sección titulada «Intercambiar los metadatos con Ironchip»](#intercambiar-los-metadatos-con-ironchip) 1. Antes de continuar, ve a la consola de administración de Ironchip, crea una aplicación de tipo SAML y descarga el archivo de metadatos.  2. Vuelve a SonicWall y sube el archivo en la nueva configuración.  3. Una vez importado, exporta el archivo que ha generado SonicWall.  4. Copia el contenido de ese archivo, súbelo a una dirección pública y pega la URL en el campo **Metadata URL** de la aplicación SAML creada.  5. Da acceso a los usuarios en esta aplicación, con el mismo nombre de usuario que en SonicWall. ### Comprobación [Sección titulada «Comprobación»](#comprobación-1) Al iniciar sesión en SonicWall Workplace, selecciona en **Log in to** el servidor de autenticación SAML que has creado.  Se abre una pestaña nueva de Ironchip en la que tienes que introducir tu nombre de usuario. Recibirás una notificación en la app.  # Sophos Firewall > Proteger Sophos Firewall con Ironchip por RADIUS con NPS o con códigos OTP: servidor RADIUS, atributo Filter-Id, portal de usuario, VPN SSL y OTP. Esta guía explica cómo proteger **Sophos Firewall** con Ironchip por [RADIUS](/identidad/protocolos/radius/) a través de [NPS](/identidad/integraciones/red/nps/) o con códigos [OTP](/identidad/protocolos/otp/). ## RADIUS con NPS [Sección titulada «RADIUS con NPS»](#radius-con-nps) Implementa el servicio RADIUS en Sophos e intégralo con un servidor NPS en un entorno de Active Directory. ### Requisitos [Sección titulada «Requisitos»](#requisitos) * Acceso a la consola de administración de Ironchip. * Un servidor Windows con el rol de [NPS](/identidad/integraciones/red/nps/) configurado y protegido por Ironchip. * Una cuenta con permisos para realizar la configuración en Sophos. ### Configuración en Sophos [Sección titulada «Configuración en Sophos»](#configuración-en-sophos) 1. Ve al apartado **Autenticación**. 2. En la sección **Servers**, haz clic en **ADD** para añadir el servicio RADIUS. 3. En **Server Type**, selecciona `RADIUS Server` y completa los campos: 1. Nombre del servidor NPS. 2. IP del servidor NPS. 3. Puerto de autenticación. Viene con `1812` por defecto; en este ejemplo se cambia a `1645`. Usa el puerto en el que escuche tu servidor NPS. 4. Tiempo de espera para la autenticación. Te recomendamos `60` segundos, como en el resto de integraciones RADIUS, para que dé tiempo a aceptar la notificación de Ironchip. 5. Secreto compartido. 6. **Group name attribute**: para probar la conexión, déjalo de momento en `group`. 4. Comprueba la conexión con el servidor con las credenciales de un usuario que tenga acceso a la aplicación de NPS en la consola de administración de Ironchip. ### Crear el grupo de usuarios en Sophos [Sección titulada «Crear el grupo de usuarios en Sophos»](#crear-el-grupo-de-usuarios-en-sophos) Si usas ahora la autenticación RADIUS en un servicio de Sophos, falla, porque los usuarios no están en la base de datos local de Sophos. Para solucionarlo, crea un grupo en Sophos donde se almacenarán los usuarios con permisos de autenticación. 1. Ve a la sección **Grupos** y haz clic en **Add**. Si ya tienes un grupo creado, no hace falta. 2. Rellena los campos obligatorios. ### Añadir un atributo a la política de red [Sección titulada «Añadir un atributo a la política de red»](#añadir-un-atributo-a-la-política-de-red) Indica al servidor NPS, mediante un atributo, qué grupo gestiona los usuarios de autenticación. 1. En NPS, abre la [directiva de red](/identidad/integraciones/red/nps/) generada anteriormente haciendo doble clic sobre ella. 2. Ve al apartado **Configuración**. 3. En **Atributos RADIUS**, elige **Estándar**, haz clic en **Agregar**, selecciona el atributo `Filter-Id` y haz clic en **Agregar**. 4. En la ventana siguiente, indica el valor del atributo: formato **Cadena** y, debajo, el grupo que creaste en Sophos. 5. En Sophos, ve a **Autenticación**, en la sección **Servers** edita la configuración hecha antes y en **Group name attribute** indica `Filter-Id`. ### Comprobación [Sección titulada «Comprobación»](#comprobación) En la sección **Services** están todos los servicios de Sophos en los que puedes usar RADIUS. En este ejemplo se prueba con el portal de usuario de Sophos. 1. Ve a **User portal authentication methods**, activa la casilla **RADIUS** y muévelo por encima de **Local** para que tenga prioridad. Haz clic en **Aplicar**. 2. En **Administración > Admin and Users settings** está el apartado con los puertos de los distintos portales de Sophos. En este ejemplo el portal de usuario está en el `4443`. 3. Entra en el portal de usuario e inicia sesión con un usuario que esté en el dominio y configurado en la consola de administración de Ironchip. En el ejemplo se usa un usuario de prueba. 4. Al conectar con un usuario que no existe en la base de datos local de Sophos, Sophos lo crea y lo añade al grupo indicado en la directiva de red. 5. Al introducir las credenciales, recibes una notificación del autenticador de Ironchip para aceptarla. ### Usar RADIUS en la VPN SSL [Sección titulada «Usar RADIUS en la VPN SSL»](#usar-radius-en-la-vpn-ssl) Para el servicio de VPN, el proceso es similar: 1. Ve a **Autenticación**, abre el apartado **VPN SSL**, activa la casilla **RADIUS** y colócalo por encima de **Local** para que tenga prioridad. 2. Descarga el archivo de configuración desde el portal de usuarios y añádelo al cliente VPN. ### Problemas frecuentes [Sección titulada «Problemas frecuentes»](#problemas-frecuentes) * **La prueba de conexión o el inicio de sesión fallan por tiempo de espera**: sube el tiempo de espera del servidor RADIUS a `60` segundos. El usuario tiene que aceptar la notificación de Ironchip antes de que se agote. * **El servidor NPS rechaza la petición**: comprueba que el secreto compartido y el puerto son los mismos en Sophos y en NPS, y que Sophos está configurado como cliente RADIUS en NPS. ## OTP [Sección titulada «OTP»](#otp) Configura los códigos OTP en Sophos y añádelos al autenticador de Ironchip. ### Requisitos [Sección titulada «Requisitos»](#requisitos-1) * La app de Ironchip instalada y configurada en tu dispositivo. * Sophos desplegado e instalado correctamente. ### Configuración en Sophos [Sección titulada «Configuración en Sophos»](#configuración-en-sophos-1) 1. En el panel de administración de Sophos, entra en **Autenticación**.  2. Ve a **Autenticación multifactor** y activa y configura el OTP en esta pestaña.  1. Selecciona si el OTP no se utiliza, se utiliza o se utiliza para grupos y usuarios concretos. 2. Activa esta opción para que los usuarios tengan que configurar el OTP en el siguiente inicio de sesión. 3. Selecciona qué servicios utilizan OTP. 3. Para usar OTP con la cuenta de administrador, ve a **Administración** y entra en **Acceso de dispositivo**.  4. Baja hasta la sección **MFA** y activa **MFA para el administrador predeterminado**.  5. Al hacer clic en **Aplicar**, aparece una ventana en la que debes seleccionar **Generar un token de software**.  6. Aparece un código QR. Escanéalo con la app de Ironchip desde la sección **OTP** y escribe la contraseña del administrador y el código OTP en la misma línea: ```text <000000> ```  A partir de ahora, cada vez que un usuario con OTP habilitado entre en alguno de los servicios configurados con OTP, tendrá que escribir la contraseña y el código OTP en la misma línea: `<000000>`. ### Problemas frecuentes [Sección titulada «Problemas frecuentes»](#problemas-frecuentes-1) #### Credenciales correctas pero acceso denegado [Sección titulada «Credenciales correctas pero acceso denegado»](#credenciales-correctas-pero-acceso-denegado) Si el usuario y la contraseña con el OTP son correctos pero no permite la entrada: 1. En el panel de administración de Sophos, entra en **Autenticación**.  2. Ve a **Autenticación multifactor**. Al final de la página hay una lista de usuarios con OTP habilitado.  3. Haz clic en el icono de sincronización del usuario afectado.  4. Introduce el código OTP de esa cuenta de usuario y ejecuta la sincronización.  # Stormshield > Proteger la VPN SSL de Stormshield con Ironchip por RADIUS y NPS: crear el objeto de red, habilitar el portal cautivo y ajustar el tiempo de espera. Esta guía explica cómo proteger la VPN SSL de **Stormshield** con Ironchip por [RADIUS](/identidad/protocolos/radius/) a través de [NPS](/identidad/integraciones/red/nps/). ## Requisitos [Sección titulada «Requisitos»](#requisitos) * Acceso a la consola de administración de Ironchip. * Un servidor Windows con el rol de [NPS](/identidad/integraciones/red/nps/) instalado. * Un cliente RADIUS creado en NPS que apunte a la IP de Stormshield, con su secreto compartido. * Un usuario con los permisos necesarios para realizar la configuración en Stormshield. ## Configuración en Stormshield [Sección titulada «Configuración en Stormshield»](#configuración-en-stormshield) ### Configuración del servidor [Sección titulada «Configuración del servidor»](#configuración-del-servidor) Inicia sesión como administrador. 1. Ve a **Objects > Network Objects**, haz clic en **+Add** y crea un objeto llamado `Ironchip`. 2. Ve a **VPN > SSL VPN**.  3. En la ventana **General**, marca **Enable SSL VPN**. En la misma ventana, configura los servidores de aplicaciones, los servidores web y los perfiles de usuario según tus necesidades.  4. Ve a **Users > Authentication**. En la pestaña **General**, habilita el **Captive Portal**. 5. En la pestaña **Available Methods**, haz clic en **Add an authentication method** y selecciona **Radius**.  6. En **Access to the server**, rellena la configuración de RADIUS y haz clic en **Apply**: * **Server**: el objeto de red que corresponde al servidor NPS. * **Port**: el puerto RADIUS en el que escucha NPS. * **Pre-shared Key**: el secreto compartido del cliente RADIUS configurado en NPS para Stormshield. Si tienes un segundo servidor NPS, configúralo en **Backup server**.  ### Tiempo de espera de RADIUS [Sección titulada «Tiempo de espera de RADIUS»](#tiempo-de-espera-de-radius) Para configurar el tiempo de espera de RADIUS, ejecuta estos comandos: ```text CONFIG AUTH RADIUS timeout=30000 retry=1 btimeout=30000 bretry=1 CONFIG AUTH ACTIVATE ``` ## Comprobación [Sección titulada «Comprobación»](#comprobación) Da acceso a los usuarios a la aplicación creada en la consola de administración de Ironchip. Inicia sesión en la VPN SSL con uno de ellos: después de introducir usuario y contraseña, se te pedirá que te autentiques con Ironchip. ## Problemas frecuentes [Sección titulada «Problemas frecuentes»](#problemas-frecuentes) * **La autenticación falla por tiempo de espera**: comprueba que has ejecutado los comandos de [tiempo de espera de RADIUS](#tiempo-de-espera-de-radius) (`timeout=30000` y `retry=1` para el servidor principal y el de respaldo), para dejar tiempo a que el usuario responda a Ironchip. * **El servidor RADIUS rechaza la conexión**: comprueba que la IP de Stormshield está configurada como cliente RADIUS en NPS y que el secreto compartido es el mismo en **Pre-shared Key** y en NPS. # WatchGuard > Proteger la VPN SSL de WatchGuard con Ironchip por RADIUS y NPS: cliente RADIUS, servidor de autenticación, usuarios y grupos, y acceso en Ironchip. Esta guía explica cómo proteger la VPN SSL de **WatchGuard** con Ironchip por [RADIUS](/identidad/protocolos/radius/) a través de [NPS](/identidad/integraciones/red/nps/). ## Requisitos [Sección titulada «Requisitos»](#requisitos) * Un Directorio Activo funcional. * Una VPN de WatchGuard configurada y en funcionamiento. * NPS protegido por Ironchip. Consulta [Microsoft NPS](/identidad/integraciones/red/nps/). * Una aplicación MFA creada en la consola de administración de Ironchip. * La app de Ironchip descargada. ## Configuración en NPS [Sección titulada «Configuración en NPS»](#configuración-en-nps) Crea un cliente RADIUS que apunte a la dirección IP por la que te conectas a la VPN de WatchGuard. 1. En el NPS (Network Policy Server) de tu Active Directory, crea un cliente RADIUS nuevo.  2. Ponle un nombre identificativo, indica la IP por la que te conectas a la VPN y un secreto compartido que debes apuntar o recordar.  ## Configuración en WatchGuard [Sección titulada «Configuración en WatchGuard»](#configuración-en-watchguard) ### Servidor RADIUS [Sección titulada «Servidor RADIUS»](#servidor-radius) Indica a WatchGuard los datos necesarios para conectarse a RADIUS. 1. Ve a **Authentication > Servers** y selecciona **RADIUS**.  2. Haz clic en **ADD**.  3. Rellena los campos: 1. **Domain Name**: el nombre de tu dominio de Active Directory donde está RADIUS. 2. **IP Address**: la IP pública de tu dominio de Active Directory donde está RADIUS. 3. **Port**: el puerto de RADIUS (`1812` o `1645`). 4. **Shared Secret** y **Confirm Secret**: el secreto compartido de RADIUS que pusiste antes. 5. **Timeout** en `60` segundos y **Retries** en `1`, para que el usuario tenga tiempo de autorizar la conexión. 6. **Dead Time**, opcional: puedes modificarlo a tu gusto. `0` significa desactivado. 4. Guarda los cambios.  ### Usuarios y grupos [Sección titulada «Usuarios y grupos»](#usuarios-y-grupos) Crea usuarios que hagan referencia a los usuarios de tu AD. 1. Ve a **Users and Groups** y haz clic en **ADD**.  2. Selecciona si quieres crear un grupo o un usuario. 3. El nombre debe ser exactamente el mismo que el del usuario de tu Active Directory. 4. En **Authentication Server**, selecciona el servidor RADIUS que acabas de crear. 5. Haz clic en **OK** y guarda los cambios.  ### SSL VPN [Sección titulada «SSL VPN»](#ssl-vpn) Cambia el método de autenticación de la VPN. 1. Ve a **VPN** y, dentro de **Mobile VPN**, entra en **SSL**. Si no tienes configurado este método de conexión VPN, configúralo antes de continuar.  2. En **Authentication Server**, añade el servidor RADIUS creado y colócalo como **Default**. 3. Marca las casillas de los usuarios y grupos que quieres usar. 4. Guarda los cambios.  ## Configuración en Ironchip [Sección titulada «Configuración en Ironchip»](#configuración-en-ironchip) Añade los usuarios a la aplicación NPS creada en la consola de Ironchip. Los nombres de usuario deben ser los mismos que los de WatchGuard.  ## Comprobación [Sección titulada «Comprobación»](#comprobación) Inicia sesión en la VPN SSL de WatchGuard con un usuario añadido a la aplicación: después de introducir usuario y contraseña, se te pedirá que te autentiques con Ironchip. [ Acceso a la VPN de WatchGuard con IronchipReproducir el vídeo](https://play.hubspotvideo.com/v/7745202/id/134922034954) # ADFS > Añadir Ironchip MFA a Active Directory Federation Services: instalar el plugin de ADFS con una API key y proteger las aplicaciones de confianza. Ironchip se integra con ADFS (Active Directory Federation Services) mediante un plugin de autenticación multifactor. Esta guía recorre desde la preparación del servidor hasta la prueba de acceso con Claims X-Ray. **Plugin de Ironchip para ADFS**última versión v1.2.2.2, publicada el 15 de noviembre de 2024 * [Ironchip_ADFS_Plugin.msi](https://github.com/ironchip-security/Ironchip-ADFS-Plugin/releases/download/v1.2.2.2/Ironchip_ADFS_Plugin.msi) 11.6 MB [Todas las versiones y notas de cada una](https://github.com/ironchip-security/Ironchip-ADFS-Plugin/releases) ## Requisitos [Sección titulada «Requisitos»](#requisitos) * Un servidor Windows con los roles de dominio y federación de Active Directory. * Acceso a la consola de administración de Ironchip. * Un usuario con permisos para configurar el servidor. ## Configuración en Ironchip [Sección titulada «Configuración en Ironchip»](#configuración-en-ironchip) Crea una aplicación de tipo API Key. Su clave la necesitarás al instalar el plugin. 1. En la consola de Ironchip, ve a **Applications** y crea una aplicación nueva.  2. En **Application integration type**, elige **API KEY** y escribe el nombre que quieras.  3. Copia la API key que se muestra y guárdala para el paso de instalación del plugin. Guarda la API key No podrás recuperar la API key cuando cierres la pestaña. Cópiala y guárdala antes de cerrarla. ## Configuración en ADFS [Sección titulada «Configuración en ADFS»](#configuración-en-adfs) ### Activar Active Directory [Sección titulada «Activar Active Directory»](#activar-active-directory) 1. En el **Administrador del servidor**, abre **Agregar roles y características**. 2. Añade los roles **Servicios de dominio de Active Directory** y **Servicios de federación de Active Directory**. 3. Haz clic en **Siguiente** hasta el final del asistente y espera a que termine la instalación. Al volver al Administrador del servidor, los dos roles aparecen en el menú de la izquierda y hay una alerta en el menú superior. 4. Haz clic en la alerta **Promocionar este servidor a un controlador de dominio**. 5. Selecciona **Agregar un nuevo bosque** y escribe el nombre de dominio que quieras. 6. Sigue los pasos hasta el final y haz clic en **Instalar**. Al terminar recibirás una alerta de DNS que resolverás en el apartado siguiente.  ### Configurar el DNS [Sección titulada «Configurar el DNS»](#configurar-el-dns) 1. Desde las herramientas administrativas, abre el programa de configuración de DNS. 2. Haz clic derecho en el nombre de tu servidor y abre **Propiedades**.  3. Ve a la pestaña **Reenviadores** y añade los servidores DNS externos que necesites, como `4.2.2.1`, `4.2.2.2`, `8.8.8.8` y `8.8.4.4`.  Después de esto, la máquina se reinicia automáticamente. ### Crear el certificado SSL [Sección titulada «Crear el certificado SSL»](#crear-el-certificado-ssl) 1. Crea un certificado autofirmado con este comando de PowerShell: ```powershell New-SelfSignedCertificate -DnsName server.ironchip.local ``` 2. Se abre el programa **certlm.msc**. El certificado creado está en la carpeta **Personal**. 3. Haz clic derecho en el certificado y selecciona **Abrir**. En la pestaña **Detalles**, haz clic en **Copiar a archivo**. 4. En el asistente de exportación, selecciona **Sí, exportar la clave privada**. Deja el resto de opciones por defecto y guarda el fichero, por ejemplo en el escritorio. 5. Ejecuta el fichero exportado para importarlo. En la ventana que se abre, selecciona **Máquina local**. 6. Cuando llegues al punto de elegir dónde guardarlo, selecciona **Colocar todos los certificados en el siguiente almacén**, haz clic en **Examinar** y elige la carpeta **Autoridades de certificación raíz de confianza**. ### Configurar el servicio de federación [Sección titulada «Configurar el servicio de federación»](#configurar-el-servicio-de-federación) 1. En el Administrador del servidor, abre la alerta y selecciona **Configurar el servicio de federación en el servidor**.  Se abre el **Asistente de configuración del servicio de federación de Active Directory**. 2. En **Bienvenida**, selecciona **Crear el primer servidor de federación en una granja de servidores de federación** y haz clic en **Siguiente**. 3. En **Conectarse a AD DS**, indica una cuenta con derechos de administrador de dominio para el dominio de Active Directory al que está unido el equipo (en este ejemplo, `ironchip.local`) y haz clic en **Siguiente**. 4. En **Especificar propiedades del servicio**, haz lo siguiente y haz clic en **Siguiente**: * Selecciona en el desplegable el certificado SSL que creaste antes. Es el certificado de autenticación del servicio. * En el nombre del servicio de federación, escribe `adfs.ironchip.local`. Debe coincidir con el valor que usaste al inscribir el certificado SSL en los Servicios de certificados de Active Directory (AD CS). * En el nombre para mostrar, escribe `Ironchip Corporation`. 5. En **Especificar cuenta de servicio**, selecciona **Usar una cuenta de usuario de dominio existente o una cuenta de servicio administrada de grupo**. Para ello necesitas crear antes un usuario específico para este servicio, por ejemplo `service-adfs`. Después vuelve al asistente y selecciónalo. 6. En **Especificar base de datos de configuración**, selecciona **Crear una base de datos en este servidor mediante la base de datos interna de Windows** y haz clic en **Siguiente**. 7. En **Opciones de revisión**, comprueba la configuración y haz clic en **Siguiente**. 8. En **Comprobaciones de requisitos previos**, verifica que todas se han completado correctamente y haz clic en **Configurar**. 9. En **Resultados**, revisa que la configuración se haya completado. Aparecerán 4 advertencias, que puedes ignorar por ahora.  ### Instalar el plugin de ADFS [Sección titulada «Instalar el plugin de ADFS»](#instalar-el-plugin-de-adfs) 1. Descarga el instalador del plugin desde la sección de plugins de la consola de Ironchip. 2. Ejecuta el instalador. 3. Rellena solo estos campos: **Ironchip Host** (déjalo con el valor por defecto si tienes dudas) e **Ironchip API Key**, con la API key que obtuviste al crear la aplicación de tipo API Key.  4. Si la configuración es correcta, el instalador añade el plugin a AD FS y reinicia el servicio de AD FS para aplicar los cambios.  ### Proteger una aplicación con Ironchip MFA [Sección titulada «Proteger una aplicación con Ironchip MFA»](#proteger-una-aplicación-con-ironchip-mfa) La interfaz del administrador de ADFS cambia entre las versiones 3.0 y 4.0. Sigue las instrucciones de la tuya. En los ejemplos, el servicio protegido es Claims X-Ray (consulta [Configurar Claims X-Ray como aplicación de prueba](#configurar-claims-x-ray-como-aplicaci%C3%B3n-de-prueba)). #### ADFS 3.0 [Sección titulada «ADFS 3.0»](#adfs-30) 1. Ve a **Políticas de autenticación** y haz clic en **Editar MFA global**. 2. Selecciona **Adaptador Ironchip MFA** como método de autenticación multifactor. 3. Ve a **Confianza por parte de confianza** (Per Relying Party Trust) y haz clic derecho en el servicio que quieras proteger. 4. Haz clic en **Editar autenticación multifactor personalizada**. 5. Activa MFA para **intranet, extranet o ambas**. El servicio queda protegido con Ironchip MFA. #### ADFS 4.0 [Sección titulada «ADFS 4.0»](#adfs-40) 1. Ve a **Servicio** > **Métodos de autenticación**. En el menú de la derecha, haz clic en **Editar métodos de autenticación multifactor**. 2. En la pestaña **Multifactor**, selecciona **Adaptador Ironchip MFA**. 3. Haz clic en **Aplicar** y **Aceptar**. 4. Ve a **Relaciones de confianza de la parte que confía** (Relying Party Trusts) y selecciona el servicio, por ejemplo **ClaimsXray**. 5. En el menú de la derecha, haz clic en **Editar política de control de acceso**. 6. En la parte inferior de la ventana, haz clic en **Usar política de control de acceso**. 7. Selecciona **Permitir a todos y requerir MFA**. Si quieres, puedes aplicarlo solo a un grupo de usuarios concreto. 8. Haz clic en **Aplicar** y **Aceptar**. El servicio queda protegido con Ironchip MFA. ## Comprobación [Sección titulada «Comprobación»](#comprobación) ### Probar el plugin [Sección titulada «Probar el plugin»](#probar-el-plugin) 1. Abre el **Visor de eventos** para ver los registros del plugin de Ironchip.  2. Si todo es correcto, verás **ADFS Ironchip Plugin** en la lista de **Registros de aplicaciones y servicios**. Ábrelo. 3. Si el plugin está instalado, verás en los registros el mensaje `Ironchip license key loaded without errors.`  ### Configurar Claims X-Ray como aplicación de prueba [Sección titulada «Configurar Claims X-Ray como aplicación de prueba»](#configurar-claims-x-ray-como-aplicación-de-prueba) Claims X-Ray es una herramienta de Microsoft que sirve como aplicación de prueba para ADFS. 1. Ve a y sigue las instrucciones. 2. Abre PowerShell como administrador y ejecuta lo siguiente. Esto añade Claims X-Ray como relying party trust: ```powershell $authzRules = "=>issue(Type = `"http://schemas.microsoft.com/authorization/claims/permit`", Value = `"true`"); " $issuanceRules = "@RuleName = `"Issue all claims`"`nx:[]=>issue(claim = x); " $redirectUrl = "https://adfshelp.microsoft.com/ClaimsXray/TokenResponse" $samlEndpoint = New-AdfsSamlEndpoint -Binding POST -Protocol SAMLAssertionConsumer -Uri $redirectUrl Add-ADFSRelyingPartyTrust -Name "ClaimsXray" -Identifier "urn:microsoft:adfs:claimsxray" -IssuanceAuthorizationRules $authzRules -IssuanceTransformRules $issuanceRules -WSFedEndpoint $redirectUrl -SamlEndpoint $samlEndpoint ``` 3. Si quieres añadir también la integración OIDC, ejecuta: ```powershell Add-AdfsClient -Name "ClaimsXrayClient" -ClientId "claimsxrayclient" -RedirectUri https://adfshelp.microsoft.com/ClaimsXray/TokenResponse if ([System.Environment]::OSVersion.Version.major -gt 6) { Grant-AdfsApplicationPermission -ServerRoleIdentifier urn:microsoft:adfs:claimsxray -AllowAllRegisteredClients -ScopeNames "openid","profile" } ``` 4. Comprueba que Claims X-Ray aparece en **Relying Party Trusts**. 5. Si la política de control de acceso no tiene ningún parámetro, haz clic derecho en el servicio, selecciona **Editar política de control de acceso**, elimina todo lo que haya y elige la tercera opción, **Permitir a todos y MFA para un grupo específico**. En la parte inferior, selecciona el grupo protegido. 6. En **Métodos de autenticación** > **Métodos de autenticación multifactor**, comprueba que aparece `IronchipMFAAdapter`. Si no aparece, edita la lista y añádelo. ### Activar la página de inicio de sesión iniciada por el IdP [Sección titulada «Activar la página de inicio de sesión iniciada por el IdP»](#activar-la-página-de-inicio-de-sesión-iniciada-por-el-idp) 1. Consulta los endpoints de tu ADFS desde PowerShell: ```powershell Get-AdfsEndpoint | select FullUrl ``` 2. Abre en el navegador la URL de tu ADFS añadiendo al final `/idpinitiatedsignon.aspx`. Verás un error, porque esta página está desactivada por defecto. 3. Actívala desde PowerShell: ```powershell Set-AdfsProperties -EnableIdPInitiatedSignonPage $true ``` 4. Vuelve a abrir la página y autentícate con tu usuario. 5. Si aparece el aviso de seguridad de Windows, puedes desactivarlo en la **Consola de administración de ADFS**: expande **Servicios**, haz clic en **Métodos de autenticación**, haz clic en **Editar** en **Métodos de autenticación primarios** y desmarca la opción de solicitud de Windows. Haz clic en **Aplicar** y **Aceptar**. Ahora verás un formulario de inicio de sesión. ### Probar el servicio protegido con Claims X-Ray [Sección titulada «Probar el servicio protegido con Claims X-Ray»](#probar-el-servicio-protegido-con-claims-x-ray) 1. Abre la herramienta Claims X-Ray y configúrala para tu ADFS. 2. Haz clic en **Probar autenticación**. Te redirige a tu ADFS. 3. Introduce tu usuario y contraseña. 4. Se te solicita la autenticación MFA. Haz clic en **Enviar**. 5. Recibes una notificación push en la aplicación de Ironchip. Ábrela y autentícate. Si todo es correcto, se te redirige a la página final de Claims X-Ray. # Airtable > Configurar el inicio de sesión único (SSO) de Airtable con Ironchip por SAML 2.0: crear la aplicación, añadir el proveedor de identidad y exigir SSO. Ironchip actúa como proveedor de identidad SAML 2.0 de Airtable. Esta guía explica cómo registrar Ironchip como proveedor de identidad de SSO en el panel de administración de Airtable. ## Requisitos [Sección titulada «Requisitos»](#requisitos) * Acceso a la consola de administración de Ironchip. * Una cuenta Enterprise de Airtable con acceso al panel **Admin**. ## Configuración en Ironchip [Sección titulada «Configuración en Ironchip»](#configuración-en-ironchip) Antes de añadir los metadatos de SSO (**URL de inicio de sesión** y **certificado x509**) en Airtable, debes obtenerlos de Ironchip. 1. Crea en la consola de Ironchip una aplicación de tipo **SAML**. Encontrarás los pasos en [Aplicaciones](/identidad/administracion/aplicaciones/) y en [SAML](/identidad/protocolos/saml/). 2. Descarga los metadatos de Ironchip con **Download metadata file** al crear la aplicación. El documento contiene la URL de inicio de sesión y el certificado. 3. Añade a la aplicación los usuarios que se autenticarán con ella. ## Configuración en Airtable [Sección titulada «Configuración en Airtable»](#configuración-en-airtable) 1. Inicia sesión en Airtable. 2. Haz clic en tu icono de usuario y selecciona **Admin**. 3. En la barra lateral izquierda, ve a **Configuración** y abre la pestaña **SSO y autenticación** (**Seguridad y autenticación**). 4. En la sección de configuración de SSO, haz clic en **Agregar proveedor de identidad de SSO**. Se abre una ventana de configuración. 5. Elige el dominio al que se aplicará esta configuración de SSO. El desplegable muestra todos los dominios asociados a tu cuenta Enterprise. 6. Rellena los campos con los metadatos de Ironchip: * **URL de inicio de sesión**: la que figura en el documento descargado de la consola de Ironchip. * **Certificado x.509**: pega el certificado que figura en ese mismo documento. * **Versión de los metadatos**: selecciona **v2**. Las integraciones de socios usan la opción predeterminada **V2**. 7. Haz clic en **Guardar**. Se abre una ventana emergente que pide confirmación. Haz clic en **Guardar** de nuevo. Los cambios pueden tardar unos minutos en aparecer. Después de guardar, la página **Configuración** se vuelve a cargar. Desde esa pestaña también puedes hacer clic en **Editar metadatos** si necesitas cambiarlos en el futuro o eliminar la configuración por completo. ## Comprobación [Sección titulada «Comprobación»](#comprobación) Antes de exigir SSO para tu propio dominio de correo, comprueba que los metadatos que has proporcionado son correctos: 1. Cierra sesión en Airtable y vuelve a iniciarla con SSO. 2. Si el acceso funciona, vuelve a la pestaña **SSO y autenticación**. 3. Cambia el interruptor a **SSO opcional/requerido** para cerrar la sesión de todos los usuarios del dominio configurado y hacer cumplir el SSO. # Atlassian > Usar Ironchip como proveedor de identidad SAML en Atlassian Guard: crear la aplicación, configurar el SSO en admin.atlassian.com y aplicarlo a los usuarios. Ironchip actúa como proveedor de identidad SAML de tu organización de Atlassian (Atlassian Guard). Esta guía explica cómo configurar el inicio de sesión único (SSO) y aplicarlo a los usuarios. ## Requisitos [Sección titulada «Requisitos»](#requisitos) * Ser administrador de una organización de Atlassian. * Suscribirte a Atlassian Guard Standard desde tu organización y familiarizarte con su funcionamiento. * Verificar uno o más dominios en tu organización. Consulta [cómo verificar un dominio](https://support.atlassian.com/user-management/docs/verify-a-domain-to-manage-accounts/). * Asegurarte de que tanto tu producto de Atlassian como tu proveedor de identidad usan HTTPS para comunicarse, y de que la URL base configurada del producto es una URL HTTPS. * Tener en cuenta que solo podrán usar SSO las cuentas de correo de los dominios asociados a la política. ## Configuración en Ironchip [Sección titulada «Configuración en Ironchip»](#configuración-en-ironchip) 1. En la consola de Ironchip, ve a **Applications** y haz clic en el botón verde **New application**.  2. Selecciona el tipo **SAML** y descarga los metadatos. Los usarás en los pasos siguientes.  Más adelante volverás aquí para terminar la configuración de Ironchip. ## Configuración en Atlassian [Sección titulada «Configuración en Atlassian»](#configuración-en-atlassian) 1. Ve a `admin.atlassian.com` y selecciona tu organización si tienes más de una. 2. Selecciona **Seguridad** > **Proveedores de identidades**.  3. Elige como proveedor de identidades **Otro proveedor**.  4. Haz clic en **Configurar inicio de sesión único de SAML**.  5. Añade los detalles de SAML, que están en el archivo de metadatos que descargaste de Ironchip.  6. Ironchip te pide una URL de metadatos del proveedor de servicios. Para obtenerla, modifica este código con los datos de Atlassian: ```xml urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress ``` * Sustituye el contenido de `entityID` por la **URL de la entidad del proveedor de servicios**. * Sustituye el contenido de `Location` por la **URL del Assertion Consumer Service del proveedor de servicios**.  7. Cuando hayas generado el fichero, súbelo a una dirección pública de internet. Escribe esa URL, en formato raw, en el campo **Metadata URL** del diálogo de nueva aplicación de Ironchip y haz clic en **Add application**.  8. En Atlassian, selecciona tu dominio.  9. Guarda la configuración. ## Aplicar SSO a los usuarios [Sección titulada «Aplicar SSO a los usuarios»](#aplicar-sso-a-los-usuarios) Para que Ironchip sea el método de autenticación de los usuarios: 1. Ve a **Seguridad** > **Políticas de autenticación**. 2. Busca la política de Ironchip que has creado y haz clic en **Editar**.  3. En **Configuración**, marca la casilla **Aplicar inicio de sesión único**.  4. En **Miembros**, haz clic en **Añadir miembros**, elige uno de los dos métodos (individual o masivo) y añade las cuentas que quieres que usen Ironchip como método de autenticación.  ## Comprobación [Sección titulada «Comprobación»](#comprobación) Antes de probar, da acceso a la aplicación de Ironchip al usuario con el que vas a iniciar sesión. Los pasos están en [Agregar usuarios al servicio creado](/identidad/protocolos/saml/#dar-acceso-a-usuarios-y-grupos). 1. Abre una ventana privada e inicia sesión en tu producto de Atlassian con una cuenta de correo de un dominio asociado a la política. 2. Atlassian te redirige a Ironchip para autenticarte. 3. Completa la autenticación en tu dispositivo. Ironchip te devuelve a Atlassian con la sesión iniciada. ## Problemas frecuentes [Sección titulada «Problemas frecuentes»](#problemas-frecuentes) | Problema | Causa probable | Solución | | ------------------------------------ | ------------------------------------------------------------------------------------------------------------------------------- | ----------------------------------------------------------------------------------------------------------- | | Atlassian no redirige a Ironchip | La cuenta no está en la política o su dominio no está verificado | Añade la cuenta en **Miembros** de la política y comprueba que el dominio está verificado | | Ironchip no puede leer los metadatos | El XML tiene mal formato, o la URL no es pública o no está en formato raw | Revisa que `entityID` y `Location` están sustituidos y que la URL devuelve solo el XML | | Atlassian no reconoce al usuario | Los metadatos piden el `NameIDFormat` `emailAddress` y el nombre de usuario del acceso en Ironchip no es el correo de la cuenta | Edita el acceso del usuario a la aplicación en Ironchip y usa como nombre de usuario su correo de Atlassian | # Entra ID > Integrar Microsoft Entra ID con Ironchip por LDAP seguro con Entra Domain Services: requisitos de Azure, grupo de llaves LDAP en Ironchip y acceso. Microsoft Entra ID (antes Azure AD) es un servicio de gestión de identidades y accesos en la nube. Ayuda a tus empleados a acceder a recursos externos, como Microsoft 365, el portal de Azure y miles de aplicaciones SaaS. Se integra con Ironchip mediante el protocolo LDAP, a través de Microsoft Entra Domain Services (antes Azure AD DS). Cada tenant nuevo viene con un nombre de dominio inicial, `.onmicrosoft.com`, que no puedes cambiar ni eliminar. Sí puedes añadir los nombres de dominio de tu organización, lo que ayuda a crear nombres de usuario que resulten familiares a tus usuarios. Más información en la [documentación de Microsoft](https://learn.microsoft.com/en-us/entra/fundamentals/). ## Requisitos [Sección titulada «Requisitos»](#requisitos) * Acceso a la consola de administración de Ironchip. * Un usuario con permisos para realizar la configuración en Azure. * Una suscripción activa de Azure y un tenant de Microsoft Entra ID asociado a la suscripción. * Microsoft Entra Domain Services habilitado y configurado en el tenant. ## Configuración en Azure [Sección titulada «Configuración en Azure»](#configuración-en-azure) Microsoft Entra Domain Services debe cumplir estos requisitos para integrarse con Ironchip: * **LDAP seguro habilitado**: * Crea los certificados necesarios. * Permite el acceso a LDAP seguro a través de internet. Puedes usar una regla de grupo de seguridad de red de Azure para limitar ese acceso. * Configura los grupos que quieres sincronizar. * Crea un subdominio que apunte a la dirección IP externa de LDAP seguro. Es necesario si quieres conectar con TLS en modo seguro, porque el certificado del cliente tiene que coincidir con el host. * **Configuración de usuarios**: * Usuarios federados: no se admiten. * Usuarios sincronizados desde on-premises: en entornos híbridos, asegúrate de que la sincronización del hash de la contraseña está habilitada. Si ya lo está, ejecuta el cmdlet indicado en [la guía de Microsoft](https://learn.microsoft.com/en-us/entra/identity/domain-services/tutorial-configure-password-hash-sync#enable-synchronization-of-password-hashes) para aplicarla. * Usuarios de la nube: aunque el usuario ya esté creado en la nube, tiene que iniciar sesión y cambiar su contraseña. Para más información, consulta el [tutorial oficial de Microsoft para configurar LDAPS](https://learn.microsoft.com/en-us/entra/identity/domain-services/tutorial-configure-ldaps). ## Configuración en Ironchip [Sección titulada «Configuración en Ironchip»](#configuración-en-ironchip) Cuando termines la configuración de Azure, crea en Ironchip un grupo de llaves (política de contraseña) con el protocolo LDAP que apunte a Microsoft Entra Domain Services. Tienes el detalle en [Políticas de autenticación](/identidad/conceptos/politicas/). 1. En **Authentication policies**, abre el apartado **Password policies** y haz clic en **Add password policy**. 2. Añade el nombre (**LDAP name**) y el servidor (**Server host**). Si quieres habilitar TLS seguro (**Enable TLS**), añade también el certificado.  3. Ironchip comprueba que la conexión funciona pidiéndote un usuario (UPN o correo) y una contraseña LDAP de ejemplo, que no se almacenan.  Puedes modificar cualquier campo más adelante: cada vez que lo hagas, Ironchip vuelve a comprobar la conexión. Una vez creado el grupo, también puedes probarlo con distintos usuarios desde sus opciones. ## Configurar el acceso [Sección titulada «Configurar el acceso»](#configurar-el-acceso) Con el grupo de llaves LDAP creado, configúralo en un acceso para iniciar la autenticación. El nombre de usuario no es el de Azure El nombre de usuario de una aplicación en Ironchip no es el mismo que se usa para autenticarse con Entra ID. Para Entra ID se usa el correo electrónico del propio usuario. ## Comprobación [Sección titulada «Comprobación»](#comprobación) 1. Inicia la autenticación en la aplicación como en cualquier otra, con el nombre de usuario que configuraste antes. 2. Si el acceso exige un grupo de llaves LDAP, aparece un aviso para que introduzcas la contraseña de tu correo. 3. Si configuraste el acceso con otro tipo de grupo de llaves, como tu dispositivo, abre la app de Ironchip para terminar el proceso y entrar en la aplicación. # Entra ID como MFA > Usar Ironchip como método de autenticación multifactor externo en Microsoft Entra ID mediante OIDC y exigirlo con una política de acceso condicional. Esta guía explica cómo integrar Ironchip como método de autenticación multifactor (MFA) externo en Microsoft Entra ID (antes Azure AD). La conexión entre Microsoft e Ironchip se hace con el protocolo OIDC. ## Requisitos [Sección titulada «Requisitos»](#requisitos) * Una cuenta con licencia P1 o P2 y permisos en Azure Cloud. * Acceso a la consola de administración de Ironchip. ## Configuración en Entra ID [Sección titulada «Configuración en Entra ID»](#configuración-en-entra-id) ### Crear la aplicación empresarial [Sección titulada «Crear la aplicación empresarial»](#crear-la-aplicación-empresarial) 1. En Entra ID, ve a **Aplicaciones empresariales** y añade una nueva aplicación empresarial.  2. Selecciona **Crear su propia aplicación**, elige un nombre para la aplicación y selecciona **Integrar cualquier otra aplicación que no se encuentre en la galería**.   ### Configurar los URI de redirección [Sección titulada «Configurar los URI de redirección»](#configurar-los-uri-de-redirección) 1. Ve a **Administrar** > **Propiedades** y haz clic en el registro de la aplicación.  2. En **Información general**, copia el ID de la aplicación. Lo necesitarás más adelante para configurar Ironchip como MFA en Azure. 3. En **Puntos de conexión**, copia el **Punto de conexión de autorización de OAuth 2.0 (v2)**. Es uno de los dos URI de redirección que necesitas. 4. El otro URI de redirección es el que lleva al IdP de Ironchip: `https://idp.ironchip.com/oidc/auth`. 5. Ve a **Autenticación**, selecciona **Agregar una plataforma** y elige **Web**.   6. Añade primero el URI de redirección de Ironchip y después el de Azure. ### Configurar los tokens [Sección titulada «Configurar los tokens»](#configurar-los-tokens) Ve a **Configuración de tokens** y añade las notificaciones opcionales que se muestran en la captura: * `login_hint`, en los tipos de token **Id.** y **Acceso**. * `preferred_username`, en el tipo de token **Id.**.  ### Configurar los permisos de API [Sección titulada «Configurar los permisos de API»](#configurar-los-permisos-de-api) Ve a **Permisos de API**, añade estos permisos delegados de Microsoft Graph y concede el consentimiento de administrador: * `openid` * `profile` * `User.Read`  ## Configuración en Ironchip [Sección titulada «Configuración en Ironchip»](#configuración-en-ironchip) Crea una aplicación en la consola de Ironchip para conectar Microsoft con Ironchip mediante OIDC. 1. En la consola de Ironchip, ve a **Applications**.  2. Selecciona **New Application**, ponle un nombre y elige el tipo de integración **OIDC - OAUTH 2.0**.  3. En **Redirect URIs**, introduce `https://login.microsoftonline.com/common/federation/externalauthprovider` y haz clic en **Next**. Este URI devuelve al usuario a Microsoft cuando termina la autenticación.  4. Al terminar, Ironchip muestra las credenciales de la aplicación: **Client ID**, **Client Secret** y **Metadata URL**. Las necesitas para configurar Entra ID y no podrás volver a verlas: descárgalas con **Download** o guárdalas en un lugar seguro.  ## Añadir Ironchip como método de autenticación externo [Sección titulada «Añadir Ironchip como método de autenticación externo»](#añadir-ironchip-como-método-de-autenticación-externo) 1. En Microsoft Entra ID, ve a **Administrar** > **Seguridad** > **Métodos de autenticación**. 2. Selecciona **Agregar método externo**.  3. En la pestaña **Configurar**, rellena las propiedades del método: * **Nombre**: el nombre del MFA que vas a añadir. * **Id. de cliente**: el **Client ID** que mostró Ironchip al crear la aplicación OIDC. * **Punto de conexión de detección**: la **Metadata URL** que mostró Ironchip, `https://idp.ironchip.com/oidc/.well-known/openid-configuration`. * **Id. de aplicación**: el ID de la aplicación que copiaste en las propiedades de la aplicación empresarial.  4. En la pestaña **Habilitar y establecer como destino**, en **Incluir**, haz clic en **Agregar un destino** y añade los usuarios o grupos que podrán usar este MFA. En el ejemplo se usa un grupo llamado `TestUser`.  ## Configurar el acceso condicional [Sección titulada «Configurar el acceso condicional»](#configurar-el-acceso-condicional) Para elegir qué usuarios usan este método de autenticación, configura una política de acceso condicional. 1. En **Seguridad**, ve a **Proteger** > **Acceso condicional** y crea una nueva política.  2. Configura los usuarios, los recursos a los que tendrán acceso y el método de autenticación.  3. En **Control de acceso**, ve a **Conceder** y activa **Requerir autenticación multifactor**.  Con el acceso condicional configurado, la autenticación queda habilitada para los usuarios que has seleccionado. # Google Workspace > Integrar Google Workspace con Ironchip por SAML: crear la aplicación, configurar el perfil de SSO en la consola de Google y activarlo para usuarios y grupos. Google Workspace se integra con Ironchip mediante el protocolo SAML. Los usuarios que asignes se autenticarán con el segundo factor de Ironchip. ## Requisitos [Sección titulada «Requisitos»](#requisitos) * Acceso a la consola de administración de Ironchip. * Un usuario con permisos para realizar la configuración en Google Workspace. ## Configuración en Ironchip [Sección titulada «Configuración en Ironchip»](#configuración-en-ironchip) 1. En la consola de Ironchip, ve a **Applications**.  2. Haz clic en **New application** y, en la tarjeta **Custom application**, haz clic en **Create application**.  3. Ponle un nombre identificativo, selecciona el tipo **SAML** y, si quieres, añade una imagen como logo de la aplicación. No cierres esta pestaña.  4. Antes de entrar en la consola de administración de Google, descarga el archivo de metadatos de Ironchip con **Download metadata file**.  ## Configuración en Google Workspace [Sección titulada «Configuración en Google Workspace»](#configuración-en-google-workspace) ### Añadir el perfil de SAML [Sección titulada «Añadir el perfil de SAML»](#añadir-el-perfil-de-saml) 1. Entra en la consola de administración de Google y ve a **Seguridad** > **Autenticación** > **SSO con IdP de terceros**. En **Perfiles de SSO de terceros**, haz clic en **Agregar perfil de SAML**.  2. Abre el archivo de metadatos que descargaste y rellena los campos de **Detalles del IDP** con estos datos: * **ID de entidad del IDP**: la propiedad `entityID` de la etiqueta XML `EntityDescriptor`. * **URL de la página de acceso**: la propiedad `Location` de la etiqueta XML `SingleSignOnService`. * **URL de la página de salida**: la propiedad `Location` de la etiqueta XML `SingleLogoutService`. * **Certificado de verificación**: pega el contenido de la etiqueta XML `X509Certificate` en el primer campo de [esta herramienta](https://www.samltool.com/format_x509cert.php) y guarda el resultado en un fichero nuevo con extensión `.crt`. El metadato trae dos certificados idénticos: usa cualquiera. La herramienta añade las cabeceras necesarias para que Google detecte el certificado como válido. Sube el fichero con **Subir certificado**. 3. Deja el resto de campos por defecto y guarda los cambios.  ### Obtener la URL del metadato para Ironchip [Sección titulada «Obtener la URL del metadato para Ironchip»](#obtener-la-url-del-metadato-para-ironchip) Ironchip te pide la URL de los metadatos del proveedor de servicios. Para obtenerla, modifica este código con los datos del perfil de SAML de Google: ```xml urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress ``` * Sustituye el contenido de `entityID` por el **ID de entidad** que aparece en **Detalles del SP**. * Sustituye el contenido de `Location` por la **URL de ACS** que aparece en **Detalles del SP**.  Cuando hayas generado el fichero, súbelo a una dirección pública de internet. Escribe esa URL, en formato raw, en el campo **Metadata URL** del diálogo de nueva aplicación de Ironchip. ### Activar el SSO [Sección titulada «Activar el SSO»](#activar-el-sso) 1. En la consola de administración de Google, vuelve a **Seguridad** > **Autenticación** > **SSO con IdP de terceros**. 2. Haz clic en **Gestionar asignaciones de perfil de SSO**. 3. En la parte izquierda, configura los grupos o las personas que se autenticarán con el segundo factor de Ironchip. 4. Configura esos mismos usuarios en la aplicación SAML que creaste en Ironchip. ## Comprobación [Sección titulada «Comprobación»](#comprobación) 1. Pide a un usuario o grupo que hayas asignado que inicie sesión en un servicio de Google Workspace. 2. Google lo redirige a Ironchip para autenticarse con el segundo factor. 3. Cuando el usuario completa la autenticación, vuelve a Google con la sesión iniciada. ## Vídeo [Sección titulada «Vídeo»](#vídeo) [ Integración de Google Workspace con Ironchip mediante SAMLReproducir el vídeo](https://play.hubspotvideo.com/v/7745202/id/124256679070) # HubSpot > Proteger el acceso a HubSpot con la autenticación de dos factores mediante OTP generado por la aplicación Ironchip: activar el 2FA y escanear el QR. HubSpot admite autenticación de dos factores con una aplicación de autenticación. Esta guía explica cómo añadir Ironchip a HubSpot como generador de códigos OTP. Para saber más sobre los OTP de Ironchip, consulta [Contraseñas de un solo uso (OTP)](/identidad/protocolos/otp/). ## Requisitos [Sección titulada «Requisitos»](#requisitos) * Acceso a la consola de administración de Ironchip. * La aplicación de Ironchip instalada en tu dispositivo. * Un usuario con permisos para realizar la configuración en HubSpot. ## Configuración en HubSpot [Sección titulada «Configuración en HubSpot»](#configuración-en-hubspot) 1. Inicia sesión en tu cuenta de HubSpot y ve a **Configuración** > **Seguridad** > **Autenticación de dos factores**.  2. Selecciona **Aplicación de autenticación**.  3. HubSpot muestra un código QR.  ## Configuración en la aplicación de Ironchip [Sección titulada «Configuración en la aplicación de Ironchip»](#configuración-en-la-aplicación-de-ironchip) 1. Escanea el código QR de HubSpot con la aplicación de Ironchip. En la aplicación, abre el menú de tres puntos y ve a **OTP** > **+** > **Escanear un código QR**.  2. HubSpot te pide un código para hacer la verificación. Introduce el que muestra la aplicación. 3. Guarda los códigos de respaldo en un lugar seguro.  ## Vídeo [Sección titulada «Vídeo»](#vídeo) [ Añadir Ironchip a HubSpot mediante OTPReproducir el vídeo](https://play.hubspotvideo.com/v/7745202/id/124278728048) # Keeper Security > Integrar Keeper Security con Ironchip por SAML (SSO Connect): configurar el método de autenticación en Keeper, la aplicación en Ironchip y resolver errores. Esta guía describe cómo integrar Keeper Security con Ironchip mediante SAML. Ironchip actúa como proveedor de identidad y Keeper Security, con SSO Connect Cloud, como proveedor de servicios. Precaución Todos los usuarios deben tener un correo de un dominio asociado a tu organización en Keeper Security. ## Requisitos [Sección titulada «Requisitos»](#requisitos) * Acceso a la consola de administración de Ironchip. * Un usuario con permisos para realizar la configuración en Keeper Security. ## Configuración en Keeper Security [Sección titulada «Configuración en Keeper Security»](#configuración-en-keeper-security) 1. Inicia sesión en la consola de administración de Keeper Security. 2. Abre la pestaña **Administración**. 3. En **Nodo**, selecciona el nodo al que quieres aplicar la configuración de Ironchip. 4. Ve a la pestaña **Suministro**. 5. Haz clic en **Añadir método** y crea un método de inicio de sesión único con SSO Connect Cloud. 6. Abre el menú de tres puntos de la derecha del método y visualízalo.  7. Haz clic en **Exportar metadatos** para descargar los metadatos de Keeper Security. Sube el contenido del archivo a una URL pública para que Ironchip pueda leerlo y guarda esa URL, porque la usarás más adelante.  8. Antes de continuar en Ironchip, edita el método desde el menú de tres puntos. En **Asignaciones de atributos del proveedor de identidades**, escribe `uid` en **Correo electrónico**. Ironchip solo necesita el correo: deja vacíos los demás campos.  ## Configuración en Ironchip [Sección titulada «Configuración en Ironchip»](#configuración-en-ironchip) 1. En la consola de Ironchip, ve a **Applications** y haz clic en el botón verde **New application**.  2. Selecciona el tipo **SAML** y descarga los metadatos de Ironchip con **Download metadata file**.  3. En el campo **Metadata URL**, escribe la URL de los metadatos de Keeper que obtuviste antes. Es la URL que Ironchip usa para comunicarse con Keeper.  4. Haz clic en **Add service** para terminar la configuración en Ironchip. 5. De vuelta en Keeper Security, edita otra vez el método SSO Connect Cloud. En **Proveedor de identidades**, selecciona **Generic** en **Tipo de IDP** y sube en **Metadatos SAML** el archivo de metadatos que descargaste de Ironchip.  ## Comprobación [Sección titulada «Comprobación»](#comprobación) Antes de probar, da acceso a la aplicación de Ironchip al usuario con el que vas a iniciar sesión. Los pasos están en [Agregar usuarios al servicio creado](/identidad/protocolos/saml/#dar-acceso-a-usuarios-y-grupos). 1. Abre la página de inicio de sesión de Keeper Security e inicia sesión con SSO usando un correo de un dominio asociado a tu organización. 2. Keeper Security te redirige a Ironchip para autenticarte. 3. Completa la autenticación en tu dispositivo. Ironchip te devuelve a Keeper Security con la sesión iniciada. ## Problemas frecuentes [Sección titulada «Problemas frecuentes»](#problemas-frecuentes) ### Error de nodo [Sección titulada «Error de nodo»](#error-de-nodo) Keeper muestra este error cuando el usuario no pertenece al nodo en el que está configurado SSO Connect: > For security reasons, any user who logs in with SSO must be provisioned to the SSO-enabled node in the Keeper Admin Console. Mueve al usuario al nodo en el que configuraste SSO Connect.  ### Error de dominio de correo [Sección titulada «Error de dominio de correo»](#error-de-dominio-de-correo) Keeper muestra este error cuando el dominio del correo no está asociado a tu organización: > Just-in-time provisioning is only allowed on reserved domains, and the domain (example.com) is not associated to your enterprise. Keeper Security solo acepta los dominios asociados a tu organización. Asocia el dominio en Keeper o usa otra dirección de correo.  # Microsoft 365 > Federar Microsoft 365 con AD FS e Ironchip MFA: instalar Microsoft Entra Connect, configurar los sufijos UPN, federar el dominio y probar el acceso con push. Esta guía explica cómo federar Microsoft 365 con tu servidor AD FS integrado con Ironchip, para exigir Ironchip MFA a los usuarios de los grupos protegidos. Cambia la experiencia de inicio de sesión Durante la instalación, Microsoft 365 se configura para residir en una granja federada cuyo servidor principal es el Windows Server donde instalas. Por eso cambia la experiencia de inicio de sesión: al iniciar sesión, los usuarios se redirigen a ese servidor. Tenlo en cuenta antes de empezar la instalación. ## Requisitos [Sección titulada «Requisitos»](#requisitos) * El Windows Server debe tener un dominio asignado y un FQDN asociado accesible desde internet. * Para integrar AD FS en un servidor local, necesitas un certificado asociado a ese dominio, emitido por una entidad certificadora válida. AD FS debe tener acceso a la clave privada y necesita el certificado en formato PFX. * El dominio asignado a la máquina en Azure debe estar validado. Para ello, inserta en el DNS el registro que Azure requiere para verificar que eres el propietario del dominio. ## Configuración en Ironchip [Sección titulada «Configuración en Ironchip»](#configuración-en-ironchip) El primer paso es configurar AD FS y el plugin de AD FS de Ironchip. Sigue la guía de [ADFS](/identidad/integraciones/saas/adfs/). Cuando AD FS esté configurado correctamente, continúa con la federación de Microsoft 365. ## Configuración en Microsoft 365 [Sección titulada «Configuración en Microsoft 365»](#configuración-en-microsoft-365) ### Instalar Microsoft Entra Connect [Sección titulada «Instalar Microsoft Entra Connect»](#instalar-microsoft-entra-connect) 1. Descarga [Microsoft Entra Connect (antes Azure AD Connect)](https://www.microsoft.com/en-us/download/details.aspx?id=47594). 2. Cuando termine la descarga, ejecuta el instalador en el Windows Server donde configuraste AD FS integrado con Ironchip. 3. Cuando el instalador lo pregunte, selecciona la configuración **Express**. 4. En el paso **Connect to Azure AD**, introduce las credenciales de un administrador global de Microsoft Entra ID (antes Azure AD). 5. En el paso **Connect to AD DS**, introduce las credenciales de un administrador de Active Directory del Windows Server. 6. En el paso **Azure AD sign-in**, comprueba que el dominio que aparece en la columna **Azure AD Domain** está en estado **Verified**. Si el dominio que quieres federar no está verificado, sigue [esta guía de Microsoft para verificarlo](https://learn.microsoft.com/en-us/entra/fundamentals/add-custom-domain#verify-your-custom-domain-name).  7. Si el instalador no te deja continuar, puedes marcar la casilla **Continue without matching all UPN suffixes to verified domains**. Los sufijos UPN se crean después, si hace falta. 8. Haz clic en **Next**. La instalación empieza en el paso **Configure**. ### Configurar los sufijos UPN [Sección titulada «Configurar los sufijos UPN»](#configurar-los-sufijos-upn) Omite este apartado si el instalador no te pidió marcar la casilla **Continue without matching all UPN suffixes to verified domains**. 1. En el Windows Server, abre **Active Directory Domains and Trusts**. 2. Haz clic derecho en el primer elemento de la lista y selecciona **Propiedades**.  3. Escribe el dominio tal como aparece en Azure y haz clic en **Add** para habilitar el sufijo UPN. 4. Cierra la herramienta. El sufijo queda configurado. ### Federar el dominio con tu AD FS local [Sección titulada «Federar el dominio con tu AD FS local»](#federar-el-dominio-con-tu-ad-fs-local) 1. Abre Microsoft Entra Connect en el Windows Server y haz clic en **Configure**. 2. En la lista de tareas, selecciona **Manage federation** y después **Federate Azure AD domain**. 3. En el paso **Connect to Azure AD**, introduce las credenciales de un administrador global de Entra ID. 4. En el paso **Connect to AD FS**, introduce las credenciales de un administrador de Active Directory del servidor local. 5. En el paso **Azure AD domain**, selecciona en **DOMAIN** un dominio federable de Entra ID. Para que el dominio esté disponible, debe estar ya validado. El instalador avisa de que el dominio pasará de administrado a federado y de que el inicio de sesión de los usuarios se interrumpirá durante el proceso.  6. Lee las indicaciones del paso **Azure AD trust** y haz clic en **Next**. Empieza el proceso de federación. ## Comprobación [Sección titulada «Comprobación»](#comprobación) La sincronización de AD FS puede tardar bastante. Mientras dura, es posible que los usuarios sigan entrando al servicio como hasta ahora, sin que se les pida la autenticación multifactor. 1. Intenta entrar en tu cuenta de Microsoft 365. El inicio de sesión debe haber cambiado y redirigirte a tu Windows Server para una experiencia de SSO unificada.  2. Si el plugin de Ironchip está bien configurado y el usuario pertenece a un grupo protegido con Ironchip MFA, se le pide que permita el acceso con una notificación push en su autenticador.  ## Pedir las credenciales al iniciar las aplicaciones locales de Windows [Sección titulada «Pedir las credenciales al iniciar las aplicaciones locales de Windows»](#pedir-las-credenciales-al-iniciar-las-aplicaciones-locales-de-windows) Para que las aplicaciones locales de Windows pidan las credenciales cada vez que el usuario se conecta, establece una GPO con estos parámetros: 1. Elimina todos los archivos de esta carpeta cuando el usuario cierre sesión: ```text %LOCALAPPDATA%\Packages\Microsoft.AAD.BrokerPlugin_cw5n1h2txyewy\AC\TokenBroker\Accounts ``` 2. Añade esta entrada al registro: ```text HKLM\SOFTWARE\Policies\Microsoft\Windows\WorkplaceJoin DWORD: BlockAADWorkplaceJoin VALUE: 1 ``` 3. Establece este valor en la GPO: ```text Computer Configuration > Policies > Windows Settings > Security Settings > Local Policies > Security Options Valor: Users can't add Microsoft accounts ``` # Nextcloud > Integrar Nextcloud con Ironchip por OIDC: instalar la app OpenID Connect user backend, crear la aplicación en Ironchip, dar accesos y vincular el proveedor. Ironchip actúa como proveedor OIDC de Nextcloud. Los usuarios inician sesión en Nextcloud desde un botón que los redirige a Ironchip para autenticarse. ## Requisitos [Sección titulada «Requisitos»](#requisitos) * Acceso de administrador a la consola de Ironchip. * Privilegios de administrador en la instancia de Nextcloud. * Acceso al sistema de archivos del servidor de Nextcloud. ## Preparar Nextcloud [Sección titulada «Preparar Nextcloud»](#preparar-nextcloud) ### Instalar la app OpenID Connect [Sección titulada «Instalar la app OpenID Connect»](#instalar-la-app-openid-connect) 1. Accede a tu instancia de Nextcloud. 2. Haz clic en el icono de tu perfil (esquina superior derecha) y selecciona **Aplicaciones**.  3. En el menú lateral izquierdo, selecciona la categoría **Integración**.  4. Usa el buscador (icono de lupa) para localizar la aplicación **OpenID Connect user backend**. 5. Haz clic en **Descargar y activar**.  ### Ajustar el archivo de configuración [Sección titulada «Ajustar el archivo de configuración»](#ajustar-el-archivo-de-configuración) Antes de seguir con la interfaz web, ajusta la configuración de seguridad y red de Nextcloud: 1. Localiza y edita el archivo `config/config.php` en tu servidor. 2. Añade o modifica estas líneas dentro del array de configuración: config/config.php ```php 'allow_local_remote_servers' => true, 'debug' => true, ``` ## Configuración en Ironchip [Sección titulada «Configuración en Ironchip»](#configuración-en-ironchip) ### Crear la aplicación OIDC [Sección titulada «Crear la aplicación OIDC»](#crear-la-aplicación-oidc) 1. Inicia sesión en la consola de Ironchip y ve a **Applications** > **New Application**.  2. Selecciona el protocolo **OIDC**.  3. En la pestaña **General**, escribe un nombre identificativo en **Name** (por ejemplo, `Acceso Nextcloud`) y haz clic en **Add**.  4. En **Redirect URIs**, introduce la URL de retorno de tu servidor: ```text http:///apps/user_oidc/code ``` Por ejemplo: `http://mi-dominio/apps/user_oidc/code`. 5. Haz clic en **Save**. Guarda en un lugar seguro el **Client ID** y el **Client Secret** que se generan; también puedes descargarlos con **Download credentials**.  ### Autorizar a los usuarios [Sección titulada «Autorizar a los usuarios»](#autorizar-a-los-usuarios) Autoriza qué usuarios podrán usar este método de acceso. 1. Abre la aplicación que acabas de crear.  2. Haz clic en **Add Access**.  3. En **Select a group**, busca y selecciona el usuario que se va a autenticar. Haz clic en **Next**.  4. En **Select usernames**, indica cómo se compone el nombre de usuario del acceso. En este ejemplo, con la etiqueta `email`, es decir, el correo del usuario. Haz clic en **Next**.  5. En **Select authentication policies**, elige la política con la que se autenticará el usuario. En este ejemplo, **Any user devices** (cualquier dispositivo del usuario). Haz clic en **Next**.  6. En **Review**, comprueba la configuración y haz clic en **Add**. El acceso del usuario queda creado.  ## Configuración en Nextcloud [Sección titulada «Configuración en Nextcloud»](#configuración-en-nextcloud) 1. Vuelve a Nextcloud, abre tu perfil y selecciona **Configuración de administración**.  2. En el menú izquierdo, abre la sección **OpenID Connect**.  3. En **Proveedores Registrados**, haz clic en **+** para crear un registro nuevo. El diálogo **Registrar a un nuevo proveedor** muestra la URL de retorno de tu servidor, que debe coincidir con la que pusiste en **Redirect URIs** en Ironchip.  4. Completa los campos: * **Identificador**: un nombre para mostrar (por ejemplo, `Ironchip Login`). * **ID de cliente**: pega el Client ID que proporcionó Ironchip. * **Secreto de cliente**: pega el Client Secret que proporcionó Ironchip. * **Endpoint para descubrimiento**: `https://idp.ironchip.com/oidc/.well-known/openid-configuration`.  5. Haz clic en **Enviar**. Ironchip queda integrado en Nextcloud. ## Comprobación [Sección titulada «Comprobación»](#comprobación) 1. Cierra la sesión actual en Nextcloud. 2. En la pantalla de inicio de sesión aparece un botón nuevo: **Login with** seguido del identificador que elegiste (por ejemplo, **Login with Ironchip Login**).  3. Haz clic en el botón. Nextcloud te redirige a la pasarela de Ironchip para autenticarte.  4. Completa el proceso en tu dispositivo. Nextcloud te redirige automáticamente a su panel principal.  # Salesforce > Configurar Ironchip como proveedor de identidad SAML de Salesforce: activar el SSO, intercambiar metadatos y exigir Ironchip como único método de acceso. Ironchip actúa como proveedor de identidad (IdP) de Salesforce mediante SAML. Esta guía explica cómo activar el inicio de sesión único y, opcionalmente, cómo obligar a usuarios o grupos a entrar solo con Ironchip. ## Requisitos [Sección titulada «Requisitos»](#requisitos) * Acceso a la consola de administración de Ironchip. * Un usuario con los permisos necesarios para realizar la configuración en Salesforce. ## Configuración del inicio de sesión único [Sección titulada «Configuración del inicio de sesión único»](#configuración-del-inicio-de-sesión-único) 1. Inicia sesión como administrador en Salesforce y ve a **Configuración**.  2. Ve a **Identidad** y después a **Configuración de inicio de sesión único**.  3. Haz clic en **Modificar**, activa la opción **SAML activado** y haz clic en **Nuevo a partir del archivo de metadatos**.  4. En la consola de Ironchip, ve a **Applications** y haz clic en **New application**.  5. En la tarjeta **Custom application**, haz clic en **Create application**.  6. Selecciona el tipo **SAML** y descarga el archivo de metadatos con **Download metadata file**.  7. Sube el archivo descargado a Salesforce y haz clic en **Crear**.  8. Guarda los cambios (cambia el nombre si quieres) y descarga los metadatos de Salesforce con **Descargar metadatos**.  9. Sube ese archivo a una dirección pública de internet y escribe su URL, en formato raw, en el campo **Metadata URL** del formulario de Ironchip.  10. Haz clic en **Add service** para añadir la aplicación. 11. Crea los usuarios en Ironchip como se muestra en el vídeo. El nombre de usuario debe ser igual al de Salesforce. [ Crear los usuarios de Salesforce en IronchipReproducir el vídeo](https://play.hubspotvideo.com/v/7745202/id/134923739413) ## Activar Ironchip como método de autenticación [Sección titulada «Activar Ironchip como método de autenticación»](#activar-ironchip-como-método-de-autenticación) 1. En Salesforce, busca **Mi dominio** con el buscador.  2. En **Configuración de autenticación**, haz clic en **Modificar**.  3. En **Servicio de autenticación**, marca el método de autenticación nuevo y haz clic en **Guardar**.  La integración queda configurada. ## Comprobación [Sección titulada «Comprobación»](#comprobación) 1. Ve a la página de inicio de sesión de Salesforce y selecciona la opción de iniciar sesión con Ironchip que aparece debajo.  2. Escribe el nombre de usuario.  3. Autoriza la conexión desde la app de Ironchip.  ## Salesforce solo por Ironchip [Sección titulada «Salesforce solo por Ironchip»](#salesforce-solo-por-ironchip) Esta parte explica cómo configurar Salesforce para que los usuarios o grupos que elijas solo puedan autenticarse con Ironchip. ### Requisitos [Sección titulada «Requisitos»](#requisitos-1) * Tener Salesforce protegido por Ironchip. * Tener dados de alta en Ironchip los usuarios que vayas a configurar. ### Configuración [Sección titulada «Configuración»](#configuración) 1. Ve a **Configuración de inicio de sesión único** y activa la opción **Desactivar el inicio de sesión con credenciales de Salesforce**.  2. Ve a **Conjuntos de permisos** y haz clic en **Nuevo**.  3. Cuando hayas creado el conjunto, escribe **Inicio de sesión único** en la barra de búsqueda y haz clic en la única opción que aparece.  4. Haz clic en **Modificar**, activa la opción marcada y guarda los cambios.  5. Ve al panel de **Usuarios** o de **Grupos**, según lo que quieras modificar, y haz clic en el nombre del usuario o del grupo.  6. Baja hasta **Asignación de conjuntos de permisos** y haz clic en **Modificar**.  7. Agrega el conjunto que creaste al principio y guarda los cambios.  ### Comprobar la restricción [Sección titulada «Comprobar la restricción»](#comprobar-la-restricción) Intenta iniciar sesión con las credenciales de un usuario configurado con esta regla. Con usuario y contraseña de Salesforce no te deja entrar. Con Ironchip, sí. # SolarWinds > Integrar Ironchip en SolarWinds mediante SAML: crear la aplicación, configurar el proveedor de identidad en SolarWinds y crear el usuario SAML. Ironchip actúa como proveedor de identidad SAML de SolarWinds. Esta guía explica cómo configurar el proveedor de identidad en SolarWinds y crear los usuarios que se autenticarán con Ironchip. ## Requisitos [Sección titulada «Requisitos»](#requisitos) * Acceso a la consola de administración de Ironchip. * Un usuario con permisos para realizar la configuración en SolarWinds. ## Configuración en Ironchip [Sección titulada «Configuración en Ironchip»](#configuración-en-ironchip) 1. En la consola de Ironchip, crea una aplicación de tipo **SAML**. 2. Descarga el archivo de metadatos.   ## Configuración en SolarWinds [Sección titulada «Configuración en SolarWinds»](#configuración-en-solarwinds) ### Añadir el proveedor de identidad [Sección titulada «Añadir el proveedor de identidad»](#añadir-el-proveedor-de-identidad) 1. Ve a **Settings** y después a **All Settings**.  2. En **USER ACCOUNTS**, haz clic en **SAML Configuration**.  3. Añade un nuevo proveedor de identidad (Identity Provider).  4. En la primera página, comprueba que la URL es correcta y haz clic en **Next**.  5. En la página siguiente aparecen dos valores: el **Audience URI** y el **SSO Service URL**. Anótalos.  ### Generar la URL de metadatos para Ironchip [Sección titulada «Generar la URL de metadatos para Ironchip»](#generar-la-url-de-metadatos-para-ironchip) Ironchip pide la URL de los metadatos del proveedor de servicios. Para obtenerla, toma este código como referencia y sustituye los valores: ```xml urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress ``` * Sustituye el contenido de `entityID` por el **Audience URI**. * Sustituye el contenido de `Location` por el **SSO Service URL**. Cuando tengas el bloque con los datos cambiados, súbelo a una dirección pública de internet y escribe su URL, en formato raw, en el campo **Metadata URL** de la aplicación de Ironchip.  ### Completar los datos del proveedor de identidad [Sección titulada «Completar los datos del proveedor de identidad»](#completar-los-datos-del-proveedor-de-identidad) Configura los campos con estos datos:  * **Identity Provider Name**: el nombre que quieras para el nuevo método de autenticación. * **SSO Target URL**: la propiedad `Location` de la etiqueta XML `SingleSignOnService` del archivo de metadatos que descargaste de Ironchip.  * **Issuer URI**: la propiedad `entityID` de la etiqueta XML `EntityDescriptor` del mismo archivo de metadatos.  * **X.509 Signing Certificate**: copia el certificado del archivo de metadatos de Ironchip y conviértelo al formato de certificado X.509. Puedes usar [esta web](https://www.samltool.com/format_x509cert.php).  ## Crear el usuario SAML [Sección titulada «Crear el usuario SAML»](#crear-el-usuario-saml) Crea un usuario de tipo SAML en SolarWinds y usa el mismo nombre en el acceso de Ironchip. 1. En **All Settings**, ve a **User Accounts** y entra en **Manage Accounts**.  2. Al crear la cuenta, selecciona una de las dos opciones de tipo SAML y configura la cuenta o el grupo según tus necesidades.  3. Usa el mismo nombre de usuario en el acceso de Ironchip. ## Comprobación [Sección titulada «Comprobación»](#comprobación) Este vídeo (en inglés) muestra una prueba de funcionamiento de la integración: [ Prueba de la integración de SolarWinds con IronchipReproducir el vídeo](https://play.hubspotvideo.com/v/7745202/id/159484246435) # WordPress > Proteger el acceso de administración de WordPress con Ironchip por SAML usando los plugins WP SAML Auth o miniOrange: metadatos, certificado y pruebas. Ironchip se integra con WordPress mediante SAML para proteger el panel de administración. Hay dos plugins posibles: **WP SAML Auth** y **miniOrange**. Elige uno y sigue su sección. ## Requisitos [Sección titulada «Requisitos»](#requisitos) * Acceso a la consola de administración de Ironchip. * Acceso a WordPress con permisos de administrador. ## Con el plugin WP SAML Auth [Sección titulada «Con el plugin WP SAML Auth»](#con-el-plugin-wp-saml-auth) Con este plugin, WordPress actúa como proveedor de servicios (SP) e Ironchip como proveedor de identidad (IdP). ### Configuración en WordPress (SP) [Sección titulada «Configuración en WordPress (SP)»](#configuración-en-wordpress-sp) Con el plugin ya instalado, genera primero los metadatos que le darás a la aplicación que crearás en Ironchip. 1. En el menú de la izquierda de WordPress, ve a **Ajustes** > **WP SAML Auth**. 2. Ve al apartado **Service Provider Settings** y copia los valores **Entity ID** y **Assertion Consumer Service**. 3. Genera los metadatos con una herramienta online, por ejemplo [samltool.com](https://www.samltool.com/). 4. Sube los metadatos generados a un servidor público y copia el enlace. En esta guía se usa pastebin.com. ### Configuración en Ironchip [Sección titulada «Configuración en Ironchip»](#configuración-en-ironchip) 1. En la consola de Ironchip, crea una aplicación de tipo **SAML**. 2. En **Metadata URL**, pega el enlace a los metadatos de WordPress. 3. Antes de hacer clic en **Next**, descarga los metadatos de Ironchip con **Download metadata file**. ### Configuración del proveedor de identidad en WordPress (IdP) [Sección titulada «Configuración del proveedor de identidad en WordPress (IdP)»](#configuración-del-proveedor-de-identidad-en-wordpress-idp) 1. Vuelve a WordPress, al mismo apartado **Ajustes** > **WP SAML Auth**, y configura **Identity Provider Settings** con el archivo de metadatos que acabas de descargar. 2. Para el certificado, copia el certificado de los metadatos de Ironchip y dale formato con una herramienta como [Format X.509 Certificate de samltool.com](https://www.samltool.com/format_x509cert.php). El resultado empieza por `-----BEGIN CERTIFICATE-----` y termina con `-----END CERTIFICATE-----`. 3. Copia el contenido formateado y crea un fichero de certificado con extensión `.crt`. Guárdalo en una carpeta de WordPress. 4. Copia la ruta de ese certificado en **x509 Certificate Path**. 5. Configura el atributo `user_login` con este valor para que la comunicación sea correcta: `urn:oid:0.9.2342.19200300.100.1.1`. ## Con el plugin miniOrange [Sección titulada «Con el plugin miniOrange»](#con-el-plugin-miniorange) ### Configuración en WordPress [Sección titulada «Configuración en WordPress»](#configuración-en-wordpress) 1. Instala el plugin de miniOrange. Cuando termine, el plugin aparece en la columna de la derecha para configurarlo. 2. En la primera pestaña, el plugin te pide configurar el IdP. Puedes hacerlo de forma manual o automática. Para obtener los metadatos, crea una aplicación de tipo **SAML** en Ironchip.   3. Descarga los metadatos de Ironchip con **Download metadata file** e impórtalos en WordPress. ### Configuración en Ironchip [Sección titulada «Configuración en Ironchip»](#configuración-en-ironchip-1) 1. Añade a la aplicación de Ironchip los metadatos del plugin. Para ello, abre el archivo de metadatos del plugin y copia su contenido. 2. Sube ese contenido a un servicio web que permita compartir texto públicamente. En esta guía se usa pastebin.com. 3. Copia la URL obtenida y añádela como **Metadata URL** en la aplicación SAML de Ironchip. ## Comprobación [Sección titulada «Comprobación»](#comprobación) Antes de probar, da acceso a la aplicación de Ironchip al usuario con el que vas a iniciar sesión. Los pasos están en [Agregar usuarios al servicio creado](/identidad/protocolos/saml/#dar-acceso-a-usuarios-y-grupos). * **WP SAML Auth**: cierra la sesión de WordPress e inicia una nueva con SAML. WordPress te redirige a Ironchip para autenticarte y después te devuelve al panel de administración. * **miniOrange**: vuelve a **Service Provider Setup** en WordPress y haz clic en **Test Configuration** para probar el inicio de sesión con Ironchip. ## Problemas frecuentes [Sección titulada «Problemas frecuentes»](#problemas-frecuentes) | Problema | Causa probable | Solución | | ------------------------------------ | -------------------------------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------- | | WordPress rechaza el certificado | El certificado no tiene formato ni cabecera | Dale formato con [samltool.com](https://www.samltool.com/format_x509cert.php), comprueba que empieza por `-----BEGIN CERTIFICATE-----` y guárdalo como `.crt` | | WordPress no reconoce al usuario | El atributo `user_login` no coincide con el que envía Ironchip | Usa `urn:oid:0.9.2342.19200300.100.1.1`, el nombre de usuario que envía Ironchip (consulta los [atributos SAML](/identidad/protocolos/saml/)) | | Ironchip no puede leer los metadatos | La URL de los metadatos no es pública | Comprueba que la URL se abre sin iniciar sesión y devuelve solo el XML | # Zoho One > Integrar Zoho One con Ironchip por SAML: crear la aplicación, añadir el proveedor de identidades, formatear el certificado X.509 y activar la directiva. Ironchip actúa como proveedor de identidad SAML de Zoho One. Esta guía explica cómo configurar ambas partes y asignar los usuarios que podrán autenticarse con Ironchip. ## Requisitos [Sección titulada «Requisitos»](#requisitos) * Acceso a la consola de administración de Ironchip. * Un usuario con permisos para realizar la configuración en Zoho One. ## Configuración en Ironchip [Sección titulada «Configuración en Ironchip»](#configuración-en-ironchip) ### Crear la aplicación SAML [Sección titulada «Crear la aplicación SAML»](#crear-la-aplicación-saml) 1. En la consola de Ironchip, ve a **Applications** y haz clic en el botón verde **New application**.  2. En el diálogo, selecciona **SAML** en **Standard authentication protocols**.  3. Asigna un nombre descriptivo a la aplicación, por ejemplo `Zoho One`. ### Obtener los datos del Identity Provider [Sección titulada «Obtener los datos del Identity Provider»](#obtener-los-datos-del-identity-provider) En el paso **Configure service** de la aplicación, abre la pestaña **Identity Provider**. En **Single Sign On Service**, copia estos valores, que necesitarás en Zoho One: * **URL SSO** (Single Sign On Service): será tu URL de inicio de sesión en Zoho. * **URL SLO**: se obtiene sustituyendo `/sso` por `/slo` en la URL anterior. * **Certificado X.509**: cópialo con su botón de copiar.  ## Configuración en Zoho One [Sección titulada «Configuración en Zoho One»](#configuración-en-zoho-one) ### Añadir el proveedor de identidades [Sección titulada «Añadir el proveedor de identidades»](#añadir-el-proveedor-de-identidades) 1. Accede al panel de Zoho One. En el menú superior, despliega el selector de espacios y haz clic en **Administrar espacios**.  2. En el panel lateral izquierdo, ve a **Seguridad** > **Proveedor de identidades** y haz clic en **Agregar proveedor de identidades**.  3. Selecciona el tipo **SAML** y rellena los campos con los datos que copiaste de Ironchip: * **URL de inicio de sesión**: pega la URL SSO de Ironchip. * **URL de cierre de sesión**: pega la misma URL cambiando `/sso` por `/slo`. * **Formato de ID de nombre**: selecciona **Dirección de correo electrónico**. * **Certificado X509**: sube el archivo `.crt` con el certificado formateado (consulta el apartado siguiente). ### Formatear el certificado X.509 [Sección titulada «Formatear el certificado X.509»](#formatear-el-certificado-x509) El certificado copiado de Ironchip debe tener el formato correcto antes de importarlo. 1. Ve a . 2. Pega el contenido del certificado en el campo **X.509 cert** y haz clic en **FORMAT X.509 CERTIFICATE**.  3. Copia el resultado y guárdalo como archivo de texto con extensión `.crt` (por ejemplo, `SAMLcert.crt`). 4. Vuelve a Zoho One e importa el archivo `.crt` en el campo **Certificado X509**.  Comprueba el formato del certificado El certificado bien formateado empieza por `-----BEGIN CERTIFICATE-----` y termina con `-----END CERTIFICATE-----`. Si no tiene ese formato, el inicio de sesión falla. ### Intercambiar los metadatos [Sección titulada «Intercambiar los metadatos»](#intercambiar-los-metadatos) Cuando guardes el proveedor de identidades en Zoho One, el sistema muestra los metadatos del Service Provider. 1. Copia estos valores: * **EntityID** / **Emisor** (Issuer). * **URL del Assertion Consumer Service (ACS)**.  2. Vuelve a la consola de Ironchip, entra en la aplicación SAML que creaste y abre la pestaña **Service Provider**. 3. Pega los valores copiados en los campos correspondientes y guarda los cambios.  ### Activar el proveedor de identidades en la directiva [Sección titulada «Activar el proveedor de identidades en la directiva»](#activar-el-proveedor-de-identidades-en-la-directiva) 1. En Zoho One, ve a **Seguridad** > **Directivas de enrutamiento** y edita la directiva **Valor predeterminado**.  2. Abre la pestaña **Modos de autenticación**, activa la opción **Proveedor de identidades** y marca la casilla de Ironchip. 3. Haz clic en **Actualizar**.  ## Generar accesos para los usuarios [Sección titulada «Generar accesos para los usuarios»](#generar-accesos-para-los-usuarios) 1. Vuelve a la consola de Ironchip y termina de crear la aplicación haciendo clic en **ADD**. 2. En **Your applications**, busca la aplicación y, en la columna **Add access**, haz clic en **Add**. 3. Asigna los usuarios o grupos que podrán autenticarse en Zoho One a través de Ironchip.  ## Comprobación [Sección titulada «Comprobación»](#comprobación) 1. Pide a un usuario al que hayas dado acceso que inicie sesión en Zoho One con el proveedor de identidades de Ironchip. 2. Zoho One lo redirige a Ironchip para autenticarse. 3. Cuando completa la autenticación en su dispositivo, vuelve a Zoho One con la sesión iniciada. ## Problemas frecuentes [Sección titulada «Problemas frecuentes»](#problemas-frecuentes) | Problema | Causa probable | Solución | | ------------------------------------------------------------ | --------------------------------------------------------------------------------------------------------------------------------------------------- | ---------------------------------------------------------------------------------------------------------------------------------------------------- | | El inicio de sesión falla después de importar el certificado | El certificado no tiene el formato correcto | Vuelve a formatearlo con la herramienta indicada y comprueba que empieza por `-----BEGIN CERTIFICATE-----` y termina con `-----END CERTIFICATE-----` | | Zoho One no reconoce al usuario | El **Formato de ID de nombre** no es **Dirección de correo electrónico**, o el nombre de usuario del acceso en Ironchip no es el correo del usuario | Corrige el formato en Zoho One y edita el acceso del usuario a la aplicación en Ironchip para usar como nombre de usuario su correo de Zoho One | | El usuario no puede autenticarse | No tiene acceso a la aplicación en Ironchip | En la columna **Add access** de la aplicación, haz clic en **Add** y asigna el usuario o su grupo | # Primeros pasos con la plataforma de identidad > Las seis tareas de la consola con las que arranca un despliegue: zona segura de recuperación, usuarios, sincronización, aplicación, administradores y zonas. Esta guía recorre, en orden, lo que hace un administrador la primera vez que entra en la consola de Ironchip. Cada paso enlaza con la guía detallada correspondiente. Cuando termines tendrás una aplicación protegida y a un primer grupo de usuarios autenticándose desde su zona segura. ## Antes de empezar [Sección titulada «Antes de empezar»](#antes-de-empezar) * Una cuenta de administrador en la consola. Ironchip la crea al dar de alta la compañía, en una reunión de arranque, con los correos y nombres de las primeras personas que la administrarán. * La app de Ironchip instalada en el móvil del administrador ([App Store](https://apps.apple.com/) o [Google Play](https://play.google.com/)). * Acceso al directorio de la organización (Active Directory, Entra ID o LDAP) si vas a sincronizar usuarios. ## Las seis tareas [Sección titulada «Las seis tareas»](#las-seis-tareas)  La consola abre con la pantalla **Get started**, que tiene una tarjeta por tarea: cada botón **Let’s go!** lleva al apartado donde se hace. Estas son las seis tareas con las que se empieza; el resto de tarjetas se describen en [La pantalla Get started](/identidad/administracion/consola/#la-pantalla-get-started). 1. **Añade una zona segura para recuperar la cuenta.** Es la zona desde la que un administrador podrá recuperar el acceso si pierde el dispositivo. Normalmente, la sede. [Zonas seguras y geofencing](/identidad/conceptos/zonas-seguras/). 2. **Añade un usuario.** Crea a mano el primer usuario (puede ser otra persona del equipo de IT) para probar el flujo completo de alta antes de sincronizar a toda la plantilla. [Usuarios y grupos](/identidad/administracion/usuarios-y-grupos/#a%C3%B1adir-un-usuario). 3. **Sincroniza usuarios.** Conecta el directorio para traer usuarios y grupos de forma automática: AD Connect para Active Directory, aplicación empresarial para Entra ID o proxy LDAP. [Sincronización de identidades](/identidad/administracion/sincronizacion/). 4. **Crea una aplicación.** Da de alta el primer servicio protegido y elige el protocolo: OIDC o SAML para aplicaciones web, RADIUS para VPN y red, API HTTP para aplicaciones propias. [Protocolos](/identidad/protocolos/). 5. **Haz administrador a un usuario.** Nombra al menos a una segunda persona administradora, para no depender de una sola cuenta. [Asignar un administrador](/identidad/administracion/usuarios-y-grupos/#asignar-un-administrador). 6. **Gestiona las zonas seguras.** Define el resto de zonas (plantas, centro de datos, domicilios de teletrabajo) y asígnalas a grupos y aplicaciones mediante políticas. [Políticas de autenticación](/identidad/conceptos/politicas/). ## Siguientes pasos [Sección titulada «Siguientes pasos»](#siguientes-pasos) * Distribuye la app a la plantilla y activa la [invitación automática](/identidad/administracion/invitacion-automatica/) para que cada usuario nuevo reciba su correo de alta. * Elige el [método de autenticación](/identidad/conceptos/metodos/) de cada puesto. Para puestos sin móvil, revisa el [token USB](/identidad/usuarios/token-usb/) y la [tarjeta RFID](/identidad/usuarios/rfid/). * Activa el [ITDR](/identidad/administracion/itdr/) y usa la [exportación de eventos](/identidad/administracion/exportacion-de-eventos/) para descargar los eventos que necesites. # Protocolos de integración > Cómo elegir entre OIDC, SAML, RADIUS, TACACS+ y la API HTTP para proteger una aplicación con Ironchip, y los pasos que comparten todas las integraciones. Ironchip protege cualquier servicio mediante protocolos estándar. La elección depende de dónde se autentica el usuario y de qué admite el servicio. | Protocolo | Para qué | Ejemplos | | ------------------------------------------- | ----------------------------------------------------------------------------------------------- | ----------------------------------------------------------- | | [OIDC](/identidad/protocolos/oidc/) | Aplicaciones web y móviles modernas. Ironchip actúa como proveedor de identidad y emite tokens. | Nextcloud, HashiCorp Vault y Boundary, aplicaciones propias | | [SAML](/identidad/protocolos/saml/) | Federación con suites y SaaS corporativos. | Microsoft 365, Google Workspace, Salesforce, Palo Alto | | [RADIUS](/identidad/protocolos/radius/) | VPN, wifi corporativo, cortafuegos y electrónica de red. | Fortinet, Check Point, Stormshield, OpenVPN | | [TACACS+](/identidad/protocolos/tacacs/) | Administración de dispositivos de red con perfiles de autorización por comando. | Switches, routers y cortafuegos compatibles con TACACS+ | | [API HTTP](/identidad/protocolos/http-api/) | Añadir la verificación de Ironchip a aplicaciones de desarrollo propio, con una API key. | Portales internos, aplicaciones a medida | Para proteger conexiones de Escritorio remoto, consulta la guía de [RDP](/identidad/integraciones/puestos/rdp/). Para proteger la autenticación LDAP, consulta el [proxy LDAP](/identidad/administracion/sincronizacion/proxy-ldap/). Además, puedes usar [contraseñas de un solo uso (OTP)](/identidad/protocolos/otp/) como segundo factor y centralizar la [validación de certificados, LDAP, RADIUS y OTP/MFA](/identidad/protocolos/validacion-centralizada/). Las guías de [integraciones](/identidad/integraciones/) aplican estos protocolos a productos concretos. ## Qué soporta Ironchip de forma nativa [Sección titulada «Qué soporta Ironchip de forma nativa»](#qué-soporta-ironchip-de-forma-nativa) Ironchip admite de forma nativa estos protocolos y accesos: * SAML y OIDC / OAuth 2.0. * RADIUS NPS y RADIUS passwordless. * LDAP. * Windows Logon, RDP e hipervisores. * Linux PAM, SSH, `sudo` y `su`.  Puedes descargar el [documento de aplicaciones y accesos (PDF)](https://7745202.fs1.hubspotusercontent-na1.net/hubfs/7745202/02-aplicaciones-accesos.pdf). ## Antes de empezar [Sección titulada «Antes de empezar»](#antes-de-empezar) Prepara las direcciones de correo electrónico y los nombres de los usuarios que vas a agregar. La persona que se agrega se registra primero. Esto se hace en una reunión. ## Qué comparten todas las integraciones [Sección titulada «Qué comparten todas las integraciones»](#qué-comparten-todas-las-integraciones) 1. **Da de alta la aplicación** en la consola, en **Applications**, y elige el protocolo en **Application integration type**. 2. **Guarda las credenciales** que la consola devuelve una sola vez: el Client ID y el Client Secret en OIDC, y la API key en RADIUS y en la API HTTP. 3. **Da acceso a usuarios y grupos** desde la ventana **Add a new access**. Cada usuario individual se trata como un grupo con su propio nombre. 4. **Elige el formato del nombre de usuario** (External Username) que recibirá la aplicación: correo por defecto, o una combinación de etiquetas como `name`, `surname` o `domain`. 5. **Asigna las políticas de autenticación** que decidirán qué se exige a ese grupo en esa aplicación, como el dispositivo o la zona segura del usuario. Los pasos detallados están en [Aplicaciones](/identidad/administracion/aplicaciones/). Los atributos que Ironchip envía en SAML están en la página de [SAML](/identidad/protocolos/saml/). ## Preguntas frecuentes [Sección titulada «Preguntas frecuentes»](#preguntas-frecuentes) ### ¿Cómo se integran aplicaciones propias o de desarrollo interno? [Sección titulada «¿Cómo se integran aplicaciones propias o de desarrollo interno?»](#cómo-se-integran-aplicaciones-propias-o-de-desarrollo-interno) La aplicación ejecuta una única llamada HTTPS GET a un endpoint de Ironchip. Cuando el usuario completa su autenticación, el endpoint devuelve la identidad validada para que la aplicación conceda o deniegue el acceso. * No requiere SDK complejos y es compatible con cualquier lenguaje. * No modifica la lógica de autenticación existente. ### ¿Se puede integrar una aplicación propia sin SAML ni OIDC? [Sección titulada «¿Se puede integrar una aplicación propia sin SAML ni OIDC?»](#se-puede-integrar-una-aplicación-propia-sin-saml-ni-oidc) Sí. Una única llamada HTTPS GET al endpoint de Ironchip es suficiente: 1. El usuario intenta acceder a la aplicación propia. 2. La aplicación llama al endpoint de Ironchip con el identificador del usuario. 3. Ironchip muestra el flujo de autenticación habitual (push, USB, NFC, etc.). 4. Cuando el usuario termina, el endpoint devuelve la identidad validada. 5. La aplicación usa esa respuesta para conceder o denegar el acceso. Consulta la guía de [API HTTP](/identidad/protocolos/http-api/). ### ¿Se puede proteger el acceso a un ERP (Navision, SAP, Oracle PeopleSoft)? [Sección titulada «¿Se puede proteger el acceso a un ERP (Navision, SAP, Oracle PeopleSoft)?»](#se-puede-proteger-el-acceso-a-un-erp-navision-sap-oracle-peoplesoft) Sí, de varias formas según el ERP: * **Windows Logon**: protege el sistema operativo que ejecuta el ERP. * **SAML u OIDC**: si el ERP lo admite (SAP, Dynamics 365, Workday). * **API directa**: para ERP con desarrollo propio. * **RADIUS**: para acceder a los ERP a través de una VPN corporativa. ### ¿Ironchip requiere infraestructura local o es SaaS? [Sección titulada «¿Ironchip requiere infraestructura local o es SaaS?»](#ironchip-requiere-infraestructura-local-o-es-saas) Es SaaS puro: no requiere despliegues pesados en la infraestructura del cliente. El cliente solo instala agentes ligeros (aplicación de escritorio, conector RADIUS y agente AD Connect). Existe una modalidad on-premise bajo acuerdo específico para organizaciones con requisitos de soberanía de datos o redes air-gapped. ### ¿Ironchip puede proveer entornos de contingencia o failover? [Sección titulada «¿Ironchip puede proveer entornos de contingencia o failover?»](#ironchip-puede-proveer-entornos-de-contingencia-o-failover) Sí. Ironchip puede proveer entornos de contingencia sin coste adicional en las licencias, que funcionan como espejo de producción para garantizar la continuidad del servicio de autenticación. ### ¿Cómo integro Ironchip con el servidor NPS? [Sección titulada «¿Cómo integro Ironchip con el servidor NPS?»](#cómo-integro-ironchip-con-el-servidor-nps) Se instala el plugin MFA para NPS en el servidor NPS. El proceso tiene tres partes: 1. En la consola de Ironchip, crea la integración y la aplicación, y obtén la API key de la compañía. 2. En Network Policy Server, crea la política de red que quieres proteger, con sus condiciones y sus parámetros. 3. Descarga el plugin de Ironchip desde la sección de plugins de la consola, ejecuta el instalador e indica el host de Ironchip, la API key y el nombre de la política de red. Después, comprueba los registros del plugin en el **Visor de eventos**. Los pasos detallados, con capturas, están en la guía de [NPS](/identidad/integraciones/red/nps/). ### ¿Cómo integro Ironchip con ADFS? [Sección titulada «¿Cómo integro Ironchip con ADFS?»](#cómo-integro-ironchip-con-adfs) Se instala el plugin de Ironchip MFA en el servidor ADFS: 1. En la consola de Ironchip, crea una aplicación de tipo API Key y guarda la API key. 2. Descarga el plugin y ejecuta el instalador en el servidor ADFS, indicando el host y la API key. 3. En ADFS, activa el adaptador Ironchip MFA como método de autenticación multifactor y protege las aplicaciones que quieras. 4. Comprueba en el **Visor de eventos** que el plugin está instalado. Los pasos detallados están en la guía de [ADFS](/identidad/integraciones/saas/adfs/). [Descargar la documentación de NPS y ADFS (PDF)](https://7745202.fs1.hubspotusercontent-na1.net/hubfs/7745202/Integraciones/Integration-Ironchip-plugin-NPS%26ADFS.pdf) # API HTTP > Añadir la verificación de Ironchip a una aplicación de desarrollo propio con una integración MFA y su API key: alta de la integración, aplicación y accesos. La autenticación HTTP permite añadir la verificación de Ironchip a una aplicación de desarrollo propio: el backend llama a la API con una API key e Ironchip pide al usuario la aprobación en su dispositivo. Es una forma de soportar autenticaciones mediante llamadas HTTP estándar, sin SDK y desde cualquier lenguaje. ## Cómo funciona [Sección titulada «Cómo funciona»](#cómo-funciona) 1. El usuario intenta acceder a la aplicación propia. 2. La aplicación hace una llamada HTTPS GET al endpoint de Ironchip con el identificador del usuario. 3. Ironchip muestra al usuario el flujo de autenticación habitual (push, USB, NFC, etc.). 4. Cuando el usuario termina, el endpoint devuelve la identidad validada. 5. La aplicación usa esa respuesta para conceder o denegar el acceso. La integración no modifica la lógica de autenticación que ya tiene la aplicación. ## Requisitos [Sección titulada «Requisitos»](#requisitos) * Una cuenta de administrador en la consola de Ironchip. * Acceso al código del backend de la aplicación que quieres proteger. * Los usuarios dados de alta en Ironchip, o la [sincronización de identidades](/identidad/administracion/sincronizacion/) configurada. * La compañía creada en Ironchip. Consulta [Protocolos de integración](/identidad/protocolos/) para los datos previos. ## Crear la integración MFA [Sección titulada «Crear la integración MFA»](#crear-la-integración-mfa) En **Applications > MFA Integrations** ves todas las integraciones HTTP-MFA que se han añadido a Ironchip. 1. Haz clic en **Add MFA**. Se abre una ventana nueva.  2. En la ventana **Add new MFA**, escribe en **Name** el nombre de la integración MFA y haz clic en **Continue**. Elige un nombre reconocible: es el que aparece en **Application integration type** cuando das de alta la aplicación.  3. Aparece la ventana **Credentials of new HTTP-MFA integration** con la **API KEY**. Guárdala o descárgala con **Download**: por seguridad, no podrás volver a consultarla desde la consola. La usarás para configurar servicios con Ironchip.  ## Añadir la aplicación a la compañía [Sección titulada «Añadir la aplicación a la compañía»](#añadir-la-aplicación-a-la-compañía) En la sección **Applications** ves todos los servicios protegidos que se han añadido a Ironchip y su tipo de integración. 1. Haz clic en **New Application**. Se abre la ventana **Add new application**.  2. En el paso **Application Details**, escribe el nombre de la aplicación en **Name**. 3. En **Application integration type**, selecciona el nombre que diste a la integración MFA en el apartado anterior. 4. Haz clic en **Next** y completa el paso **Upload Logo** para terminar. La aplicación aparece en la sección **Applications**. ## Dar acceso a usuarios y grupos [Sección titulada «Dar acceso a usuarios y grupos»](#dar-acceso-a-usuarios-y-grupos) 1. En **Applications**, haz clic en **Add**, en la columna **Add access** de la aplicación. Se abre la ventana **Add a new access**. 2. En **Select a group**, busca por nombre con **Search by name**, marca la casilla **Add** de los usuarios o grupos que tendrán acceso y haz clic en **Next**.  3. En **Select usernames**, comprueba el formato del nombre de usuario externo (**External Username**), por defecto el correo, y haz clic en **Next**. 4. En **Select authentication policies**, elige las [políticas de autenticación](/identidad/conceptos/politicas/) que se exigirán para acceder, por ejemplo **Any user devices** AND **Any user safezones**, y haz clic en **Next**. 5. En **Review**, revisa el resumen y haz clic en **Add**. El acceso queda creado con la configuración seleccionada. Puedes cambiarla en cualquier momento con el botón **Options** del acceso. Los detalles de cada paso están en [Dar acceso a usuarios y grupos](/identidad/administracion/aplicaciones/#dar-acceso-a-usuarios-y-grupos). # OIDC > Proteger una aplicación con OpenID Connect: dar de alta la aplicación en Ironchip, guardar el Client ID y el Client Secret y dar acceso a grupos de usuarios. OpenID Connect (OIDC) es el protocolo de identidad sobre OAuth 2.0 que usan las aplicaciones web y móviles modernas. Ironchip actúa como proveedor de identidad: la aplicación redirige al usuario a Ironchip, que lo autentica con su método y su zona segura, y devuelve un token con su identidad. ## Requisitos [Sección titulada «Requisitos»](#requisitos) * Una cuenta de administrador en la consola de Ironchip. * Un servicio que admita OIDC y del que conozcas la **Redirect URI** (la dirección a la que Ironchip devolverá al usuario tras autenticarse). * Los usuarios dados de alta en Ironchip, o la [sincronización de identidades](/identidad/administracion/sincronizacion/) configurada. * La compañía creada en Ironchip. Consulta [Protocolos de integración](/identidad/protocolos/) para los datos previos. ## Añadir la aplicación a la compañía [Sección titulada «Añadir la aplicación a la compañía»](#añadir-la-aplicación-a-la-compañía) En la sección **Applications** ves todos los servicios protegidos que se han añadido a Ironchip y su tipo de integración. 1. Haz clic en **New Application**. Se abre la ventana **Add new application**.  2. En el paso **Application Details**, escribe el nombre de la aplicación en **Name**. 3. En **Application integration type**, selecciona **OIDC - OAUTH 2.0**. 4. En **Redirect URIs**, introduce la Redirect URI. Para obtenerla, busca su ruta en el servicio que quieres integrar.  5. Haz clic en **Next** y completa el paso **Upload Logo** para terminar. El servicio aparece en la sección **Applications**. Guarda el Client ID y el Client Secret Guarda los campos que se devuelven al crear el servicio, en este caso **Client ID** y **Client Secret**. Solo se muestran esta vez y tendrás que introducirlos en la configuración del servicio que integras. ## Dar acceso a usuarios y grupos [Sección titulada «Dar acceso a usuarios y grupos»](#dar-acceso-a-usuarios-y-grupos) En la página de información de cada aplicación (ve a **Applications** y selecciónala) ves el recuento de autenticaciones correctas (**Correct auths**) e incorrectas (**Wrong auths**) y la lista de los accesos ya configurados. Para dar un acceso nuevo: 1. En **Applications**, haz clic en **Add**, en la columna **Add access** de la aplicación. Se abre la ventana **Add a new access**, con cuatro pasos.  2. En **Select a group**, busca por nombre con **Search by name** y marca la casilla **Add** de cada grupo o usuario al que quieres dar acceso. Después, haz clic en **Next**.  3. En **Select usernames**, elige el formato del nombre de usuario externo (**External Username**) con el que se accede a la aplicación. Por defecto está seleccionada la etiqueta `email`, pero puedes construir otro formato con etiquetas (`name`, `surname`, `domain`, etc.): escríbelas en el cuadro **Enter a tag**. Debajo, **Username example** muestra el nombre que se generaría para un usuario de ejemplo. Este nombre solo se usa en este acceso: no sustituye al nombre del usuario en la plataforma. Después, haz clic en **Next**. 4. En **Select authentication policies**, selecciona las [políticas de autenticación](/identidad/conceptos/politicas/) que se exigen al grupo o usuario. Puedes combinar varias en una misma línea con **AND** (deben cumplirse todas) u **OR** (basta con una). Usa el botón **+** para añadir políticas y el botón **x** para quitarlas. Después, haz clic en **Next**.  5. En **Review**, revisa el resumen: el nombre de la aplicación, el grupo o usuario elegido, la plantilla del nombre de usuario externo y el flujo de autorización (**Authorization flow**). Después, haz clic en **Add** para crear el acceso. El acceso aparece en la lista de accesos de la aplicación. Puedes gestionarlo en cualquier momento con el botón **Options**: consulta [Gestionar un acceso](/identidad/administracion/aplicaciones/#gestionar-un-acceso). # Contraseñas de un solo uso (OTP) > Crear, usar, proteger y eliminar OTP de Ironchip como segundo factor: códigos TOTP RFC 6238, protección con hardware seguro y control del ITDR. Los OTP (contraseñas de un solo uso) de Ironchip generan códigos TOTP conformes al RFC 6238. Sirven como segundo factor en cualquier servicio protegido por Ironchip, y son compatibles con la aplicación Ironchip y con cualquier aplicación autenticadora que implemente ese estándar. ## Requisitos [Sección titulada «Requisitos»](#requisitos) * Acceso a la consola de Ironchip con rol de administrador. * La aplicación Ironchip (móvil o de escritorio) instalada en el dispositivo del usuario, o cualquier aplicación autenticadora compatible con RFC 6238. * Para la protección de la semilla: un dispositivo con TPM (Windows), Android Keystore, o Secure Enclave y Keychain en iOS. ## Crear un OTP [Sección titulada «Crear un OTP»](#crear-un-otp) 1. Abre la aplicación móvil de Ironchip y ve al apartado de la barra inferior con el icono de un candado con una flecha. 2. Pulsa el botón **+** y selecciona una de estas opciones: * **Scan a QR code**: escanea con la cámara del teléfono el código QR del OTP. * **Enter URL**: introduce la URL de configuración del OTP. * **Enter setup key**: introduce manualmente la clave de configuración del OTP. Una vez añadido, el OTP queda creado y la aplicación empieza a mostrar sus códigos. La ventana de validez temporal del OTP se configura al generarlo y queda asociada a él. Para modificarla, elimina el OTP y crea uno nuevo con la ventana que quieras. ## Usar el OTP [Sección titulada «Usar el OTP»](#usar-el-otp) Una vez dado de alta, el usuario usa el OTP como segundo factor en cualquier servicio protegido por Ironchip, como el acceso a dispositivos de red mediante [TACACS+](/identidad/protocolos/tacacs/), una VPN o una aplicación web. Cuando el servicio pide el segundo factor, el usuario abre la aplicación, lee el código vigente y lo introduce. Ironchip lo calcula de nuevo a partir de la clave del OTP y lo valida, aceptando los periodos incluidos en la ventana de validez configurada al crearlo. En el acceso por SSH a un dispositivo con TACACS+, el código se introduce en el campo de contraseña. Para comprobarlo desde el propio dispositivo, ejecuta: ```text test aaa group ironchip-group legacy ``` La validación se rechaza en estos casos: * **Código caducado**: ha pasado su periodo y queda fuera de la ventana de validez, o el reloj del dispositivo está desfasado. Espera al siguiente código y comprueba que la hora del dispositivo es automática. * **Código ya utilizado**: cada código solo puede validarse una vez. Espera al siguiente código. * **OTP eliminado**: un administrador lo ha revocado. Da de alta un OTP nuevo. * **Contexto sospechoso**: el ITDR bloquea el intento por la localización, el dispositivo o el horario, aunque el código sea correcto. Todas las validaciones, correctas o rechazadas, quedan registradas en el apartado **Events** de la consola y pueden exportarse mediante la [exportación de eventos](/identidad/administracion/exportacion-de-eventos/). ## Protección del OTP [Sección titulada «Protección del OTP»](#protección-del-otp) Los OTP de Ironchip están protegidos frente a la clonación de tokens, el phishing y la reutilización de credenciales. La generación de los códigos se apoya en el hardware seguro de cada plataforma. La clave del OTP nunca se almacena en claro y queda protegida por ese hardware, de modo que no puede copiarse a otro dispositivo: * **Windows (aplicación de escritorio)**: TPM (Trusted Platform Module). La clave se cifra con una clave generada y protegida por el TPM, ligada al equipo, y no puede descifrarse fuera de él. * **Android**: Android Keystore, con StrongBox o TEE según el dispositivo. Es el equivalente al TPM en el teléfono: la clave que protege el OTP se genera dentro del hardware seguro y no es exportable. * **iOS**: Secure Enclave y Keychain. Es el equivalente al TPM en el iPhone: la clave que protege el OTP se genera en el Secure Enclave y el OTP se guarda en el Keychain, accesible solo en ese dispositivo y con el dispositivo desbloqueado. Al estar ligado al dispositivo, el OTP no se transfiere con una copia de seguridad ni con la migración a otro teléfono. En ese caso, da de alta un OTP nuevo. Además, el [ITDR](/identidad/administracion/itdr/) de Ironchip controla el uso de los OTP: * **Anti-reutilización**: un código ya utilizado dentro de su ventana de validez se rechaza y el intento queda registrado. * **Anti-phishing**: el ITDR evalúa la localización, el dispositivo, el horario y los patrones de uso de cada autenticación, y bloquea o exige una verificación adicional si el comportamiento es anómalo, aunque el código introducido sea correcto. * **Anti-clonado**: si el mismo OTP se usa desde contextos incompatibles, por ejemplo localizaciones distantes en un intervalo corto, el ITDR lo detecta y permite revocarlo. Puedes exportar estos eventos a tu SIEM mediante la [exportación de eventos del ITDR](/identidad/administracion/exportacion-de-eventos/). ## Eliminar y reasignar un OTP [Sección titulada «Eliminar y reasignar un OTP»](#eliminar-y-reasignar-un-otp) 1. Abre la aplicación móvil de Ironchip y ve al apartado de la barra inferior con el icono de un candado con una flecha. 2. Desliza el OTP hacia la izquierda y pulsa la papelera roja. Una vez eliminado, la aplicación deja de mostrar los códigos de ese OTP. Para reasignarlo a otro dispositivo, o para crear uno con otra ventana de validez, elimina el OTP anterior y da de alta uno nuevo en el dispositivo de destino siguiendo los pasos de [Crear un OTP](#crear-un-otp). # RADIUS > Proteger VPN, wifi y equipos de red con RADIUS: crear la aplicación Passwordless RADIUS, instalar el Ironchip RADIUS server y probar el acceso. RADIUS (Remote Authentication Dial-In User Service) es el protocolo de autenticación que usan las VPN, el wifi corporativo, los cortafuegos y la electrónica de red. Ironchip responde a las peticiones RADIUS del equipo y pide al usuario la aprobación en su dispositivo. ## Requisitos [Sección titulada «Requisitos»](#requisitos) * Una cuenta de administrador en la consola de Ironchip. * Un equipo que admita RADIUS y acceso a su configuración de servidores de autenticación. * Los usuarios dados de alta en Ironchip, o la [sincronización de identidades](/identidad/administracion/sincronizacion/) configurada. ## Crear la aplicación en Ironchip [Sección titulada «Crear la aplicación en Ironchip»](#crear-la-aplicación-en-ironchip) El primer paso es crear una aplicación **Passwordless RADIUS** en la consola de Ironchip, que te da una API key. 1. Ve a **Applications** y haz clic en **New application**. 2. En la sección **Standard authentication protocols**, elige **Passwordless RADIUS**. 3. Ponle un nombre identificativo (mínimo 3 caracteres) y haz clic en **Add**. 4. Copia la API key o haz clic en **Download credentials** para descargarla en el fichero `credentials.json`. La consola no vuelve a mostrarla. ## Instalar el servidor RADIUS [Sección titulada «Instalar el servidor RADIUS»](#instalar-el-servidor-radius) Ironchip responde a las peticiones RADIUS con el [Ironchip RADIUS server](/identidad/integraciones/red/radius-server/), un servicio para Windows y Linux que escucha por defecto en el puerto UDP `1812`. Su guía explica cómo: * descargar el ejecutable de la última versión; * crear el fichero de configuración `ironchip_lbauth_radius_server.json` con la API key (`ironchip_api_secret`) y el secreto compartido (`radius_key`); * instalarlo e iniciarlo como servicio con `service install` y `service start`; * añadir atributos a la respuesta RADIUS, por ejemplo los grupos del usuario. Después, configura el equipo que quieres proteger (VPN, wifi, cortafuegos) para que use ese servidor: su dirección, el puerto `1812` y el mismo secreto compartido. Tienes ejemplos para productos concretos en las guías de [integraciones](/identidad/integraciones/), como [WatchGuard](/identidad/integraciones/red/watchguard/). ## Ejemplo de autenticación [Sección titulada «Ejemplo de autenticación»](#ejemplo-de-autenticación) El siguiente vídeo muestra el acceso a una VPN de WatchGuard con el Ironchip RADIUS server en funcionamiento. En el vídeo se escribe una contraseña porque WatchGuard no permite dejar el campo vacío. El texto de ese campo puede ser aleatorio, como en los dos ejemplos del vídeo. [ Acceso a una VPN de WatchGuard con el servidor RADIUS de IronchipReproducir el vídeo](https://play.hubspotvideo.com/v/7745202/id/157030588740) # SAML > Proteger una aplicación con SAML 2.0: atributos que envía Ironchip, alta de la aplicación con su metadata y acceso de usuarios y grupos con sus políticas. SAML 2.0 es el protocolo de federación que usan las suites y los SaaS corporativos (Microsoft 365, Google Workspace, Salesforce). Ironchip actúa como proveedor de identidad y emite la aserción con los atributos del usuario. ## Requisitos [Sección titulada «Requisitos»](#requisitos) * Una cuenta de administrador en la consola de Ironchip. * Un servicio que admita SAML 2.0 y del que conozcas la **ACS URL** y el **Entity ID**. * Los usuarios dados de alta en Ironchip, o la [sincronización de identidades](/identidad/administracion/sincronizacion/) configurada. * La compañía creada en Ironchip. Consulta [Protocolos de integración](/identidad/protocolos/) para los datos previos. ## Atributos SAML soportados [Sección titulada «Atributos SAML soportados»](#atributos-saml-soportados) Ironchip admite actualmente estos campos: | Descripción | Friendly name | SAML name | | ----------------- | ------------- | ----------------------------------- | | Nombre de usuario | `uid` | `urn:oid:0.9.2342.19200300.100.1.1` | | Correo | `mail` | `urn:oid:0.9.2342.19200300.100.1.3` | | Nombre | `givenName` | `urn:oid:2.5.4.42` | | Nombre completo | `cn` | `urn:oid:2.5.4.3` | ## Añadir la aplicación a la compañía [Sección titulada «Añadir la aplicación a la compañía»](#añadir-la-aplicación-a-la-compañía) En la sección **Applications** ves todos los servicios protegidos que se han añadido a Ironchip y su tipo de integración. 1. Haz clic en **New Application**. Se abre la ventana **Add new application**.  2. En el paso **Application Details**, escribe el nombre de la aplicación en **Name**. 3. En **Application integration type**, selecciona **SAML**. 4. En **Metadata URL**, introduce la URL pública del documento de metadata del servicio que quieres proteger: Ironchip lo descarga desde esa URL. La encontrarás en la configuración del servicio, por ejemplo en un campo **Metadata public URL**. 5. Haz clic en **Download metadata file** para descargar la metadata del IdP SAML de Ironchip y cárgala en la configuración del servicio, para que pueda comunicarse con Ironchip.  6. Haz clic en **Next** y completa el paso **Upload Logo** para terminar. El servicio aparece en la sección **Applications**. ## Dar acceso a usuarios y grupos [Sección titulada «Dar acceso a usuarios y grupos»](#dar-acceso-a-usuarios-y-grupos) 1. En **Applications**, haz clic en **Add**, en la columna **Add access** del servicio. Se abre la ventana **Add a new access**. 2. En **Select a group**, busca por nombre con **Search by name**, marca la casilla **Add** de los usuarios o grupos que tendrán acceso y haz clic en **Next**.  3. En **Select usernames**, comprueba el formato del nombre de usuario externo (**External Username**), por defecto el correo, y haz clic en **Next**. 4. En **Select authentication policies**, elige las [políticas de autenticación](/identidad/conceptos/politicas/) que se exigirán para acceder, por ejemplo **Any user devices** AND **Any user safezones**, y haz clic en **Next**. 5. En **Review**, revisa el resumen y haz clic en **Add**. El acceso queda creado con la configuración seleccionada. Puedes cambiarla en cualquier momento con el botón **Options** del acceso. Los detalles de cada paso están en [Dar acceso a usuarios y grupos](/identidad/administracion/aplicaciones/#dar-acceso-a-usuarios-y-grupos). # TACACS+ > Proteger la administración de switches, routers y cortafuegos con TACACS+: crear la aplicación, definir perfiles de autorización y configurar el dispositivo. TACACS+ permite autenticar y autorizar a los administradores de dispositivos de red con Ironchip, y registrar sus sesiones y comandos. Ironchip actúa como servidor TACACS+. ## Requisitos [Sección titulada «Requisitos»](#requisitos) * Acceso a la consola de Ironchip con rol de administrador. * Un dispositivo de red compatible con TACACS+ (switches, routers, cortafuegos). * Conectividad desde el dispositivo hasta Ironchip por el puerto TCP 49. ## Crear la aplicación en Ironchip [Sección titulada «Crear la aplicación en Ironchip»](#crear-la-aplicación-en-ironchip) 1. Ve a **Applications** y haz clic en **New Application**. 2. En el primer cuadro, con el título **Custom application**, haz clic en **Create application**. 3. Ponle un nombre identificativo, selecciona el tipo **TACACS+** y haz clic en **Add service**. 4. Completa estos campos: * **Shared secret**: el secreto compartido entre el dispositivo de red e Ironchip. Elige el que quieras, pero debe ser el mismo en el dispositivo y en la consola. Se recomienda un mínimo de 24 caracteres. * **Devices**: direcciones IP o rangos CIDR de los dispositivos autorizados a consultar al servidor TACACS+. Las peticiones de otros orígenes se rechazan. * **Authentication method**: método con el que se valida al administrador. Puedes elegir Ironchip (modelo passwordless), LDAP, RADIUS o certificado, según lo configurado en la [validación centralizada](/identidad/protocolos/validacion-centralizada/). * **Second factor**: OTP o MFA de Ironchip, opcional u obligatorio. 5. Haz clic en **Save**. Ironchip empieza a escuchar peticiones TACACS+ en el puerto TCP 49. ## Configurar perfiles de autorización [Sección titulada «Configurar perfiles de autorización»](#configurar-perfiles-de-autorización) Los perfiles definen qué puede hacer cada administrador una vez autenticado. 1. Ve a la aplicación creada, abre la pestaña **Authorization** y haz clic en **New profile**. 2. Completa estos campos: * **Name**: nombre del perfil, por ejemplo `network-admin` o `read-only`. * **Privilege level**: nivel de privilegio, de 0 a 15, que se entrega al dispositivo. * **Allowed commands**: lista de comandos permitidos, con soporte de expresiones regulares. * **Denied commands**: lista de comandos denegados. Tiene prioridad sobre la lista de permitidos. 3. Asigna cada perfil a un usuario o a un grupo de Ironchip. Un usuario que pertenece a varios grupos recibe el perfil de mayor privilegio, salvo que definas otro orden de prioridad en **Priority**. Todas las sesiones y los comandos ejecutados quedan registrados (accounting). Puedes consultarlos en el apartado **Events** de la consola o exportarlos mediante la [exportación de eventos](/identidad/administracion/exportacion-de-eventos/). ## Configurar el dispositivo de red [Sección titulada «Configurar el dispositivo de red»](#configurar-el-dispositivo-de-red) Configura el dispositivo para que use Ironchip como servidor TACACS+. Este es un ejemplo para un dispositivo con Cisco IOS: Cisco IOS ```text aaa new-model tacacs server ironchip address ipv4 port 49 key aaa group server tacacs+ ironchip-group server name ironchip aaa authentication login default group ironchip-group local aaa authorization exec default group ironchip-group local aaa authorization commands 15 default group ironchip-group local aaa accounting exec default start-stop group ironchip-group aaa accounting commands 15 default start-stop group ironchip-group ``` Conserva una cuenta local La palabra clave `local` al final de cada línea mantiene un acceso local de emergencia si el servidor TACACS+ no responde. Asegúrate de conservar una cuenta local de administración antes de aplicar la configuración. ## Comprobación [Sección titulada «Comprobación»](#comprobación) Para comprobar la conectividad, ejecuta en el dispositivo: ```text test aaa group ironchip-group legacy ``` ## Ejemplo de autenticación [Sección titulada «Ejemplo de autenticación»](#ejemplo-de-autenticación) Al conectar por SSH al dispositivo, el administrador introduce su usuario y, en el campo de contraseña, el segundo factor (por ejemplo, el código de un [OTP](/identidad/protocolos/otp/)). Si el método de autenticación es Ironchip, el dispositivo envía la petición al servidor TACACS+ de Ironchip, que valida al administrador, comprueba la localización y los factores configurados y devuelve el perfil de autorización correspondiente. Algunos dispositivos no permiten dejar vacío el campo de contraseña. Cuando el método de autenticación es Ironchip, el texto de ese campo puede ser aleatorio. # Validación centralizada > Validar certificados, LDAP, RADIUS y OTP/MFA desde un único punto: modos integrado y passthrough, configuración de cada servicio y política de autenticación. Ironchip actúa como punto único de validación de certificados, LDAP, RADIUS y OTP/MFA. Esta página explica cómo configurar cada servicio y cómo combinarlos en una política de autenticación. ## Requisitos [Sección titulada «Requisitos»](#requisitos) * Acceso a la consola de Ironchip con rol de administrador. * Para el modo passthrough: conectividad desde Ironchip hasta los servidores LDAP, RADIUS u OTP existentes. * Para la validación de certificados: al menos una CA configurada en Ironchip o importada como CA de confianza. ## Modos de validación [Sección titulada «Modos de validación»](#modos-de-validación) Para cada servicio puedes elegir entre dos modos: | Servicio | Modo integrado | Modo passthrough | | ------------ | --------------------------------------------------------- | --------------------------------------------------------------------- | | Certificados | Validación con las CA de Ironchip, CRL y OCSP | Validación contra CA externas de confianza y su CRL u OCSP | | LDAP | Directorio de usuarios y grupos de Ironchip | Proxy LDAP hacia el directorio existente (Active Directory, OpenLDAP) | | RADIUS | Servidor RADIUS de Ironchip | Reenvío de la petición a un servidor RADIUS externo | | OTP/MFA | Factores de Ironchip (aplicación móvil, llave FIDO2, OTP) | Validación del código en un servidor OTP externo | Puedes combinar ambos modos. Por ejemplo, puedes validar el certificado del dispositivo con la CA integrada, el usuario contra tu Active Directory mediante passthrough y el segundo factor con Ironchip. ## Configurar la validación de certificados [Sección titulada «Configurar la validación de certificados»](#configurar-la-validación-de-certificados) Ve a **Settings**, apartado **Certificate validation**, y configura: * **Trusted CAs**: CA integradas y CA externas que se consideran de confianza. Para añadir una CA externa, haz clic en **Add trusted CA** y carga su certificado. * **Revocation check**: OCSP, CRL o ambos. Se recomienda OCSP con CRL como respaldo. * **On failure**: qué hacer si no se puede consultar el estado de revocación. Selecciona **Deny** (recomendado) o **Allow**. * **Mapping**: campo del certificado que identifica al usuario o al dispositivo (CN, SAN o número de serie). Desde ese momento, cualquier servicio que use la validación de certificados de Ironchip, como [TACACS+](/identidad/protocolos/tacacs/), RADIUS con EAP-TLS o mTLS, comprueba la cadena, la vigencia y la revocación del certificado. ## Configurar LDAP [Sección titulada «Configurar LDAP»](#configurar-ldap) 1. Ve a **Settings**, apartado **Directory**, y haz clic en **Add directory**. 2. Elige el modo: * **Integrated**: usa el directorio de usuarios y grupos de Ironchip, sincronizado con [Entra ID](/identidad/administracion/sincronizacion/entra-id/) o con [Ironchip AD Connect](/identidad/administracion/sincronizacion/ad-connect/). * **Passthrough**: usa el [proxy LDAP](/identidad/administracion/sincronizacion/proxy-ldap/) para validar las credenciales directamente contra tu servidor LDAP, sin copiar los usuarios a Ironchip. Completa estos campos: * **Server**: dirección y puerto del servidor LDAP, por ejemplo `ldaps://dc01.empresa.local:636`. * **Bind DN**: cuenta de servicio con permisos de lectura. * **Base DN**: rama del directorio donde se buscan los usuarios. * **User filter**: filtro de búsqueda, por ejemplo `(sAMAccountName={username})`. 3. Haz clic en **Test connection** para verificar el acceso y, después, en **Save**. ## Configurar RADIUS [Sección titulada «Configurar RADIUS»](#configurar-radius) Ve a **Settings**, apartado **RADIUS**, y selecciona el modo: * **Integrated**: Ironchip actúa como servidor RADIUS mediante el [servidor RADIUS de Ironchip](/identidad/protocolos/radius/), con soporte de PAP y EAP-TLS. Registra los dispositivos cliente en **Clients** con su dirección IP y su secreto compartido. * **Passthrough**: Ironchip recibe la petición y la reenvía a un servidor RADIUS externo, y mantiene el control de la política y del segundo factor. Completa estos campos: * **Upstream server**: dirección y puerto del servidor RADIUS externo. * **Shared secret**: secreto compartido con el servidor externo. * **Timeout** y **retries**: tiempo de espera y número de reintentos antes de considerar el servidor no disponible. ## Configurar OTP/MFA [Sección titulada «Configurar OTP/MFA»](#configurar-otpmfa) Ve a **Settings**, apartado **MFA**, y define qué factores están disponibles: * **Ironchip**: aplicación móvil, aplicación de escritorio, llave FIDO2 y [OTP](/identidad/protocolos/otp/) de Ironchip. * **External OTP (passthrough)**: Ironchip pide el código al usuario y lo valida contra un servidor OTP externo mediante RADIUS. Indica la dirección del servidor y el secreto compartido. En **Enforcement**, selecciona si el segundo factor es obligatorio, opcional o se exige solo cuando la localización o el contexto de la conexión sean de riesgo. ## Definir la política de autenticación [Sección titulada «Definir la política de autenticación»](#definir-la-política-de-autenticación) Cuando hayas configurado los servicios, define en qué orden se validan. 1. Ve a **Policies** y haz clic en **New policy**. 2. Selecciona la aplicación a la que se aplica, por ejemplo la aplicación TACACS+ o una VPN. Una política habitual para el acceso de administradores es esta: 1. Certificado de dispositivo válido, emitido por la CA de Ironchip. 2. Usuario y grupo validados contra LDAP mediante passthrough. 3. Segundo factor de Ironchip, obligatorio. Si falla cualquiera de los pasos, la autenticación se rechaza y el motivo queda registrado en **Events**. Puedes exportar estos eventos a tu SIEM mediante la [exportación de eventos del ITDR](/identidad/administracion/exportacion-de-eventos/). # Arquitectura de la plataforma de identidad > Componentes de la plataforma de identidad de Ironchip: aplicación de autenticación, consola, agentes de integración, Location Based Security, backend y Dex. La plataforma de identidad de Ironchip se compone de herramientas para los usuarios y los administradores, agentes de integración y componentes internos.  ## Herramientas para el usuario [Sección titulada «Herramientas para el usuario»](#herramientas-para-el-usuario) Estos componentes arquitectónicos están diseñados para ser utilizados por dos tipos diferentes de usuarios: 1. Administrador de la compañía: el técnico informático encargado de gestionar las políticas, los usuarios y los servicios relacionados con la autenticación basada en la localización. 2. Usuario: las personas que se autentican con la plataforma de identidad de Ironchip. ### Aplicación de autenticación [Sección titulada «Aplicación de autenticación»](#aplicación-de-autenticación) Aplicación móvil que usan los usuarios de la plataforma para autorizar los accesos a los servicios integrados, de acuerdo con la política de acceso establecida. Tiene dos modos de funcionamiento: uno con localización y otro sin ella, solo con el dispositivo. La aplicación de autenticación está diseñada para ser segura, con medidas de seguridad adicionales a la seguridad basada en la localización. Proporciona mecanismos biométricos para el desbloqueo del almacenamiento local cuando está disponible, haciendo prácticamente imposible que un atacante externo pueda clonar el dispositivo. También es muy fácil de usar y tiene una interfaz amigable. El Authenticator es una aplicación pública para cualquier usuario de los servicios de tu compañía, y su experiencia de uso está cuidada para que todo tipo de usuarios pueda autenticarse con ella. Si contactas con soporte, también puedes obtener una aplicación corporativa específica, con diseño, paleta de colores, logotipo y nombre personalizados. ### Consola de administración [Sección titulada «Consola de administración»](#consola-de-administración) Aplicación de gestión de la compañía para administrar los usuarios, los servicios integrados, las políticas de acceso y los métodos de integración de la plataforma. La plataforma de identidad de Ironchip utiliza protocolos estándar para integrar servicios externos. Gracias a ellos, Ironchip se integra con los servicios más habituales, como Microsoft Active Directory, Microsoft 365, correos web o productos de Adobe. La consola permite un control de grano fino sobre las políticas de acceso de tu organización: qué usuarios tienen acceso a qué servicios y en qué zonas seguras es posible ese acceso. Este control permite a cualquier administrador de TI tener el control total y la trazabilidad de los accesos en tiempo real. Ironchip ofrece soporte para las dudas sobre el uso de la consola y varios recursos para aprender todas sus funciones: un recorrido completo por la plataforma, tutoriales de acciones concretas y documentación de usuario. ## Agentes de integración [Sección titulada «Agentes de integración»](#agentes-de-integración) Estos agentes son los componentes necesarios para la integración in situ entre la plataforma de identidad y algunos servicios que dependen de protocolos específicos. ## Componentes de arquitectura interna [Sección titulada «Componentes de arquitectura interna»](#componentes-de-arquitectura-interna) Estos componentes son internos y transparentes para ti. ### Location Based Security [Sección titulada «Location Based Security»](#location-based-security) Location Based Security es el núcleo de negocio de Ironchip. Este componente alberga la inteligencia artificial responsable de detectar qué localizaciones están relacionadas y también la distancia entre estas localizaciones. Location Based Security es un producto en sí mismo que permite a una empresa integrarse de forma personalizada con la IA de seguridad de Ironchip. Para saber más sobre sus posibilidades, consulta con tu contacto comercial. Location Based Security se utiliza no solo en el contexto de la autenticación, incluso tiene muchas aplicaciones en el mundo de la detección de fraudes. Debido a estas aplicaciones en tareas críticas, está diseñado para ser resistente, sensible y rápido. Estos requisitos se traducen en una mayor seguridad y rendimiento para la plataforma de identidad. El corazón de Ironchip se basa tanto en algoritmos deterministas clásicos basados en la física como en tecnologías de IA de última generación que permiten que nuestro algoritmo sea al mismo tiempo estable, seguro, fiable y adaptable a nuevas circunstancias. ### Backend de autenticación basada en la localización [Sección titulada «Backend de autenticación basada en la localización»](#backend-de-autenticación-basada-en-la-localización) El backend de la plataforma de identidad expone la API que implementa toda la lógica de las características y la comunicación con los servicios dependientes, es decir, la seguridad basada en la localización y Dex. Como el backend es el pilar de un producto de seguridad, la seguridad es uno de los principales criterios en las decisiones de desarrollo. El backend está construido en torno a características de seguridad como la monitorización activa, la exclusión de datos privados de las bases de datos y los hashes de tokens y contraseñas cifrados y con sal y pimienta. Como el modelo de negocio abarca tanto a grandes como a pequeñas empresas, el backend está diseñado para escalar. Se despliega en un entorno dinámico que asigna y desasigna la capacidad en función del uso actual de la plataforma. Por último, el backend es estable, ya que se compone de tecnologías, técnicas y metodologías probadas y depende únicamente de servicios de alta disponibilidad. ### Proveedor de identidades Dex [Sección titulada «Proveedor de identidades Dex»](#proveedor-de-identidades-dex) Ironchip utiliza Dex. Dex actúa como un portal a otros proveedores de identidad a través de [conectores](https://github.com/dexidp/dex#connectors). Esto le permite delegar la autenticación a servidores LDAP, proveedores SAML o proveedores de identidad establecidos como GitHub, Google y Active Directory. Los clientes escriben su lógica de autenticación una vez para hablar con Dex, y Dex maneja los protocolos para un determinado backend. Dex es un proyecto de código abierto que figura en la Fundación de Computación Nativa en la Nube (CNCF). Esto proporciona una base para considerar a Dex como un proyecto estable y respaldado. Dex tiene una comunidad de desarrolladores en constante crecimiento y es muy activo entre los desarrolladores. # Presentaciones y documentación de identidad > Material comercial de la plataforma de identidad de Ironchip: presentaciones, battlecards frente a la competencia, casos de uso y casos de éxito. Material comercial de la plataforma de identidad de Ironchip. ## Presentaciones [Sección titulada «Presentaciones»](#presentaciones) * [Presentación Plataforma de identidad (castellano)](https://7745202.fs1.hubspotusercontent-na1.net/hubfs/7745202/Presentaci%C3%B3n%20Ironchip%20Identity%20Platform%20-%202026%20%282%29.pdf) * [Ironchip Identity Platform deck (English)](https://7745202.fs1.hubspotusercontent-na1.net/hubfs/7745202/Presentaci%C3%B3n%20Ironchip%20Identity%20Platform%20%5BENGLISH%5D-%202026.pdf) ## Battlecards [Sección titulada «Battlecards»](#battlecards) * [Battlecard FortiToken](https://7745202.fs1.hubspotusercontent-na1.net/hubfs/7745202/Comparativa%20Ironchip%20-%20Fortitoken_compressed.pdf) * [Battlecard Cisco Duo](https://7745202.fs1.hubspotusercontent-na1.net/hubfs/7745202/Comparativa%20ITDR%20IRONCHIP%20VS%20CISCO%20DUO_compressed.pdf) * [Battlecard Microsoft](https://7745202.fs1.hubspotusercontent-na1.net/hubfs/7745202/Comparative%20%5BMCSF%20Auth%20vs%20Ironchip%20auth%5D_compressed.pdf) * [Battlecard FIDO/YubiKey](https://7745202.fs1.hubspotusercontent-na1.net/hubfs/7745202/Battlecard_ironchip_vs_yubico.pdf) * [Battlecard Okta](https://7745202.fs1.hubspotusercontent-na1.net/hubfs/7745202/Comparativa%20Ironchip%20-%20Okta.jpg) ## Casos de uso [Sección titulada «Casos de uso»](#casos-de-uso) * [Casos de uso: industria](https://7745202.fs1.hubspotusercontent-na1.net/hubfs/7745202/Caso%20de%20uso%20-%20Sector%20industrial_compressed.pdf) * [Casos de uso: administración pública](https://7745202.fs1.hubspotusercontent-na1.net/hubfs/7745202/Casos%20de%20uso%20-%20administracion%20publica%20%281%29_compressed.pdf) * [Casos de uso: turismo](https://7745202.fs1.hubspotusercontent-na1.net/hubfs/7745202/Casos%20de%20uso%20%5BSECTOR%20TURISTICO%5D_compressed.pdf) * [Casos de uso: tarjetas NFC](https://7745202.fs1.hubspotusercontent-na1.net/hubfs/7745202/Soluci%C3%B3n%20Autenticaci%C3%B3n%20-%20Ironchip%20Access%20NFC_compressed.pdf) ## Casos de éxito [Sección titulada «Casos de éxito»](#casos-de-éxito) * [Caso de éxito: Ayuntamiento de Alcobendas](https://7745202.fs1.hubspotusercontent-na1.net/hubfs/7745202/Casos%20de%20%C3%A9xito/Caso%20de%20%C3%A9xito%20-%20%20Ayuntamiento%20Alcobendas.pdf) * [Caso de éxito: GHI Hornos](https://7745202.fs1.hubspotusercontent-na1.net/hubfs/7745202/Caso%20de%20%C3%A9xito%20%5BEntorno%20Industrial%5D%5BGHI%20Hornos%5D_compressed.pdf) * [Caso de éxito: operaciones deslocalizadas, ULMA](https://7745202.fs1.hubspotusercontent-na1.net/hubfs/7745202/Caso%20de%20%C3%A9xito%20%5BOperaciones%20deslocalizadas%5D%5BULMA%5D_compressed.pdf) * [Caso de éxito: TokenUSB](https://7745202.fs1.hubspotusercontent-na1.net/hubfs/7745202/Caso%20de%20%C3%A9xito%5BTokenUSB%5D%5BNalanda%5D_compressed.pdf) * [Caso de éxito: banca](https://7745202.fs1.hubspotusercontent-na1.net/hubfs/7745202/Caso%20de%20%C3%A9xito%20anonimizado-BANCA.pdf) * [Caso de éxito: Navarra Impulsa](https://7745202.fs1.hubspotusercontent-na1.net/hubfs/7745202/Caso%20de%20%C3%A9xito%20%5BAAPP%5D%5BNavarra%20Impulsa%5D-comprimido.pdf) * [Caso de éxito: Policía de Tránsito de Guatemala](https://7745202.fs1.hubspotusercontent-na1.net/hubfs/7745202/Casos%20de%20%C3%A9xito/Caso%20de%20%C3%A9xito%20-%20%20Polic%C3%ADa%20de%20Tr%C3%A1nsito%20de%20Guatemala.pdf) * [Caso de éxito: Inveready](https://7745202.fs1.hubspotusercontent-na1.net/hubfs/7745202/Casos%20de%20%C3%A9xito/Caso%20de%20%C3%A9xito%20-%20Inveready%20-.pdf) # Mensajes de error y soluciones > Errores frecuentes de autenticación y licencia en Ironchip, qué significan y cómo resolverlos: nombre de dispositivo en iOS, inicio de sesión y hora automática. Errores habituales durante la instalación y configuración de Ironchip, con su significado y su solución. Si un error persiste, contacta con el soporte de Ironchip. ## Mensajes de error [Sección titulada «Mensajes de error»](#mensajes-de-error) ### Usuario no autenticado en el servicio [Sección titulada «Usuario no autenticado en el servicio»](#usuario-no-autenticado-en-el-servicio) ```text El usuario XXX no está autenticado en el servicio XXX. Inténtelo de nuevo. ``` El usuario no está autenticado, o el proceso de autenticación no fue válido. Vuelve a intentar la autenticación en la misma página. ### Protocolo de autenticación no compatible [Sección titulada «Protocolo de autenticación no compatible»](#protocolo-de-autenticación-no-compatible) ```text El protocolo de autenticación utilizado no es compatible. Comuníquese con el soporte de IronChip proporcionando el error impreso en EventViewer ``` Si aparece durante la autenticación de un usuario, el proveedor de servicios está mal configurado y no envía el servicio en la solicitud de autenticación. Contacta con el soporte de Ironchip y facilita el registro de errores que aparece en el **Visor de eventos**. ### Error inesperado de Ironchip [Sección titulada «Error inesperado de Ironchip»](#error-inesperado-de-ironchip) ```text Ironchip ha fallado. Lo sentimos. Comuníquese con el soporte técnico para permitirnos resolver el problema. ``` Ha ocurrido algo inesperado. Contacta con el soporte de Ironchip y facilita el registro de errores del **Visor de eventos** para que podamos resolver el problema. ### No se puede cargar la clave de licencia [Sección titulada «No se puede cargar la clave de licencia»](#no-se-puede-cargar-la-clave-de-licencia) ```text No se puede cargar la clave de licencia de IronChip. Verifique que sea la licencia correcta e inténtelo nuevamente. Si el problema persiste, comuníquese con el soporte de IronChip para obtener ayuda ``` El formato de la licencia no es válido. Escribe a con el error: validaremos la clave de licencia utilizada y, si no es válida, te daremos una válida. ### API key no válida [Sección titulada «API key no válida»](#api-key-no-válida) ```text La clave API proporcionada no es válida. Comuníquese con el soporte de IronChip y, envíe registros para obtener ayuda ``` La licencia tiene el formato correcto, pero es antigua o no es válida. Escribe a con el error: validaremos la clave de licencia utilizada y, si no es válida, te daremos una válida. ## Error en el nombre de dispositivo [Sección titulada «Error en el nombre de dispositivo»](#error-en-el-nombre-de-dispositivo) Si tienes un dispositivo iOS y ves este error:  El nombre del dispositivo en iOS no puede contener acentos, `-`, `/`, `$`, `%`, `@`, `&`, `.`, `_` ni caracteres similares. Para corregirlo, cambia el nombre del dispositivo. ## Error de inicio de sesión [Sección titulada «Error de inicio de sesión»](#error-de-inicio-de-sesión) Si ves este error:  Ironchip recomienda que lo primero que haga un usuario nuevo sea crear una zona segura de recuperación. Para solucionar este error, borra los datos de la aplicación o reinstálala y [recupera la cuenta](/identidad/usuarios/recuperacion/). ## Cómo establecer la fecha y hora automáticas [Sección titulada «Cómo establecer la fecha y hora automáticas»](#cómo-establecer-la-fecha-y-hora-automáticas) Una hora desfasada en el dispositivo puede hacer que se rechacen los códigos de verificación. Activa el ajuste automático de fecha y hora. ### Windows [Sección titulada «Windows»](#windows) Ve a **Configuración > Hora e idioma > Fecha y hora** y activa **Establecer la hora automáticamente**. ### Ubuntu [Sección titulada «Ubuntu»](#ubuntu) Ve a **Configuración**, apartado **Fecha y hora**, y activa **Fecha y hora automáticas**. ### Android [Sección titulada «Android»](#android) Depende del modelo, pero en general: ve a **Ajustes**, busca el apartado de fecha y hora y selecciona establecer la fecha y la hora de forma automática. ### iOS [Sección titulada «iOS»](#ios) Ve a **Ajustes > General > Fecha y hora** y activa **Ajuste automático**. # SLA de la plataforma de identidad > Tiempos de respuesta del soporte de Ironchip según la prioridad de la incidencia y disponibilidad comprometida de la consola para clientes empresariales. Compromisos de tiempo de respuesta del soporte y de disponibilidad de la plataforma de identidad de Ironchip. Para la detección de fraude, consulta el [SLA de detección de fraude](/fraude/referencia/sla/). ## Soporte [Sección titulada «Soporte»](#soporte) Ironchip tiene un [portal de soporte](https://support.ironchip.com/tickets) disponible para reportar incidencias. Las solicitudes de soporte se responden en estos plazos: * En 12 h para solicitudes críticas, con disponibilidad 24/5. * En 24 h para solicitudes de prioridad alta, con disponibilidad 8/5. * En 72 h para solicitudes de prioridad media, con disponibilidad 8/5. * En 7 días para solicitudes de prioridad baja, con disponibilidad 8/5. | Prioridad | SLA | Descripción | | --------- | --------- | -------------------------------------------------------------------------------------------------------------------------------------------- | | Crítico | En 12 h | Las consolas de gestión o las API que se usan en producción no están disponibles, lo que afecta al menos al 15 % de los usuarios. | | Alto | En 24 h | Las consolas de gestión o las API que se usan en producción están perjudicadas o degradadas, lo que afecta al menos al 15 % de los usuarios. | | Medio | En 72 h | Las consolas de gestión o las API que no se usan en producción no están disponibles, están deterioradas o degradadas. | | Bajo | En 7 días | Dudas generales sobre el producto y peticiones personalizadas. | Ironchip se reserva el derecho de ajustar la prioridad de las incidencias tras realizar un análisis inicial de la situación. ## Disponibilidad [Sección titulada «Disponibilidad»](#disponibilidad) El SLA y la disponibilidad de Ironchip para los **clientes empresariales** son los siguientes: | Sistema | Disponibilidad | | ------------------------- | -------------------------------- | | Consola de administración | Disponible el 99,5 % del tiempo. | # Versiones > Historial de versiones de la plataforma de identidad de Ironchip: novedades y correcciones de las versiones 1.1.2, 1.1.0 y 1.0.2. Historial de cambios de la plataforma de identidad, de la versión más reciente a la más antigua. ## Versiones actuales de los componentes [Sección titulada «Versiones actuales de los componentes»](#versiones-actuales-de-los-componentes) La última versión publicada de cada componente que se instala en tus equipos y servidores. Se actualiza sola con cada publicación; en el enlace de cada uno están todas las versiones con sus notas. | Componente | Versión | Publicada | | ------------------------------------------------------------------------------------------------------------------- | ---------- | ------------ | | [Ironchip Windows Logon](https://github.com/ironchip-security/Ironchip-Windows-Logon/releases) | `v2.3.6` | 29 sept 2026 | | [Ironchip Windows Authenticator](https://github.com/ironchip-security/Ironchip-Windows-Authenticator/releases) | `v1.10.2` | 21 oct 2026 | | [Ironchip macOS Logon](https://github.com/ironchip-security/Ironchip-Mac-Logon/releases) | `v1.0.0` | 8 may 2025 | | [Ironchip Authenticator para macOS](https://github.com/ironchip-security/Ironchip-MAC-Authenticator/releases) | `1.1.0` | 20 ene 2026 | | [Ironchip Linux Logon](https://github.com/ironchip-security/Ironchip-Linux-Logon/releases) | `v1.0.0` | 26 mar 2025 | | [Ironchip Authenticator para Linux](https://github.com/ironchip-security/Ironchip-Linux-Authenticator/releases) | `1.3.1` | 19 may 2026 | | [Ironchip Card Reader (RFID)](https://github.com/ironchip-security/Ironchip-Authenticator-RFID/releases) | `v1.1.3` | 15 sept 2026 | | [Ironchip AD Connect para Windows](https://github.com/ironchip-security/Ironchip-Windows-AD-Connect/releases) | `v1.7.5` | 11 ago 2026 | | [Ironchip AD Connect para Linux](https://github.com/ironchip-security/Ironchip-Linux-AD-Connect/releases) | `v1.7.4` | 26 may 2026 | | [Ironchip RADIUS Server](https://github.com/ironchip-security/Ironchip-Radius-Server/releases) | `v1.2.0` | 15 nov 2024 | | [Plugin de Ironchip para NPS](https://github.com/ironchip-security/Ironchip-NPS-Plugin/releases) | `v1.0.1` | 15 nov 2024 | | [Plugin de Ironchip para ADFS](https://github.com/ironchip-security/Ironchip-ADFS-Plugin/releases) | `v1.2.2.2` | 15 nov 2024 | | [Proxy LDAP de Ironchip](https://github.com/ironchip-security/Ironchip-LDAP-Proxy/releases) | `v1.0.1` | 15 nov 2024 | | [Herramienta de diagnóstico de Logon](https://github.com/ironchip-security/Ironchip-Logon-Diagnostic-Tool/releases) | `v1.1.0` | 4 feb 2026 | ## Historial de la plataforma [Sección titulada «Historial de la plataforma»](#historial-de-la-plataforma) ### 1.1.2 [Sección titulada «1.1.2»](#112) #### Novedades [Sección titulada «Novedades»](#novedades) * Se ha añadido información sobre las licencias a la consola de administración. * Nueva función de importación de usuarios. * Skins personalizados para la aplicación de autenticación móvil, configurables desde el backoffice. * Integración de IDS con LBFraud. * Mejora del aspecto visual y de la experiencia de usuario de la consola. * Mejora del aspecto visual y de la experiencia de usuario de la aplicación de autenticación. ### 1.1.0 [Sección titulada «1.1.0»](#110) #### Novedades [Sección titulada «Novedades»](#novedades-1) * Estandarización del formato de errores de la API de LBAuth. * Mejora de la seguridad del almacenamiento en la aplicación de autenticación de Android e iOS. * El nombre de HTTP-MFA ya no distingue entre mayúsculas y minúsculas. * Como medida de seguridad, se invalida el token antiguo cuando se recupera la API key de la cuenta. * El correo electrónico ya no distingue entre mayúsculas y minúsculas. * Mejora de la definición y de los requisitos de creación de zonas seguras. * Eliminación de endpoints de la API innecesarios para reducir la superficie de ataque. * Mejora del estilo de la página de inicio de sesión de Dex OIDC. #### Correcciones [Sección titulada «Correcciones»](#correcciones) * Eliminado el retorno de código HTTP duplicado, que hacía inestable la API en algunos endpoints. * Eliminada la posibilidad de crear claves duplicadas en algunas circunstancias. * Optimización de las consultas a la base de datos al buscar por ID externo en los servicios. ### 1.0.2 [Sección titulada «1.0.2»](#102) #### Novedades [Sección titulada «Novedades»](#novedades-2) * Mejora de la seguridad de los middlewares de enrutamiento interno. * Mejora del rendimiento y de la fluidez de la línea de tiempo de la consola. * Mejora de la interfaz de creación de accesos. * Corrección de la interfaz de la consola, que mostraba el alias del servicio en lugar del ID externo correcto. * La aplicación de autenticación puede ahora comprobar la conectividad entre ella y el backend. # Guía de usuario > Qué es Ironchip Location Identity Platform para el usuario final, cómo es la aplicación de autenticación y qué es una zona segura. Esta guía explica cómo usar Ironchip en el día a día: instalar la aplicación de autenticación, darte de alta, autenticarte en tus servicios y resolver los problemas más habituales. ## Nuestro producto, Location Identity Platform [Sección titulada «Nuestro producto, Location Identity Platform»](#nuestro-producto-location-identity-platform) Location Identity Platform tiene como objetivo proporcionar a las compañías el máximo nivel de seguridad y garantizar el control de todos los accesos corporativos. La plataforma se integra con más de 5.000 servicios o aplicaciones y puede monitorizar todos los accesos y configurar reglas o factores de identidad según las políticas de seguridad. Así determina la identidad de los usuarios y autoriza el acceso a las distintas aplicaciones de la corporación. La solución de identidad de Ironchip se compone de varios elementos que permiten autenticarse en los servicios de diferentes modos y con distintos sistemas. ### Plataforma de autenticación [Sección titulada «Plataforma de autenticación»](#plataforma-de-autenticación) Una plataforma de autenticación es cualquier sistema que se utiliza para identificar al usuario o empleado de la compañía y verificar su identidad. Por ejemplo, puede ser una aplicación móvil, un USB o una aplicación de escritorio que permite comprobar los factores de identidad necesarios para conceder el acceso. ### Aplicación de autenticación [Sección titulada «Aplicación de autenticación»](#aplicación-de-autenticación) La aplicación de autenticación de Ironchip es tu método de autenticación para entrar en los distintos servicios de tu compañía. Tiene tres pestañas principales: * **Pestaña principal**: muestra los servicios de tu compañía a los que tienes acceso.  * **Pestaña de OTP**: sirve para configurar tus servicios de autenticación OTP. Si ya tienes servicios OTP configurados, también aparecen aquí. Usa el botón **+** para añadir uno nuevo.  * **Pestaña de zonas seguras**: muestra las zonas habituales desde las que sueles acceder a los servicios, además de las que hayas creado de forma manual.  ## ¿Qué es una zona segura? [Sección titulada «¿Qué es una zona segura?»](#qué-es-una-zona-segura) Una zona segura es una zona desde la que el usuario suele operar. Una operación fraudulenta tiende a realizarse desde un lugar alejado de las zonas seguras. Además, una zona segura es una localización geográfica única e insuplantable. Un administrador puede obligar a que los usuarios solo se autentiquen desde la zona segura que haya establecido. El concepto de zona segura se complementa con el sistema de reconocimiento de dispositivos de Ironchip. Para más detalle, consulta [Zonas seguras](/identidad/conceptos/zonas-seguras/). ## Qué leer a continuación [Sección titulada «Qué leer a continuación»](#qué-leer-a-continuación) * [Alta en la aplicación](/identidad/usuarios/alta/): descarga la aplicación y da de alta tu dispositivo. * [Autenticarse con Ironchip](/identidad/usuarios/autenticacion/): accede a servicios web, a Windows y a Linux. * [Crear una zona segura](/identidad/usuarios/zonas-seguras/): añade tus propias zonas seguras desde la aplicación. * [Recuperar el acceso](/identidad/usuarios/recuperacion/): recupera tu cuenta si pierdes el acceso. * [Problemas frecuentes](/identidad/usuarios/problemas-frecuentes/): preguntas habituales y errores comunes. * [Aplicación móvil](/identidad/usuarios/app-movil/) y [aplicación de escritorio](/identidad/usuarios/app-escritorio/): uso de cada aplicación. # Alta en la aplicación > Descarga el autenticador de Ironchip y da de alta tu dispositivo por móvil, escritorio o USB para usar los servicios de tu compañía con Ironchip. Esta guía explica cómo descargar la aplicación de autenticación y cómo dar de alta tu dispositivo en Ironchip, para que puedas usar los servicios de tu compañía que utilicen Ironchip como método de autenticación. ## Descargar la aplicación [Sección titulada «Descargar la aplicación»](#descargar-la-aplicación) La descarga de la aplicación de autenticación depende de la plataforma en la que quieras instalarla. ### Android [Sección titulada «Android»](#android) 1. Abre la aplicación **Play Store**, que reconocerás por este icono.  2. En la barra de búsqueda superior, escribe **Ironchip**.  3. Pulsa la lupa de la esquina inferior izquierda para buscar. Selecciona la aplicación **Ironchip Authenticator** y pulsa **Instalar**.  4. Espera a que termine la descarga y la instalación.  5. Cuando termine, el botón **Instalar** habrá cambiado a **Abrir** y la aplicación estará entre las que ya tienes instaladas.   ### iOS [Sección titulada «iOS»](#ios) 1. Abre la aplicación **App Store**, que reconocerás por este icono. Pulsa la lupa de la esquina inferior izquierda para buscar, selecciona **Ironchip Authenticator** y pulsa **Instalar**.  2. Cuando termine la instalación, el botón **Instalar** habrá cambiado a **Abrir** y la aplicación estará entre las que ya tienes instaladas.   ### Comprobar la versión de la aplicación móvil [Sección titulada «Comprobar la versión de la aplicación móvil»](#comprobar-la-versión-de-la-aplicación-móvil) 1. Abre la aplicación **Ironchip Authenticator**. 2. En la parte superior derecha, pulsa el icono de los tres puntos. Se despliega un panel con tres opciones: **Account information**, **App Information** y **OTP**. 3. Pulsa **App Information**. Aparece un mensaje con la versión instalada en tu dispositivo.  ### Aplicación de escritorio en Windows [Sección titulada «Aplicación de escritorio en Windows»](#aplicación-de-escritorio-en-windows) El instalador de la aplicación de escritorio para Windows te lo tiene que facilitar un administrador técnico de tu compañía. Cuando lo tengas, ejecútalo con doble clic en su icono.  1. Lee la licencia de Ironchip, marca **I accept the terms in the License Agreement** y pulsa **Next**.  2. Selecciona **Ironchip Windows Logon** y elige **Entire feature will be unavailable** para no instalar el producto Windows Logon.  3. Pulsa **Next**. En la pantalla siguiente, mantén el valor por defecto `https://api.ironchip.com`.  4. Pulsa **Next**. En la pantalla siguiente, introduce la API key que te ha facilitado tu administrador. Si no la tienes, pídesela.  5. Pulsa **Next** y, en la pantalla siguiente, **Install**. Pulsa **Finish** para cerrar el instalador.  ## Dar de alta el dispositivo [Sección titulada «Dar de alta el dispositivo»](#dar-de-alta-el-dispositivo) Hay cuatro formas de dar de alta tu dispositivo. Elige la que corresponda al método que usa tu compañía. Antes de empezar, un administrador tiene que haberte dado de alta en la plataforma desde la consola de administración. En ese momento recibes un correo electrónico de verificación en tu correo de empresa. Si no lo has recibido, contacta con el administrador de tu compañía. ### Con la aplicación móvil y el código QR [Sección titulada «Con la aplicación móvil y el código QR»](#con-la-aplicación-móvil-y-el-código-qr) 1. Abre el correo que has recibido desde un PC o portátil y pulsa **Verificar mi correo**.  2. Se abre una pestaña nueva que te pide descargar la aplicación de Ironchip. No la cierres.  3. En tu teléfono, descarga **Ironchip Authenticator** desde Google Play Store o App Store, como se explica en [Descargar la aplicación](#descargar-la-aplicaci%C3%B3n).  4. Abre la aplicación. Te pide una serie de permisos: * **Cámara**, para escanear el código QR. * **Ubicación**, para recopilar datos de las redes wifi cercanas. * **Llamadas telefónicas**, para recopilar datos sobre las redes móviles cercanas.  5. Si tienes un dispositivo Xiaomi, la aplicación te pide dos permisos más: mostrar en la pantalla de bloqueo y abrir ventanas en segundo plano, para recibir correctamente las notificaciones de la app.  6. Acepta los términos y condiciones. Al pulsar **Continue**, la aplicación te pide escanear un QR.  7. Obtén ese QR pulsando **Continuar** en la pestaña donde se te pidió descargar la aplicación y escanéalo con la aplicación.   8. Opcionalmente, la aplicación te deja elegir si quieres usar biometría. La biometría identifica y verifica al usuario mediante características físicas o de comportamiento únicas, y mejora la seguridad y la comodidad de uso.  9. El proceso termina cuando en el ordenador aparece la pantalla de confirmación y en el móvil se abre la aplicación. [ Alta en la aplicación móvil escaneando el QRReproducir el vídeo](https://play.hubspotvideo.com/v/7745202/id/153365180277) ### Con la aplicación móvil y el enlace directo [Sección titulada «Con la aplicación móvil y el enlace directo»](#con-la-aplicación-móvil-y-el-enlace-directo) 1. Abre el correo que has recibido desde tu teléfono móvil y pulsa **Verificar mi correo**.  2. Se abre una pestaña nueva que te pide descargar la aplicación de Ironchip. No la cierres.  3. Descarga **Ironchip Authenticator** desde Google Play Store o App Store.  4. Abre la aplicación. Te pide una serie de permisos: * **Cámara**, para escanear el código QR. En este caso no es necesario. * **Ubicación**, para recopilar datos de las redes wifi cercanas. * **Llamadas telefónicas**, para recopilar datos sobre las redes móviles cercanas.  5. Si tienes un dispositivo Xiaomi, la aplicación te pide dos permisos más: mostrar en la pantalla de bloqueo y abrir ventanas en segundo plano, para recibir correctamente las notificaciones de la app.  6. Cuando aparezca la pantalla de escaneo del código QR, vuelve a la pestaña de Ironchip donde se te pidió descargar la aplicación y pulsa **Continuar**.   7. Pulsa **Inscribirse**. El proceso se completa de forma automática.  [ Alta en la aplicación móvil con enlace directoReproducir el vídeo](https://play.hubspotvideo.com/v/7745202/id/153366324532) ### Con la aplicación de escritorio [Sección titulada «Con la aplicación de escritorio»](#con-la-aplicación-de-escritorio) 1. Abre el correo que has recibido desde un PC o portátil y pulsa **Verificar mi correo**.  2. Se abre una pestaña nueva que te pide descargar la aplicación de Ironchip. No la cierres.  3. Pide al administrador que te proporcione el autenticador de escritorio de Ironchip. Cuando lo tengas instalado en tu equipo, ábrelo. Verás una ventana como esta.  4. Acepta los términos y condiciones. En el recuadro que aparece, pega el código de alta. Lo obtienes pulsando **Continuar** en la pestaña donde se te pidió descargar la aplicación.  5. En esa pestaña nueva, pulsa el botón de copiar y pega el código en el recuadro del autenticador de escritorio.  El alta termina cuando en el ordenador aparece la pantalla de confirmación y la aplicación se abre.  ### Con un USB [Sección titulada «Con un USB»](#con-un-usb) Esta opción te permite llevar tus credenciales de identificación contigo. Cuando te has dado de alta con un dispositivo de memoria externo, puedes usarlo como mecanismo de autenticación en cualquier equipo compatible con Ironchip que tenga instalados los servicios de escritorio de Ironchip. 1. Abre el correo que has recibido desde un PC o portátil y pulsa **Verificar mi correo**.  2. Se abre una pestaña nueva que te pide descargar la aplicación de Ironchip. No la cierres.  3. Pide al administrador que te proporcione el autenticador de escritorio de Ironchip. Cuando lo tengas instalado en tu equipo, ábrelo. Verás una ventana como esta.  4. Inserta tu dispositivo externo de almacenamiento y pulsa el botón de refrescar para que se escanee. 5. Pulsa el recuadro con el nombre de tu equipo, a la izquierda del botón de refrescar, y elige el dispositivo externo en la lista desplegable (por ejemplo, la unidad `D:\`). Si no aparece, comprueba que el USB está bien conectado y pulsa la rueda de recarga.  6. Acepta los términos y condiciones. En el recuadro que aparece, pega el código de alta. Lo obtienes pulsando **Continuar** en la pestaña donde se te pidió descargar la aplicación.  7. En esa pestaña nueva, pulsa el botón de copiar y pega el código en el recuadro del autenticador de escritorio.  Mantén el USB conectado El dispositivo externo debe permanecer conectado para poder usar la aplicación de escritorio. [ Alta con un USBReproducir el vídeo](https://play.hubspotvideo.com/v/7745202/id/153367857752) ## Después del alta [Sección titulada «Después del alta»](#después-del-alta) En la pestaña de servicios aparecen todos los servicios a los que tienes acceso. Si tu compañía lo ha decidido, también aparece el servicio **Panel de gestión Ironchip**, que es exclusivo de los administradores seleccionados, encargados de gestionar las autenticaciones y los accesos a los servicios. En estos servicios aparece una cuenta atrás cuando se ha solicitado autenticación en el servicio. Para ver cómo autenticarte, consulta [Autenticarse con Ironchip](/identidad/usuarios/autenticacion/). # Aplicación de escritorio > Instala y usa la aplicación de escritorio de Ironchip en Windows, Linux y macOS: alta, identidad en USB, zonas seguras y autenticación. Ironchip puede proporcionar la aplicación de escritorio a los clientes que la necesiten. Tiene exactamente el mismo funcionamiento que la aplicación móvil y está disponible para Windows, Linux y macOS. Las instrucciones de instalación cambian según el sistema operativo, pero el uso es igual en todos. | Componente | Versión | Publicada | | --------------------------------------------------------------------------------------------------------------- | --------- | ----------- | | [Ironchip Windows Authenticator](https://github.com/ironchip-security/Ironchip-Windows-Authenticator/releases) | `v1.10.2` | 21 oct 2026 | | [Ironchip Authenticator para macOS](https://github.com/ironchip-security/Ironchip-MAC-Authenticator/releases) | `1.1.0` | 20 ene 2026 | | [Ironchip Authenticator para Linux](https://github.com/ironchip-security/Ironchip-Linux-Authenticator/releases) | `1.3.1` | 19 may 2026 | ## Descarga [Sección titulada «Descarga»](#descarga) Descarga la aplicación desde el GitHub oficial de Ironchip: [github.com/Ironchip-Security](https://github.com/Ironchip-Security). Entra en la sección del instalador que corresponde a tu sistema operativo. El autenticador de escritorio está disponible para Windows, Linux y macOS. Asegúrate de descargar la última versión disponible. ## Instalación [Sección titulada «Instalación»](#instalación) ### Windows [Sección titulada «Windows»](#windows) Haz doble clic en el archivo `.msi` que has descargado y sigue estos pasos: 1. Pulsa **Next**.  2. Marca **I accept the terms in the License Agreement** y pulsa **Next**.  3. Selecciona los componentes que quieras y pulsa **Next**.  4. Pulsa **Next**. 5. Pulsa **Finish** para terminar la instalación. Para desinstalar la aplicación de escritorio, haz clic derecho sobre el archivo y pulsa **Uninstall**. ### Linux y macOS [Sección titulada «Linux y macOS»](#linux-y-macos) Para instalar el autenticador de Ironchip en tu equipo, ejecuta este comando con permisos de administrador: ```bash sudo dpkg -i ``` Por seguridad, el sistema te pide tu contraseña. Con ella autorizas la operación y la instalación continúa. Cuando termine la instalación, solo te falta registrar el dispositivo y ya puedes usarlo. Para desinstalar la aplicación, ejecuta este comando con permisos de administrador. El sistema te pide tu contraseña de administrador. ```bash sudo dpkg -r ironchip-authenticator ``` #### Desactivar USB [Sección titulada «Desactivar USB»](#desactivar-usb) Escribe este comando en la terminal y pulsa Enter. El sistema te pide tu contraseña de administrador. ```bash sudo ironchip-service configure --restrict-usb=true ``` #### Habilitar el proxy [Sección titulada «Habilitar el proxy»](#habilitar-el-proxy) Con el **proxy automático**, la aplicación usa el proxy configurado en el sistema. Para activarlo, escribe este comando en la terminal y pulsa Enter: ```bash sudo ironchip-service configure --proxy-enable=true ``` Con el **proxy manual**, la aplicación toma los datos del proxy del archivo `config.json`: ```bash sudo ironchip-service configure --proxy-manual=true --proxy-manual-uri 127.0.0.1:8080 ``` ## Alta [Sección titulada «Alta»](#alta) Antes de darte de alta, un administrador tiene que haberte registrado en la consola de administración. En ese momento recibes un correo electrónico de verificación. Sigue estos pasos: 1. En el correo, pulsa el botón **Verify my account**.  2. La aplicación de escritorio ya está descargada, así que pulsa **Continue**. 3. Copia el código de seguridad que aparece en la pantalla del ordenador y pégalo en la aplicación de escritorio de Ironchip.  El alta termina cuando en el ordenador aparece la siguiente imagen y la aplicación se abre.  Para las otras formas de dar de alta el dispositivo (app móvil o USB), consulta [Alta en la aplicación](/identidad/usuarios/alta/). ### Lleva tu identidad en un dispositivo externo [Sección titulada «Lleva tu identidad en un dispositivo externo»](#lleva-tu-identidad-en-un-dispositivo-externo) Esta opción te permite llevar contigo tus credenciales de identificación. Cuando te has dado de alta con un dispositivo de memoria externo, puedes usarlo como mecanismo de autenticación en cualquier equipo compatible con Ironchip que tenga instalados los **servicios de escritorio de Ironchip**. Para dar de alta un dispositivo nuevo como proveedor de identidad para ti, tienes que seleccionar el dispositivo en el que se hará la instalación durante el proceso de alta, al ejecutar la aplicación de escritorio de Ironchip: 1. Conecta tu dispositivo externo de almacenamiento. 2. Pulsa el botón de refrescar para que se escanee tu dispositivo externo. 3. Haz clic en el nombre del dispositivo, a la izquierda del botón de refrescar, y elige el dispositivo externo en la lista desplegable.  Mantén el dispositivo conectado El dispositivo externo debe permanecer conectado para poder usar la aplicación de escritorio. ### Configurar un USB con una identidad [Sección titulada «Configurar un USB con una identidad»](#configurar-un-usb-con-una-identidad) Para guardar una identidad en un USB, primero hay que generar una invitación. #### Paso 1: generar la invitación [Sección titulada «Paso 1: generar la invitación»](#paso-1-generar-la-invitación) 1. Accede a la consola de administración. 2. Selecciona la identidad que quieres guardar en el USB. 3. Envía la invitación al usuario. En la lista de usuarios, la opción es **Options > Add a device**.  #### Paso 2: aceptar la invitación [Sección titulada «Paso 2: aceptar la invitación»](#paso-2-aceptar-la-invitación) El usuario recibe un correo electrónico con un enlace de alta. 1. Abre el correo y haz clic en el enlace.  2. Se abre la pantalla de alta, con un código QR y, debajo, un botón **Enrol** o **Inscribirse**.  3. Haz clic en ese botón para iniciar el alta con el autenticador de escritorio. #### Paso 3: usar el autenticador de escritorio [Sección titulada «Paso 3: usar el autenticador de escritorio»](#paso-3-usar-el-autenticador-de-escritorio) Al pulsar el botón: 1. El sistema pregunta si quieres abrir el **Autenticador de Ironchip**. Selecciona **Sí**. 2. Se muestra una ventana como esta.  3. En esta ventana, elige el USB en el que se guardará la identidad. ## Servicios [Sección titulada «Servicios»](#servicios) En la pestaña de servicios están todos los servicios a los que tienes acceso. Si tu compañía lo ha decidido, también aparece el servicio **Panel de gestión Ironchip**, que es exclusivo de los administradores seleccionados, encargados de gestionar las autenticaciones y los accesos a los servicios. En estos servicios aparece una cuenta atrás si se ha solicitado autenticación en el servicio.  ## Versión [Sección titulada «Versión»](#versión) Para ver la versión de la aplicación de escritorio: 1. Abre la aplicación y pulsa los tres puntos de la barra superior.  2. En el menú desplegable, pulsa **App information** (Información de la aplicación).  3. Se abre una ventana con la versión de la aplicación.  ## Zonas seguras [Sección titulada «Zonas seguras»](#zonas-seguras) En la pestaña de llaves están todas las llaves a las que tienes acceso: las que has creado tú y las que han compartido contigo otros miembros de la compañía. Para crear una zona segura nueva: 1. Pulsa el icono **+**.  2. Escribe un nombre para la zona segura. 3. Pulsa **Add Safe Zone**.  4. Cuando la rueda de progreso llegue a su fin, la llave estará creada. ## Autenticación [Sección titulada «Autenticación»](#autenticación) Cuando las zonas seguras están creadas y vinculadas a los servicios correspondientes, puedes autenticarte de dos maneras. ### Desde la notificación [Sección titulada «Desde la notificación»](#desde-la-notificación) Es la forma más habitual. 1. Introduce tus credenciales en el servicio al que quieres acceder. Te llega una notificación al dispositivo a través de la aplicación de Ironchip. 2. Pulsa la notificación. Se abre la aplicación de Ironchip. 3. Pulsa **Authorize**. Se abre la pantalla de escaneo de señales, que verifica si estás en el lugar autorizado para acceder al servicio. Si estás en el lugar correcto, accedes al servicio.  ### Desde la aplicación [Sección titulada «Desde la aplicación»](#desde-la-aplicación) 1. Introduce tus credenciales en el servicio al que quieres acceder. Te llega una notificación al dispositivo. 2. En lugar de pulsar la notificación, abre directamente la aplicación y ve a **Servicios**. En el servicio en el que has introducido las credenciales aparece una cuenta atrás con los segundos que quedan para hacer el escaneo de señales y verificar tu identidad. Pulsa la tarjeta del servicio.  3. Pulsa **Authorize**. Se abre la pantalla de escaneo de señales, que verifica si estás en el lugar autorizado. Si estás en el lugar correcto, accedes al servicio. ## Videotutorial [Sección titulada «Videotutorial»](#videotutorial) [ Uso de la aplicación de escritorio de IronchipReproducir el vídeo](https://play.hubspotvideo.com/v/7745202/id/154008302190) # Aplicación móvil > Usa la aplicación móvil de Ironchip para Android e iOS: descarga, alta, servicios, zonas seguras, autenticación con notificación push y versión. Ironchip proporciona una aplicación móvil, que se distribuye por lo general a través de las tiendas oficiales. Está disponible para Android e iOS y su uso es igual en ambos sistemas. ## Requisitos [Sección titulada «Requisitos»](#requisitos) * Un teléfono con Android o iOS y acceso a la tienda oficial (Google Play o App Store). * Que tu administrador te haya registrado en la consola de administración. Recibes un correo electrónico de verificación. * Aceptar los permisos que pide la aplicación durante el alta: **Cámara** (para escanear el código QR), **Ubicación** (para recopilar datos de las redes wifi cercanas) y **Llamadas telefónicas** (para recopilar datos sobre las redes móviles cercanas). En [Alta en la aplicación](/identidad/usuarios/alta/) tienes los detalles, incluidos los permisos adicionales en dispositivos Xiaomi. ## Descargar [Sección titulada «Descargar»](#descargar) La descarga de la aplicación se hace por lo general desde las tiendas oficiales: Google Play o App Store.  Para ver los pasos detallados, consulta [Alta en la aplicación](/identidad/usuarios/alta/). ## Alta [Sección titulada «Alta»](#alta) Para darte de alta, un administrador tiene que haberte registrado antes en la consola de administración. En ese momento recibes un correo electrónico de verificación. Sigue estos pasos: 1. En el correo, pulsa el botón **Verify my account**.  2. Si ya has descargado la aplicación, pulsa **Continue**. Si no, puedes descargarla pulsando la imagen correspondiente. 3. Se abre la aplicación. Acepta los permisos que te pide.  4. Elige si quieres usar biometría en la aplicación.  5. Escanea con la aplicación de Ironchip el código QR que aparece en la pantalla del ordenador.  El alta termina cuando en el ordenador aparece la siguiente imagen y en el móvil se abre la aplicación.  ## Servicios [Sección titulada «Servicios»](#servicios) En la pestaña de servicios están todos los servicios a los que tienes acceso. Si tu compañía lo ha decidido, también aparece el servicio **Panel de gestión Ironchip**, que es exclusivo de los administradores seleccionados, encargados de gestionar las autenticaciones y los accesos a los servicios. En estos servicios aparece una cuenta atrás si se ha solicitado autenticación en el servicio.  ## Zonas seguras [Sección titulada «Zonas seguras»](#zonas-seguras) En la pestaña de llaves están todas las llaves a las que tienes acceso: las que has creado tú y las que han compartido contigo otros miembros de la compañía. Para crear una zona segura nueva: 1. Pulsa el icono **+**.  2. Escribe un nombre para la zona segura. 3. Pulsa **Add Safe Zone**.  4. Cuando la rueda de progreso llegue a su fin, la llave estará creada. ## Autenticación [Sección titulada «Autenticación»](#autenticación) Cuando las zonas seguras están creadas y vinculadas a los servicios correspondientes, puedes autenticarte de dos maneras. ### Desde la notificación push [Sección titulada «Desde la notificación push»](#desde-la-notificación-push) Es la forma más habitual. 1. Introduce tus credenciales en el servicio al que quieres acceder. Te llega una notificación push al móvil a través de la aplicación de Ironchip.  2. Pulsa la notificación push. Se abre la aplicación de Ironchip, donde tienes que introducir la biometría elegida si se ha establecido como requisito.  3. Pulsa **Authorize**. Se abre la pantalla de escaneo de señales, que verifica si estás en el lugar autorizado para acceder al servicio. Si estás en el lugar correcto, accedes al servicio.  ### Desde la aplicación [Sección titulada «Desde la aplicación»](#desde-la-aplicación) 1. Introduce tus credenciales en el servicio al que quieres acceder. Te llega una notificación push al móvil. 2. En lugar de pulsar la notificación, abre directamente la aplicación y ve a **Servicios**. En el servicio en el que has introducido las credenciales aparece una cuenta atrás con los segundos que quedan para hacer el escaneo de señales y verificar tu identidad. Pulsa la tarjeta del servicio.  3. Pulsa **Authorize**. Se abre la pantalla de escaneo de señales, que verifica si estás en el lugar autorizado. Si estás en el lugar correcto, accedes al servicio. ## Versión [Sección titulada «Versión»](#versión) Para ver la versión de la aplicación móvil: 1. Abre la aplicación y pulsa los tres puntos de la barra superior.  2. En el menú desplegable, pulsa **App information** (Información de la aplicación).  3. Se abre una ventana con la versión de la aplicación. ## Si pierdes el acceso [Sección titulada «Si pierdes el acceso»](#si-pierdes-el-acceso) Si has perdido el acceso a tu cuenta, contacta con tu administrador para que inicie la recuperación. Después sigue los pasos de [Recuperar el acceso](/identidad/usuarios/recuperacion/): abres el correo de recuperación y escaneas un código QR con la aplicación. # Autenticarse con Ironchip > Cómo autenticarte con Ironchip en servicios web, Windows y Linux: notificación push, USB, código sin conexión y cambio de contraseña. Esta guía explica cómo te autenticas con Ironchip según el servicio al que accedes: con la aplicación y una notificación push, en el inicio de sesión de Windows y Linux, o en servicios web por SAML u OIDC. ## Proceso de autenticación [Sección titulada «Proceso de autenticación»](#proceso-de-autenticación) Puedes autenticarte de dos maneras. ### Desde la notificación push [Sección titulada «Desde la notificación push»](#desde-la-notificación-push) 1. Introduce tus credenciales en el servicio al que quieres acceder. Te llega una notificación push al móvil a través de la aplicación de Ironchip.  2. Pulsa la notificación push. Se abre la aplicación de Ironchip, donde tienes que introducir la biometría elegida si se ha establecido como requisito.  3. Pulsa **Authorize**. Se abre la pantalla de escaneo de señales, que verifica si estás en el lugar autorizado para acceder al servicio. Si estás en el lugar correcto, accedes al servicio.  ### Desde la aplicación [Sección titulada «Desde la aplicación»](#desde-la-aplicación) 1. Introduce tus credenciales en el servicio al que quieres acceder. Te llega una notificación push al móvil. 2. En lugar de pulsar la notificación, abre directamente la aplicación y ve a **Servicios**. En el servicio en el que has introducido las credenciales aparece una cuenta atrás con los segundos que quedan para hacer el escaneo de señales y verificar tu identidad. Pulsa la tarjeta del servicio.  3. Pulsa **Authorize**. Se abre la pantalla de escaneo de señales, que verifica si estás en el lugar autorizado. Si estás en el lugar correcto, accedes al servicio. ## Inicio de sesión en Windows [Sección titulada «Inicio de sesión en Windows»](#inicio-de-sesión-en-windows) Con Windows Logon accedes de forma segura a tus servicios Windows con factores de seguridad adicionales a tu contraseña habitual. Si eres administrador y tienes que instalarlo, consulta [Instalación del autenticador en Windows](/identidad/usuarios/autenticador-windows/). Hay tres opciones: * **Notificación push**: te llega una notificación al móvil para que autorices el inicio de sesión. * **Offline**: accedes al equipo sin conexión a internet con un código que te facilita la aplicación. * **USB**: accedes sin autorizar nada, porque el propio USB autoriza el acceso.  Si tienes más de un usuario, el primer desplegable te permite elegir con cuál iniciar sesión en el equipo. Rellena los campos necesarios, como usuario y contraseña.  ### Con notificación push [Sección titulada «Con notificación push»](#con-notificación-push) Cuando hayas introducido tus datos de inicio de sesión, te llega al móvil una notificación que te pide autorizarlo.  ### Con USB [Sección titulada «Con USB»](#con-usb) Para acceder con este mecanismo, tienes que haberte dado de alta antes con un USB. Consulta [Alta en la aplicación](/identidad/usuarios/alta/). Rellena los campos necesarios, como usuario y contraseña. Como tienes el USB insertado en el equipo, no hace falta autorizar nada: el USB lo hace de forma automática. ### Sin conexión (offline) [Sección titulada «Sin conexión (offline)»](#sin-conexión-offline) Puedes autenticarte en servicios sin conexión a internet con la función Offline, que usa un código offline para verificar tu identidad en lugar de la autorización desde el móvil. 1. Accede a la aplicación de autenticador offline, que te proporciona un enlace. Con ese enlace puedes crear una de tus llaves offline: escribe tu usuario de Windows en **Windows Username** y pulsa **Generate**. Si no recuerdas con claridad el usuario con el que accedes, pídele ayuda a tu administrador.  2. Cuando se genera la llave offline, aparece un código QR para añadirla en la aplicación móvil y un código de texto para copiarlo y pegarlo en la aplicación de escritorio.  3. En la aplicación móvil, ve a la segunda pestaña de la parte inferior derecha, la del icono de candado. Pulsa el botón verde redondo **+** de la esquina inferior derecha y elige **Scan a QR code**.  4. Escanea el código QR generado o introduce a mano la clave de configuración (**Setup KEY**). Si todo ha ido bien, aparece una nueva entrada con tu código OTP, que se regenera cada 30 segundos.  5. Pulsa la tarjeta que ha aparecido para ver el código OTP. El código se oculta cada 30 segundos. 6. En la pantalla de inicio de sesión de Windows, introduce en el campo **OTP code** el código que te muestra la aplicación.  Si aparece el error de que la función offline (OTP) no está instalada (`Offline functionality is not installed`), tienes dos opciones:  * Conéctate a internet e inicia sesión con notificación push o con USB. * Si no tienes internet, contacta con tu administrador. ### Cambio de contraseña [Sección titulada «Cambio de contraseña»](#cambio-de-contraseña) Para cambiar tu contraseña, contacta con tu administrador. Después, al iniciar sesión te aparece esta ventana. También la verás si tu contraseña ha caducado.  1. Rellena el segundo campo con el usuario con el que quieres acceder. 2. Rellena el tercer campo con la contraseña anterior. 3. Rellena los campos cuarto y quinto con la nueva contraseña.  Cuando la contraseña se ha cambiado, aparece este mensaje:  ## Inicio de sesión en Linux [Sección titulada «Inicio de sesión en Linux»](#inicio-de-sesión-en-linux) Con Linux Logon accedes de forma segura a tus servicios Linux. Según los requisitos de tu administrador, el sistema puede pedirte autorización al iniciar sesión, al escalar privilegios en Linux (`sudo`) o al usar el servicio `ssh`.  Cuando el administrador haya instalado Linux Logon en tu equipo, inicia sesión. Te llega una notificación push al móvil para que autorices el acceso.  ## Servicios web [Sección titulada «Servicios web»](#servicios-web) La plataforma de Ironchip permite acceder a los servicios de la compañía desde el navegador. Hay dos formas de acceso, SAML u OIDC. ### Con SAML [Sección titulada «Con SAML»](#con-saml) Verás una pestaña como la siguiente. Accede pulsando **Login with Ironchip**.  1. Pulsa el botón rojo, escribe tu correo electrónico habitual y pulsa **Send notification**. Te llega una notificación push de la aplicación de Ironchip.   2. Acepta la notificación en la aplicación pulsando **Authorize** y accederás a la plataforma. ### Con OIDC [Sección titulada «Con OIDC»](#con-oidc) La segunda forma de inicio de sesión web es parecida a la siguiente pantalla.  1. Pulsa el botón rectangular gris de la parte inferior, **Ironchip Authentication**. Este botón también puede aparecer como **Sign in with OIDC**. Al pulsarlo se abre una pestaña adicional. 2. En la pestaña nueva, escribe tu correo habitual y pulsa **Send notification** para recibir la notificación push.  3. Acepta la notificación que te llega al móvil para acceder a la plataforma.  # Instalación del autenticador en Windows > Descarga e instala el autenticador de escritorio de Ironchip en Windows desde la consola de administración o GitHub, y da de alta al usuario. Esta guía explica cómo instalar el autenticador de escritorio de Ironchip en su versión para Windows. Tiene tres partes: descargar el instalador, instalarlo y dar de alta al usuario. **Ironchip Windows Authenticator**última versión v1.10.2, publicada el 21 de octubre de 2026 * [IronchipWindowsAuthenticator.msi](https://github.com/ironchip-security/Ironchip-Windows-Authenticator/releases/download/v1.10.2/IronchipWindowsAuthenticator.msi) 45.2 MB [Todas las versiones y notas de cada una](https://github.com/ironchip-security/Ironchip-Windows-Authenticator/releases) ## Requisitos [Sección titulada «Requisitos»](#requisitos) * Windows de 64 bits. En versiones anteriores a Windows 10 hace falta además Microsoft Visual C++ Redistributable x64. * Permisos de administrador en el equipo. * Conectividad con la API de Ironchip (`https://api.ironchip.com` por defecto). ## Descargar el instalador [Sección titulada «Descargar el instalador»](#descargar-el-instalador) Tienes dos alternativas para descargar el instalador del autenticador. ### Desde la consola de administración [Sección titulada «Desde la consola de administración»](#desde-la-consola-de-administración) 1. Entra en la consola de administración de Ironchip, [app.ironchip.com](https://app.ironchip.com), e inicia sesión con tu cuenta de administrador. 2. Ve a la sección **Plugins**, busca en **Authenticators** la tarjeta **Windows Authenticator** y pulsa **Download**. ### Desde GitHub [Sección titulada «Desde GitHub»](#desde-github) 1. Entra en el repositorio oficial de Ironchip, [github.com/Ironchip-Security](https://github.com/Ironchip-Security), donde están todos los descargables, y abre **Ironchip-Windows-Authenticator**. 2. Entra en [github.com/Ironchip-Security/Ironchip-Windows-Authenticator/releases](https://github.com/Ironchip-Security/Ironchip-Windows-Authenticator/releases), que muestra todas las versiones disponibles, y descarga `IronchipWindowsAuthenticator.msi` de la última. ## Instalar con el asistente [Sección titulada «Instalar con el asistente»](#instalar-con-el-asistente) Cuando tengas el instalador en el equipo, ejecútalo como administrador y sigue estos pasos: 1. Comprueba que es la versión que quieres y pulsa **Next**.  2. Acepta los términos de uso.  3. Selecciona las características que quieres instalar. En este caso solo hace falta **Ironchip Authenticator** y, si lo necesitas, **USB support**, que sirve para guardar tu identidad en un USB y no se instala por defecto.  4. En **Ironchip Host**, deja la URL de la API como está (`https://api.ironchip.com`) salvo que tu compañía esté en otro entorno. Después selecciona una de las tres opciones de proxy según tengas un proxy automático (**Automatic**), un proxy manual (**Manual**, con su host y su puerto) o ningún proxy (**None**).  5. Pulsa **Install**. Hacen falta permisos de administrador. Al terminar, puedes marcar **Launch Ironchip Authenticator** para abrir la aplicación.  ## Instalar por línea de comandos [Sección titulada «Instalar por línea de comandos»](#instalar-por-línea-de-comandos) Para instalar el autenticador de forma silenciosa, por ejemplo en un despliegue masivo, usa `msiexec.exe` desde una consola con permisos de administrador: ```powershell msiexec.exe /i "C:\Ruta\Al\Archivo\IronchipWindowsAuthenticator.msi" IRONCHIP_HOST="https://api.ironchip.com" ADDLOCAL="AuthenticatorFeature,USBFeature" /q ``` Todas las propiedades son opcionales: | Propiedad | Valor por defecto | Descripción | | ---------------------------- | -------------------------- | ---------------------------------------------------------------------------------------------------------------------------- | | `IRONCHIP_HOST` | `https://api.ironchip.com` | URL de la API de Ironchip. Cámbiala solo si tu compañía está en otro entorno. | | `ADDLOCAL` | Autenticador sin USB | Características que se instalan: `AuthenticatorFeature` (el autenticador) y `USBFeature` (soporte USB). Sepáralas con comas. | | `IRONCHIP_PROXY_SELECTED` | `none` | Modo de proxy: `none`, `automatic` o `manual`. | | `IRONCHIP_PROXY_MANUAL_HOST` | Vacío | Host del proxy. Solo hace falta con `IRONCHIP_PROXY_SELECTED="manual"`. | | `IRONCHIP_PROXY_MANUAL_PORT` | Vacío | Puerto del proxy. Solo hace falta con `IRONCHIP_PROXY_SELECTED="manual"`. | Por ejemplo, para instalar el autenticador sin soporte USB y con un proxy manual: ```powershell msiexec.exe /i "C:\Ruta\Al\Archivo\IronchipWindowsAuthenticator.msi" IRONCHIP_HOST="https://api.ironchip.com" ADDLOCAL="AuthenticatorFeature" IRONCHIP_PROXY_SELECTED="manual" IRONCHIP_PROXY_MANUAL_HOST="proxy.example.com" IRONCHIP_PROXY_MANUAL_PORT="8080" /q ``` ## Dar de alta al usuario [Sección titulada «Dar de alta al usuario»](#dar-de-alta-al-usuario) Para saber cómo dar de alta a los usuarios, consulta [Alta en la aplicación](/identidad/usuarios/alta/). # Llave FIDO2 > Registra una llave de seguridad FIDO2 o una passkey para un usuario desde la consola de administración de Ironchip y prueba el acceso sin contraseña. FIDO2 es un estándar de autenticación sin contraseña basado en criptografía de clave pública. La clave privada se guarda en el autenticador, por ejemplo una llave de seguridad física, y nunca se comparte con el servicio. Así se protege frente a ataques de phishing y filtraciones de credenciales. ## Generar la clave FIDO2 [Sección titulada «Generar la clave FIDO2»](#generar-la-clave-fido2) Para registrar una llave FIDO2 desde la consola de administración, sigue estos pasos: 1. Accede a la consola de administración de Ironchip: [app.ironchip.com](https://app.ironchip.com). 2. En el menú lateral izquierdo, ve a **Directory > Users**.  3. Localiza el usuario al que quieres asignar la llave FIDO2, pulsa **Options** y selecciona **Register a passkey**.  4. El usuario recibe un correo electrónico para registrar su clave de acceso. En el correo, pulsa el botón **Registrar clave de acceso**.  5. Escribe un nombre para identificar la clave.  6. Pulsa **Registrar passkey**.  7. Aparece una ventana que solicita el PIN del autenticador. Introdúcelo y pulsa **Siguiente**.  8. Si todo ha ido bien, la clave FIDO2 queda registrada.  Puedes ver todas las llaves creadas en la consola de administración, en **Directory > Devices > Passkeys**:  Ahí aparece el listado de todas las llaves creadas.  ## Prueba de funcionamiento [Sección titulada «Prueba de funcionamiento»](#prueba-de-funcionamiento) Para la prueba, configura **Any FIDO2 devices** como método de autenticación del acceso. En la ventana **Add a new access**, en el paso **Select authentication policies**, añádelo en **Configure authentication factors**.  El vídeo muestra cómo es la autenticación con FIDO2. [ Autenticación con una llave FIDO2Reproducir el vídeo](https://play.hubspotvideo.com/v/7745202/id/223207412075) # Problemas frecuentes > Respuestas a las preguntas habituales de los usuarios de Ironchip y solución a los errores comunes, como el nombre de dispositivo en iOS. Esta página reúne las preguntas más habituales de los usuarios y los errores comunes que puedes encontrar al usar la aplicación de Ironchip. ## Preguntas frecuentes [Sección titulada «Preguntas frecuentes»](#preguntas-frecuentes) ### ¿Cómo me pongo en contacto con el soporte de Ironchip? [Sección titulada «¿Cómo me pongo en contacto con el soporte de Ironchip?»](#cómo-me-pongo-en-contacto-con-el-soporte-de-ironchip) Puedes encontrarnos en varios sitios: * En la sección de contacto de nuestro sitio web. * En el chat de la web. * Por correo electrónico, en . * Por teléfono, en el 946 03 94 99. ### ¿Por qué no guardamos la firma de los lugares seguros? [Sección titulada «¿Por qué no guardamos la firma de los lugares seguros?»](#por-qué-no-guardamos-la-firma-de-los-lugares-seguros) Porque da más seguridad y no es necesario. En Ironchip creemos que no guardarla evitará el robo de credenciales a gran escala que podríamos sufrir en el futuro. Además, las soluciones biométricas, aunque son cómodas, no son un buen enfoque de seguridad: si se las roban, ningún usuario puede cambiarlas. Por eso solo mantenemos un modelo matemático, que es la solución para aprender el conjunto de señales. Una vez aprendidas, las señales se borran. ### ¿Puedo integrarme? [Sección titulada «¿Puedo integrarme?»](#puedo-integrarme) Ironchip utiliza los estándares de seguridad más extendidos, como SAML u OIDC (OpenID Connect), para integrarse con tus sistemas, ya sea en entornos Windows (Microsoft Active Directory) o mediante la plataforma de gestión que te proporcionamos. Consulta los protocolos [SAML](/identidad/protocolos/saml/) y [OIDC](/identidad/protocolos/oidc/). Por parte del usuario, puedes usar un SDK para integrar Ironchip en tus aplicaciones o, si no, la aplicación oficial de Ironchip Location-Based Authentication. ## Errores comunes [Sección titulada «Errores comunes»](#errores-comunes) ### Error en el nombre de dispositivo [Sección titulada «Error en el nombre de dispositivo»](#error-en-el-nombre-de-dispositivo) Si tienes un dispositivo iOS y has visto este error (**Enroll error** con el texto `error bad request in fields: DeviceName`):  El nombre del dispositivo en iOS no puede contener acentos, ni los caracteres `-`, `/`, `$`, `%`, `@`, `&`, `.`, `_` ni otros similares. Para corregir el error, cambia el nombre del dispositivo. ### Error de inicio de sesión [Sección titulada «Error de inicio de sesión»](#error-de-inicio-de-sesión) Si has visto este error (**Login error** con un mensaje `PlatformException` que indica que la clave maestra `android-keystore://default1_authenticated_master_key` existe pero no se puede usar):  Si te aparece, contacta con tu administrador o con el soporte de Ironchip por los canales de [¿Cómo me pongo en contacto con el soporte de Ironchip?](#c%C3%B3mo-me-pongo-en-contacto-con-el-soporte-de-ironchip). # Recuperar el acceso > Recupera el acceso a tu cuenta de Ironchip: pide la recuperación a tu administrador, abre el correo y escanea el código QR con la app. Si has perdido el acceso a tu cuenta, un administrador puede iniciar su recuperación. Esta guía explica los pasos que tienes que seguir tú. 1. Contacta con tu administrador. Cuando haya iniciado la recuperación, recibirás un correo de recuperación de la cuenta. 2. En el correo, haz clic en **Recuperar mi acceso**.  3. Se abre una ventana con un código QR. Escanéalo con tu teléfono móvil.  4. Concede todos los permisos que pide la aplicación, acepta los términos y condiciones y escanea el código QR que se te proporciona.  Cuando termines, tendrás de nuevo acceso a tu cuenta. # Tarjeta NFC / RFID > Configura la autenticación con tarjetas RFID en Ironchip: instala el agente, genera la API key, crea los accesos, registra tarjetas y vincula el lector. La autenticación RFID permite usar una tarjeta de acceso como método de autenticación con un lector conectado al equipo. Esta guía explica cómo preparar la consola, instalar el agente y vincular el lector. **Ironchip Card Reader (RFID)**última versión v1.1.3, publicada el 15 de septiembre de 2026 * [IronchipCardReader.msi](https://github.com/ironchip-security/Ironchip-Authenticator-RFID/releases/download/v1.1.3/IronchipCardReader.msi) 50.4 MB [Todas las versiones y notas de cada una](https://github.com/ironchip-security/Ironchip-Authenticator-RFID/releases) ## Requisitos [Sección titulada «Requisitos»](#requisitos) * Acceso de administrador a la consola de administración de Ironchip. * Permisos de administrador en el sistema. * Lectores y tarjetas compatibles. ## Instalación del agente [Sección titulada «Instalación del agente»](#instalación-del-agente) 1. Accede a la consola de administración de Ironchip con tus credenciales. 2. En el menú lateral izquierdo, selecciona la sección **Plugins**.  3. Localiza el paquete **RFID Authenticator** y descárgalo. Guarda el archivo en una ubicación accesible, porque lo necesitarás en pasos posteriores.  ## Generación de la API key [Sección titulada «Generación de la API key»](#generación-de-la-api-key) El agente necesita una API key para funcionar. Para generarla: 1. En la consola de administración, ve a **Authentication Policies > Device Policies**.  2. Haz clic en **Add device policy** para crear una entrada nueva.  3. Asigna un nombre descriptivo a la política. 4. Activa la opción **Use RFID protocol**. 5. Pulsa **Add** para confirmar. El sistema genera automáticamente una API key.  ## Generación del acceso [Sección titulada «Generación del acceso»](#generación-del-acceso) Para generar un acceso RFID, tienes que tener creada antes una aplicación de inicio de sesión. Cuando la tengas: 1. Haz clic en **Add access** para añadir un acceso nuevo.  2. Selecciona el **usuario autenticador**, es decir, quien va a hacer la autenticación.  3. Indica el **usuario a proteger** con el formato correcto según el tipo de cuenta: * Usuario de dominio: `DOMINIO\usuario` * Usuario local: `NOMBRE_DE_EQUIPO\usuario` 4. Pulsa **Next**.  5. En el campo del método de autenticación, selecciona la política RFID que creaste antes.  6. Haz clic en **Add** para terminar. El acceso queda generado y activo.  ## Creación de tarjetas RFID en Ironchip [Sección titulada «Creación de tarjetas RFID en Ironchip»](#creación-de-tarjetas-rfid-en-ironchip) Para registrar tarjetas RFID en la plataforma, ve a **Directory > Devices > RFID** y sigue estos pasos:  1. Haz clic en **Synchronize** para acceder al proceso de importación.  2. Descarga la plantilla (template) que ofrece el sistema.  3. Rellena la plantilla con estos datos de cada tarjeta: | Campo | Descripción | | -------- | -------------------------------------------------------------- | | `UserID` | ID del usuario en Ironchip, disponible en la ficha del usuario | | `Email` | Correo electrónico del usuario | | `Name` | Nombre identificativo de la tarjeta | | `UUID` | Identificador único de la tarjeta RFID |  4. Sube la plantilla completada a Ironchip y pulsa **Next**.  5. En la pantalla siguiente, selecciona la política RFID que creaste antes.  6. Confirma la operación pulsando **Add**. Las tarjetas quedan registradas en el sistema.  ## Configuración del agente [Sección titulada «Configuración del agente»](#configuración-del-agente) Con el agente descargado y la API key disponible, abre una ventana de PowerShell como administrador y ve al directorio donde está el archivo del agente. 1. Vincula la API key al agente. Sustituye `` por la clave que generaste antes: ```powershell .\IronchipRFID.exe c --api_key ```  2. Comprueba que la configuración se ha aplicado. Este comando muestra los parámetros activos del agente: ```powershell .\IronchipRFID.exe c show ```  3. Instala el agente como servicio del sistema: ```powershell .\IronchipRFID.exe s install ```  4. Inicia el servicio del agente para que empiece a funcionar: ```powershell .\IronchipRFID.exe s start ```  ### Desinstalar el agente [Sección titulada «Desinstalar el agente»](#desinstalar-el-agente) Para desinstalar el agente, antes tienes que detenerlo. Sigue estos dos pasos en orden: 1. Detén el servicio: ```powershell .\IronchipRFID.exe s stop ```  2. Cuando esté detenido, desinstala el agente del sistema: ```powershell .\IronchipRFID.exe s uninstall ```  ## Configuración del lector en el agente [Sección titulada «Configuración del lector en el agente»](#configuración-del-lector-en-el-agente) Cuando el servicio del agente está instalado y en marcha, el último paso es vincular el lector RFID para que el sistema pueda capturar las lecturas de las tarjetas. ### Lector HID [Sección titulada «Lector HID»](#lector-hid) Si tu lector se identifica como un dispositivo de interfaz humana (HID), usa este comando para abrir el menú de selección interactivo: ```powershell .\IronchipRFID.exe hid ``` Se muestra una lista con los dispositivos HID que detecta el sistema. Introduce el número del lector que quieres usar para completar la vinculación.  ### Lector serie [Sección titulada «Lector serie»](#lector-serie) Si el lector se conecta por un puerto serie o un emulador de puerto COM, usa el comando específico para dispositivos serie. Con él defines el puerto COM y los parámetros de comunicación que necesita el agente para comunicarse con el hardware: ```powershell .\IronchipRFID.exe srl ``` # Token USB con cifrado por huella > Usa un USB con cifrado por huella dactilar: sistemas compatibles, registro de huellas, particiones y cómo guardar en él la identidad de Ironchip. El USB con cifrado por huella dactilar utiliza un chip de cifrado de seguridad financiera. Los datos se guardan cifrados y el usuario accede a ellos con su huella dactilar. Esta guía explica cómo usarlo y cómo guardar en él una identidad de Ironchip. ## Sistemas y huellas compatibles [Sección titulada «Sistemas y huellas compatibles»](#sistemas-y-huellas-compatibles) El dispositivo es compatible con estos sistemas operativos: * Windows XP * Windows 7 * Windows 10 * Windows 11 * Linux El sistema admite el registro de hasta 10 huellas dactilares. ## Uso del dispositivo [Sección titulada «Uso del dispositivo»](#uso-del-dispositivo) ### Herramientas de gestión de disco [Sección titulada «Herramientas de gestión de disco»](#herramientas-de-gestión-de-disco) Cuando insertas el USB en el ordenador, aparecen tres letras de unidad: * **Disco óptico (CD)**: contiene el software de gestión. * **Disco público**: unidad de almacenamiento de acceso libre. * **Disco extraíble (disco cifrado, privado)**: unidad de acceso protegido. Al insertar el dispositivo en el PC, la interfaz de la herramienta de gestión de disco aparece automáticamente. Si no se abre sola por la configuración del PC o por el antivirus, haz doble clic en el archivo `UserTool.exe`. El sistema también ofrece un modo de inicio de sesión con contraseña (**Password Verification Mode**), que parte de una contraseña inicial de fábrica.   ### Registrar huellas dactilares [Sección titulada «Registrar huellas dactilares»](#registrar-huellas-dactilares) La primera vez que abres el software, accedes directamente a la interfaz de registro de la huella dactilar del administrador. Añadir o eliminar huellas requiere los permisos adecuados, que se obtienen con la autenticación por huella dactilar del administrador. Si no hay ningún administrador registrado, el sistema solicita registrar su huella. Para registrar una huella: 1. Al añadir una huella, introduce el nombre del usuario que la va a registrar. 2. Autentícate como administrador. 3. Cuando termine la autenticación, empieza el registro normal. 4. Presiona el dedo sobre el sensor seis veces, hasta que aparezca el mensaje de registro correcto. 5. Tras el registro, puedes volver a la interfaz de gestión de usuarios para consultar la información de la huella registrada. Para eliminar una huella, ve a la interfaz de gestión de huellas y selecciona el nombre de la huella que quieres eliminar. ### Partición del disco [Sección titulada «Partición del disco»](#partición-del-disco) Puedes redimensionar el disco ordinario y el disco cifrado según tus necesidades. Para repartir el espacio hay que autenticarse con la huella dactilar del administrador.  ### Uso general [Sección titulada «Uso general»](#uso-general) Para acceder al disco cifrado en el uso habitual, coloca directamente el dedo registrado sobre el sensor de huella. Cuando se verifique, accedes al disco cifrado con normalidad. ## Guardar una identidad de Ironchip en el USB [Sección titulada «Guardar una identidad de Ironchip en el USB»](#guardar-una-identidad-de-ironchip-en-el-usb) Para guardar la identidad de un usuario en el almacenamiento privado del USB, necesitas tener instalada en tu equipo la aplicación autenticadora de [escritorio](/identidad/usuarios/app-escritorio/). Después, envía una invitación al usuario para añadir un dispositivo nuevo. Cuando tengas la invitación, desbloquea la unidad privada con la huella y usa la invitación para dar de alta en ella la identidad del usuario.  ## Vídeo [Sección titulada «Vídeo»](#vídeo) [ Uso del USB con cifrado por huella dactilar con IronchipReproducir el vídeo](https://play.hubspotvideo.com/v/7745202/id/212946698855) # Crear una zona segura > Crea tu propia zona segura desde la aplicación de Ironchip: pulsa el icono +, ponle un nombre y espera a que termine el indicador de progreso. Las zonas seguras son los lugares desde los que sueles acceder a tus servicios. Esta guía explica cómo crear una nueva desde la aplicación. Para saber qué es una zona segura, consulta [Zonas seguras](/identidad/conceptos/zonas-seguras/). ## Cómo crear una zona segura [Sección titulada «Cómo crear una zona segura»](#cómo-crear-una-zona-segura) En la pestaña de zonas seguras están todas las llaves con las que puedes operar, si así lo decide tu administrador. Entre ellas, las llaves que has creado tú y las que se han compartido contigo. 1. Pulsa el icono **+**.  2. Escribe un nombre para tu zona segura. 3. Pulsa **Add Safe Zone**.  4. Espera a que termine el indicador de progreso. Cuando acaba, tu zona segura está creada. # Novedades > Cambios recientes en la plataforma de identidad, la detección de fraude, los SDK y esta documentación, con enlaces a las notas de versión de cada producto. Resumen cronológico de las novedades de producto. Las notas de versión detalladas están en la referencia de cada producto: [plataforma de identidad](/identidad/referencia/versiones/) y [SDK de fraude](/fraude/referencia/versiones/). ## Octubre de 2026 [Sección titulada «Octubre de 2026»](#octubre-de-2026) * Nueva documentación pública en docs.ironchip.com, con buscador, versión en inglés y referencia de la API generada desde OpenAPI. * Exportación de eventos del ITDR a SIEM documentada en [Exportación de eventos](/identidad/administracion/exportacion-de-eventos/). # Acceso privilegiado > Sesiones privilegiadas Just-in-Time con aprobación y grabación, y una bóveda cifrada que rota las credenciales y permite el break-glass en emergencias. El acceso privilegiado (PAM) de Ironchip permite que administradores y proveedores externos entren a servidores, bases de datos y clústeres de Kubernetes sin VPN, sin cuentas compartidas y sin que nadie conozca la contraseña. Esta sección sirve a quien lo **administra** (recursos, políticas, aprobaciones, bóveda) y a quien lo **usa** (solicitar, conectarse y sacar una contraseña). Presentación del producto: [acceso privilegiado (PAM) de Ironchip](https://www.ironchip.com/pam). ## Qué cambia respecto a un acceso tradicional [Sección titulada «Qué cambia respecto a un acceso tradicional»](#qué-cambia-respecto-a-un-acceso-tradicional) * **Sin contraseñas que compartir.** Ironchip pone la credencial al conectar y puede cambiarla al terminar la sesión. La persona nunca la ve ni la teclea. * **Sin VPN ni puertos de entrada.** Un conector dentro de tu red abre un túnel cifrado de salida hacia Ironchip: tus servidores no se publican en internet. * **Privilegios solo cuando hacen falta.** Cada acceso es una ventana aprobada que se cierra sola. * **Una credencial robada no abre nada.** Sin el equipo registrado, la zona segura y los factores del acceso, un usuario y una contraseña interceptados no sirven. * **Cada sesión queda grabada**, con quién la pidió, quién la aprobó, desde dónde se conectó y qué ejecutó. * **Una bóveda que rota sola.** Las credenciales privilegiadas están cifradas en un almacén por compañía, Ironchip cambia las que gestiona según un calendario y tras cada sesión, y en una emergencia se recuperan con break-glass, con motivo y registro. ## Cómo funciona [Sección titulada «Cómo funciona»](#cómo-funciona) 1. La persona **solicita** acceso a un recurso en la consola, con un motivo si la política lo exige. 2. Si la política exige aprobación, un aprobador recibe la solicitud con el contexto del acceso y la **aprueba** o la rechaza, una vez al solicitar o en cada conexión. 3. La persona se **conecta** con un ticket de un solo uso, desde el navegador o con su cliente habitual (SSH, RDP, `kubectl`, un cliente de base de datos). 4. El broker de Ironchip PAM retiene la conexión mientras Ironchip comprueba la ventana, la dirección y los factores del acceso, como el dispositivo y la zona segura. Solo entonces pone la credencial y abre la sesión. 5. La sesión se **graba** de principio a fin. Al expirar la ventana, el acceso se cierra solo. Para el detalle de cada pieza, consulta [Arquitectura](/pam/conceptos/arquitectura/). ## Recursos compatibles [Sección titulada «Recursos compatibles»](#recursos-compatibles) | Recurso | Cómo se conecta la persona | | --------------------------------------------------- | ----------------------------------------------- | | [SSH](/pam/recursos/ssh/) | Navegador o cliente `ssh` | | [RDP y VNC](/pam/recursos/rdp/) | Navegador o cliente de escritorio remoto | | [Kubernetes](/pam/recursos/kubernetes/) | `kubectl` | | [PostgreSQL y MySQL](/pam/recursos/bases-de-datos/) | `psql`, `mysql` u otro cliente de base de datos | | [Aplicaciones web](/pam/recursos/web/) | Navegador | ## Frente a un PAM tradicional [Sección titulada «Frente a un PAM tradicional»](#frente-a-un-pam-tradicional) | | PAM tradicional | Ironchip PAM | | ---------------------------- | --------------------------------------------------- | ------------------------------------------------------------------------------ | | Credenciales privilegiadas | Guardadas en una bóveda y compartidas por check-out | Nadie las ve: el broker las pone al conectar y puede rotarlas tras cada sesión | | Emergencias | Cuenta de emergencia en un sobre | Break-glass con motivo, plazo y registro, y rotación al devolverla | | Privilegios | Permanentes o por check-out | Just-in-Time: una ventana aprobada que se cierra sola | | Acceso remoto | VPN y jump server | Navegador o cliente propio con un ticket de un solo uso | | Si roban el inicio de sesión | Acceso a la bóveda y a todo lo que custodia | Sin el dispositivo, la zona segura y los factores del acceso, no abre | | Red | Puertos de entrada publicados o VPN | Solo salidas: Ironchip Connect abre el túnel desde dentro | | Despliegue | Proyecto de meses | Sobre el proveedor de identidad, el directorio y la consola que ya usas | ## Por dónde empezar [Sección titulada «Por dónde empezar»](#por-dónde-empezar) [Puesta en marcha](/pam/administracion/primeros-pasos/)Plan, permisos y el orden en que se configura todo. [Recursos](/pam/administracion/recursos/)Dar de alta servidores, escritorios, bases de datos y clústeres. [Bóveda de credenciales](/pam/conceptos/boveda/)Almacén cifrado, rotación automática y break-glass. [Solicitar acceso](/pam/usuarios/solicitar-acceso/)El flujo desde el punto de vista del administrador o del proveedor. ## Preguntas frecuentes [Sección titulada «Preguntas frecuentes»](#preguntas-frecuentes) ### ¿Cómo doy acceso a un proveedor externo sin VPN? [Sección titulada «¿Cómo doy acceso a un proveedor externo sin VPN?»](#cómo-doy-acceso-a-un-proveedor-externo-sin-vpn) El proveedor pide acceso a una máquina concreta, un responsable lo aprueba y entra desde el navegador o con su propio cliente durante una ventana de tiempo. La sesión se graba y el acceso se cierra solo al terminar la ventana. ### ¿Hay que abrir puertos en el firewall? [Sección titulada «¿Hay que abrir puertos en el firewall?»](#hay-que-abrir-puertos-en-el-firewall) No. Ironchip Connect se instala dentro de cada sitio y abre un túnel cifrado de salida hacia Ironchip. Los servidores no se publican en internet. ### ¿Se puede ver o cortar una sesión en directo? [Sección titulada «¿Se puede ver o cortar una sesión en directo?»](#se-puede-ver-o-cortar-una-sesión-en-directo) Sí. Las sesiones de terminal y de escritorio se graban completas, se pueden ver mientras ocurren y terminar al instante desde **PAM > Sessions**. Consulta [Sesiones y grabaciones](/pam/administracion/sesiones/). ### ¿Qué controla el agente de Ironchip? [Sección titulada «¿Qué controla el agente de Ironchip?»](#qué-controla-el-agente-de-ironchip) En Linux decide qué comandos `sudo` se ejecutan; en Windows, qué programas se pueden abrir. Además rota las contraseñas de las cuentas locales que usa el broker e informa de los procesos de cada sesión y de las formas de entrar que no pasan por Ironchip. Es opcional: consulta [Agente en las máquinas](/pam/administracion/agente/). ### ¿Ironchip tiene una bóveda de contraseñas? [Sección titulada «¿Ironchip tiene una bóveda de contraseñas?»](#ironchip-tiene-una-bóveda-de-contraseñas) Sí. Las credenciales privilegiadas se guardan cifradas en un almacén por compañía y nadie las ve: el broker las usa al conectar. Ironchip rota las que gestiona según un calendario por recurso y tras cada sesión. Si alguien necesita la contraseña de una máquina, la saca con un checkout o, en una emergencia, con un break-glass, y se rota al devolverla. El mismo almacén guarda contraseñas compartidas del equipo y los secretos de tus aplicaciones. Consulta [Bóveda de credenciales](/pam/conceptos/boveda/). ### ¿Qué pasa si el acceso normal no funciona y hay una emergencia? [Sección titulada «¿Qué pasa si el acceso normal no funciona y hay una emergencia?»](#qué-pasa-si-el-acceso-normal-no-funciona-y-hay-una-emergencia) Los miembros del grupo de break-glass pueden sacar la contraseña de cualquier máquina que gestiona Ironchip sin la aprobación de nadie, durante un tiempo limitado y escribiendo el motivo. Queda registrado en **PAM > Checkouts** y la contraseña se cambia al devolverla o al vencer el plazo. Consulta [Checkouts y break-glass](/pam/boveda/checkouts/). # Accesos > Crea una integración de acceso privilegiado y decide en cada acceso qué grupo llega a qué máquinas, con qué cuenta, qué puede ejecutar y con qué factores y aprobaciones. Un acceso dice quién llega a qué máquinas y en qué condiciones. Esta página explica cómo crearlos. Es para quien administra el acceso privilegiado. Los accesos privilegiados se configuran como los de cualquier otra aplicación de Ironchip: en **Integrations**, sobre una integración de tipo **Privileged access**. Cada acceso reúne: | Qué | Dónde se define | | ----------------------- | ------------------------------------------------------------------------------------------------------------------ | | Quién | Un grupo del directorio | | Con qué cuenta llega | La cuenta propia de cada máquina o una cuenta fija | | A qué máquinas | [Políticas de destino](/pam/administracion/politicas/#pol%C3%ADticas-de-destino) | | Qué puede ejecutar | [Políticas de control](/pam/administracion/politicas/#pol%C3%ADticas-de-control) | | Cómo demuestra quién es | Los factores del acceso: dispositivo, zona segura, y la [aprobación](/pam/administracion/aprobadores/) si la pides | ## Antes de empezar [Sección titulada «Antes de empezar»](#antes-de-empezar) * Las [políticas de destino](/pam/administracion/politicas/#pol%C3%ADticas-de-destino) con las máquinas. * Si quieres aprobación, una [política de aprobación](/pam/administracion/aprobadores/). * Los permisos para crear aplicaciones y accesos, y **PAM targets, sites and agents** con Write. ## Crear la integración [Sección titulada «Crear la integración»](#crear-la-integración) 1. Ve a **Integrations** y haz clic en **New application**. 2. En **Brokered remote access**, elige **Privileged access**. 3. Escribe el nombre (por ejemplo, `Infraestructura`) y, si quieres, un icono. 4. Haz clic en **Add**. La integración agrupa accesos: no nombra ninguna máquina. En la lista de **Integrations** aparece con el tipo **PAM**. ## Añadir un acceso [Sección titulada «Añadir un acceso»](#añadir-un-acceso) 1. En **Integrations**, busca la integración y haz clic en **Add**, en la columna **Add access**. 2. **Select a group**: elige el grupo de personas. 3. **Account on the machines**: elige con qué cuenta llegan. * **Each machine’s own account · the one its target signs in as**: la cuenta propia de cada máquina. Es la opción por defecto. * **A specific account, on every machine**: escribe la cuenta en **Account**, por ejemplo `dba`. Cada máquina necesita esa cuenta añadida en su pestaña **Accounts**; una máquina que no la tenga rechaza la conexión. Consulta [Cuentas](/pam/administracion/cuentas/).  4. **What they reach**: marca una o varias políticas de destino. 5. **What they can do**: marca las políticas de control. **All allowed** viene marcada en los accesos nuevos. Si marcas varias, se revisan en el orden en que las marcas. 6. **Select authentication policies**: elige los factores. Cada fila combina factores con **AND** y las filas se combinan con **OR**. Por ejemplo, `Dispositivo de la empresa AND Zona segura de la oficina` o `Dispositivo de la empresa AND Aprobación de producción`. Para pedir aprobación, añade una política de aprobación como un factor más. 7. **Review**: comprueba el resumen y guarda. Los factores se aplican a todas las máquinas del acceso. Si unas máquinas necesitan factores distintos que otras, crea otro acceso. Para cambiar un acceso, ábrelo desde la página de la integración con **Configure access**. ## Acceso permanente o bajo solicitud [Sección titulada «Acceso permanente o bajo solicitud»](#acceso-permanente-o-bajo-solicitud) * **Sin política de aprobación** en ninguna combinación de factores, el acceso es **permanente**: las personas del grupo lo ven en **PAM > My access**, en **Yours whenever you need it**, y se conectan cuando quieren. Aun así, al conectar se les piden los factores. * **Con una política de aprobación** en cualquier combinación, el acceso es **bajo solicitud**: la persona pide una ventana en **Request access** con un motivo, y alguien la aprueba. Consulta [Solicitar acceso](/pam/usuarios/solicitar-acceso/). En los dos casos, cada conexión se decide al conectar: el broker la retiene hasta que Ironchip comprueba que la persona tiene una ventana abierta o un acceso permanente, que su dirección está permitida y que confirma los factores del acceso. Consulta [Aprobación](/pam/conceptos/aprobacion/). ## Más información [Sección titulada «Más información»](#más-información) * [Aplicaciones](/identidad/administracion/aplicaciones/): cómo se gestionan las integraciones y los accesos en general. * [Zonas seguras](/identidad/conceptos/zonas-seguras/) y [Políticas de autenticación](/identidad/conceptos/politicas/). # Agente en las máquinas > Instala el agente de Ironchip en las máquinas para aprobar sudo, limitar programas en Windows, rotar contraseñas de cuentas locales y ver qué se ejecuta en cada sesión. El agente es un componente opcional que se instala en las máquinas a las que llega Ironchip PAM. Lo usa quien administra el acceso privilegiado para controlar qué se ejecuta dentro de la sesión, no solo quién entra. ## Qué hace [Sección titulada «Qué hace»](#qué-hace) El agente tiene dos partes, que se dan de alta con el mismo secreto: * **osquery** informa de lo que ocurre en la máquina. Es el osquery estándar, sin modificar: solo cambia su configuración. Funciona en Linux, Windows y macOS. * Los procesos que inician las cuentas de las personas, para la [línea de tiempo de cada sesión](/pam/conceptos/grabacion/). * Las cuentas, quién administra la máquina, las claves SSH, quién tiene sesión iniciada y qué escucha conexiones remotas, para el [inventario de cuentas](/pam/administracion/cuentas/#inventario-de-cuentas) y la [exposición](/pam/administracion/exposicion/). * El sistema, los paquetes instalados, las actualizaciones de Windows y el cifrado de los discos, en la pestaña **Machine** del recurso. * **Enforcer** aplica en la máquina lo que Ironchip decide, con los mecanismos que ya tiene cada sistema. Funciona en Linux y Windows. * **Linux:** `sudo` le pregunta, mediante un plugin de aprobación, si un comando puede ejecutarse. Cualquier respuesta que no sea un permiso explícito es un rechazo. * **Windows:** cada pocos segundos pregunta qué programas puede ejecutar cada cuenta con la que entra el broker y lo aplica con AppLocker, antes de que nadie se conecte y mientras hay alguien conectado. * **Rotación de cuentas:** cambia las contraseñas de las cuentas locales que gestiona Ironchip. Solo las de las cuentas que nombres en `-rotate-accounts`: las demás nunca se cambian, aunque Ironchip lo pida. El agente solo abre conexiones salientes por HTTPS hacia Ironchip: nada entra en la máquina. ## Requisitos [Sección titulada «Requisitos»](#requisitos) | Sistema | Paquete del enforcer | | -------------------------------- | ------------------------------------------ | | Debian y Ubuntu | `.deb` (amd64, arm64, armhf, i386 y otras) | | RHEL, Rocky, Alma, Fedora y SUSE | `.rpm` (x86_64, aarch64 y otras) | | Alpine | `.apk` | | Arch Linux | `.pkg.tar.zst` | | Cualquier Linux (glibc o musl) | Archivo `.tar` con `install.sh` | | Windows | `ironchip-enforcer.exe` (amd64 y arm64) | * **Linux:** `sudo` 1.9 o posterior, que admite plugins de aprobación (RHEL 8, Debian 11, Ubuntu 22.04 o posteriores). Acceso de administrador. * **Windows:** un símbolo del sistema con permisos elevados. * **osquery 5.23** o posterior, de . * Salida HTTPS desde la máquina hacia Ironchip. * El **secreto de alta** del recurso: en **PAM > Hosts > Targets**, abre **Options > Install agent** en el recurso. El secreto da de alta una máquina, una vez para osquery y otra para el enforcer, y caduca a la hora. No se vuelve a mostrar.  ## Instalar osquery [Sección titulada «Instalar osquery»](#instalar-osquery) La ventana **Install agent** muestra los pasos para **Linux**, **Windows** y **macOS** con los valores de tu compañía ya puestos: 1. Instala osquery 5.23 o posterior. 2. Guarda el secreto de alta en el fichero de tu sistema, con permisos `600`. 3. Copia las opciones de la consola en el fichero de flags. 4. Arranca el servicio (`sudo systemctl enable --now osqueryd`, `Restart-Service osqueryd` o `sudo osqueryctl start`). | Sistema | Secreto | Fichero de flags | | ------- | ------------------------------------------ | ---------------------------------------- | | Linux | `/etc/osquery/ironchip.secret` | `/etc/osquery/osquery.flags` | | macOS | `/var/osquery/ironchip.secret` | `/var/osquery/osquery.flags` | | Windows | `C:\Program Files\osquery\ironchip.secret` | `C:\Program Files\osquery\osquery.flags` | Para ver cada proceso, y no solo los que encuentra al consultar la lista cada pocos segundos, añade la fuente de eventos del sistema: * **Linux:** `--disable_events=false --disable_audit=false --audit_allow_config=true --audit_persist=true --audit_allow_process_events=true`. `auditd` no debe estar en marcha. * **macOS:** `--disable_events=false --disable_endpointsecurity=false`, y acceso total al disco para `osqueryd`. * **Windows:** `--disable_events=false --enable_process_etw_events=true`. Sin estas opciones, en Windows no se ve ningún proceso. En menos de un minuto, el recurso muestra el agente **online**, con el nombre y el sistema de la máquina. ## Instalar el enforcer en Linux [Sección titulada «Instalar el enforcer en Linux»](#instalar-el-enforcer-en-linux) 1. Instala el paquete: ```bash sudo apt install ./ironchip-pam-agent_-1_amd64.deb # Debian, Ubuntu sudo dnf install ./ironchip-pam-agent--1.x86_64.rpm # RHEL, Rocky, Alma, Fedora (SUSE: zypper install) sudo apk add --allow-untrusted ./ironchip-pam-agent_-r1_x86_64.apk # Alpine sudo pacman -U ./ironchip-pam-agent--1-x86_64.pkg.tar.zst # Arch Linux ``` En cualquier otro Linux, descomprime el archivo `.tar` fuera de `/` y ejecuta su `install.sh` como root. 2. Da de alta el enforcer con el secreto del recurso y borra el fichero. Sustituye `` por el secreto de alta y `` por la dirección de la API de Ironchip: ```bash echo '' | sudo tee /etc/ironchip/secret >/dev/null && sudo chmod 600 /etc/ironchip/secret sudo ironchip-enforcer enroll -server :443 -secret-file /etc/ironchip/secret sudo rm /etc/ironchip/secret ``` 3. En `/etc/ironchip/enforcer.env`, indica la dirección de Ironchip (`IRONCHIP_SERVER`) y, si quieres que rote cuentas, añade `-rotate-accounts` con las cuentas separadas por comas en `IRONCHIP_ENFORCER_ARGS`. Después arranca el servicio: ```bash sudoedit /etc/ironchip/enforcer.env sudo systemctl enable --now ironchip-enforcer ``` En Alpine, usa `rc-update add ironchip-enforcer default` y `rc-service ironchip-enforcer start`. 4. Activa el plugin de aprobación de `sudo`. En `/etc/sudo.conf`, después del plugin de política: /etc/sudo.conf ```ini Plugin sudoers_policy sudoers.so Plugin ironchip_approval /usr/libexec/sudo/ironchip_approval.so socket=/run/ironchip/enforcer.sock timeout=30 ``` Precaución El paquete nunca edita `sudo.conf`. Una vez añadida la línea, todos los comandos `sudo` de cualquier usuario que no sea root necesitan el sí del enforcer: con el enforcer parado, `sudo` rechaza todo. Mantén una consola de root abierta mientras lo pruebas. Las actualizaciones del paquete reinician el enforcer si estaba en marcha y conservan `enforcer.env` y su alta. Los paquetes `.deb` y `.rpm` se niegan a desinstalarse mientras `sudo.conf` cargue el plugin: quita antes la línea. Los de Alpine y Arch desactivan la línea al desinstalarse y guardan una copia en `/etc/sudo.conf.ironchip-removed`. ## Instalar el enforcer en Windows [Sección titulada «Instalar el enforcer en Windows»](#instalar-el-enforcer-en-windows) Guarda el secreto de alta en `secret.txt` y, desde un símbolo del sistema con permisos elevados, ejecuta: ```powershell ironchip-enforcer.exe enroll -server :443 -secret-file secret.txt ironchip-enforcer.exe install -server :443 -rotate-accounts ironchip ``` `-rotate-accounts` es opcional e indica las cuentas locales que el enforcer puede rotar (en el ejemplo, `ironchip`). `install` lo instala como servicio, con sus ficheros en `C:\ProgramData\Ironchip`. `uninstall` lo elimina. El enforcer arranca el servicio Identidad de aplicación (AppIDSvc) si hace falta. Si la colección de ejecutables de AppLocker está en modo de auditoría, las reglas de Ironchip se registran pero no bloquean nada. En una máquina sin reglas de AppLocker propias, el enforcer añade una regla que permite todo a todos, para que las demás cuentas no se vean afectadas: Ironchip solo restringe las cuentas con las que entra el broker. ## Opciones del enforcer [Sección titulada «Opciones del enforcer»](#opciones-del-enforcer) | Opción | Qué hace | | -------------------------- | --------------------------------------------------------------------------------------------------------- | | `-server host:puerto` | Dirección de Ironchip. Obligatoria. | | `-secret-file fichero` | El secreto de alta, para `enroll`. | | `-rotate-accounts cuentas` | Cuentas, separadas por comas, cuya contraseña puede cambiar Ironchip: las que usa el broker. | | `-ca fichero` | Certificados de CA en los que confiar en lugar de los del sistema. | | `-key fichero` | Dónde guarda su clave. Por defecto `/etc/ironchip/enforcer.key` o `C:\ProgramData\Ironchip\enforcer.key`. | ## Comprobar que funciona [Sección titulada «Comprobar que funciona»](#comprobar-que-funciona) La pestaña **Agent** de la página del recurso muestra el estado de osquery (**Status**, **System**, **Processes**, **Last seen** y los últimos avisos) y del enforcer (**Last heard from**). En Linux, el enforcer se oye cuando alguien usa `sudo` y cada 30 segundos si rota contraseñas; en Windows, cada pocos segundos. ## Cambiar la clave o retirarlo [Sección titulada «Cambiar la clave o retirarlo»](#cambiar-la-clave-o-retirarlo) * Para cambiar la clave del enforcer, abre **Options > Remove enforcer** y vuelve a darlo de alta con un secreto nuevo de **Install agent**. Mientras no esté dado de alta, `sudo` rechaza todo en esa máquina. * **Options > Remove agent** hace lo mismo con osquery. Desinstalar osquery de la máquina corre de tu cuenta. ## Problemas frecuentes [Sección titulada «Problemas frecuentes»](#problemas-frecuentes) | Síntoma | Qué hacer | | ------------------------------------- | ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | `sudo` rechaza todos los comandos | El enforcer está parado o no responde. Arráncalo con `sudo systemctl start ironchip-enforcer` o, si hace falta, quita la línea del plugin en `/etc/sudo.conf` desde una consola de root. | | El alta falla | El secreto vale una vez para cada parte del agente y caduca a la hora. Genera otro con **Install agent** en el recurso correcto. | | No aparecen procesos en la sesión | Revisa que osquery tenga activada la fuente de eventos de tu sistema. En Windows es imprescindible. | | La contraseña de una cuenta no cambia | Añade la cuenta a `-rotate-accounts` y reinicia el enforcer. Consulta [Rotación de contraseñas](/pam/boveda/rotacion/). | # Aprobaciones > Define quién aprueba los accesos privilegiados, cuántas personas y cuándo, y decide en la consola las solicitudes y los comandos sudo que esperan aprobación. Esta página explica cómo se configura la aprobación de los accesos privilegiados y cómo se deciden las solicitudes y los comandos que esperan a alguien. Es para quien administra el acceso y para quien aprueba. ## Políticas de aprobación [Sección titulada «Políticas de aprobación»](#políticas-de-aprobación) Una política de aprobación dice quién tiene que decir que sí, cuántas personas y cuánto puede durar la ventana. Se añade a un [acceso](/pam/administracion/accesos/) como un factor más, junto al dispositivo y la zona segura, y también decide los comandos `sudo` que una [política de control](/pam/administracion/politicas/#pol%C3%ADticas-de-control) envía a aprobación. ### Crear una política de aprobación [Sección titulada «Crear una política de aprobación»](#crear-una-política-de-aprobación) 1. Ve a **Authentication policies > Approval policies** y haz clic en **New policy**.  2. Escribe **Name**, por ejemplo `Producción`. Es lo que se elige al configurar los factores de un acceso. 3. En **Who approves**, elige el grupo de aprobadores. Con **Administrators (whoever holds the permission)**, aprueban quienes tienen el permiso **PAM approvals and sessions** con Update. Suele ser mejor nombrar a los dueños del sistema que a los administradores de la plataforma. 4. En **Approvers required**, indica cuántas personas distintas tienen que aprobar (de 0 a 10). Con `0` es autoservicio: la ventana se abre al pedirla, y aun así queda registrada, limitada y revocable. 5. En **When they are asked**, elige el momento: * **When access is requested**: se aprueba una vez y se abre una ventana. * **When the person connects**: no se pregunta a nadie hasta que la persona se conecta, y la conexión queda retenida mientras deciden. 6. En **Longest window (minutes)**, indica la duración máxima de la ventana (`0` la deja sin límite). Si alguien pide más, se acorta a este máximo. 7. Haz clic en **Create**. Las condiciones se copian en cada solicitud al hacerla: relajar una política no deja pasar una solicitud a medio aprobar, y endurecerla no afecta a las ventanas ya abiertas. Si un acceso tiene varias políticas de aprobación, se aplica la más estricta: más aprobadores, la ventana más corta y la aprobación al conectar antes que al solicitar. No se puede borrar una política de aprobación mientras algún acceso la use. ## Decidir las solicitudes [Sección titulada «Decidir las solicitudes»](#decidir-las-solicitudes) **PAM > Approvals** muestra lo que espera una decisión humana. Ves las solicitudes que puedes decidir: las de las políticas cuyo grupo de aprobadores te incluye o, con el permiso **PAM approvals and sessions** con Update, todas.  | Columna | Qué muestra | | ------------- | -------------------------------------------------- | | **Who** | Quién pide el acceso y hace cuánto. | | **Wants** | Las máquinas y la integración por la que las pide. | | **Why** | El motivo que escribió. | | **Approvals** | Cuántas aprobaciones lleva y cuántas necesita. | 1. Lee el motivo en **Why**. 2. Abre **Options** y elige **Approve** o **Deny**. Confirma en la ventana que se abre. Si hacen falta varias aprobaciones, cada una queda registrada y la ventana se abre con la última. La ventana empieza a contar en ese momento y se cierra sola. Las solicitudes que se aprueban **al conectar** aparecen cuando la persona se conecta, con su conexión retenida. Lo que apruebas es esa conexión concreta: una conexión nueva vuelve a preguntar. Si nadie decide en 5 minutos, la conexión se rechaza. ### Reglas [Sección titulada «Reglas»](#reglas) * Nadie aprueba su propia solicitud ni aprueba dos veces la misma. No se puede configurar de otro modo. * Aprobar no salta ninguna comprobación: el dispositivo, la zona segura y los factores se comprueban en cada conexión. * Cada solicitud, aprobación, denegación y retirada queda registrada. ## Comandos que esperan aprobación [Sección titulada «Comandos que esperan aprobación»](#comandos-que-esperan-aprobación) Cuando una regla de una política de control dice **Ask approvers**, la persona se queda esperando en el `sudo` y el comando aparece en **PAM > Approvals**, en **Commands waiting on a machine**, con quién lo escribió, con qué cuenta, en qué máquina, la línea completa, la regla que pidió la aprobación y el tiempo que queda.  * Los aprobadores de la política de aprobación de esa regla ven **Approve** y **Refuse**. * Quien escribió el comando ve **Waiting for its approvers** y puede retirarlo con **Take back**. * Si nadie decide en 5 minutos, o si la sesión termina antes, el comando se rechaza. * Nadie aprueba su propio comando. La decisión aparece en la [grabación](/pam/conceptos/grabacion/) de la sesión, con quién lo autorizó o por qué se rechazó. ## Más información [Sección titulada «Más información»](#más-información) * [Aprobación](/pam/conceptos/aprobacion/): los dos momentos de aprobación. * [Solicitar acceso](/pam/usuarios/solicitar-acceso/): la solicitud vista por quien la hace. # Cuentas > Añade varias cuentas a una máquina, decide con cuál llega cada acceso y consulta el inventario de cuentas privilegiadas que los agentes encuentran en tus máquinas. Esta página explica las cuentas de PAM: con qué cuentas entra el broker en cada máquina y qué cuentas existen en tus máquinas según sus agentes. Es para quien administra los recursos y quiere tener controladas las cuentas privilegiadas. ## Las cuentas de una máquina [Sección titulada «Las cuentas de una máquina»](#las-cuentas-de-una-máquina) Cada recurso SSH, RDP, PostgreSQL o MySQL tiene su **cuenta propia**, la que escribiste al darlo de alta. Además, puedes añadirle otras cuentas, cada una con su secreto y su rotación. Así, por ejemplo, el equipo de operaciones entra como `ops` y el de bases de datos como `dba` en la misma máquina. Con qué cuenta llega cada persona lo decide su [acceso](/pam/administracion/accesos/), en el paso **Account on the machines**: * **Each machine’s own account**: llega con la cuenta propia de cada máquina. * **A specific account, on every machine**: llega con esa cuenta en todas las máquinas a las que llega el acceso. Una máquina que no tenga esa cuenta rechaza la conexión. En los dos casos la sesión es de la persona: se graba y se juzga como quien la abrió. ### Añadir una cuenta a una máquina [Sección titulada «Añadir una cuenta a una máquina»](#añadir-una-cuenta-a-una-máquina) 1. Abre la página del recurso y ve a la pestaña **Accounts**.  2. Haz clic en **Add account**. 3. Escribe **Username** y, en SSH y RDP, el dominio si es una cuenta de dominio. 4. Elige el **Method**. Por defecto, **Managed by Ironchip**: la contraseña la pone el enforcer de la máquina (si se arrancó con `-rotate-accounts` incluyendo la cuenta) o, en una cuenta de dominio, el [directorio](/pam/administracion/directorio/). En una base de datos, escribe además **Admin account** y **Admin password**. 5. Haz clic en **Add account**. La cuenta adicional aparece como un recurso más con el nombre `.`, tiene su propia página con su pestaña **Credential** y sigue la dirección y el sitio de su máquina. VNC, Kubernetes y HTTP no tienen cuentas. **Remove** quita la cuenta del broker y borra su secreto. La cuenta sigue existiendo en la máquina, pero los accesos que llegan con ella dejan de llegar a esta máquina. ## Inventario de cuentas [Sección titulada «Inventario de cuentas»](#inventario-de-cuentas) Si la máquina tiene el [agente](/pam/administracion/agente/), informa cada pocos minutos de sus cuentas: root y las cuentas con las que entran personas, quién administra la máquina, las claves SSH con las que se entra en cada cuenta y, en Windows, los servicios que se ejecutan con cada cuenta. Ve a **PAM > Hosts > Accounts** para ver todas las cuentas de todas las máquinas:  | Columna | Qué muestra | | -------------------- | ------------------------------------------------------------------------------------------------------------------ | | **Account** | La cuenta, su `uid` y su shell, si es de dominio, si no puede iniciar sesión y qué servicios se ejecutan con ella. | | **Machine** | La máquina. | | **Administers it** | Si administra la máquina: `root`, el grupo `sudo` o una regla de `sudo`, o **no**. | | **Keys** | Las claves SSH autorizadas en la cuenta. | | **Last sign-in** | El último inicio de sesión. | | **Password changed** | El último cambio de contraseña. | | **Ironchip** | Los recursos que entran con ella, si Ironchip la gestiona o **Not managed**. | Arriba, los contadores **Machines reporting**, **Accounts**, **Administer a machine** y **Of those, not managed**. Marca **Only those that administer a machine** y **Only those Ironchip does not manage** para ver las cuentas privilegiadas que todavía no controlas. ### Gestionar una cuenta encontrada [Sección titulada «Gestionar una cuenta encontrada»](#gestionar-una-cuenta-encontrada) 1. En la fila de la cuenta, haz clic en **Manage**. 2. Confirma con **Manage**. La cuenta se añade a las cuentas de su máquina con una contraseña que gestiona Ironchip: el enforcer pone la primera (si `-rotate-accounts` la incluye) y después cambia cada día y tras cada sesión. **Manage** no aparece cuando cambiar la contraseña rompería algo o no serviría de nada: si se ejecutan servicios con la cuenta, si nadie puede iniciar sesión con ella, si ya es una cuenta de dominio o si un recurso ya entra con ella. La máquina necesita un recurso SSH o RDP. ## Más información [Sección titulada «Más información»](#más-información) * [Rotación de contraseñas](/pam/boveda/rotacion/) * [Exposición](/pam/administracion/exposicion/): claves SSH y sesiones que no pasan por Ironchip. # Directorio > Conecta Active Directory, LDAP o Entra ID para que Ironchip rote las contraseñas de las cuentas de dominio con las que entra el broker en tus máquinas. Esta página explica cómo conectar el directorio de tu compañía para que Ironchip gestione las contraseñas de las **cuentas de dominio** con las que entra el broker. Es para quien administra PAM y el directorio. Un recurso entra con una cuenta de dominio cuando su usuario es `DOMINIO\cuenta`, `cuenta@dominio` o lleva un dominio en su campo. Si su método es **Managed by Ironchip**, la contraseña se cambia en el directorio cada día, tras cada sesión y cuando lo pides, y **todos los recursos que entran con la misma cuenta reciben la nueva**. La contraseña sigue la [complejidad de la compañía](/pam/boveda/rotacion/#complejidad-de-las-contrase%C3%B1as). ## Directorios compatibles [Sección titulada «Directorios compatibles»](#directorios-compatibles) | Directorio | Quién cambia la contraseña | | ------------------------------------ | ---------------------------------------- | | **Active Directory** | El almacén de secretos, por LDAP con TLS | | **OpenLDAP, or another LDAP server** | El almacén de secretos, por LDAP | | **Entra ID, cloud-only accounts** | Ironchip, por Microsoft Graph | Entra ID (antes Azure AD) solo sirve para cuentas creadas en la nube. Las cuentas sincronizadas desde un Active Directory local se cambian en ese Active Directory. ## Antes de empezar [Sección titulada «Antes de empezar»](#antes-de-empezar) * El permiso **PAM directory**. * **Active Directory o LDAP:** una cuenta de servicio con permiso para restablecer la contraseña de las cuentas que gestionará Ironchip, y nada más. El almacén de secretos tiene que llegar al directorio por red. * **Entra ID:** una aplicación registrada con el permiso `User.ReadWrite.All` y un rol de directorio que pueda restablecer las contraseñas de esas cuentas, con un secreto de cliente. ## Conectar Active Directory o LDAP [Sección titulada «Conectar Active Directory o LDAP»](#conectar-active-directory-o-ldap) 1. Ve a **PAM > Hosts > Directory**.  2. En **Directory**, elige **Active Directory** u **OpenLDAP, or another LDAP server**. 3. En **Address**, escribe la dirección, por ejemplo `ldaps://dc1.corp.example`. Puedes poner varios controladores separados por comas: se prueban por orden. 4. En **Account the secret store signs in with**, escribe el DN de la cuenta de servicio, por ejemplo `CN=ironchip-pam,OU=Service Accounts,DC=corp,DC=example`, y su contraseña en **Its password**. 5. En **Where accounts are**, escribe dónde están las cuentas, por ejemplo `OU=Admins,DC=corp,DC=example`. 6. En **Accounts are found by (optional)**, deja el atributo por defecto (`sAMAccountName` en Active Directory, `uid` en LDAP) o escribe otro, como `userPrincipalName`. 7. Si tu directorio usa una CA propia, pega su certificado en **CA certificate (optional, PEM)**. 8. Haz clic en **Connect**. Active Directory solo cambia contraseñas con TLS: usa `ldaps://` o marca **StartTLS on ldap\://**. No marques **Do not check its certificate** fuera de un laboratorio. Después de conectar, haz clic en **Change its password**: el almacén cambia la contraseña de la cuenta de servicio y, desde ese momento, solo él la conoce. ## Conectar Entra ID [Sección titulada «Conectar Entra ID»](#conectar-entra-id) 1. Ve a **PAM > Hosts > Directory** y elige **Entra ID, cloud-only accounts** en **Directory**. 2. Escribe **Tenant (directory) id**, **Application (client) id** y **Client secret**. 3. Haz clic en **Connect**. Ironchip inicia sesión en Entra ID con la aplicación para comprobarla. El secreto de cliente se guarda en el almacén de secretos. Para cambiarlo, crea uno nuevo en Entra ID y guárdalo aquí. ## Usar una cuenta de dominio en un recurso [Sección titulada «Usar una cuenta de dominio en un recurso»](#usar-una-cuenta-de-dominio-en-un-recurso) 1. Al dar de alta un recurso SSH o RDP, escribe la cuenta con su dominio (`CORP\svc-ops`, `svc-ops@corp.example` o el dominio en su campo). 2. Elige **Managed by Ironchip** como método. La contraseña se cambia en ese momento en el directorio y, a partir de ahí, según el calendario del recurso. Consulta [Rotación de contraseñas](/pam/boveda/rotacion/). ## Cambiar o quitar el directorio [Sección titulada «Cambiar o quitar el directorio»](#cambiar-o-quitar-el-directorio) * Para cambiar la dirección o la cuenta, edita los campos y haz clic en **Save**. Los campos de contraseña y certificado vacíos conservan los que ya tiene el almacén. * **Remove** olvida el directorio. No se puede mientras haya recursos cuyas cuentas roten a través de él, ni tampoco cambiar a otro tipo de directorio. # Exposición > Descubre qué formas de entrar en tus máquinas no pasan por Ironchip: claves SSH ajenas, sesiones abiertas por fuera, sudo sin contraseña y accesos remotos abiertos. Esta página explica la exposición: las formas de entrar en una máquina que no pasan por Ironchip, tal como las ve su agente. Sirve para cerrar las puertas traseras que harían inútil el control de acceso. Es para quien administra las máquinas. ## Requisitos [Sección titulada «Requisitos»](#requisitos) El [agente](/pam/administracion/agente/) (osquery) instalado en la máquina. El agente revisa la máquina cada pocos minutos. ## Ver la exposición [Sección titulada «Ver la exposición»](#ver-la-exposición) Ve a **PAM > Hosts > Exposure** para ver todas las máquinas, o abre la pestaña **Exposure** en la página de un recurso. La lista de **Targets** también avisa de los hallazgos altos y medios.  ## Qué se busca [Sección titulada «Qué se busca»](#qué-se-busca) | Gravedad | Hallazgo | Sistemas | Qué hacer | | ---------- | ----------------------------------------------------------------------------------------------------------------------- | ------------- | ------------------------------------------------------------------------------------------- | | **High** | Una cuenta acepta una clave SSH que no es la del broker | Linux y macOS | Quita la clave de `authorized_keys`, o compruébala si es de un proceso automatizado. | | **High** | Alguien tiene sesión iniciada y nadie está conectado a través de Ironchip, o la tiene con otra cuenta que la del broker | Todos | Averigua quién es y por dónde entró. | | **Medium** | Alguien puede ejecutar `sudo` sin contraseña | Linux y macOS | Si la máquina tiene el enforcer, baja a **Info**: Ironchip decide igualmente cada comando. | | **Info** | Quién puede convertirse en root | Linux y macOS | Revisa que sean las cuentas esperadas. | | **Info** | Cuántos administradores locales hay | Todos | Revisa que sean los esperados. | | **Info** | Un programa acepta SSH, RDP, VNC o WinRM en todas las direcciones | Todos | Si un cortafuegos solo deja entrar al broker, no hay riesgo, pero el agente no puede verlo. | La lista también indica las máquinas sin agente (**No agent**), las que aún no han respondido (**Waiting for the agent**) y las que no tienen nada (**Nothing found**). ## Más información [Sección titulada «Más información»](#más-información) * [Cuentas](/pam/administracion/cuentas/): el inventario de cuentas de cada máquina. * [Agente en las máquinas](/pam/administracion/agente/) # Políticas de destino y de control > Agrupa los recursos en políticas de destino y decide con políticas de control qué comandos sudo y qué programas de Windows se permiten, se rechazan o esperan aprobación. Las políticas de PAM son piezas que nombra un [acceso](/pam/administracion/accesos/): las **políticas de destino** dicen a qué máquinas llega y las **políticas de control** dicen qué se puede hacer como root una vez dentro. Esta página explica cómo crearlas. Es para quien administra el acceso privilegiado. Las condiciones con las que se entra (dispositivo, zona segura, factores y aprobación) no están aquí: son las [políticas de autenticación](/identidad/conceptos/politicas/) del acceso, y la aprobación se define en [políticas de aprobación](/pam/administracion/aprobadores/). ## Políticas de destino [Sección titulada «Políticas de destino»](#políticas-de-destino) Una política de destino es un conjunto de máquinas con nombre, como `Producción Linux`. Un acceso la nombra igual que nombra un grupo de factores, y así dos equipos pueden llegar a las mismas máquinas con condiciones distintas. ### Crear una política de destino [Sección titulada «Crear una política de destino»](#crear-una-política-de-destino) 1. Ve a **PAM > Hosts > Target policies** y haz clic en **Add target policy**.  2. Escribe **Name** y, si quieres, **Description (optional)**, por ejemplo `Todos los servidores Linux de producción, en Madrid y en AWS`. 3. En **Machines**, marca las máquinas. Aparecen agrupadas por sitio y una política puede mezclar sitios. 4. Haz clic en **Add target policy**. La política no da acceso a nadie hasta que la nombres en un acceso. ### Cambiarla o borrarla [Sección titulada «Cambiarla o borrarla»](#cambiarla-o-borrarla) * **Options > Edit policy** cambia el nombre o las máquinas. Los accesos que la nombran llegan a las máquinas nuevas en cuanto guardas, y dejan de llegar a las que quitas. * **Options > Remove policy** la borra. Las máquinas se quedan. No se puede borrar mientras algún acceso la nombre: la columna **Accesses** dice cuáles. ## Políticas de control [Sección titulada «Políticas de control»](#políticas-de-control) Una política de control dice qué puede ejecutar como root una persona conectada a través de Ironchip: * En **Linux**, cada comando `sudo`. La máquina pregunta a Ironchip por medio del [agente](/pam/administracion/agente/) después de que sus propias reglas de `sudoers` hayan dicho que sí, así que una política solo puede quitar permisos, nunca darlos. * En **Windows**, los programas que puede abrir la cuenta con la que entra la persona, que el agente aplica con AppLocker. Sin agente en la máquina, las políticas de control no se aplican en ella. ### La política por defecto [Sección titulada «La política por defecto»](#la-política-por-defecto) Cada compañía tiene **All allowed**, la de Ironchip: todo se puede ejecutar y deciden las reglas de la propia máquina. Se ofrece marcada en cada acceso nuevo y no se puede cambiar ni borrar. Para limitar, crea otra. ### Crear una política de control [Sección titulada «Crear una política de control»](#crear-una-política-de-control) 1. Ve a **PAM > Hosts > Control policies** y haz clic en **Add control policy**.  2. Escribe **Name**, por ejemplo `Operadores web`, y si quieres una descripción. 3. En **Rules, in order**, añade cada regla con **Add rule**: * **Kind**: **Command (sudo)** o **Windows program**. * **Command**: la línea de comando completa tal como se ejecutaría, con la ruta completa del programa: `/usr/bin/systemctl restart *`. `*` es cualquier cosa, incluidos espacios y barras; `?` es un carácter. * **Program or path**: el nombre del ejecutable, `powershell.exe`, que vale aunque se copie a otra carpeta, o una ruta con `*` y las carpetas de Windows: `%PROGRAMFILES%\Tools\*`. * **Then**: **Allow**, **Refuse** o **Ask approvers**. Con **Ask approvers**, elige la **Approval policy** que decide. 4. Ordena las reglas con las flechas: **la primera que coincide decide**. 5. En **Anything else**, elige qué pasa con lo que no coincide con ninguna regla. Por defecto, **Refuse**. 6. Haz clic en **Add control policy**.  Un ejemplo para un equipo que reinicia servicios web y lee sus registros: | # | Kind | Command o programa | Then | | - | -------------- | ---------------------------------- | ----------------- | | 1 | Command (sudo) | `/usr/bin/systemctl restart nginx` | **Allow** | | 2 | Command (sudo) | `/usr/bin/journalctl -u nginx*` | **Allow** | | 3 | Command (sudo) | `/usr/bin/apt install *` | **Ask approvers** | | | Anything else | | **Refuse** | ### Cómo se decide [Sección titulada «Cómo se decide»](#cómo-se-decide) * Si un acceso nombra varias políticas, se revisan en el orden en que las marcaste y decide la primera regla que coincide. Si ninguna coincide, se aplica el **Anything else** más estricto (rechazar antes que pedir aprobación, y pedir aprobación antes que permitir). * Un comando que espera aprobación aparece en [PAM > Approvals](/pam/administracion/aprobadores/#comandos-que-esperan-aprobaci%C3%B3n) y la persona espera en el `sudo` hasta 5 minutos. Si nadie decide a tiempo, se rechaza. * Si no hay nadie conectado a la máquina a través de Ironchip, el comando se rechaza. Los comandos que ya se ejecutan como root (uid 0) no se preguntan. * Si hay dos o más personas conectadas con la misma cuenta, Ironchip no puede saber de quién es el comando y lo rechaza. Usa [cuentas distintas](/pam/administracion/cuentas/) para cada equipo. * En **Windows**, un rechazo gana a un permiso sea cual sea el orden, y un programa no puede esperar aprobación (**Ask approvers** no está disponible). Rechazar todo lo demás sigue dejando ejecutar Windows y los programas instalados: detiene lo que la persona trae en sus propias carpetas. Sin nadie conectado, la cuenta mantiene todos los rechazos de todos los accesos que llegan a la máquina, para que las reglas estén puestas antes de que alguien entre; con varias personas conectadas se aplican las reglas más estrictas. * Un acceso que no nombra ninguna política de control deja la decisión a la máquina. Al editar una política que nombran accesos, el siguiente comando ya se decide con las reglas nuevas. ## Más información [Sección titulada «Más información»](#más-información) * [Accesos](/pam/administracion/accesos/): dónde se nombran estas políticas. * [Aprobación](/pam/conceptos/aprobacion/): cómo funciona la aprobación de accesos y de comandos. # Puesta en marcha > Qué necesita una compañía para usar el acceso privilegiado de Ironchip, qué permisos da cada área de la consola y en qué orden se configura. Esta página explica qué hace falta para empezar a usar Ironchip PAM, qué permisos de la consola necesita cada administrador y en qué orden se configura todo. Es para quien pone en marcha el acceso privilegiado en una compañía. ## El plan [Sección titulada «El plan»](#el-plan) El acceso privilegiado forma parte del plan de la compañía. Si no está incluido, las páginas de **PAM** muestran `Privileged access is not part of your company's plan` con el botón **Go to billing**. Para añadirlo, ve a facturación o escribe a . **PAM > Approvals** y **Authentication policies > Approval policies** funcionan sin el plan, porque las aprobaciones también sirven para las aplicaciones con inicio de sesión único. ## Permisos [Sección titulada «Permisos»](#permisos) Cada área de PAM tiene su propio recurso en **Security > Permissions**, así que puedes repartir la administración entre equipos. Consulta [Roles y permisos](/identidad/administracion/permisos/). | Recurso de permiso | Qué permite | | -------------------------------------- | ------------------------------------------------------------------------------------------------------------- | | **PAM targets, sites and agents** | Sitios, recursos, sus cuentas, su rotación, agentes, inventario de cuentas, exposición y políticas de destino | | **PAM control and password policies** | Políticas de control y complejidad de contraseñas de la compañía | | **PAM directory** | Directorio de las cuentas de dominio | | **PAM secrets** | Secretos de la compañía | | **PAM workloads** | Workloads que leen los secretos | | **PAM cloud accounts and credentials** | Cuentas de AWS, Google Cloud y Azure, y roles de credenciales temporales | | **PAM break-glass and checkouts** | Quién puede romper el cristal y el registro de contraseñas entregadas | | **PAM approvals and sessions** | Ver todas las solicitudes y decidirlas (Update), ver las sesiones en curso (Read) y terminarlas (Delete) | | **PAM recordings and live view** | Ver las grabaciones y las sesiones en directo | Las personas que solo piden acceso y se conectan no necesitan ningún permiso: basta con que estén en el grupo de un acceso. Las [contraseñas del equipo](/pam/boveda/contrasenas/) tampoco necesitan permiso. ## Orden de configuración [Sección titulada «Orden de configuración»](#orden-de-configuración) 1. **[Sitios](/pam/administracion/sitios/).** Dónde están las máquinas. 2. **[Recursos](/pam/administracion/recursos/).** Cada servidor, escritorio, base de datos o clúster, con la cuenta con la que entra el broker. 3. **[Políticas de destino](/pam/administracion/politicas/#pol%C3%ADticas-de-destino).** Conjuntos de recursos con nombre, como `Producción Linux`. 4. **[Políticas de control](/pam/administracion/politicas/#pol%C3%ADticas-de-control)** (opcional). Qué comandos `sudo` y qué programas de Windows se permiten, se rechazan o esperan aprobación. 5. **[Políticas de aprobación](/pam/administracion/aprobadores/)** (opcional). Quién aprueba, cuántas personas y cuánto dura la ventana. 6. **[Accesos](/pam/administracion/accesos/).** En **Integrations**, una integración **Privileged access** con un acceso por grupo: a qué políticas de destino llega, qué puede hacer y con qué factores y aprobaciones. 7. **[Agente](/pam/administracion/agente/)** (opcional). En las máquinas donde quieras controlar `sudo` o los programas de Windows, rotar cuentas locales o ver los procesos de cada sesión. Después, las personas del grupo ya pueden [solicitar acceso](/pam/usuarios/solicitar-acceso/) y [conectarse](/pam/usuarios/conectarse/). ## Menú de PAM [Sección titulada «Menú de PAM»](#menú-de-pam) | Menú | Para qué | | ------------------------------- | --------------------------------------------------------------------------------------------------------- | | **Hosts > Sites** | [Sitios](/pam/administracion/sitios/) | | **Hosts > Targets** | [Recursos](/pam/administracion/recursos/) | | **Hosts > Accounts** | [Cuentas](/pam/administracion/cuentas/) que los agentes encuentran en las máquinas | | **Hosts > Target policies** | [Políticas de destino](/pam/administracion/politicas/#pol%C3%ADticas-de-destino) | | **Hosts > Control policies** | [Políticas de control](/pam/administracion/politicas/#pol%C3%ADticas-de-control) | | **Hosts > Password complexity** | [Complejidad de las contraseñas](/pam/boveda/rotacion/#complejidad-de-las-contrase%C3%B1as) | | **Hosts > Directory** | [Directorio](/pam/administracion/directorio/) | | **Hosts > Exposure** | [Exposición](/pam/administracion/exposicion/): formas de entrar que no pasan por Ironchip | | **Secrets > Secrets** | [Secretos para aplicaciones](/pam/boveda/secretos/) | | **Secrets > Workloads** | [Workloads](/pam/boveda/secretos/#dar-de-alta-un-workload) | | **Secrets > Credentials** | [Credenciales temporales](/pam/boveda/credenciales-temporales/) | | **Approvals** | [Solicitudes y comandos que esperan aprobación](/pam/administracion/aprobadores/#decidir-las-solicitudes) | | **Checkouts** | [Checkouts y break-glass](/pam/boveda/checkouts/) | | **My access** | [Solicitar acceso](/pam/usuarios/solicitar-acceso/) y [conectarse](/pam/usuarios/conectarse/) | | **Passwords** | [Contraseñas del equipo](/pam/boveda/contrasenas/) | | **Sessions** y **Recordings** | [Sesiones y grabaciones](/pam/administracion/sesiones/) | # Recursos > Da de alta servidores, escritorios, bases de datos, clústeres y aplicaciones web como recursos de PAM, con la cuenta y el método con los que entra el broker. Un recurso (en la consola, **target**) es una máquina o un servicio al que el broker de Ironchip PAM abre sesiones: un servidor, un escritorio, una base de datos, un clúster de Kubernetes o una aplicación web interna. Esta página explica cómo darlos de alta y qué muestra la página de cada uno. Es para quien administra el acceso privilegiado. ## Tipos de recurso [Sección titulada «Tipos de recurso»](#tipos-de-recurso) | Protocolo | Para qué | Puerto por defecto | Métodos con los que entra el broker | | -------------- | ------------------------------------------ | ------------------ | -------------------------------------------------------------------------- | | **SSH** | Servidores Linux y Unix | 22 | Clave del broker, rol de IAM, contraseña guardada, gestionada por Ironchip | | **RDP** | Escritorios y servidores Windows | 3389 | Contraseña guardada, gestionada por Ironchip | | **VNC** | Cualquier escritorio que comparte pantalla | 5900 | Ninguno, contraseña guardada | | **PostgreSQL** | Bases de datos PostgreSQL | 5432 | Rol de IAM, contraseña guardada, gestionada por Ironchip | | **MySQL** | Bases de datos MySQL y MariaDB | 3306 | Rol de IAM, contraseña guardada, gestionada por Ironchip | | **Kubernetes** | Clústeres, con `kubectl` | La URL de la API | Rol de IAM, token guardado, certificado de cliente guardado | | **HTTP** | Aplicaciones web internas | La URL | El broker no guarda ninguna credencial | Cada tipo tiene su página: [SSH](/pam/recursos/ssh/), [RDP y VNC](/pam/recursos/rdp/), [Bases de datos](/pam/recursos/bases-de-datos/), [Kubernetes](/pam/recursos/kubernetes/) y [Aplicaciones web](/pam/recursos/web/). ## Antes de empezar [Sección titulada «Antes de empezar»](#antes-de-empezar) * Un [sitio](/pam/administracion/sitios/) donde dejar el recurso. * Un camino de red desde el broker hasta el recurso. Con Ironchip Connect, el conector del sitio. Consulta [Arquitectura](/pam/conceptos/arquitectura/). * El permiso **PAM targets, sites and agents**. ## Dar de alta un recurso [Sección titulada «Dar de alta un recurso»](#dar-de-alta-un-recurso) 1. Ve a **PAM > Hosts > Targets**, haz clic en **Add target** y elige el protocolo.  2. En **Name**, escribe el nombre con el que lo verán las personas, por ejemplo `prod-linux-01`. Solo letras, dígitos, puntos, guiones y guiones bajos, porque se teclea en las órdenes de `ssh` y `psql`. No se puede cambiar después: es el nombre con el que se archivan sus grabaciones. 3. En **Site**, elige el sitio. 4. En **Where the broker connects**, escribe **Address** y **Port** (en Kubernetes y HTTP, la **URL**). Es la dirección tal como la resuelve el **broker**, no tu portátil. 5. En **The account on the far machine**, escribe **Username**. En SSH y RDP puedes indicar un dominio para una [cuenta de dominio](/pam/administracion/directorio/). 6. En **How the broker proves itself**, elige el **Method**: | Método | Qué significa | | ---------------------------------------------------- | ----------------------------------------------------------------------------------------------------------------------------------------------- | | **The broker’s own key pair** | Solo SSH. La máquina confía en la clave pública del broker y no se guarda ningún secreto tuyo. | | **A stored password** | La contraseña de una persona, cifrada en el almacén de secretos. Ironchip nunca la cambia. | | **Managed by Ironchip: nobody types or sees it** | Ironchip la genera, nadie la ha visto nunca y la cambia cada día y tras cada sesión. Consulta [Rotación de contraseñas](/pam/boveda/rotacion/). | | **A stored token** / **A stored client certificate** | Kubernetes. Se guardan cifrados en el almacén de secretos. | | **An IAM role** | El broker se identifica con un rol de IAM y no se guarda ningún secreto. | | **Nothing (the server asks for nothing)** | VNC sin contraseña. | 7. Sigue los pasos de **Prepare the machine**, si aparecen. Por ejemplo, con la clave del broker la consola muestra la línea para `authorized_keys`; con una contraseña de base de datos, las órdenes `CREATE ROLE` o `CREATE USER`.  8. Haz clic en **Add target**. El recurso queda registrado en el broker, pero **nadie llega todavía a él**: añádelo a una [política de destino](/pam/administracion/politicas/#pol%C3%ADticas-de-destino) y nombra esa política en un [acceso](/pam/administracion/accesos/). ## La lista de recursos [Sección titulada «La lista de recursos»](#la-lista-de-recursos)  | Columna | Qué muestra | | ------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------ | | **Target** | El nombre (enlace a su página) y la dirección. | | **Connects as** | La cuenta con la que entra el broker, y las demás cuentas de la máquina. | | **Authentication** | **Managed**, **Stored password**, **Broker key**, **IAM role**, **Stored token**, **Stored certificate** o **None**. | | **Agent** | **online**, **offline**, **enforcer only** o **not installed**, el sistema operativo y, si hay, los avisos de [exposición](/pam/administracion/exposicion/). | | **Target policies** | Las políticas de destino que lo incluyen. **in no policy** significa que ningún acceso llega a él. | En **Options**, en la fila de cada recurso: * **Edit target**: cambia lo que no sea el nombre ni el protocolo. Al editar, los secretos guardados no se muestran: deja el campo vacío para conservarlos o escribe uno nuevo para sustituirlos. * **Install agent**: instala el [agente](/pam/administracion/agente/) en la máquina. * **Remove agent** y **Remove enforcer**: olvidan el agente o el enforcer de la máquina y su clave deja de valer. Para volver a darlos de alta hace falta un secreto nuevo de **Install agent**. * **Remove target**: borra el recurso de la compañía y del broker, con sus cuentas adicionales. Antes hay que sacarlo de las políticas de destino que lo incluyen. ## La página de un recurso [Sección titulada «La página de un recurso»](#la-página-de-un-recurso) Haz clic en el nombre del recurso para abrir su página. Arriba muestra la dirección, la cuenta, el estado del agente y del enforcer y el número de avisos de exposición. Debajo, estas pestañas: | Pestaña | Qué contiene | | -------------- | -------------------------------------------------------------------------------------------------------------------------------------- | | **Exposure** | Formas de entrar en la máquina que no pasan por Ironchip. Consulta [Exposición](/pam/administracion/exposicion/). | | **Accounts** | Las cuentas con las que entra el broker y las que el agente encuentra en la máquina. Consulta [Cuentas](/pam/administracion/cuentas/). | | **Agent** | El estado de osquery y del enforcer: sistema, versión, si ve los procesos, última vez que informó y últimos avisos. | | **Machine** | Lo que el agente sabe de la máquina: tiempo encendida, paquetes instalados, actualizaciones de Windows y si los discos están cifrados. | | **Credential** | La rotación de su contraseña y su complejidad. Consulta [Rotación de contraseñas](/pam/boveda/rotacion/). | ## Siguientes pasos [Sección titulada «Siguientes pasos»](#siguientes-pasos) * [Políticas de acceso](/pam/administracion/politicas/): agrupa los recursos y limita lo que se puede hacer en ellos. * [Accesos](/pam/administracion/accesos/): decide quién llega a ellos. # Sesiones y grabaciones > Mira quién está conectado a tus máquinas en este momento, observa una sesión en directo, termínala al instante y reproduce las grabaciones con su línea de tiempo. Esta página explica cómo supervisar las sesiones privilegiadas: ver quién está conectado, mirar una sesión en directo, terminarla y reproducir lo que ya terminó. Es para quien administra o audita el acceso privilegiado. ## Permisos [Sección titulada «Permisos»](#permisos) | Para | Permiso | | ------------------------------------------- | ----------------------------------------------------------------------------------- | | Ver **PAM > Sessions** | **PAM approvals and sessions** con Read | | Terminar una sesión | **PAM approvals and sessions** con Delete | | Mirar una sesión en directo o una grabación | **PAM recordings and live view** con Read | | Ver **PAM > Recordings** | **PAM recordings and live view** y **PAM approvals and sessions**, los dos con Read | ## Sesiones en curso [Sección titulada «Sesiones en curso»](#sesiones-en-curso) Ve a **PAM > Sessions**. Muestra quién está conectado a través del broker en este momento; lo que ya terminó está en **Recordings**. La lista se actualiza sola.  | Columna | Qué muestra | | ------------ | -------------------------------------------------------------------------------------- | | **Who** | La persona y cuándo empezó. | | **Where** | El recurso y su protocolo. | | **From** | La dirección desde la que se conecta, la que comprobó Ironchip antes de dejarla pasar. | | **Duration** | Cuánto lleva conectada. | | **State** | **Connected**. | | **Manage** | **Options**, con **Watch** y **Terminate**. | ### Mirar una sesión en directo [Sección titulada «Mirar una sesión en directo»](#mirar-una-sesión-en-directo) 1. En la fila de la sesión, abre **Options > Watch**. 2. El reproductor se abre en directo (**LIVE**). Puedes arrastrar la barra para volver a lo que ya pasó; al soltar, vuelve solo al directo. Desde el reproductor también puedes terminar la sesión con **Terminate**. ### Terminar una sesión [Sección titulada «Terminar una sesión»](#terminar-una-sesión) 1. En la fila de la sesión, abre **Options > Terminate**. 2. La ventana **Terminate session** te recuerda quién está conectado y a qué. Haz clic en **Terminate**.  La persona se desconecta en ese momento y la grabación de lo que hizo se conserva. Si estaba conectada desde la consola, ve el aviso **The session ended**; con su propio cliente, la conexión se corta. Terminar no cierra la ventana de acceso La persona puede volver a conectarse mientras su ventana siga abierta. Terminar corta la sesión, no el acceso. ## Grabaciones [Sección titulada «Grabaciones»](#grabaciones) Ve a **PAM > Recordings** para ver lo grabado de las sesiones de la compañía.  | Columna | Qué muestra | | ---------- | ---------------------------------------------------------------------------------------------------- | | **Who** | La persona y cuándo empezó. | | **Where** | El recurso y su protocolo. | | **State** | **LIVE** si la sesión sigue abierta, **Ended** si terminó. | | **Length** | Cuánto duró. | | **Kind** | **Terminal** (SSH y `kubectl exec`), **Desktop** (RDP y VNC) o **Kubernetes** (peticiones a la API). | | **Watch** | Abre el reproductor. | Busca por persona, recurso o tipo en el buscador de la parte superior. ### El reproductor [Sección titulada «El reproductor»](#el-reproductor)  * Las pestañas **Recording**, **Recording + log** y **Log** muestran la grabación, la grabación con su línea de tiempo o solo la línea de tiempo. * La terminal se reproduce tal como la vio la persona; el escritorio, como imágenes de la pantalla. Se reproducen a la velocidad real. * Usa el botón de reproducir, la barra para saltar a cualquier momento y **LIVE** para volver al directo. * Haz clic en una entrada de la línea de tiempo para ir a ese momento de la grabación. ### La línea de tiempo [Sección titulada «La línea de tiempo»](#la-línea-de-tiempo) La línea de tiempo reúne en un solo sitio: * **Lo que registra el broker:** la conexión, si quedó retenida esperando una aprobación o una confirmación, y cómo y por qué terminó. * **Los procesos** que inició la cuenta de la sesión, si la máquina tiene el [agente](/pam/administracion/agente/) (osquery). * **Los comandos `sudo`**, si la máquina tiene el enforcer: **Allowed** o **Refused**, con el motivo (la regla que decidió, quién lo aprobó o que nadie lo aprobó a tiempo). Si el agente de la máquina no está, está desconectado o no ve los procesos, el reproductor lo avisa encima de la línea de tiempo: lo que se ejecutó puede faltar. ## Qué se graba [Sección titulada «Qué se graba»](#qué-se-graba) | Recurso | Qué queda | | ------------------------ | ---------------------------------------------------------------------------- | | SSH | La terminal completa, la línea de tiempo y, con el agente, procesos y `sudo` | | RDP y VNC | La pantalla completa, la línea de tiempo y, con el agente, procesos | | Kubernetes | Cada `kubectl exec` como terminal, y cada petición a la API | | PostgreSQL, MySQL y HTTP | La sesión en **Sessions** y lo que registra el broker de la conexión | ## Más información [Sección titulada «Más información»](#más-información) * [Grabación y auditoría](/pam/conceptos/grabacion/): qué evidencia queda de cada acceso. * [Aprobaciones](/pam/administracion/aprobadores/): los comandos que esperan aprobación durante la sesión. # Sitios > Organiza las máquinas de tu compañía por sitio (un centro de datos, una oficina, una cuenta de nube) antes de darlas de alta como recursos de PAM. Un sitio dice dónde están las máquinas: un centro de datos, una oficina o una cuenta de nube. Esta página explica cómo crearlos. Es para quien administra los recursos de PAM. Cada recurso pertenece a un sitio, así que crea al menos uno antes de dar de alta el primer recurso. Un sitio dice dónde están las máquinas, no quién llega a ellas: eso lo deciden los [accesos](/pam/administracion/accesos/), con [políticas de destino](/pam/administracion/politicas/#pol%C3%ADticas-de-destino) que pueden mezclar sitios. Por ejemplo, `Producción Linux` puede incluir servidores de Madrid y de AWS. Con [Ironchip Connect](/pam/conceptos/arquitectura/#ironchip-connect), cada sitio tiene su conector y el broker llega a las máquinas del sitio por él. ## Crear un sitio [Sección titulada «Crear un sitio»](#crear-un-sitio) 1. Ve a **PAM > Hosts > Sites** y haz clic en **Add site**.  2. Escribe **Name** (hasta 60 caracteres, único en la compañía), por ejemplo `CPD Madrid`. 3. Si quieres, añade **Description (optional)**, por ejemplo `Rack B, por el conector de Madrid`. 4. Haz clic en **Add site**. ## Cambiar o borrar un sitio [Sección titulada «Cambiar o borrar un sitio»](#cambiar-o-borrar-un-sitio) En la fila del sitio, abre **Options**: * **Edit site** cambia el nombre o la descripción. * **Remove site** lo borra. Solo se puede si no tiene recursos: muévelos a otro sitio o bórralos antes. La columna **Targets** cuenta los recursos del sitio, incluidas las cuentas adicionales de cada máquina. ## Siguientes pasos [Sección titulada «Siguientes pasos»](#siguientes-pasos) * [Recursos](/pam/administracion/recursos/): da de alta las máquinas del sitio. # Checkouts y break-glass > Entrega la contraseña de una máquina gestionada con motivo y registro, permite el break-glass en emergencias y rótala en cuanto se devuelve. Esta página explica cómo puede una persona sacar la contraseña de una máquina que gestiona Ironchip, en el día a día (checkout) y en una emergencia (break-glass), y qué queda registrado. Es para quien administra el acceso privilegiado y para quien necesita la contraseña. Lo normal es no necesitarla: el broker pone la credencial al conectar y la persona nunca la ve. El checkout es para cuando hay que usar la máquina sin pasar por el broker, por ejemplo desde su consola física o con la red caída. ## Cómo funciona [Sección titulada «Cómo funciona»](#cómo-funciona) | | Checkout | Break-glass | | ------------ | ----------------------------------------------------------------- | ------------------------------------------------------------------ | | Quién puede | Quien tiene una ventana de acceso aprobada que llega a la máquina | Los miembros del grupo de break-glass | | Qué máquinas | Las de esa ventana | Cualquier máquina de la compañía cuya contraseña gestiona Ironchip | | Aprobación | La de la ventana | Ninguna | | Confirmación | Los factores del acceso, antes de mostrar la contraseña | No se pide | | Motivo | Obligatorio | Obligatorio | | Hasta cuándo | Hasta que se devuelve o se cierra la ventana | Hasta que se devuelve o vence el plazo de break-glass | | Al terminar | La contraseña se rota | La contraseña se rota | Solo se entrega una contraseña que gestiona Ironchip (**Managed by Ironchip**, que rota): de servidores SSH, escritorios RDP y bases de datos PostgreSQL y MySQL. Una contraseña guardada por una persona no se entrega nunca. Consulta [Rotación de contraseñas](/pam/boveda/rotacion/). Mientras la contraseña está fuera, nada la cambia: ni la rotación programada ni la de después de cada sesión. En una cuenta de dominio, eso vale para todos los recursos que entran con ella. ## Configurar quién puede romper el cristal [Sección titulada «Configurar quién puede romper el cristal»](#configurar-quién-puede-romper-el-cristal) Por defecto nadie puede usar el break-glass. 1. Ve a **PAM > Checkouts**.  2. En **Who may break the glass**, elige el grupo en **Group**. Solo aparecen los grupos de tipo colectivo. 3. En **For**, elige cuánto dura cada break-glass: de **15 minutes** a **8 hours**. Por defecto, **1 hour**. 4. Haz clic en **Save**. Para retirar el permiso, haz clic en **Let nobody**. Las contraseñas que ya están fuera siguen fuera hasta que se devuelven o vence su plazo. ## Sacar la contraseña de una máquina [Sección titulada «Sacar la contraseña de una máquina»](#sacar-la-contraseña-de-una-máquina) Para quien la necesita, desde **PAM > My access**: 1. En la fila de una ventana abierta, haz clic en **Password** junto a la máquina. 2. En **Why**, escribe el motivo (hasta 500 caracteres). Es lo primero que leerá quien revise el registro. 3. Haz clic en **Check out**. 4. Si el acceso pide factores, confírmalo como te indique el aviso: en el móvil, con el código que te llega por SMS, en el correo o con tu tarjeta. 5. Copia la contraseña. Se muestra **una sola vez**, con la forma de entrar (`ssh usuario@máquina` o la máquina y la cuenta de RDP). Las contraseñas que tienes aparecen en **Passwords you have**. Cuando termines, haz clic en **Give it back**: la contraseña se cambia y la que copiaste deja de funcionar. Si no la devuelves, se cambia al cerrarse la ventana. ## Romper el cristal [Sección titulada «Romper el cristal»](#romper-el-cristal) Si estás en el grupo de break-glass, **PAM > My access** muestra el apartado **Break the glass**: 1. En **Machine**, elige la máquina. 2. Haz clic en **Break the glass**. 3. En **Why**, explica la emergencia, por ejemplo `El broker está caído y los pagos fallan`. 4. Haz clic en **Break the glass** y copia la contraseña. 5. Cuando termines, haz clic en **Give it back now** o en **Give it back**. Si no la devuelves, se cambia al vencer el plazo configurado. ## Registro [Sección titulada «Registro»](#registro) **PAM > Checkouts** lista cada contraseña entregada: | Columna | Qué muestra | | ------------ | ---------------------------------------------------------------------------------------------------- | | **When** | Cuándo se sacó y hasta cuándo valía. | | **Who** | La persona, con su nombre y su correo en ese momento. | | **Machine** | La máquina. | | **How** | **Glass broken** (break-glass) o **Approved window** (checkout dentro de una ventana). | | **Why** | El motivo que escribió. | | **Password** | **Out** (fuera), **Given back** o **Ended** (a punto de cambiarse) y **Changed since** (ya no vale). | Si el cambio de contraseña falla, el motivo aparece en rojo bajo el estado y Ironchip lo reintenta cada minuto. Los registros se conservan aunque la máquina cambie de contraseña. ## Permisos [Sección titulada «Permisos»](#permisos) * Configurar el break-glass y ver **PAM > Checkouts**: **PAM break-glass and checkouts** (Read para ver, Update para cambiar). * Sacar una contraseña o romper el cristal no necesita ningún permiso de la consola: basta con la ventana de acceso o con estar en el grupo. ## Más información [Sección titulada «Más información»](#más-información) * [Bóveda de credenciales](/pam/conceptos/boveda/) * [Solicitar acceso](/pam/usuarios/solicitar-acceso/): cómo se abre una ventana. # Contraseñas del equipo > Guarda en Ironchip las contraseñas que las personas sí necesitan conocer, compártelas con personas o grupos y consulta quién las reveló y cuándo. Esta página explica cómo guardar y compartir contraseñas que las personas sí tienen que conocer, como la del router de una sede, la de un portal de un proveedor o la de la cuenta de emergencia de Microsoft 365. Es para cualquier persona de la consola de administración de una compañía con PAM. Las contraseñas que Ironchip guarda para sí mismo (las de las máquinas, los secretos de los workloads y las credenciales de nube) nunca aparecen aquí: el broker y los workloads las usan sin que nadie las vea. ## Cómo funciona [Sección titulada «Cómo funciona»](#cómo-funciona) * Cada contraseña tiene un **dueño**: quien la guarda. Solo el dueño puede cambiarla, compartirla, borrarla o ver su registro. * El dueño la comparte con **personas** o **grupos**. Ellos pueden revelarla, no cambiarla. * La contraseña y las notas se guardan cifradas en el almacén de secretos de la compañía, no en la base de datos de la plataforma. * **Cada vez que alguien la revela queda registrado**, con quién y desde qué dirección. El registro se conserva un año. ## Guardar una contraseña [Sección titulada «Guardar una contraseña»](#guardar-una-contraseña) 1. Ve a **PAM > Passwords** y haz clic en **Keep a password**.  2. Rellena **Name** (por ejemplo, `Router de la sede`), y si quieres **Username (optional)** y **Address (optional)**, que empieza por `http://` o `https://`. 3. Escribe la contraseña en **Password**, o haz clic en **Make one** para que Ironchip genere una con la [complejidad de la compañía](/pam/boveda/rotacion/#complejidad-de-las-contrase%C3%B1as). 4. Añade **Notes (optional)** si hace falta. 5. Haz clic en **Keep it**. ## Compartirla [Sección titulada «Compartirla»](#compartirla) 1. En la fila de la contraseña, abre **Options > Share**. 2. En **Search people and groups**, busca y marca las personas y los grupos que podrán revelarla. 3. Haz clic en **Save**. Para dejar de compartirla, desmarca a la persona o el grupo. La pertenencia a un grupo se comprueba cada vez que alguien la revela: quien sale del grupo deja de verla. ## Revelarla [Sección titulada «Revelarla»](#revelarla) 1. Haz clic en **Reveal** en su fila. 2. Usa **Show** para verla o **Copy** para copiarla al portapapeles. Si te la ha compartido otra persona, esa persona ve en el registro cada vez que la revelas. ## Consultar el registro [Sección titulada «Consultar el registro»](#consultar-el-registro) Abre **Options > Record**. Muestra cada vez que la contraseña se guardó, se cambió, se compartió, se reveló o se borró, con la persona y, al revelarla o borrarla, la dirección desde la que lo hizo. ## Cambiarla o borrarla [Sección titulada «Cambiarla o borrarla»](#cambiarla-o-borrarla) * **Options > Edit** cambia el nombre, la dirección, el usuario, la contraseña o las notas. Deja **New password (leave empty to keep it)** vacío para conservar la que hay. * **Options > Remove** la borra para ti y para quien la tenga compartida. No se puede deshacer. ## Límites [Sección titulada «Límites»](#límites) | Campo | Límite | | ---------------------------- | ---------------------- | | Nombre | 128 caracteres | | Usuario | 256 caracteres | | Dirección | 2048 caracteres | | Contraseña | 4 KiB | | Notas | 8 KiB | | Personas con quien compartir | 100 | | Grupos con quien compartir | 50 (de tipo colectivo) | ## Más información [Sección titulada «Más información»](#más-información) * [Bóveda de credenciales](/pam/conceptos/boveda/) * [Checkouts y break-glass](/pam/boveda/checkouts/): las contraseñas de las máquinas que gestiona Ironchip. # Credenciales temporales > Da a tus workloads credenciales de AWS, Google Cloud, Azure, PostgreSQL y MySQL que se crean al pedirlas y desaparecen solas al caducar. Esta página explica cómo conectar tus cuentas de nube y tus bases de datos para que tus workloads pidan credenciales de corta duración en lugar de usar claves permanentes. Es para quien administra la nube y los secretos de la compañía. ## Cómo funciona [Sección titulada «Cómo funciona»](#cómo-funciona) 1. Conectas una cuenta de AWS, Google Cloud o Azure con una credencial que puede crear otras. 2. Defines **roles**: qué credencial se crea (un usuario de IAM con ciertas políticas, un token de una cuenta de servicio, una cuenta de base de datos de solo lectura…) y cuánto dura. 3. Das el rol a un [workload](/pam/boveda/secretos/). 4. El workload la pide con su cliente de Vault cuando la necesita. Ironchip la crea en ese momento y la borra cuando vence. Nadie guarda ni reparte claves permanentes: cada credencial existe solo mientras se usa. ## Antes de empezar [Sección titulada «Antes de empezar»](#antes-de-empezar) * El permiso **PAM cloud accounts and credentials**. Para los roles de base de datos, también **PAM targets, sites and agents** con Read. * Para bases de datos: un recurso PostgreSQL o MySQL con la contraseña **Managed by Ironchip**. El almacén llega a la base de datos por la conexión con la que rota esa contraseña. Consulta [Rotación de contraseñas](/pam/boveda/rotacion/). ## Conectar una cuenta de nube [Sección titulada «Conectar una cuenta de nube»](#conectar-una-cuenta-de-nube) Ve a **PAM > Secrets > Credentials**. Las pestañas **AWS**, **Google Cloud** y **Azure** muestran un punto verde cuando están conectadas.  | Nube | Qué necesitas | Campos | | ------------ | ----------------------------------------------------------------------------------------------------------------------------------------------------- | ---------------------------------------------------------------------------------------------------------------------- | | AWS | Un usuario de IAM que pueda crear usuarios de IAM y sus claves, y asumir los roles que nombren tus roles | **Access key**, **Secret key**, **Region** y, si hace falta, **IAM endpoint (optional)** y **STS endpoint (optional)** | | Google Cloud | Una cuenta de servicio que pueda crear cuentas de servicio y sus claves, fijar políticas de IAM y crear tokens de las cuentas que suplanten tus roles | Su clave JSON, con **Choose its key file** | | Azure | Una aplicación que pueda gestionar aplicaciones y entidades de servicio en Microsoft Graph y asignar roles en la suscripción | **Tenant (directory) id**, **Subscription id**, **Cloud**, **Application (client) id** y **Client secret** | Haz clic en **Connect**. Después, haz clic en **Change its key** (o **Change its client secret** en Azure): el almacén crea una credencial nueva y borra la que diste, de modo que a partir de ese momento solo el almacén la conoce. **Disconnect** olvida la cuenta. No se puede mientras haya roles de esa nube; las credenciales ya creadas siguen hasta que vencen. ## Añadir un rol [Sección titulada «Añadir un rol»](#añadir-un-rol) 1. Haz clic en **Add role**. 2. En **Makes**, elige **AWS credentials**, **Google Cloud credentials**, **Azure credentials** o **Database accounts**. 3. Escribe **Name**. El workload lo pedirá como `/`, por ejemplo `aws/s3-reader` o `database/reporting`. 4. Completa lo de cada tipo: | Tipo | Opciones | | ------------- | ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | AWS | **An IAM user, with policies**: ARN de políticas (**Policy ARNs**) o una política propia en JSON. **A role, assumed**: los ARN de los roles (**Role ARNs**). Duran 1 hora, renovable hasta 24. | | Google Cloud | **Tokens of an existing service account**, **Tokens of a service account made for it** o **Keys of a service account made for it**, con el proyecto, los permisos (**Bindings**) y, opcionalmente, los ámbitos. **Lasts**: de 15 minutos a 12 horas. | | Azure | **A service principal made for it, with roles** (una línea por rol y ámbito, y grupos opcionales) o **Client secrets of an existing application**. **Lasts**: de 15 minutos a 1 día. | | Base de datos | **Database**: el recurso. **Start from**: una plantilla (**PostgreSQL · read only**, **PostgreSQL · read and write**, **MySQL · read only**). **Statements that create the account, one per line**, con `{{name}}`, `{{password}}` y `{{expiration}}`. **Lasts**: de 15 minutos a 1 día. | 5. Haz clic en **Add role**. AWS, Google Cloud y Azure comprueban el rol al añadirlo y, si lo rechazan, la consola muestra su motivo. Un rol no se edita: para cambiarlo, crea otro y bórralo con **Remove role**. No se puede borrar mientras algún workload lo tenga. ## Dar el rol a un workload y pedir la credencial [Sección titulada «Dar el rol a un workload y pedir la credencial»](#dar-el-rol-a-un-workload-y-pedir-la-credencial) 1. En **PAM > Secrets > Workloads**, abre **Options > Edit workload** y marca el rol en **Short-lived credentials it asks for (optional)**. 2. Desde la aplicación, después de iniciar sesión como en [Secretos para aplicaciones](/pam/boveda/secretos/#leer-un-secreto-desde-la-aplicaci%C3%B3n), pide la credencial: ```bash vault read aws/creds/s3-reader vault read gcp/impersonated-account/deployer/token # o gcp/roleset/deployer/token vault read azure/creds/reader vault read database/creds/reporting ``` La respuesta trae la credencial y su duración. El almacén la borra cuando vence o cuando se revoca el token del workload. ## Más información [Sección titulada «Más información»](#más-información) * [Secretos para aplicaciones](/pam/boveda/secretos/) * [Bases de datos](/pam/recursos/bases-de-datos/) # Rotación de contraseñas > Haz que Ironchip genere y cambie las contraseñas de servidores, escritorios y bases de datos según un calendario, tras cada sesión y con la complejidad que elijas. Esta página explica cómo hacer que Ironchip gestione la contraseña de un recurso: que la genere, que nadie la conozca y que la cambie sola según un calendario y después de cada sesión. Es para quien administra los recursos de PAM. ## Antes de empezar [Sección titulada «Antes de empezar»](#antes-de-empezar) * El recurso es **SSH**, **RDP**, **PostgreSQL** o **MySQL**. VNC, Kubernetes y HTTP no tienen una contraseña que Ironchip pueda rotar. * Necesitas el permiso **PAM targets, sites and agents** con la operación **Update** (y **PAM control and password policies** para la complejidad de la compañía). Consulta [Puesta en marcha](/pam/administracion/primeros-pasos/). * Según quién cambia la contraseña, prepara antes: | Cuenta | Quién cambia la contraseña | Qué necesitas | | -------------------------------------------------------------------- | ------------------------------------------------------------------------------------------------ | ------------------------------------------------------------------------------------------------------------------------------ | | Usuario de PostgreSQL o MySQL | El almacén de secretos, conectado a la base de datos | Una cuenta de administración de la base de datos (**Admin account** y **Admin password**) con permiso para cambiar contraseñas | | Cuenta local de un servidor Linux o Windows | El [agente](/pam/administracion/agente/) de la máquina, con una contraseña que genera el almacén | El enforcer instalado y arrancado con `-rotate-accounts` y el nombre de la cuenta | | Cuenta de dominio (`DOMINIO\cuenta`, `cuenta@dominio` o con dominio) | El almacén, en el directorio de la compañía | El [directorio](/pam/administracion/directorio/) configurado en **PAM > Hosts > Directory** | ## Activar la rotación [Sección titulada «Activar la rotación»](#activar-la-rotación) La rotación se activa al elegir el método **Managed by Ironchip: nobody types or sees it** en el recurso. 1. Ve a **PAM > Hosts > Targets** y abre **Options > Edit target** en el recurso, o crea uno nuevo con **Add target**. 2. En **How the broker proves itself**, elige **Managed by Ironchip: nobody types or sees it** en **Method**. 3. En una base de datos, escribe **Admin account** y **Admin password**: el almacén entra con esa cuenta y cambia en ese momento la contraseña de la cuenta del recurso. Solo el almacén guarda la cuenta de administración. 4. Haz clic en **Save** (o **Add target**). La rotación empieza al guardar, con el calendario por defecto: **cada día y después de cada sesión**. Cuentas locales: hasta la primera contraseña nadie entra En una cuenta local de Linux o Windows es el enforcer de la máquina quien pone la contraseña. Mientras no ponga la primera, el recurso muestra **Waiting for the machine to set its first password** y nadie puede conectarse. Comprueba que el enforcer está instalado y que `-rotate-accounts` incluye esa cuenta: una cuenta que no esté en la lista nunca se cambia, aunque Ironchip lo pida. ## Elegir el calendario [Sección titulada «Elegir el calendario»](#elegir-el-calendario) En la página del recurso, la pestaña **Credential** muestra la rotación:  | Campo | Qué indica | | ---------------- | ---------------------------------------------------------------------------------------------------------------------------------------------------------------- | | **Account** | La cuenta cuya contraseña se cambia. | | **Changed by** | Quién la cambia: la base de datos, el enforcer de la máquina o el directorio. En una cuenta de dominio, todos los recursos que entran con ella reciben la nueva. | | **How often** | El calendario (**Changed**) y si además se cambia después de cada sesión. | | **Last changed** | Cuándo se cambió por última vez. | | **Next** | Cuándo toca la siguiente. Si la máquina tiene un cambio pendiente, aparece **Now** con el estado. | | **Last attempt** | Si el último intento falló, el motivo. Ironchip lo reintenta a los pocos minutos. | Para cambiarlo: 1. En **Changed**, elige **Every hour**, **Every 8 hours**, **Every day**, **Every week** o **Every 30 days**. 2. Usa **Also after every session** o **Not after sessions** para decidir si también se cambia cuando termina la última sesión abierta en esa cuenta. 3. Si necesitas cambiarla ya, haz clic en **Rotate now**. Elige el calendario según la criticidad del recurso. Una pauta habitual: | Criticidad | Ejemplo | Calendario | | ---------- | ------------------------------------------------- | --------------------------------------- | | Alta | Servidores y bases de datos de producción | **Every hour** y después de cada sesión | | Media | Escritorios de soporte, entornos de preproducción | **Every day** y después de cada sesión | | Baja | Laboratorio, máquinas de formación | **Every week** | Un recurso **Managed by Ironchip** siempre rota: no se puede detener. Para dejar de rotar, cambia su método en **Edit target**. ## Complejidad de las contraseñas [Sección titulada «Complejidad de las contraseñas»](#complejidad-de-las-contraseñas) La complejidad decide cómo genera Ironchip las contraseñas que pone. Por defecto son de 24 caracteres, con al menos 2 minúsculas, 2 mayúsculas, 2 dígitos y 2 símbolos de `!#%+-=?^_~`. Para cambiarla en toda la compañía: 1. Ve a **PAM > Hosts > Password complexity**.  2. Elige la longitud (**Length**, de 12 a 128 caracteres) y, para cada tipo de carácter, si se usa y cuántos como mínimo (**At least**). 3. En **Symbols that may appear**, marca los símbolos que admiten tus sistemas. Ironchip nunca usa dos puntos, comillas, barra invertida, espacio, `$`, `{` ni `}`. 4. Haz clic en **Save**. **Use Ironchip’s default** vuelve a la complejidad por defecto. Para un recurso concreto, en su pestaña **Credential**, sección **Password complexity**, elige **Its own** y guárdala. Las cuentas de dominio siempre usan la de la compañía. La complejidad nueva se aplica en el siguiente cambio: la contraseña puesta ahora sigue hasta que rote. ## Otras credenciales [Sección titulada «Otras credenciales»](#otras-credenciales) Estas credenciales también viven en el almacén, pero se cambian cuando lo pides: * La cuenta con la que el almacén entra en el directorio: **Change its password** en **PAM > Hosts > Directory**. * Las credenciales de AWS, Google Cloud y Azure: **Change its key** o **Change its client secret** en **PAM > Secrets > Credentials**. * La credencial de un workload: **Replace credential** en **PAM > Secrets > Workloads**. Después del cambio, solo el almacén conoce la credencial nueva. ## Problemas frecuentes [Sección titulada «Problemas frecuentes»](#problemas-frecuentes) | Síntoma | Qué hacer | | ------------------------------------------------------------------ | --------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | **This machine has no enforcer, so its password does not change.** | Instala el [enforcer](/pam/administracion/agente/) en la máquina y arráncalo con `-rotate-accounts` y la cuenta. | | Se queda en **Waiting for the machine to set a new password** | El enforcer consulta cada 30 segundos. Comprueba que está en marcha y que la cuenta está en `-rotate-accounts`. Mientras tanto, el broker usa la contraseña anterior. | | No aparece **Managed by Ironchip** | El protocolo no lo admite: solo SSH, RDP, PostgreSQL y MySQL. | | Una cuenta de dominio no se puede gestionar | Configura antes el [directorio](/pam/administracion/directorio/). | # Secretos para aplicaciones > Guarda los secretos de tus aplicaciones y pipelines en Ironchip y léelos con cualquier cliente de Vault, con redes permitidas, caducidad y registro de cada lectura. Esta página explica cómo guardar los secretos de tus aplicaciones, pipelines y scripts en Ironchip, y cómo los leen con la API de secretos de Ironchip, que habla la de Vault. Es para quien administra los secretos y para quien integra una aplicación. ## Cómo funciona [Sección titulada «Cómo funciona»](#cómo-funciona) * **Secrets** guarda los secretos de la compañía, organizados en rutas como `billing/stripe`. Los valores se escriben y no se vuelven a mostrar nunca, ni en la consola ni en ningún otro sitio de Ironchip. * **Workloads** da de alta cada aplicación, pipeline o script que los lee. Cada workload tiene su propia credencial y solo lee los secretos y carpetas que le das, desde las redes que le permites. * La aplicación entra con un **cliente de Vault** cualquiera: las CLI `vault` y `bao`, los SDK de Vault, Terraform o External Secrets. No hace falta cambiar código. * En **cada petición** Ironchip comprueba que el workload está activo, que no ha caducado, que pregunta desde una de sus redes y que usa su credencial vigente. Cada petición queda registrada. ## Antes de empezar [Sección titulada «Antes de empezar»](#antes-de-empezar) Necesitas estos permisos (consulta [Puesta en marcha](/pam/administracion/primeros-pasos/)): * **PAM secrets** para escribir y borrar secretos. * **PAM workloads** para dar de alta workloads y emitir sus credenciales. ## Guardar un secreto [Sección titulada «Guardar un secreto»](#guardar-un-secreto) 1. Ve a **PAM > Secrets > Secrets** y haz clic en **Add secret**.  2. En **Path**, escribe la ruta, por ejemplo `billing/stripe`. Las barras crean carpetas. 3. En **Fields**, añade cada campo con su **Name** (por ejemplo `api_key`) y su **Value**. Hasta 32 campos, de 64 KiB cada uno. 4. Haz clic en **Add secret**. Para cambiarlo, abre **Options > Write new version** y escribe de nuevo **todos** los campos: los valores no se conservan de la versión anterior y un campo que no escribas no estará en la nueva. **Options > Remove secret** lo borra con todas sus versiones; los workloads que lo leían dejan de encontrarlo en ese momento. ## Dar de alta un workload [Sección titulada «Dar de alta un workload»](#dar-de-alta-un-workload) 1. Ve a **PAM > Secrets > Workloads** y haz clic en **Add workload**.  2. Rellena **Name** (por ejemplo, `billing-worker`) y, si quieres, **Description (optional)**. 3. En **Secrets it reads**, escribe las rutas separadas por comas. Una ruta que termina en `/` es una carpeta, con todo lo que contiene: `billing/stripe, ci/`. 4. En **Short-lived credentials it asks for (optional)**, marca los roles de [credenciales temporales](/pam/boveda/credenciales-temporales/) que puede pedir. 5. En **Networks it may be used from**, escribe las direcciones o rangos desde los que se conecta, por ejemplo `10.20.0.0/16, 203.0.113.7`. Vacío significa desde cualquier sitio. 6. En **Expires**, elige **Never**, **30 days**, **90 days** o **1 year**. 7. Haz clic en **Add and issue credential**. La consola muestra la credencial **una sola vez**. Guárdala en el gestor de secretos de tu pipeline o de tu plataforma: el `secret_id` no se guarda en Ironchip y la única forma de tener otro es sustituirlo. ## Leer un secreto desde la aplicación [Sección titulada «Leer un secreto desde la aplicación»](#leer-un-secreto-desde-la-aplicación) La ventana de la credencial muestra las variables y los comandos listos para copiar. Con la CLI de Vault: ```bash export VAULT_ADDR=https:// export VAULT_ROLE_ID= export VAULT_SECRET_ID= export VAULT_TOKEN=$(vault write -field=token auth/approle/login role_id="$VAULT_ROLE_ID" secret_id="$VAULT_SECRET_ID") vault kv get -mount=secrets billing/stripe ``` * `VAULT_ADDR` es la dirección de la API de Ironchip que aparece en la credencial. * El inicio de sesión es el método AppRole de Vault: `role_id` y `secret_id`. * El token dura una hora y se puede renovar hasta un día. * Los secretos están en el montaje `secrets`. Un workload solo puede leer; no puede escribir ni borrar. Cualquier cliente que sepa hablar con Vault sirve: configura en él la misma dirección, el método AppRole y la ruta del secreto. ## Gestionar un workload [Sección titulada «Gestionar un workload»](#gestionar-un-workload) En **Options**, en su fila: | Acción | Qué hace | | --------------------- | ---------------------------------------------------------------------------------------------------------------- | | **Open** | Abre su página: lo que lee, desde dónde, cuándo caduca y su actividad. | | **Edit workload** | Cambia lo que lee, las redes o la caducidad. | | **Issue credential** | Emite una credencial nueva. La anterior y todos los tokens obtenidos con ella dejan de funcionar al instante. | | **Enable or disable** | Deshabilitado, no entra nada suyo, ni siquiera los tokens que ya tiene. Al habilitarlo de nuevo vuelven a valer. | | **Remove workload** | Lo borra con su credencial. Los secretos que leía se quedan. | El estado de cada workload es uno de estos: **Active**, **Not used yet** (tiene credencial y no la ha usado), **No credential**, **Expired** o **Disabled**. ## Auditar las lecturas [Sección titulada «Auditar las lecturas»](#auditar-las-lecturas) En la página del workload, la pestaña **Activity** muestra sus últimas peticiones: cuándo, qué pidió (método y ruta), desde qué dirección y la respuesta. Si Ironchip la rechazó, aparece el motivo, por ejemplo que llegó desde una red no permitida o con una credencial sustituida. Las peticiones se conservan 90 días. ## Problemas frecuentes [Sección titulada «Problemas frecuentes»](#problemas-frecuentes) | Respuesta o síntoma | Qué hacer | | ------------------------------------------------- | ---------------------------------------------------------------------------------------------- | | `that credential has been replaced` | Alguien emitió una credencial nueva. Usa la última. | | `Ironchip's secrets API does not serve this path` | La ruta no es de secretos ni de credenciales temporales. Revisa el montaje (`-mount=secrets`). | | `permission denied` en un secreto | El workload no tiene esa ruta o su carpeta en **Secrets it reads**. | | Rechazado desde la red del pipeline | Añade su dirección o rango en **Networks it may be used from**. | ## Más información [Sección titulada «Más información»](#más-información) * [Credenciales temporales](/pam/boveda/credenciales-temporales/): credenciales de AWS, Google Cloud, Azure y bases de datos que caducan solas. * [Bóveda de credenciales](/pam/conceptos/boveda/) # Aprobación en la conexión > Cómo se aprueba una sesión privilegiada: los dos momentos de aprobación, el quórum, qué ve el aprobador y cómo se aprueban también los comandos sudo. Esta página explica cómo se aprueba un acceso privilegiado y qué diferencia hay entre aprobar al solicitar y aprobar al conectar. La necesitas si administras políticas o apruebas solicitudes. ## La aprobación es un factor más [Sección titulada «La aprobación es un factor más»](#la-aprobación-es-un-factor-más) En Ironchip, la aprobación no es un ajuste aparte: es una [política de aprobación](/pam/administracion/aprobadores/) que se añade a un acceso igual que un dispositivo o una zona segura. Por eso se combina con ellos. Por ejemplo, un acceso puede pedir `Dispositivo AND Zona segura de la oficina` **o** `Dispositivo AND Aprobación`, de modo que la aprobación compensa estar fuera de la oficina. Un acceso sin aprobación en ninguna combinación es **permanente**: la persona se conecta cuando quiere. Uno con aprobación es **bajo solicitud**: la persona pide una ventana. ## Los dos momentos de aprobación [Sección titulada «Los dos momentos de aprobación»](#los-dos-momentos-de-aprobación) | | Al solicitar (**When access is requested**) | Al conectar (**When the person connects**) | | ------------------- | ---------------------------------------------------------- | ------------------------------------------------ | | Cuándo se pregunta | Al pedir el acceso | Cuando la persona abre la conexión | | Qué abre | Una ventana de tiempo | Solo esa conexión | | Varias conexiones | La persona entra cuantas veces quiera dentro de la ventana | Cada conexión espera su propia decisión | | Qué ve el aprobador | La solicitud y su motivo | Alguien en la puerta, ahora, desde una dirección | | Cuándo usarlo | Trabajo planificado | Máquinas donde cada entrada cuenta | **Al solicitar.** Una aprobación abre una ventana. Dentro de ella, cada conexión sigue pasando por el broker y por la comprobación de dirección y factores. La ventana se cierra sola al expirar. **Al conectar.** La solicitud espera y no se pregunta a nadie hasta que la persona se conecta. El broker retiene la conexión mientras los aprobadores deciden, así que la pregunta que responden es “¿debería estar pasando esto ahora?”. Si nadie decide en 5 minutos, la conexión se rechaza. Una conexión nueva vuelve a preguntar. ## Quórum y ventana [Sección titulada «Quórum y ventana»](#quórum-y-ventana) * **Approvers required** dice cuántas personas distintas tienen que aprobar. Con `0` la ventana se abre al pedirla. * La ventana empieza con la última aprobación necesaria y dura lo que se pidió, hasta el máximo de la política. * Si un acceso tiene varias políticas de aprobación, se aplica la más estricta. ## Reglas [Sección titulada «Reglas»](#reglas) * Nadie aprueba su propia solicitud ni aprueba dos veces la misma. * La ventana aprobada se cierra sola. * Aprobar no salta ninguna comprobación: la dirección y los factores se evalúan en cada conexión. * La aprobación también vale como factor para tus aplicaciones con inicio de sesión único (SSO). ## Aprobación de comandos y programas [Sección titulada «Aprobación de comandos y programas»](#aprobación-de-comandos-y-programas) Si instalas el [agente en las máquinas](/pam/administracion/agente/), las [políticas de control](/pam/administracion/politicas/#pol%C3%ADticas-de-control) llevan la decisión más allá de la conexión: * En **Linux**, cada `sudo` pregunta a Ironchip: se permite, se rechaza explicando el motivo o se retiene hasta que alguien lo aprueba en **PAM > Approvals**. Queda registrado quién lo autorizó y por qué regla. * En **Windows**, solo se pueden abrir los programas permitidos mientras dura la sesión, aunque los renombren. ## Más información [Sección titulada «Más información»](#más-información) * [Aprobaciones](/pam/administracion/aprobadores/): crear políticas de aprobación y decidir solicitudes. * [Accesos](/pam/administracion/accesos/): dónde se añade la aprobación. # Arquitectura del acceso privilegiado > Qué piezas intervienen en una conexión privilegiada: consola, broker, almacén de secretos, Ironchip Connect y agente, y qué hace cada una. Esta página describe el camino de una conexión privilegiada y las piezas que lo forman. Te sirve para planificar el despliegue y para explicar a tu equipo de red por qué no hay que abrir puertos. ## Un único camino hasta cada máquina [Sección titulada «Un único camino hasta cada máquina»](#un-único-camino-hasta-cada-máquina) La persona pide acceso en la consola y se conecta con un ticket que solo sirve una vez. El broker retiene la conexión mientras Ironchip comprueba equipo, zona segura, riesgo y aprobación; solo entonces pone la credencial y empieza a grabar. | Pieza | Qué hace | Dónde está | | ------------------------- | --------------------------------------------------------------------------------------------------------------- | ------------ | | Persona | Se conecta desde el navegador o con su cliente: `ssh`, `psql`, `mysql`, RDP, VNC, `kubectl` | Su equipo | | Consola de administración | Accesos, factores, aprobaciones, ubicación, riesgo y grabaciones. Es la misma consola de la plataforma | Ironchip | | Broker de Ironchip PAM | Único punto de entrada: retiene cada conexión, pone la credencial y graba la sesión | Ironchip | | Almacén de secretos | Credenciales y secretos cifrados, cada compañía en su propio espacio. El broker los lee y no se queda copia | Ironchip | | Agente (opcional) | osquery informa de procesos, cuentas y exposición; el enforcer decide `sudo` y AppLocker y rota cuentas locales | Tus máquinas | | Máquinas de destino | Servidores, escritorios, bases de datos, Kubernetes y aplicaciones web | Tu red | ## Qué pasa en cada conexión [Sección titulada «Qué pasa en cada conexión»](#qué-pasa-en-cada-conexión) 1. La persona pide acceso en la consola, en **My access**, con un motivo si la política lo exige. 2. Se conecta con un ticket de un solo uso, desde el navegador o con su propio cliente. 3. El broker retiene la conexión y pregunta a Ironchip: ventana o acceso permanente, dirección, factores y, si se aprueba al conectar, aprobación. 4. Si se admite, el broker lee la credencial del almacén. La persona nunca la ve. 5. El broker abre la sesión y la graba de principio a fin. 6. El agente informa y recibe reglas por HTTPS. Con Ironchip Connect, tu red no abre ningún puerto de entrada. ## Ironchip Connect [Sección titulada «Ironchip Connect»](#ironchip-connect) Ironchip Connect es un conector ligero que se instala dentro de cada sitio. Abre un túnel cifrado (WireGuard) de salida hacia Ironchip, y por ese túnel, y solo por él, llega el broker a tus máquinas. * **Nada de entrada.** Tu red no publica ningún puerto: el conector solo abre conexiones salientes. * **Tus rangos, sin conflictos.** Aunque otra compañía use las mismas direcciones privadas, cada sitio va por su propio túnel. * **Directo cuando se puede.** Si la red lo permite, el túnel va directo; si no, pasa por un relé sin perder el cifrado. ## Almacén de secretos [Sección titulada «Almacén de secretos»](#almacén-de-secretos) El almacén guarda cifradas todas las credenciales que custodia Ironchip PAM, cada compañía en su propio espacio. La base de datos de la plataforma solo guarda la descripción de cada cosa, nunca el secreto. El mismo almacén sirve para: * **Las credenciales de los recursos**, que el broker lee al conectar, y las contraseñas que Ironchip gestiona y [rota](/pam/boveda/rotacion/). * **[Checkouts y break-glass](/pam/boveda/checkouts/)**, para entregar la contraseña de una máquina con motivo y registro, y rotarla al devolverla. * **[Contraseñas del equipo](/pam/boveda/contrasenas/).** Un gestor para lo que sí hay que conocer, como el router de una sede. Se comparte con personas y grupos y cada vez que alguien la revela queda registrado. * **[Secretos para aplicaciones](/pam/boveda/secretos/).** Compatible con la API de Vault: tu código y tu integración continua leen sus secretos de Ironchip sin cambiar una línea. * **[Credenciales temporales](/pam/boveda/credenciales-temporales/)** de AWS, Google Cloud, Azure y bases de datos, que se crean al pedirlas y desaparecen solas. Consulta [Bóveda de credenciales](/pam/conceptos/boveda/). ## Más información [Sección titulada «Más información»](#más-información) * [Sesiones Just-in-Time](/pam/conceptos/sesiones-jit/) * [Bóveda de credenciales](/pam/conceptos/boveda/) * [Agente en las máquinas](/pam/administracion/agente/) * [Recursos](/pam/administracion/recursos/) # Bóveda de credenciales > Dónde guarda Ironchip las credenciales privilegiadas, quién puede verlas, cómo se rotan y cómo se recuperan en una emergencia con break-glass. Esta página explica qué es la bóveda de credenciales de Ironchip PAM: el repositorio centralizado y cifrado donde viven las credenciales privilegiadas de tu compañía, cómo se rotan y cómo se recuperan, de forma controlada y auditada, cuando hay una emergencia. Te sirve si administras el acceso privilegiado o si tienes que responder a una auditoría. ## Un único almacén cifrado [Sección titulada «Un único almacén cifrado»](#un-único-almacén-cifrado) Todas las credenciales que Ironchip PAM custodia están en el **almacén de secretos** de Ironchip, cifradas y separadas por compañía: cada compañía tiene su propio espacio y ninguna puede leer el de otra. La base de datos de la plataforma solo guarda la descripción de cada cosa (nombre, dirección, cuenta), nunca el secreto. | Qué guarda | Quién lo usa | Quién puede verlo | Dónde se gestiona | | --------------------------------------------------------- | ----------------------------------------------- | ---------------------------------------------------------------------- | --------------------------------------------------------------- | | Credenciales de los recursos | El broker, al abrir cada sesión | Nadie. Una contraseña gestionada solo sale con un checkout | [Recursos](/pam/administracion/recursos/) | | Contraseñas que Ironchip gestiona y rota | El broker y, en un checkout, quien la saca | Nadie la ha visto nunca; un checkout o un break-glass la entrega | [Rotación de contraseñas](/pam/boveda/rotacion/) | | Contraseñas del equipo | Personas (el router de una sede, un portal) | Su dueño y aquellos con quienes la comparte; cada revelado se anota | [Contraseñas del equipo](/pam/boveda/contrasenas/) | | Secretos de aplicaciones y pipelines | Tus workloads, por la API compatible con Vault | Nadie en la consola: los valores se escriben y no se vuelven a mostrar | [Secretos para aplicaciones](/pam/boveda/secretos/) | | Credenciales de AWS, Google Cloud y Azure | El almacén, para crear credenciales temporales | Nadie, después de cambiarlas desde la consola | [Credenciales temporales](/pam/boveda/credenciales-temporales/) | | Cuenta del directorio (Active Directory, LDAP o Entra ID) | El almacén, para cambiar contraseñas de dominio | Nadie, después de cambiarla desde la consola | [Directorio](/pam/administracion/directorio/) | La consola nunca te devuelve un secreto guardado: al editar un recurso, el campo de la contraseña aparece vacío y, si lo dejas así, se conserva la que hay. ## Rotación automática [Sección titulada «Rotación automática»](#rotación-automática) Cuando eliges **Managed by Ironchip** como método de un recurso, nadie teclea ni conoce su contraseña: Ironchip la genera en el almacén y la cambia sola. * **Según un calendario por recurso:** cada hora, cada 8 horas, cada día, cada semana o cada 30 días. * **Después de cada sesión**, en cuanto se cierra la última sesión abierta en esa cuenta. * **Al devolver un checkout**, para que la contraseña que se entregó deje de valer. * **Con la complejidad que elijas**, para toda la compañía o para un recurso concreto. El cambio lo hace quien puede hacerlo en cada tipo de recurso: la propia base de datos en PostgreSQL y MySQL, el agente de la máquina en las cuentas locales de Linux y Windows, y el directorio de la compañía en las cuentas de dominio. Asigna el calendario según la criticidad de cada recurso: por ejemplo, cada hora y tras cada sesión para los servidores de producción, y cada semana para los equipos de laboratorio. Consulta [Rotación de contraseñas](/pam/boveda/rotacion/). ## Recuperación en emergencia (break-glass) [Sección titulada «Recuperación en emergencia (break-glass)»](#recuperación-en-emergencia-break-glass) Hay dos formas de que una persona obtenga la contraseña de una máquina, y las dos quedan registradas: * **Checkout**, dentro de una ventana de acceso aprobada. Ironchip pide antes los factores del acceso (por ejemplo, la confirmación en el móvil) y un motivo. * **Break-glass**, para una emergencia: los miembros de un grupo que eliges pueden sacar la contraseña de cualquier máquina gestionada sin la aprobación de nadie, durante un tiempo limitado y escribiendo el motivo. En los dos casos, mientras la contraseña está fuera nada la cambia, y en cuanto se devuelve o vence el plazo se rota, de modo que lo entregado deja de funcionar. **PAM > Checkouts** muestra quién la sacó, cuándo, de qué máquina, por qué y si ya se ha cambiado. Consulta [Checkouts y break-glass](/pam/boveda/checkouts/). ## Frente a una bóveda tradicional [Sección titulada «Frente a una bóveda tradicional»](#frente-a-una-bóveda-tradicional) | | Bóveda tradicional | Bóveda de Ironchip PAM | | ------------------------- | ------------------------------------------- | ---------------------------------------------------------------- | | Uso normal | Check-out de la contraseña para conectarse | El broker la pone al conectar; la persona no la ve | | Contraseña entregada | Válida hasta la siguiente rotación | Se rota en cuanto se devuelve o vence el checkout | | Emergencia | Cuenta de emergencia en un sobre o una caja | Break-glass con motivo, plazo, registro y rotación al terminar | | Secretos de aplicaciones | Otro producto | El mismo almacén, con una API compatible con Vault | | Robo del inicio de sesión | Acceso a la bóveda y a todo lo que custodia | El checkout pide los factores del acceso; sin ellos no sale nada | ## Más información [Sección titulada «Más información»](#más-información) * [Arquitectura](/pam/conceptos/arquitectura/): dónde está el almacén y qué piezas lo usan. * [Grabación y auditoría](/pam/conceptos/grabacion/): qué evidencia queda de cada acceso. # Grabación y auditoría > Qué se graba de cada sesión privilegiada, cómo verla en directo o cortarla y qué evidencia queda de cada acceso, contraseña entregada y secreto leído. Cada sesión privilegiada que pasa por el broker queda registrada, y las de terminal y escritorio se graban de principio a fin. Esta página explica qué evidencia queda y cómo se usa para supervisar en directo y para auditar. ## Qué se graba [Sección titulada «Qué se graba»](#qué-se-graba) * **Sesiones de terminal y de escritorio**, completas: la terminal de SSH y de `kubectl exec`, y la pantalla de RDP y VNC. * **Quién y desde dónde:** la persona, la cuenta con la que entró, la dirección desde la que se conectó y, si quedó retenida, a qué esperaba. * **Qué se ejecutó:** los procesos y los comandos `sudo`, con las decisiones tomadas durante la sesión. Todo se presenta en una sola línea de tiempo junto a la grabación. Un ejemplo de lo que contiene: | Hora | Evento | Detalle | | ----- | ---------------- | ------------------------------------------------------- | | 10:02 | Conexión | El broker registra la persona, la cuenta y la dirección | | 10:05 | Proceso iniciado | `psql`, detectado por el agente de la máquina | | 10:33 | `sudo` permitido | `apt install`, aprobado por una persona | | 10:41 | `sudo` rechazado | `su`, rechazado por una regla de la política de control | | 10:44 | Sesión cerrada | La grabación queda guardada y la contraseña se cambia | Los procesos y los comandos `sudo` aparecen cuando instalas el [agente en las máquinas](/pam/administracion/agente/). En las bases de datos y las aplicaciones web, el broker registra la conexión pero no graba su contenido. ## Supervisión en directo [Sección titulada «Supervisión en directo»](#supervisión-en-directo) **PAM > Sessions** muestra quién está dentro, en qué máquina, desde dónde y desde cuándo. Una sesión en curso se puede ver mientras ocurre y terminar al instante. Consulta [Sesiones y grabaciones](/pam/administracion/sesiones/). ## Evidencia para auditorías [Sección titulada «Evidencia para auditorías»](#evidencia-para-auditorías) La grabación y su línea de tiempo son la evidencia del acceso: no hacen falta capturas de pantalla. Además, Ironchip guarda: | Registro | Dónde se consulta | | ----------------------------------------------- | -------------------------------------------------------------------- | | Solicitudes y su estado | **PAM > Approvals** (pendientes) y **PAM > My access** (las propias) | | Grabaciones y su línea de tiempo | **PAM > Recordings** | | Contraseñas entregadas (checkout y break-glass) | **PAM > Checkouts** | | Revelados de las contraseñas del equipo | **Options > Record** en cada contraseña de **PAM > Passwords** | | Peticiones de cada workload a los secretos | Pestaña **Activity** del workload en **PAM > Secrets > Workloads** | Sirven para responder a lo que piden normativas como ENS, NIS2 o DORA sobre quién accedió, cuándo, con qué autorización y qué hizo. Para llevar los eventos de la plataforma a tu SIEM, consulta [Integración con un SIEM](/identidad/administracion/integracion-siem/). ## Más información [Sección titulada «Más información»](#más-información) * [Aprobación](/pam/conceptos/aprobacion/): cómo se decide cada acceso. * [Bóveda de credenciales](/pam/conceptos/boveda/): qué queda registrado de cada credencial. * [Conectarse a un recurso](/pam/usuarios/conectarse/): la sesión vista por quien se conecta. # Sesiones Just-in-Time > Qué es una sesión privilegiada Just-in-Time en Ironchip: acceso concedido solo durante la ventana aprobada, sin credenciales compartidas ni puertos abiertos. Una sesión Just-in-Time (JIT) es un acceso privilegiado que existe solo mientras dura una ventana aprobada. Esta página explica cómo funciona y por qué, en el día a día, nadie necesita sacar una contraseña de la bóveda. ## Ciclo de una sesión [Sección titulada «Ciclo de una sesión»](#ciclo-de-una-sesión) 1. **Solicitud.** La persona pide acceso a un recurso concreto, con un motivo si la política lo exige. 2. **Aprobación.** Un aprobador la acepta o la rechaza, una vez al solicitar o en cada conexión, según la política. Consulta [Aprobación](/pam/conceptos/aprobacion/). 3. **Ventana abierta.** Se abre un periodo de tiempo en el que la persona puede conectarse. 4. **Conexión.** La persona entra con un ticket de un solo uso, desde la consola o con su propio cliente. Antes de admitirla, Ironchip comprueba la dirección y los factores del acceso, como el dispositivo y la zona segura. 5. **Cierre.** La ventana se cierra sola al expirar. La sesión queda [grabada](/pam/conceptos/grabacion/) y, si está configurado, la contraseña de la cuenta se cambia. ## Qué ve la persona y qué no [Sección titulada «Qué ve la persona y qué no»](#qué-ve-la-persona-y-qué-no) La persona no conoce ni teclea la credencial privilegiada. El broker de Ironchip PAM la lee de un almacén cifrado, la pone al abrir la conexión y no se la entrega a nadie. Por eso un proveedor que termina su trabajo, o un empleado que cambia de empresa, no se lleva ninguna contraseña. Si alguna vez hace falta la contraseña para usar la máquina sin el broker, se saca con un [checkout](/pam/boveda/checkouts/) o, en una emergencia, con un break-glass, y se rota en cuanto se devuelve. ## Diferencias con una bóveda tradicional [Sección titulada «Diferencias con una bóveda tradicional»](#diferencias-con-una-bóveda-tradicional) | | Bóveda tradicional | Sesión JIT de Ironchip | | ------------------------- | ----------------------------------------- | ---------------------------------------------------- | | Credencial | La persona la obtiene por check-out | La pone el broker; la persona no la ve | | Duración del privilegio | Permanente o hasta devolver la credencial | Una ventana que se cierra sola | | Acceso a la red | VPN o jump server | Túnel de salida desde tu red, sin puertos de entrada | | Robo del inicio de sesión | Da acceso a la bóveda | No abre sin dispositivo, zona segura y factores | ## Siguientes pasos [Sección titulada «Siguientes pasos»](#siguientes-pasos) * [Arquitectura](/pam/conceptos/arquitectura/): qué piezas intervienen en una conexión. * [Bóveda de credenciales](/pam/conceptos/boveda/): dónde se guardan las credenciales y cómo se rotan. * [Solicitar acceso](/pam/usuarios/solicitar-acceso/): el flujo para quien pide la sesión. * [Políticas de acceso](/pam/administracion/politicas/): qué decide cada política. # Bases de datos > Da acceso privilegiado a PostgreSQL y MySQL sin compartir la contraseña del administrador, con aprobación, rotación de la contraseña y credenciales que caducan. Esta página explica cómo funciona el acceso a bases de datos con Ironchip PAM. Es para quien administra las bases de datos y para quien se conecta con un cliente de base de datos. ## Cómo funciona [Sección titulada «Cómo funciona»](#cómo-funciona) La persona se conecta con su cliente (`psql`, `mysql` u otro) y un ticket de un solo uso como usuario. El broker de Ironchip PAM retiene la conexión mientras Ironchip comprueba la ventana, la dirección y los factores, y la conecta con la base de datos con la credencial del recurso. La persona nunca conoce la contraseña. * **PostgreSQL, MySQL y MariaDB.** Solo con el cliente nativo, no desde la consola. * **Aprobación al conectar:** PostgreSQL le dice a la persona que su sesión espera una aprobación; en MySQL, el cliente simplemente espera. * **Registro de la conexión:** quién, cuándo, desde dónde y a qué base de datos. El contenido de la sesión no se graba. ## Contraseña gestionada por Ironchip [Sección titulada «Contraseña gestionada por Ironchip»](#contraseña-gestionada-por-ironchip) Elige **Managed by Ironchip: nobody types or sees it** y escribe una cuenta de administración (**Admin account** y **Admin password**). El almacén de secretos entra con ella, pone una contraseña que nadie conoce a la cuenta del recurso y la cambia cada día y tras cada sesión. Solo el almacén guarda la cuenta de administración. Consulta [Rotación de contraseñas](/pam/boveda/rotacion/). Con **A stored password**, la consola muestra las órdenes `CREATE ROLE` (PostgreSQL) o `CREATE USER` (MySQL) para preparar la cuenta. ## Credenciales de base de datos para aplicaciones [Sección titulada «Credenciales de base de datos para aplicaciones»](#credenciales-de-base-de-datos-para-aplicaciones) Sobre una base de datos con la contraseña gestionada puedes crear roles de [credenciales temporales](/pam/boveda/credenciales-temporales/): tus aplicaciones y pipelines piden una cuenta con cualquier cliente de Vault, por ejemplo de solo lectura durante una hora, y la cuenta se borra sola al caducar. ```bash vault read database/creds/reporting ``` ## Pasos [Sección titulada «Pasos»](#pasos) 1. Da de alta la base de datos como [recurso](/pam/administracion/recursos/) PostgreSQL o MySQL y añádela a una [política de destino](/pam/administracion/politicas/#pol%C3%ADticas-de-destino). 2. Nómbrala en un [acceso](/pam/administracion/accesos/). 3. La persona [solicita el acceso](/pam/usuarios/solicitar-acceso/), si hace falta, y [se conecta](/pam/usuarios/conectarse/): ```bash psql -h -p -U ticket- mysql -h -P -u ticket- ``` # Kubernetes > Da acceso privilegiado a clústeres de Kubernetes con kubectl y un ticket de un solo uso, sin repartir credenciales permanentes y con las sesiones grabadas. Esta página explica cómo funciona el acceso a Kubernetes con Ironchip PAM. Es para quien administra los clústeres y para quien se conecta a ellos con `kubectl`. ## Cómo funciona [Sección titulada «Cómo funciona»](#cómo-funciona) La persona usa `kubectl` con un `kubeconfig` que le da la consola, con un ticket de un solo uso como token. El broker de Ironchip PAM retiene cada conexión mientras Ironchip comprueba la ventana, la dirección y los factores, y la dirige al clúster con la credencial del recurso, que la persona no conoce. Una aprobación cubre una orden completa. * **Sin credenciales permanentes** repartidas por los portátiles. * **Sin puertos de entrada.** Con [Ironchip Connect](/pam/conceptos/arquitectura/#ironchip-connect) el clúster no se publica en internet. * **Acceso limitado en el tiempo**, con una ventana que se cierra sola. * **Grabado:** cada `kubectl exec` se graba como una terminal y cada petición a la API queda registrada. Consulta [Sesiones y grabaciones](/pam/administracion/sesiones/). ## Cómo entra el broker [Sección titulada «Cómo entra el broker»](#cómo-entra-el-broker) Al dar de alta el recurso, escribe la **URL** de la API del clúster (por ejemplo, `https://10.40.50.2:6443`) y elige el método: **A stored token** (el de una cuenta de servicio), **A stored client certificate** o **An IAM role**. La consola muestra las órdenes para crear la cuenta de servicio y su token. ## Pasos [Sección titulada «Pasos»](#pasos) 1. Da de alta el clúster como [recurso](/pam/administracion/recursos/) Kubernetes y añádelo a una [política de destino](/pam/administracion/politicas/#pol%C3%ADticas-de-destino). 2. Nómbrala en un [acceso](/pam/administracion/accesos/). 3. La persona [solicita el acceso](/pam/usuarios/solicitar-acceso/), si hace falta, y en **PAM > My access** hace clic en **Credential**. 4. Guarda el `kubeconfig` que muestra la consola y úsalo: ```bash kubectl --kubeconfig ironchip-pam.yaml get pods ``` El token elige el clúster: no hay nada más que configurar. # Escritorio remoto (RDP y VNC) > Protege el acceso RDP y VNC a servidores y escritorios con sesiones Just-in-Time y grabación completa, y limita los programas en Windows con AppLocker. Esta página explica cómo funciona el acceso a escritorios remotos con Ironchip PAM, por RDP y por VNC. Es para quien administra los equipos y para quien se conecta a ellos. ## Cómo funciona [Sección titulada «Cómo funciona»](#cómo-funciona) La persona se conecta desde la consola (**Desktop** en **PAM > My access**) o con su cliente de escritorio remoto. El broker de Ironchip PAM recibe la conexión, la retiene mientras Ironchip comprueba la ventana, la dirección y los factores, y después la conecta con el escritorio con la credencial del recurso, que la persona no conoce. La pantalla se graba completa y la sesión se puede ver en directo y cortar al instante. Consulta [Sesiones y grabaciones](/pam/administracion/sesiones/). ## RDP [Sección titulada «RDP»](#rdp) * El broker necesita una cuenta guardada para pasar la autenticación a nivel de red (NLA): **A stored password** o **Managed by Ironchip**, que se cambia cada día y tras cada sesión. Consulta [Rotación de contraseñas](/pam/boveda/rotacion/). * En **Sign-in** eliges quién inicia sesión en Windows: * **The broker, as the account below**: todos llegan con la sesión iniciada como la cuenta del recurso. * **Each person, on the Windows sign-in screen**: la cuenta del recurso solo abre la conexión y cada persona inicia sesión con su propia cuenta en la pantalla de Windows. * Con tu propio cliente, **Download .rdp** abre Escritorio remoto en Windows, o Windows App en Mac, con el ticket ya puesto. ## VNC [Sección titulada «VNC»](#vnc) * VNC no tiene usuario: la grabación es lo único que une la sesión a una persona. * El método es **Nothing (the server asks for nothing)** o **A stored password**. La mayoría de servidores VNC solo leen los ocho primeros caracteres de la contraseña. ## Control de programas en Windows [Sección titulada «Control de programas en Windows»](#control-de-programas-en-windows) Con el [agente de Ironchip](/pam/administracion/agente/) instalado, una [política de control](/pam/administracion/politicas/#pol%C3%ADticas-de-control) decide qué programas puede abrir la cuenta con la que entra el broker. Las reglas se aplican con AppLocker, por nombre de ejecutable aunque lo copien a otra carpeta, o por ruta. El agente las pone antes de que nadie se conecte y las ajusta mientras hay alguien conectado. Las reglas se aplican a la cuenta con la que entra el broker. Si cada persona inicia sesión en la pantalla de Windows con su propia cuenta, o en VNC, no hay una cuenta del broker que limitar. ## Pasos [Sección titulada «Pasos»](#pasos) 1. Da de alta el equipo como [recurso](/pam/administracion/recursos/) RDP o VNC y añádelo a una [política de destino](/pam/administracion/politicas/#pol%C3%ADticas-de-destino). 2. Nómbrala en un [acceso](/pam/administracion/accesos/). 3. (Opcional) Instala el [agente](/pam/administracion/agente/) para limitar los programas y rotar la contraseña de la cuenta. 4. La persona [solicita el acceso](/pam/usuarios/solicitar-acceso/), si hace falta, y [se conecta](/pam/usuarios/conectarse/). # Servidores SSH > Protege el acceso SSH a servidores Linux con sesiones Just-in-Time, aprobación, grabación de la sesión, control de sudo y rotación de la contraseña. Esta página explica cómo funciona el acceso SSH con Ironchip PAM. Es para quien administra los servidores Linux y para quien se conecta a ellos. ## Cómo funciona [Sección titulada «Cómo funciona»](#cómo-funciona) El broker de Ironchip PAM no es un jump server: recibe la conexión SSH y la lleva directamente al servidor, de forma transparente para el cliente. La persona no instala ninguna aplicación ni un envoltorio de SSH. * **Desde la consola** (**Terminal** en **PAM > My access**) o con el cliente `ssh` de siempre. * **Credencial invisible.** El broker entra en el servidor con la clave del broker o con una contraseña que la persona no conoce. * **Sesión grabada** de principio a fin, con los procesos y los comandos `sudo` en una línea de tiempo. Consulta [Sesiones y grabaciones](/pam/administracion/sesiones/). ## Cómo entra el broker [Sección titulada «Cómo entra el broker»](#cómo-entra-el-broker) | Método | Cuándo usarlo | | ------------------------------------------------ | ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | **The broker’s own key pair** | El servidor confía en la clave pública del broker, que la consola muestra lista para `authorized_keys`. No se guarda ningún secreto. | | **Managed by Ironchip: nobody types or sees it** | Una contraseña que nadie conoce y que se cambia cada día y tras cada sesión. La pone el [enforcer](/pam/administracion/agente/) en cuentas locales o el [directorio](/pam/administracion/directorio/) en cuentas de dominio. | | **A stored password** | La contraseña de una persona, guardada cifrada. Necesita `PasswordAuthentication yes` en `/etc/ssh/sshd_config`. Ironchip no la cambia. | | **An IAM role** | El broker se identifica con un rol de IAM. | Consulta [Rotación de contraseñas](/pam/boveda/rotacion/). ## Control de `sudo` [Sección titulada «Control de sudo»](#control-de-sudo) Con el [agente de Ironchip](/pam/administracion/agente/) instalado en el servidor, cada `sudo` pregunta a Ironchip después de que `sudoers` haya dicho que sí. Una [política de control](/pam/administracion/politicas/#pol%C3%ADticas-de-control) decide: se permite, se rechaza explicando el motivo o se retiene hasta que un aprobador lo autoriza. Queda registrado quién lo autorizó y por qué regla. ## Pasos [Sección titulada «Pasos»](#pasos) 1. Da de alta el servidor como [recurso](/pam/administracion/recursos/) SSH y añádelo a una [política de destino](/pam/administracion/politicas/#pol%C3%ADticas-de-destino). 2. Nómbrala en un [acceso](/pam/administracion/accesos/). 3. (Opcional) Instala el [agente](/pam/administracion/agente/) para controlar `sudo`, rotar la contraseña y registrar procesos. 4. La persona [solicita el acceso](/pam/usuarios/solicitar-acceso/), si hace falta, y [se conecta](/pam/usuarios/conectarse/): ```bash ssh ticket-@ -p ``` # Aplicaciones web > Publica aplicaciones web internas a través del broker de Ironchip PAM, con ventanas de acceso, aprobación y factores, sin VPN y sin exponerlas a internet. Esta página explica cómo dar acceso privilegiado a una aplicación web interna, como la consola de un equipo de red o un panel de administración, a través del broker de Ironchip PAM. Es para quien administra la aplicación y para quien la usa. ## Cómo funciona [Sección titulada «Cómo funciona»](#cómo-funciona) El broker hace de proxy hacia la aplicación: la persona la abre en su navegador con un ticket de un solo uso, y el broker solo la deja pasar mientras tiene una ventana abierta o un acceso permanente y confirma los factores del acceso. La aplicación no se publica en internet. El broker no guarda ninguna credencial para este tipo de recurso: la aplicación pide su propio inicio de sesión, si lo tiene. ## Pasos [Sección titulada «Pasos»](#pasos) 1. En **PAM > Hosts > Targets**, haz clic en **Add target** y elige **HTTP**. 2. Escribe **Name**, el **Site** y la **URL** de la aplicación tal como la ve el broker, por ejemplo `https://intranet.example.com`. 3. Añádela a una [política de destino](/pam/administracion/politicas/#pol%C3%ADticas-de-destino) y nómbrala en un [acceso](/pam/administracion/accesos/). 4. La persona [solicita el acceso](/pam/usuarios/solicitar-acceso/), si hace falta, y en **PAM > My access** hace clic en **Credential** y después en **Open in the broker**. ## Más información [Sección titulada «Más información»](#más-información) * [Recursos](/pam/administracion/recursos/) * [Conectarse a un recurso](/pam/usuarios/conectarse/) # Conectarse a un recurso > Conéctate a un recurso privilegiado desde la consola o con tu cliente SSH, RDP, VNC, kubectl o de base de datos, con un ticket de un solo uso. Esta página explica cómo conectarte a un recurso cuando tienes una ventana abierta o un acceso permanente. Es para quien usa el acceso privilegiado. No necesitas VPN y no conoces ni tecleas la contraseña del recurso: el broker de Ironchip la pone al abrir la sesión. ## Desde la consola [Sección titulada «Desde la consola»](#desde-la-consola) En **PAM > My access**, junto a cada máquina: * **Terminal** abre una terminal SSH en la propia consola. * **Desktop** abre el escritorio RDP o VNC en la propia consola. La conexión se decide igual que cualquier otra: si Ironchip te pide algo (por ejemplo, confirmar en el móvil), la consola lo indica encima de la pantalla y se abre en cuanto respondes. En el escritorio, haz clic en la pantalla para escribir en ella. **Ctrl+Alt+Del** tiene su propio botón. A pantalla completa, el teclado se envía entero a la máquina remota (Alt+Tab y la tecla de Windows incluidas); mantén pulsado Esc para salir. Para terminar, escribe `exit` o pulsa Ctrl+D en la terminal, o cierra la sesión de Windows. ## Con tu propio cliente [Sección titulada «Con tu propio cliente»](#con-tu-propio-cliente) 1. En **PAM > My access**, haz clic en **Credential** junto a la máquina. 2. Copia la orden de **Run this** o rellena tu cliente con **Host**, **Port** y **Username**.  La credencial es un **ticket de un solo uso**, que va en el usuario (`ticket-…`). Deja la contraseña vacía o pon cualquier cosa: no se lee. El ticket caduca con tu ventana y no vale una segunda vez. | Recurso | Cómo te conectas | | ---------- | ------------------------------------------------------------------------------------------------------------------------------------------------------- | | SSH | `ssh ticket-@ -p ` | | RDP | **Download .rdp** abre Escritorio remoto en Windows, o Windows App en Mac, con el ticket puesto. O `xfreerdp /v:: /u:ticket-` | | VNC | `vncviewer -SecurityTypes VeNCrypt,X509Plain ::` | | PostgreSQL | `psql -h -p -U ticket-` | | MySQL | `mysql -h -P -u ticket-` | | Kubernetes | Guarda el `kubeconfig` que muestra la consola y usa `kubectl --kubeconfig get pods` | | HTTP | **Open in the broker** abre la aplicación en el navegador con el ticket | La consola muestra siempre la orden exacta, con la dirección y el puerto del broker de tu compañía. ## Qué pasa al conectar [Sección titulada «Qué pasa al conectar»](#qué-pasa-al-conectar) 1. Abres la conexión con el ticket. 2. El broker la retiene mientras Ironchip comprueba que tienes una ventana abierta o un acceso permanente, que te conectas desde una dirección permitida y los factores del acceso. Si alguno pide confirmación, te llega por el medio que corresponda: el móvil, un SMS, el correo o tu tarjeta. 3. Si la política pide aprobación **al conectar**, la conexión espera además a que un aprobador decida. En **My access**, usa **Connect and ask** y deja la conexión abierta: se abre sola cuando alguien dice que sí. Si nadie decide en 5 minutos, se rechaza. 4. Si todo es correcto, el broker abre la sesión con la credencial del recurso y empieza a grabar. ## Durante la sesión [Sección titulada «Durante la sesión»](#durante-la-sesión) * Lo que haces queda [grabado](/pam/conceptos/grabacion/). * Si la máquina tiene el [agente](/pam/administracion/agente/), cada `sudo` pregunta a Ironchip y puede quedarse esperando una aprobación; en Windows, solo se abren los programas permitidos. * Un administrador puede ver tu sesión en directo y terminarla. En la consola verás **The session ended**. * Si necesitas la contraseña de la máquina para usarla sin el broker, consulta [Checkouts y break-glass](/pam/boveda/checkouts/). ## Problemas frecuentes [Sección titulada «Problemas frecuentes»](#problemas-frecuentes) | Síntoma | Causa probable | | ---------------------------------------------------------------------------- | ------------------------------------------------------------------------------------------------------------------------- | | La conexión se queda esperando | Falta tu confirmación (revisa el aviso o el móvil) o la política pide aprobación al conectar y nadie ha decidido todavía. | | **The connection was refused** | No tienes una ventana abierta para esa máquina, no confirmaste a tiempo o te conectas desde una dirección no permitida. | | `your access arrives as an account this machine does not have` | Tu acceso llega con una cuenta fija que esa máquina no tiene. Pide a un administrador que la añada en sus cuentas. | | El ticket no vale | Es de un solo uso: pide uno nuevo con **Credential** cada vez que te conectes. | | `sudo` se rechaza con `nobody is connected to this machine through Ironchip` | Usas una sesión que no pasa por Ironchip. Conéctate a través del broker. | # Solicitar acceso > Pide desde la consola una ventana de acceso privilegiado a un servidor, una base de datos o un clúster, con el motivo y la duración, y sigue su aprobación. Esta página explica cómo pedir una ventana de acceso privilegiado y qué pasa hasta que puedes conectarte. Es para administradores y proveedores externos que necesitan entrar a un servidor, una base de datos o un clúster. ## Antes de empezar [Sección titulada «Antes de empezar»](#antes-de-empezar) * Tienes que estar en el grupo de un [acceso](/pam/administracion/accesos/) que llegue al recurso. Si no hay nada que pedir, la consola te lo dice: pide a un administrador que te añada al grupo. * Conéctate desde tu dispositivo registrado y desde un lugar permitido: Ironchip lo comprueba en cada conexión. ## Lo que ya tienes [Sección titulada «Lo que ya tienes»](#lo-que-ya-tienes) Ve a **PAM > My access**. Arriba, **Yours whenever you need it** muestra los accesos que no necesitan aprobación: puedes conectarte cuando quieras. Aun así, al conectar se te piden los factores del acceso.  ## Pedir una ventana [Sección titulada «Pedir una ventana»](#pedir-una-ventana) 1. En **PAM > My access**, haz clic en **Request access**. 2. En **Target**, elige el acceso: aparece con sus protocolos y el grupo por el que lo tienes. 3. En **For how long**, elige la duración de la ventana, de 15 minutos a 8 horas. Las opciones se limitan a lo que permite la política de aprobación. 4. En **Reason**, explica para qué lo necesitas, con al menos 15 caracteres. Es lo primero que lee quien aprueba, y lo primero que leerá quien audite el acceso después. 5. Haz clic en **Ask**. Debajo del motivo, la ventana te dice cuántas personas tienen que aprobar y cuándo se les pregunta. ## Qué pasa después [Sección titulada «Qué pasa después»](#qué-pasa-después) La solicitud aparece en la tabla de **My access** con su estado: | Estado | Qué significa | | ------------------------ | ----------------------------------------------------------------------------------------------------------------------------- | | **Waiting for approval** | Esperando a los aprobadores. La columna **Left** muestra cuántas aprobaciones lleva. | | **Approved at connect** | Se aprueba al conectar: los aprobadores no reciben nada hasta que te conectas, y tu conexión queda retenida mientras deciden. | | **Open** | La ventana está abierta. **Left** muestra el tiempo que queda. | | **Denied** | La han rechazado. | | **Closed** | La ventana se cerró al terminar su tiempo. | Cuando la ventana está abierta, junto a cada máquina aparecen los botones para conectarte. Consulta [Conectarse a un recurso](/pam/usuarios/conectarse/). ## Reglas [Sección titulada «Reglas»](#reglas) * Nadie aprueba su propia solicitud: necesitas a otra persona. * La ventana se cierra sola al terminar su tiempo. No hay que devolver nada. * Lo que haces dentro se graba de principio a fin. # Phishing Shield > Protección en el navegador con motores de detección de clonado de páginas, adversary-in-the-middle, ClickFix, QR, secuestro de sesión y bypass de MFA. Phishing Shield es una extensión para Chrome y Microsoft Edge que analiza cada página que visita el usuario y detiene el phishing que un filtro de correo o un MFA tradicional no ven: páginas de inicio de sesión clonadas, kits adversary-in-the-middle que reenvían la sesión real, códigos QR maliciosos y ataques ClickFix que piden pegar comandos. Esta sección sirve a quien la **administra y despliega** y a quien la **usa**. Presentación del producto: [Phishing Shield de Ironchip](https://www.ironchip.com/phishing-shield). ## Cómo encaja [Sección titulada «Cómo encaja»](#cómo-encaja) La extensión se despliega de forma centralizada con directivas de grupo, Intune u otro sistema de gestión de dispositivos y se administra desde la consola de administración de Phishing Shield: licencias, dominios de la organización, eventos bloqueados y métricas. Una vez desplegada, el usuario la activa una sola vez con su licencia y a partir de ahí trabaja en segundo plano sin interrumpir la navegación. * **Sin cambios de red.** No usa proxies ni descifra TLS: el análisis se hace en el propio equipo. * **Chrome, Edge y navegadores Chromium.** Una extensión ligera sobre el navegador que ya usas. * **Ve lo que el filtro de correo no ve.** Analiza la página en el navegador, donde está el ataque, aunque la dirección no figure en ninguna lista. * **Bloqueo y registro.** Cuando detecta una amenaza, bloquea la página, avisa al usuario y registra el intento para la organización. ## Qué contiene esta sección [Sección titulada «Qué contiene esta sección»](#qué-contiene-esta-sección) | Página | Para qué sirve | | ------------------------------------------------------------------------ | -------------------------------------------------------------------------------- | | [Cómo funciona](/phishing-shield/como-funciona/) | Qué analiza en cada página, qué tipos de phishing detecta y qué ve el usuario | | [Motores de detección](/phishing-shield/motores-de-deteccion/) | Qué detecta cada motor y cuándo bloquea o solo avisa | | [Desplegar en la organización](/phishing-shield/despliegue/) | Instalación forzosa con directivas de grupo, Intune, Jamf o Google Workspace | | [Avisos y falsos positivos](/phishing-shield/avisos-y-falsos-positivos/) | Qué hace el usuario ante un aviso y cómo gestionar una página legítima bloqueada | | [Privacidad y permisos](/phishing-shield/privacidad-y-permisos/) | Qué datos lee y envía la extensión y para qué sirve cada permiso | ## Empieza por aquí [Sección titulada «Empieza por aquí»](#empieza-por-aquí) [Cómo funciona](/phishing-shield/como-funciona/)Qué analiza en cada página, qué tipos de phishing detecta y qué ve el usuario cuando se bloquea una amenaza. [Desplegarlo en tu organización](/phishing-shield/despliegue/)Instala la extensión de forma silenciosa en todos los equipos con directivas de grupo, Intune o tu sistema de gestión. [Motores de detección](/phishing-shield/motores-de-deteccion/)Los doce motores y qué ataque detecta cada uno. [Soporte](/soporte/)Cómo contactar con Ironchip si tienes dudas con la instalación o un problema con la extensión. # Avisos y falsos positivos > Qué ve y qué puede hacer el usuario cuando Phishing Shield bloquea una página, y cómo evitar que se bloqueen las páginas legítimas de tu organización. Esta página explica qué hace la extensión cuando bloquea una página, qué opciones tiene el usuario y cómo tratar un falso positivo. Es para quien usa Phishing Shield y para quien lo administra. ## La página de aviso [Sección titulada «La página de aviso»](#la-página-de-aviso) Cuando la extensión decide bloquear una página, la sustituye por la pantalla **Website blocked**, que muestra: * **Blocked site screenshot:** una captura de la página bloqueada, para reconocerla. * **Blocked URL:** la dirección bloqueada. * Etiquetas con el tipo de ataque detectado, por ejemplo **Reverse Proxy AITM** o **Content cloning**. * **Block reason:** el motivo del bloqueo, explicado. * **Full security analysis:** el resultado de cada comprobación (homoglifos, typosquatting, bases de datos de phishing y de IP, VNC, AiTM, clonado, QR y ClickFix). Puedes ver esta pantalla en [Cómo funciona](/phishing-shield/como-funciona/). Debajo están las acciones: | Acción | Qué hace | | --------------------------- | ----------------------------------------------------------------------------------------------------- | | **Close tab** | Cierra la pestaña. Es la opción recomendada | | **Report false positive** | Envía el bloqueo para que se revise. Úsala si crees que la página es legítima | | **Continue at my own risk** | Permite la página durante 30 minutos en ese navegador. La excepción desaparece al cerrar el navegador | El reporte incluye una captura de la página bloqueada, un fragmento de su HTML sin datos de formularios y los datos del bloqueo. Consulta [Privacidad y permisos](/phishing-shield/privacidad-y-permisos/). Cuando solo hay un riesgo medio, la extensión muestra una notificación del sistema y no bloquea. Consulta [Motores de detección](/phishing-shield/motores-de-deteccion/). ## La ventana de la extensión [Sección titulada «La ventana de la extensión»](#la-ventana-de-la-extensión) El icono de la extensión en la barra del navegador abre una ventana con tres pestañas: 1. Una pestaña principal con el interruptor general (si tu compañía permite desactivar la extensión), el estado de la licencia, el estado de las bases de datos de phishing y de IP maliciosas, los dominios personalizados y las excepciones temporales. 2. Una de estadísticas: bloqueos por día, semana y mes, desglose por tipo y dominios más frecuentes. 3. Una de historial: búsqueda, filtros y exportación a CSV de los bloqueos recientes. ## Falsos positivos [Sección titulada «Falsos positivos»](#falsos-positivos) Un falso positivo es una página legítima que la extensión bloquea o sobre la que avisa por error. La extensión reduce el riesgo con varios filtros: * **Dominios de confianza.** Antes de aplicar las comprobaciones, consulta una base de datos de más de un millón de dominios de confianza. * **Dominios protegidos.** Una lista administrada de dominios legítimos, global y por compañía, hace que los indicios débiles no bloqueen. Los indicios fuertes siguen bloqueando: un dominio de la organización también puede estar comprometido. * **Dominios parecidos.** Un nombre parecido al de una marca no basta para bloquear: la página tiene que imitar a esa marca. * **Páginas de acceso de terceros.** Una página con varios botones de tipo «Continuar con…» se trata como un acceso de terceros y no como un clon. * **Texto frente a código.** ClickFix y VNC solo se activan con código ejecutable, no con texto que describa el ataque. ### Dominios de tu organización [Sección titulada «Dominios de tu organización»](#dominios-de-tu-organización) Añade los dominios de tu organización en la consola de administración de Phishing Shield, en **Custom Domains**. La extensión los usa de dos formas: * **Como dominios de confianza:** los indicios débiles dejan de bloquear sus páginas. * **Como marcas que proteger:** detecta los dominios que los imitan, aunque tu marca no esté en la lista de marcas protegidas por defecto. Cada usuario puede añadir también dominios personalizados desde la ventana de la extensión. ### Qué hacer cuando una página legítima se bloquea [Sección titulada «Qué hacer cuando una página legítima se bloquea»](#qué-hacer-cuando-una-página-legítima-se-bloquea) 1. En el aviso, haz clic en **Report false positive** para que se revise el bloqueo. 2. Si necesitas entrar ya y tu compañía lo permite, haz clic en **Continue at my own risk**: la página queda permitida 30 minutos. 3. Si es una página de tu organización, añade su dominio en **Custom Domains** desde la consola de administración. 4. Si el problema se repite, [contacta con soporte](/soporte/) e indica la dirección, la hora y el motivo que muestra el aviso. ## Más información [Sección titulada «Más información»](#más-información) * [Cómo funciona](/phishing-shield/como-funciona/) * [Desplegar en la organización](/phishing-shield/despliegue/) # ¿Cómo funciona Phishing Shield? > Qué es Phishing Shield, cómo analiza las páginas en el navegador, qué phishing detecta, sus doce motores de detección y qué ocurre al bloquear una amenaza. Phishing Shield es una solución de protección frente al phishing que actúa directamente en el navegador y en tiempo real. Detecta y bloquea las páginas maliciosas antes de que el usuario pueda caer en ellas.  ## Cómo funciona [Sección titulada «Cómo funciona»](#cómo-funciona) Cuando un usuario intenta acceder a una página web, Phishing Shield analiza el sitio y comprueba si presenta indicios de phishing o si pertenece a un conjunto de dominios identificados como potencialmente maliciosos. ## Qué problema resuelve [Sección titulada «Qué problema resuelve»](#qué-problema-resuelve) Phishing Shield protege a tus usuarios frente al acceso a sitios fraudulentos, la suplantación de identidad y el robo de credenciales, y neutraliza los enlaces maliciosos antes de que causen un impacto. [ Demostración de Phishing Shield en el navegadorReproducir el vídeo](https://play.hubspotvideo.com/v/7745202/id/222593964409) ## Tipos de phishing que detecta [Sección titulada «Tipos de phishing que detecta»](#tipos-de-phishing-que-detecta) Phishing Shield está diseñado para detectar las distintas técnicas que usan los atacantes para engañar a los usuarios, desde páginas falsas hasta métodos más avanzados de robo de información: * **Páginas falsas:** sitios web que imitan servicios y marcas conocidas para engañar al usuario. * **Dominios engañosos:** direcciones web muy parecidas a las originales, con cambios de letras o caracteres. * **Suplantación de identidad:** páginas que se hacen pasar por empresas o servicios legítimos. * **Robo de credenciales y sesiones:** ataques diseñados para obtener contraseñas o aprovechar sesiones iniciadas. * **Phishing mediante códigos QR:** códigos QR que dirigen al usuario hacia páginas maliciosas. * **ClickFix:** páginas que engañan al usuario para que realice acciones peligrosas en su equipo. * **Ataques de intermediación (AiTM):** técnicas avanzadas que buscan interceptar las credenciales o las sesiones del usuario. * **Páginas ocultas o diseñadas para evadir protecciones:** técnicas que ocultan el contenido malicioso para evitar su detección. Phishing Shield combina distintos mecanismos de detección para identificar estas amenazas y bloquearlas antes de que causen un impacto. Consulta la [descripción general de Phishing Shield](/phishing-shield/) para ver cómo se despliega y administra. ## Los doce motores de detección [Sección titulada «Los doce motores de detección»](#los-doce-motores-de-detección) Cada motor se ocupa de un ataque distinto y, combinados, cubren también los que esquivan el MFA. La captura siguiente muestra el resultado de cada comprobación en el panel **Full security analysis**. * **Clonado de contenido:** analiza la estructura de la página, sus elementos y su diseño visual para identificar páginas de inicio de sesión clonadas, incluso copias perfectas que esquivan los filtros por URL. * **Typosquatting:** detecta dominios casi idénticos al original, como `g00gle.com` o `mircosoft.com`. * **Homoglifos:** detecta trucos Unicode, como una «a» cirílica que se hace pasar por una «a» latina. * **AiTM y proxy inverso:** identifica los kits que se colocan entre el usuario y el servicio (Tycoon2FA, EvilProxy, Sneaky2FA, Evilginx, Modlishka, Caffeine, Greatness) a partir de las cabeceras, los tiempos y los patrones de recursos de la página. * **ClickFix:** intercepta los ataques que secuestran el portapapeles y bloquea los comandos maliciosos de PowerShell o curl que intentan hacerte ejecutar. * **Secuestro de formularios (form hijacking):** detecta formularios que envían tus credenciales en secreto al servidor de un atacante. * **Phishing por QR (quishing):** detecta códigos QR que llevan a páginas de robo de credenciales. * **Ataques VNC:** frena los ataques de pantalla compartida en los que el atacante ve lo que escribes en tiempo real. * **Secuestro de sesión:** vigila el robo de tokens incluso después de iniciar sesión, observando los cambios en las cookies y el almacenamiento del navegador. * **Bypass de MFA:** alerta cuando un atacante intercepta tus códigos de doble factor en tránsito mediante el reenvío de tokens de un kit AiTM. * **Inteligencia de amenazas:** cruza una base de datos propia de más de un millón de dominios de confianza, listas curadas de URL de phishing y más de 18.000 IP maliciosas conocidas, actualizadas de forma continua. * **Base de datos de phishing:** bloquea los sitios de phishing conocidos antes de que el usuario vea la página, con las listas de PhishTank y OpenPhish.  ## Qué ocurre cuando se detecta una amenaza [Sección titulada «Qué ocurre cuando se detecta una amenaza»](#qué-ocurre-cuando-se-detecta-una-amenaza) Cuando Phishing Shield detecta una posible amenaza, actúa automáticamente para proteger al usuario: 1. **Detecta** la posible amenaza durante la navegación. 2. **Bloquea** el acceso a la página para que el usuario no pueda interactuar con ella. 3. **Informa** al usuario con una pantalla de advertencia. 4. **Registra** el intento para que la organización conozca la amenaza detectada y el usuario protegido. Así, Phishing Shield interviene en tiempo real y evita que el acceso a una página maliciosa se convierta en un incidente de seguridad. # Desplegar en la organización > Instala Phishing Shield de forma silenciosa en Chrome y Edge con directivas de grupo, Intune, Jamf o Google Workspace, y activa las licencias. Esta página explica cómo instalar Phishing Shield en todos los equipos gestionados sin que cada usuario tenga que instalarlo. Es para quien administra los equipos o el navegador. ## Cómo funciona la instalación [Sección titulada «Cómo funciona la instalación»](#cómo-funciona-la-instalación) En lugar de que cada usuario la instale desde Chrome Web Store, la extensión se instala por política corporativa: el navegador la instala solo al abrirse. La política de **instalación forzosa** (`ExtensionInstallForcelist`) ofrece varias ventajas: * **Instalación silenciosa.** El usuario no ve ningún aviso ni botón de instalar. * **Sin avisos del antivirus.** La extensión llega firmada por Google, no como un fichero suelto. * **Sin desinstalación.** El usuario no puede desactivar ni desinstalar la extensión: aparece como instalada por el administrador. * **Actualizaciones automáticas** por el mismo canal. ## Requisitos [Sección titulada «Requisitos»](#requisitos) * **Chrome 88 o posterior**, o Microsoft Edge. Edge acepta la misma política (`ExtensionInstallForcelist`) y la misma cadena para las extensiones de Chrome: configúrala en la rama de Microsoft Edge de tu herramienta de gestión. * Un navegador gestionado. Solo Chrome para empresas honra las políticas: un Chrome personal descargado a mano no las aplica. * Acceso desde los equipos a `clients2.google.com`, el canal estándar de actualización de Chrome. Normalmente ya está abierto. * El **ID de la extensión**, que te facilita Ironchip. * Una **licencia**, que generas en la consola de administración de Phishing Shield, en la sección **Licenses**. La cadena que usan todas las plataformas es el ID de la extensión y la dirección de actualización, separados por `;` y sin espacios: ```text ;https://clients2.google.com/service/update2/crx ``` ## Windows: directivas de grupo [Sección titulada «Windows: directivas de grupo»](#windows-directivas-de-grupo) Necesitas las plantillas ADMX de Chrome instaladas en el controlador de dominio y una unidad organizativa (OU) con los equipos de destino. 1. En el controlador de dominio, abre **Group Policy Management**. 2. En la OU de destino, crea un GPO con **Create a GPO in this domain and link it here**. Por ejemplo, `Chrome - Ironchip Phishing Shield`. 3. Edita el GPO y ve a **Computer Configuration > Policies > Administrative Templates > Google > Google Chrome > Extensions**. 4. Habilita **Configure the list of force-installed apps and extensions**. 5. Haz clic en **Show** y añade la cadena `;https://clients2.google.com/service/update2/crx`. 6. Aplica el GPO. En un equipo de prueba, ejecuta `gpupdate /force`. Si no, espera al ciclo normal, de 90 a 120 minutos. ## Windows: Microsoft Intune [Sección titulada «Windows: Microsoft Intune»](#windows-microsoft-intune) 1. En el centro de administración de Intune, ve a **Devices > Configuration profiles > Create profile**. 2. Elige la plataforma **Windows 10 and later**. 3. Elige el tipo de perfil: * **Settings Catalog:** busca `ExtensionInstallForcelist` y escribe como valor la cadena anterior. * **Templates > Administrative Templates:** en **Computer Configuration > Google > Google Chrome > Extensions**, abre **Configure the list of force-installed extensions** y añade la cadena. Necesitas importar antes las plantillas ADMX de Chrome. 4. Asigna el perfil a los grupos de dispositivos de destino. ## macOS: perfil de configuración [Sección titulada «macOS: perfil de configuración»](#macos-perfil-de-configuración) En Jamf, Mosyle, Kandji o tu MDM, crea un perfil con el payload `com.google.Chrome` y añade esta clave: ```xml ExtensionInstallForcelist EXTENSION_ID;https://clients2.google.com/service/update2/crx ``` Sustituye `EXTENSION_ID` por el ID real y aplica el perfil al grupo de Mac de destino. Chrome lo recoge al arrancar. Para un solo equipo o una prueba, sin MDM: ```bash sudo defaults write com.google.Chrome ExtensionInstallForcelist -array \ ";https://clients2.google.com/service/update2/crx" ``` Reinicia Chrome. No es una opción escalable. ## Google Workspace [Sección titulada «Google Workspace»](#google-workspace) 1. Entra en la consola de administración de Google (`admin.google.com`) y ve a **Devices > Chrome > Apps & extensions > Users & browsers**. 2. Selecciona la unidad organizativa de destino. 3. Haz clic en **+** y elige **Add Chrome app or extension by ID**. 4. Pega el ID de la extensión y elige **From the Chrome Web Store**. 5. En **Installation policy**, elige **Force install** y guarda. ## Activar la licencia [Sección titulada «Activar la licencia»](#activar-la-licencia) Tras la instalación, cada usuario activa la extensión una sola vez: 1. Abre la extensión desde su icono en la barra del navegador. 2. Pega la licencia y escribe tu correo. 3. Acepta la política de privacidad y las condiciones del servicio. La extensión recuerda la activación y no vuelve a pedirla salvo que un administrador revoque ese puesto. ## Endurecer el navegador (opcional) [Sección titulada «Endurecer el navegador (opcional)»](#endurecer-el-navegador-opcional) Si quieres un perfil donde solo se permita la extensión de Ironchip, combina la instalación forzosa con estas políticas: ```text ExtensionInstallAllowlist = [""] ExtensionInstallBlocklist = ["*"] ``` Chrome solo permitirá instalar esa extensión y bloqueará las demás. ## Comprobación [Sección titulada «Comprobación»](#comprobación) En un equipo de destino: 1. Abre `chrome://policy` y busca `ExtensionInstallForcelist`. Debe aparecer aplicada. 2. Abre `chrome://extensions`. La extensión debe estar habilitada y marcada como instalada por tu administrador, sin interruptor para apagarla. 3. Si usas directivas de grupo, `gpresult /h C:\gpo.html` exporta un informe de las políticas aplicadas. ## Problemas frecuentes [Sección titulada «Problemas frecuentes»](#problemas-frecuentes) | Síntoma | Qué hacer | | ---------------------------------------------------------- | --------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | La extensión no aparece | En `chrome://policy`, busca `ExtensionInstallForcelist`. Si no está, la política no ha llegado: revisa el canal (GPO, Workspace, Intune) y que el equipo esté en la OU correcta. | | La política aparece como no aplicada | Hay un error de formato en la cadena. Comprueba el `;` entre el ID y la dirección, sin espacios. | | Chrome no instala la extensión | Comprueba que el equipo llega a `clients2.google.com` y que la versión de Chrome es 88 o posterior. En `chrome://extensions` con el modo de desarrollador activado puede verse un mensaje de error. | | Chrome muestra un aviso de extensión posiblemente insegura | Comprueba que el ID es correcto (32 caracteres) y que la política es **Force install** y no solo permitir: con permitir, Chrome pide confirmación al usuario. | | Las políticas no se aplican | El equipo usa un Chrome personal y no uno gestionado. Instala Chrome por MDM o directiva de grupo. | | La extensión aparece pero no está activa | Falta activar la licencia: el usuario debe pegarla una vez en la extensión. | Si el problema continúa, contacta con [soporte](/soporte/). ## Más información [Sección titulada «Más información»](#más-información) * [Avisos y falsos positivos](/phishing-shield/avisos-y-falsos-positivos/) * [Privacidad y permisos](/phishing-shield/privacidad-y-permisos/) # Motores de detección > Los doce motores de Phishing Shield, qué ataque detecta cada uno, con qué evidencia y cuándo la extensión bloquea la página o solo avisa. Phishing Shield combina doce motores de detección. Cada uno detecta lo que los demás no ven, y juntos cubren desde dominios parecidos a los reales hasta ataques que esquivan el MFA. Esta página es para quien administra la extensión y quiere saber qué detecta y por qué. ## Los doce motores [Sección titulada «Los doce motores»](#los-doce-motores) | Motor | Qué detecta | | ------------------------------------- | ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | Detección de clonado de contenido | Páginas de inicio de sesión clonadas, incluidas las copias perfectas que esquivan los filtros por URL. Analiza la estructura de la página, los elementos del DOM y el diseño visual | | Typosquatting | Dominios con cambios de letras, como `g00gle.com` o `mircosoft.com`, en tiempo real | | Detección de homoglifos | Trucos Unicode, como una «a» cirílica que se hace pasar por una «a» latina | | AiTM y proxy inverso | Kits adversary-in-the-middle como Tycoon2FA, EvilProxy, Sneaky2FA, Evilginx, Modlishka, Caffeine y Greatness. Analiza cabeceras, tiempos y patrones de recursos | | Protección ClickFix | Secuestro del portapapeles que intenta que el usuario pegue y ejecute comandos de PowerShell, curl u otros | | Form hijacking | Formularios que envían en secreto las credenciales al servidor de un atacante | | Phishing por QR | Códigos QR que llevan a páginas de robo de credenciales (quishing) | | Detección de ataques VNC | Ataques de pantalla compartida en los que el atacante ve cómo escribes, con firmas de noVNC y WebSocket | | Protección contra secuestro de sesión | Robo de tokens incluso después de haber iniciado sesión con seguridad, vigilando cookies y almacenamiento del navegador | | Detección de bypass de MFA | Códigos de doble factor interceptados en tránsito mediante relay de tokens AiTM | | Inteligencia de amenazas | Cruce con una base de datos de más de un millón de dominios de confianza, listas curadas de URL de phishing y más de 18.000 direcciones IP maliciosas conocidas, actualizada de forma continua | | Base de datos de phishing | Sitios de phishing conocidos, con las listas agregadas de PhishTank y OpenPhish, antes de que el usuario vea la página | Además, la extensión detecta las páginas de phishing que se generan en el propio navegador a partir de un bloque de datos (blob). ## Cuándo analiza [Sección titulada «Cuándo analiza»](#cuándo-analiza) Hay dos fases: 1. **Antes de cargar la página**, con la dirección: typosquatting, homoglifos y las bases de datos de phishing y de IP maliciosas. 2. **Poco después de cargarla**, con su contenido: clonado, AiTM, VNC, QR, ClickFix y blobs. Los motores de comportamiento, como el secuestro de sesión y el bypass de MFA, vigilan además mientras la página está abierta. Un dominio parecido a una marca no se bloquea solo por su nombre: en la segunda fase, la extensión confirma si la página imita a esa marca, porque la menciona o porque copia su icono. Las señales fuertes, como un homoglifo o una dirección que figura en las bases de datos de phishing o de IP maliciosas, bloquean aunque la página no llegue a cargar. ## Cuándo bloquea y cuándo avisa [Sección titulada «Cuándo bloquea y cuándo avisa»](#cuándo-bloquea-y-cuándo-avisa) La extensión combina el resultado de todos los motores para cada página: | Resultado | Qué ocurre | | ---------------------------------- | ------------------------------------- | | Algún motor con riesgo alto | Bloquea la página y muestra el aviso | | Dos o más motores con riesgo medio | Bloquea la página | | Un motor con riesgo medio | Muestra una notificación y no bloquea | | Un motor con riesgo bajo | Solo lo registra | ## Detecta la implementación, no la mención [Sección titulada «Detecta la implementación, no la mención»](#detecta-la-implementación-no-la-mención) Los motores basados en texto exigen evidencia técnica real, no palabras sueltas. Por ejemplo, ClickFix y VNC solo se activan con código ejecutable en la página, no con un artículo que describa el ataque. Así una página que explica un ataque no se bloquea. ## Marcas con detección avanzada [Sección titulada «Marcas con detección avanzada»](#marcas-con-detección-avanzada) La detección de clonado y de typosquatting protege por defecto las marcas más suplantadas: Microsoft, Google, Apple, Facebook, Amazon, PayPal, LinkedIn, GitHub, Netflix, Twitter, Instagram, Yahoo, Adobe, Dropbox, DHL, Santander, BBVA, CaixaBank, ING e Ironchip. Puedes añadir los dominios de tu organización para protegerlos también. Consulta [Avisos y falsos positivos](/phishing-shield/avisos-y-falsos-positivos/). ## Más información [Sección titulada «Más información»](#más-información) * [Cómo funciona](/phishing-shield/como-funciona/): la visión general para el usuario. * [Desplegar en la organización](/phishing-shield/despliegue/) # Privacidad y permisos > Qué datos lee la extensión de Phishing Shield en el equipo, cuáles envía a Ironchip, cuánto tiempo se conservan y para qué sirve cada permiso. Esta página resume el tratamiento de datos de Phishing Shield y los permisos que pide en el navegador. Es para quien administra la extensión y para el equipo de seguridad o de protección de datos que debe revisarla. ## Qué lee la extensión en el equipo [Sección titulada «Qué lee la extensión en el equipo»](#qué-lee-la-extensión-en-el-equipo) El análisis se hace en el propio equipo. Para cada página que se visita, la extensión lee: | Dato | Para qué | ¿Sale del equipo? | | ------------------------------------------- | ---------------------------------------------------------- | ------------------------------------------------------------------------------------- | | Dirección de la pestaña | Typosquatting, homoglifos y bases de datos de phishing | Solo para confirmar una coincidencia con las listas: el nombre de host o la dirección | | Contenido de la página | Clonado, AiTM, ClickFix, QR, VNC y blobs | Solo un fragmento sin datos de formularios, dentro del reporte de un bloqueo | | Cabeceras de las respuestas HTTP | Detección de kits AiTM | No | | Captura de la pestaña | Mostrarla junto al aviso para identificar la página | Solo dentro del reporte de un bloqueo | | Cambios de cookies (solo nombre y dominio) | Robo de tokens | No | | Mensajes de WebSocket y entre ventanas | Robo de tokens | No. Solo se envía la alerta resultante | | Textos que la página copia al portapapeles | ClickFix | No | | Claves de almacenamiento local de la página | Robo de tokens. Solo se leen las claves con forma de token | No | La extensión **no** lee las contraseñas que se escriben en los formularios, los mensajes personales ni los documentos, el historial más allá de las pestañas abiertas, los datos de tarjetas ni la sincronización del navegador. ## Qué envía a Ironchip [Sección titulada «Qué envía a Ironchip»](#qué-envía-a-ironchip) * **Activación:** la licencia, un identificador de la instalación y del equipo, el navegador, el correo del usuario y el nombre del equipo. Antes de activar, el usuario acepta de forma explícita la política de privacidad y las condiciones del servicio, y la extensión guarda la fecha y la versión aceptadas. * **Reportes de bloqueos:** la dirección bloqueada, el tipo de detección, la gravedad, la acción del usuario (bloquear o continuar), la captura de la página y un fragmento de su HTML. Los administradores los ven en las métricas de la compañía. * **Confirmación de coincidencias:** el nombre de host, la URL o la IP sospechosa, cuando la comprobación local necesita confirmarse. * **Actividad de kits AiTM:** la familia del kit y el nombre de host. * **Listas y ajustes:** la extensión descarga de forma periódica las listas de dominios de confianza y de phishing, y los ajustes de la compañía. En estas consultas no envía datos de navegación. No envía valores de formularios, contraseñas ni cookies, ni usa analítica de terceros. Para comprobar direcciones IP sospechosas, resuelve el nombre de host con un servicio DNS público. ## Conservación [Sección titulada «Conservación»](#conservación) | Dato | Plazo | | -------------------------------- | ------------------------------------------------------------------------------------------------ | | Registro de activación | Mientras dura la licencia. Se elimina 30 días después de que caduque o al revocar la instalación | | Reportes de bloqueos | Mientras dura la licencia. Los administradores pueden exportarlos | | Registro de auditoría | 12 meses | | Registros de acceso del servidor | 30 días | Lo que la extensión guarda en el navegador (estado de la licencia, listas en caché, historial de bloqueos) se borra al desinstalarla. Los servicios están alojados en la Unión Europea. Ironchip Telco, S.L. es el responsable del tratamiento. Para ejercer tus derechos de acceso, rectificación, supresión, portabilidad, limitación u oposición, escribe a . Respondemos en 30 días. Si no resolvemos tu duda, puedes reclamar ante la Agencia Española de Protección de Datos. ## Para qué sirve cada permiso [Sección titulada «Para qué sirve cada permiso»](#para-qué-sirve-cada-permiso) | Permiso | Para qué | | --------------------------------------------- | ---------------------------------------------------------------------------------------------------------------------------------------------------- | | Acceso a todas las direcciones (``) | Inspeccionar cada navegación, porque los atacantes registran dominios parecidos en cualquier sitio. Solo se modifica la página para mostrar el aviso | | `tabs` | Relacionar los eventos con su pestaña, llevarla al aviso y capturar la miniatura | | `webNavigation` | Ejecutar las comprobaciones antes y después de cargar la página | | `webRequest` | Leer las cabeceras de la navegación principal para detectar kits AiTM. No bloquea ni modifica peticiones | | `scripting` | Extraer el contenido de la página cuando el script habitual no puede ejecutarse. Solo lectura | | `storage` y `unlimitedStorage` | Guardar el estado de la licencia, las listas en caché, la lista de dominios de la compañía y el historial de bloqueos | | `alarms` | Tareas periódicas: refrescar las listas, sincronizar los ajustes cada hora y reintentar reportes | | `notifications` | Avisar de un bloqueo aunque la pestaña esté en segundo plano | | `activeTab` | Permitir un dominio de forma temporal desde la ventana de la extensión | ## Más información [Sección titulada «Más información»](#más-información) * [Desplegar en la organización](/phishing-shield/despliegue/) * [Avisos y falsos positivos](/phishing-shield/avisos-y-falsos-positivos/) # Seguridad y cumplimiento > Certificaciones de Ironchip, cómo ayuda a cumplir ENS, NIS2, RGPD y PCI DSS, qué evidencias aporta en una auditoría y cómo reportar una vulnerabilidad. Respuestas a las preguntas que suelen hacer los equipos de seguridad y cumplimiento de nuestros clientes sobre certificaciones, el ENS, NIS2, el RGPD, las auditorías y la gestión de vulnerabilidades. Los tiempos de respuesta del soporte y la disponibilidad comprometida están en [Soporte](/soporte/), y el historial de incidentes en [Estado del servicio](/seguridad/estado/). ## Certificaciones [Sección titulada «Certificaciones»](#certificaciones) | Certificación o referencia | Ámbito | Qué acredita | | -------------------------- | -------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | ISO 27001 | Empresa | Sistema de gestión de la seguridad de la información. | | ISO 27701 | Empresa | Sistema de gestión de la privacidad. | | LINCE | Empresa | Certificación de seguridad del CCN-CERT. | | CPSTIC, nivel ALTO | Producto | Publicado en el [catálogo CPSTIC](https://cpstic.ccn.cni.es/es/catalogo-productos-servicios-stic/383-location-based-identity-platform?ic=1) del CCN-CERT a nivel ALTO, el máximo del Esquema Nacional de Seguridad (ENS). | | CCN-STIC 1633 | Producto | [Guía de procedimiento de empleo seguro](https://www.ccn-cert.cni.es/es/pdf/guias/series-ccn-stic/1000-procedimientos-de-empleo-seguro/7213-ccn-stic-1633-procedimiento-de-empleo-seguro-ironchip-location-based-identity-platform/file.html) de Ironchip, del Centro Criptológico Nacional. | ## ¿Ayuda Ironchip a cumplir el ENS? [Sección titulada «¿Ayuda Ironchip a cumplir el ENS?»](#ayuda-ironchip-a-cumplir-el-ens) Sí. Ironchip está publicado en el catálogo del CCN-CERT a nivel ALTO, el máximo del Esquema Nacional de Seguridad (ENS). También está disponible la [guía CCN-STIC 1633](https://www.ccn-cert.cni.es/es/pdf/guias/series-ccn-stic/1000-procedimientos-de-empleo-seguro/7213-ccn-stic-1633-procedimiento-de-empleo-seguro-ironchip-location-based-identity-platform/file.html) (procedimiento de empleo seguro de Ironchip). ## ¿Cómo ayuda Ironchip a cumplir NIS2? [Sección titulada «¿Cómo ayuda Ironchip a cumplir NIS2?»](#cómo-ayuda-ironchip-a-cumplir-nis2) NIS2 exige MFA en los accesos remotos (VPN, RDP, Citrix), MFA en las cuentas privilegiadas, trazabilidad de los accesos, gestión de altas y bajas, y detección de ubicaciones anómalas. Ironchip cubre directamente todos estos requisitos. El checklist NIS2 interno de Ironchip relaciona cada control con las capacidades de la plataforma, incluida la retención de logs durante 6 meses o más. ## ¿Cumple Ironchip el RGPD con los datos de localización? [Sección titulada «¿Cumple Ironchip el RGPD con los datos de localización?»](#cumple-ironchip-el-rgpd-con-los-datos-de-localización) Sí. El análisis electromagnético genera una firma técnica (un hash del entorno), no un dato de geolocalización personal. No se almacena la posición GPS ni datos de geolocalización identificables. La certificación ISO 27701 de Ironchip valida su sistema de gestión de la privacidad. Más detalle en [Privacidad de los datos de ubicación](/tecnologia/privacidad/). ## ¿Qué aporta Ironchip en una auditoría de seguridad o de PCI DSS? [Sección titulada «¿Qué aporta Ironchip en una auditoría de seguridad o de PCI DSS?»](#qué-aporta-ironchip-en-una-auditoría-de-seguridad-o-de-pci-dss) * Registro completo y auditable de todos los intentos de acceso, correctos y fallidos. * Trazabilidad de quién accede, cuándo y desde dónde. * Alertas ante accesos fuera del perfil habitual. * Bloqueo automático y documentado de los accesos sospechosos. * Evidencias exportables para ENS, NIS2, ISO 27001 y PCI DSS. * Retención de logs configurable: mínimo de 6 meses para NIS2 y de 1 año para PCI DSS. ## ¿Cómo reportar una vulnerabilidad en un componente de Ironchip? [Sección titulada «¿Cómo reportar una vulnerabilidad en un componente de Ironchip?»](#cómo-reportar-una-vulnerabilidad-en-un-componente-de-ironchip) Escribe a . Para cualquier otra consulta, usa el contacto general: . El fichero `security.txt` de Ironchip está en [www.ironchip.com/.well-known/security.txt](https://www.ironchip.com/.well-known/security.txt). Ironchip tiene un proceso activo de divulgación responsable (*responsible disclosure*): * El CISO responde en 24-48 horas. * El CPO gestiona directamente los errores críticos de los componentes, con notificación proactiva al cliente. Consulta los compromisos del proceso en [Divulgación responsable de vulnerabilidades](/seguridad/divulgacion-responsable/). # Divulgación responsable de vulnerabilidades > Cómo reportar una vulnerabilidad en productos o servicios de Ironchip y qué compromisos adquiere Ironchip con quien la reporta. Si has encontrado una vulnerabilidad en un producto o servicio de Ironchip, te agradecemos que nos la comuniques de forma responsable. Esta página explica cómo hacerlo y qué puedes esperar de Ironchip. ## Cómo reportar una vulnerabilidad [Sección titulada «Cómo reportar una vulnerabilidad»](#cómo-reportar-una-vulnerabilidad) 1. Escribe a . 2. Incluye los detalles necesarios para reproducirla. Publicamos nuestro `security.txt` en [www.ironchip.com/.well-known/security.txt](https://www.ironchip.com/.well-known/security.txt). Para cualquier otra consulta, usa el contacto general: . ## Qué compromisos adquiere Ironchip [Sección titulada «Qué compromisos adquiere Ironchip»](#qué-compromisos-adquiere-ironchip) * El CISO responde en un plazo de 24 a 48 horas. * El CPO gestiona directamente los errores críticos de los componentes, con notificación proactiva al cliente. Las certificaciones y el resto de preguntas de seguridad están en [Seguridad y cumplimiento](/seguridad/). # Estado del servicio > Historial de incidentes notificados en los servicios de Ironchip, con la fecha, la duración y el informe post mortem en PDF de cada uno. Esta página recoge los incidentes notificados en los servicios que forman la plataforma de Ironchip. Consúltala cuando necesites saber si un servicio ha sufrido una interrupción y cuánto duró. ## Incidentes notificados [Sección titulada «Incidentes notificados»](#incidentes-notificados) | Incidente | Fecha | Duración | | ------------------------------------------------------------------------------------------------------------------------------------- | ----------- | ----------------- | | Hora del incidente: 10 oct 2023, 15:17 UTC+02:00 | 10 oct 2023 | 4 minutos | | [Hora del incidente: 30 ago 2023, 11:50 UTC+02:00](https://7745202.fs1.hubspotusercontent-na1.net/hubfs/7745202/PostMortem300823.pdf) | 30 ago 2023 | 38 minutos | | [Hora del incidente: 06 jul 2023, 17:13 UTC+02:00](https://7745202.fs1.hubspotusercontent-na1.net/hubfs/7745202/PostMortem060723.pdf) | 06 jul 2023 | 1 hora 56 minutos | Los incidentes enlazados abren su informe posterior (*post mortem*) en PDF. Todos están resueltos. Para los tiempos de respuesta del soporte y la disponibilidad comprometida, consulta [Soporte](/soporte/). # Soporte y contribuciones > Cómo contactar con el soporte de Ironchip, prioridades y tiempos de respuesta, disponibilidad del servicio y cómo proponer mejoras a la documentación. El soporte de Ironchip atiende a los clientes a través del portal de tickets. Esta documentación, además, es pública y se puede mejorar desde su repositorio. ## Abrir un ticket [Sección titulada «Abrir un ticket»](#abrir-un-ticket) 1. Entra en el [portal del cliente](https://support.ironchip.com/tickets) con tu cuenta. 2. Indica el producto, el entorno (producción o pruebas) y la hora aproximada del problema. 3. Adjunta capturas o identificadores (ID de transacción, nombre de usuario, ID de dispositivo) cuando los tengas. También puedes escribir a . ## Prioridades y tiempos de respuesta [Sección titulada «Prioridades y tiempos de respuesta»](#prioridades-y-tiempos-de-respuesta) Las solicitudes de soporte se responden en estos plazos según su prioridad: | Prioridad | Tiempo de respuesta | Disponibilidad | Descripción | | --------- | ----------------------- | -------------- | --------------------------------------------------------------------------------------------------------------------------------------------------- | | Crítica | 4 h | 24/7 | La consola de administración o las API que se usan en producción no están disponibles, lo que afecta a varios usuarios. | | Alta | 8 h | 8/5 | La consola de administración o las API que se usan en producción funcionan con fallos o con el servicio degradado, lo que afecta a muchos usuarios. | | Media | 24 h en horario laboral | 8/5 | La consola de administración o las API que no se usan en producción no están disponibles, funcionan con fallos o con el servicio degradado. | | Baja | 48 h en horario laboral | 8/5 | Consultas generales sobre el producto y solicitudes personalizadas. | Ironchip puede cambiar la prioridad tras un análisis preliminar. ## Disponibilidad del servicio [Sección titulada «Disponibilidad del servicio»](#disponibilidad-del-servicio) El SLA y la disponibilidad para **clientes empresariales** son estos: | Sistema | Disponibilidad | | ------------------------------------------------ | ---------------------------------------------------------------------------------- | | Consola de administración | Se carga el 99 % del tiempo. | | API de alta de usuarios (onboarding) | Las peticiones se completan correctamente el 99 % de las veces. | | API de transacciones (inicios de sesión y pagos) | Las peticiones se completan correctamente el 99 % de las veces en menos de 200 ms. | Para consultar el historial de incidentes, visita [Estado del servicio](/seguridad/estado/). ## Mejorar esta documentación [Sección titulada «Mejorar esta documentación»](#mejorar-esta-documentación) Cada página tiene al pie un enlace **Editar esta página** que abre el archivo Markdown correspondiente en el repositorio de la documentación. Propón el cambio en una *pull request* y el equipo de Ironchip lo revisará y publicará. ## Para agentes y herramientas de IA [Sección titulada «Para agentes y herramientas de IA»](#para-agentes-y-herramientas-de-ia) La documentación completa está disponible en texto plano en [/llms.txt](/llms.txt) (índice), [/llms-small.txt](/llms-small.txt) (resumen) y [/llms-full.txt](/llms-full.txt) (todo el contenido). # Tecnología de localización > Cómo Ironchip convierte el entorno radioeléctrico de un lugar en una zona segura anónima: señales que usa, qué guarda, fraudes que detecta y cómo integrarla. La *location intelligence* es la capacidad de usar la ubicación física real del usuario, derivada de señales del entorno (redes móviles, wifi e IP, con el GPS como señal de contraste), como un factor de identidad muy difícil de falsificar. Es la tecnología en la que se basan la plataforma de identidad y la detección de fraude de Ironchip. Gartner identifica la *location intelligence* como uno de los pilares emergentes de los sistemas de autenticación e identidad (*location identity proof*). La premisa es que la ubicación es un elemento de contexto único, difícil de falsificar y muy predictivo del comportamiento legítimo.  ## Por qué los ciberdelincuentes ocultan su ubicación [Sección titulada «Por qué los ciberdelincuentes ocultan su ubicación»](#por-qué-los-ciberdelincuentes-ocultan-su-ubicación) Los atacantes usan varias técnicas para enmascarar su ubicación real: * **VPN y proxies:** cambian su dirección IP para aparentar estar en otro lugar. * **Red TOR:** enruta el tráfico por varios nodos cifrados y oculta su origen. * **GPS falso (FakeGPS):** aplicaciones que falsifican el GPS del dispositivo para informar de coordenadas falsas. * **SIM swapping:** cambian la SIM del dispositivo para simular un operador o un país distintos. ## Cómo funciona la tecnología de Ironchip [Sección titulada «Cómo funciona la tecnología de Ironchip»](#cómo-funciona-la-tecnología-de-ironchip) Cada lugar tiene un entorno radioeléctrico propio: las redes wifi y móviles que se ven desde ese punto, con su intensidad y su relación entre ellas. Ese patrón de ondas es tan característico como una huella, y es lo que Ironchip aprende. La huella no son coordenadas ni un dato personal. Un atacante puede robar una contraseña, clonar una SIM o falsear unas coordenadas, pero no puede reproducir el entorno electromagnético completo de un lugar concreto. El proceso tiene cuatro fases: 1. **Captura.** En cada operación el SDK mide el espectro visible: antenas, wifi, GPS, IP, latencias e ISP. La captura es pasiva y transparente para el usuario. 2. **Modelado de la firma.** Las capturas repetidas de un mismo punto se agrupan y se condensan en una firma anónima, sin coordenadas ni datos personales. 3. **Comparación en cada acceso.** Cada acceso nuevo genera su propia captura y se mide contra la firma guardada. Si se parecen lo suficiente, el factor de ubicación se cumple; si no, el acceso no pasa. 4. **Aprendizaje continuo.** El sistema aprende los lugares habituales de cada usuario y detecta anomalías geográficas, sin las limitaciones de las zonas estáticas. ### Señales que se capturan [Sección titulada «Señales que se capturan»](#señales-que-se-capturan) Cada vez que un usuario interactúa con una aplicación móvil o web, Ironchip captura y analiza estas señales del entorno físico. Ninguna identifica al usuario por sí sola: es su combinación, y cómo varía, lo que describe un lugar. | Señal | Qué se analiza | | --------------- | ------------------------------------------------------------------------------------ | | Redes móviles | Antenas 2G, 3G, 4G y 5G visibles y su operador. | | Wifi | Redes del entorno y red favorita del usuario. | | GPS | Coordenadas del dispositivo, solo como señal de contraste y nunca como prueba única. | | IP | Dirección IP y proveedor de servicios de Internet (ISP). | | Geolocalización | Basada en la latencia de la red. | | SIM nativa | Operador y país de la SIM realmente en uso. | | Torres de celda | Conectividad con las antenas. | | Antispoofing | Detección de VPN, TOR, proxies y GPS falso. | Ninguna de las técnicas de ocultación puede falsificar a la vez todas las señales del entorno físico en tiempo real. Esa es la clave de Ironchip. ### Cómo se genera una zona segura [Sección titulada «Cómo se genera una zona segura»](#cómo-se-genera-una-zona-segura) Una zona segura es el núcleo de la tecnología de *location intelligence* de Ironchip: un lugar único, habitual y anónimo asociado a cada usuario. No es un punto en un mapa. | Concepto | Descripción | | -------------------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------- | | Qué es | Un lugar único y familiar para cada usuario. Representa dónde opera habitualmente el usuario legítimo. | | Cómo se genera | Mediante IA, que captura y analiza las señales del entorno (redes móviles, wifi e IP, con el GPS como contraste) en cada interacción con una aplicación. | | Aprendizaje continuo | Cada interacción enseña a la IA de Ironchip la relación entre lugares y dispositivos a lo largo del tiempo. | | Privacidad desde el diseño | Las zonas seguras son anónimas: no se almacena la dirección exacta, sino patrones de señales cifradas. | | Actualización dinámica | El modelo se adapta sin fricción a los cambios legítimos del usuario (mudanzas, viajes habituales, etc.). | Una zona segura **es** una firma anónima del entorno radioeléctrico, vinculada a la clave del dispositivo, y un factor que detecta spoofing, VPN, TOR, SIM virtuales y viajes imposibles. **No es** un conjunto de coordenadas GPS ni un histórico de movimientos del usuario, ni información personal: de la firma no se puede deducir una calle ni un portal. Para saber cómo se gestionan en la consola, consulta [Zonas seguras](/identidad/conceptos/zonas-seguras/). El tratamiento de los datos se detalla en [Privacidad de los datos de ubicación](/tecnologia/privacidad/). ## Por qué la ubicación es el mejor predictor [Sección titulada «Por qué la ubicación es el mejor predictor»](#por-qué-la-ubicación-es-el-mejor-predictor) Los datos internos y los estudios de mercado indican que la ubicación es el factor de identidad que mejor distingue el comportamiento legítimo del fraudulento: | Tipo de operación | Resultado | | --------------------------------------------- | --------------------------------------------------------------------------------------------- | | Registro de usuario | El 92 % de los usuarios se registra desde ubicaciones conocidas. | | Comercio electrónico y compras | El 74 % de las compras se hace desde lugares habituales. | | Inicio de sesión | El 68 % de los inicios de sesión ocurre desde ubicaciones familiares. | | Transacciones de alto valor (más de 10.000 €) | Más del 94 % se hace desde lugares de confianza. | | Patrones fraudulentos | El 98 % de los ataques ocurre de forma remota desde ubicaciones desconocidas para el usuario. | | Reincidencia fraudulenta | El 99 % de los estafadores repite el fraude desde la misma ubicación al menos 2 veces. | ## Tipos de fraude que detecta [Sección titulada «Tipos de fraude que detecta»](#tipos-de-fraude-que-detecta) | Tipo de fraude | Cómo lo detecta Ironchip | | --------------------------------------- | --------------------------------------------------------------------------------------------------------------------------------------------------- | | SIM swapping | Detecta en tiempo real cambios de operador SIM, ISP y geolocalizaciones inconsistentes. | | Phishing y AiTM | La extensión del navegador ([Phishing Shield](/phishing-shield/)) bloquea los sitios fraudulentos antes de que el usuario firme. Valida el destino. | | Vishing | Detecta si el usuario está en una llamada durante acciones críticas, como validar un PIN. | | Identidades sintéticas | Cuentas nuevas desde ubicaciones en lista negra o con un comportamiento atípico desde el primer acceso. | | Mulas de dinero (money mules) | Detecta en combinación viajes imposibles, cambios de SIM u operador y uso de VPN. | | Malware y RAT | Detecta procesos de depuración, *overlays* y keyloggers activos en el dispositivo. | | GPS spoofing | Detección automática cuando la geolocalización por RF (wifi y 5G) no coincide con el GPS reportado. | | Cambio de dispositivo (device swapping) | Detecta un cambio repentino de dispositivo desde una ubicación no confiable con patrón de fraude. | | Dispositivos con root o jailbreak | Identifica los dispositivos con acceso root y los marca automáticamente como de riesgo alto. | Cómo se combinan estas señales en una puntuación se explica en [Evaluación de riesgo](/fraude/conceptos/evaluacion-de-riesgo/). ## Integración técnica: SDK y API [Sección titulada «Integración técnica: SDK y API»](#integración-técnica-sdk-y-api) Ironchip ofrece dos componentes para integrar la *location intelligence* en cualquier aplicación: | Componente | Función | Detalles | | ------------------- | ----------------------- | ---------------------------------------------------------------------------------------------------------------------------------------------- | | Datasource SDK | Captura de señales | Plataformas: Android, iOS, Flutter y web. Se integra en cualquier aplicación móvil o web para capturar las señales del entorno en tiempo real. | | Fraud Detection API | Resultados y decisiones | Protocolo: API HTTP REST. Compatible con cualquier BPM o SIEM. SLA inferior a 1 segundo para alertas en tiempo real. | Consulta el [SDK de detección de fraude](/fraude/sdk/) y la [API de detección de fraude](/fraude/api/). ### Integrar la localización como servicio [Sección titulada «Integrar la localización como servicio»](#integrar-la-localización-como-servicio) Los casos de uso de la localización son muchos: comprobar el lugar de trabajo de tus empleados, aislar el acceso a los sistemas más críticos de la empresa o cifrar las comunicaciones. Puedes integrarla en cualquier caso de uso con la API: * **Conectividad segura de terceros:** controla el acceso de los proveedores a los sistemas más sensibles de la empresa. * **Autenticación segura y fácil para el usuario:** autentica al usuario con una notificación push que analiza tres pruebas de identidad (dispositivo, biometría y localización) y se integra en cualquier servicio para requisitos de seguridad altos. * **Aislamiento y protección de los servicios:** protege el acceso a los distintos sistemas restringiéndolo a los lugares asignados. Para añadir la verificación de ubicación a una aplicación propia, consulta la [API HTTP de identidad](/identidad/protocolos/http-api/). Para puntuar operaciones, usa la [API de detección de fraude](/fraude/api/). ## Sectores de aplicación [Sección titulada «Sectores de aplicación»](#sectores-de-aplicación) | Sector | Aplicaciones | | --------------------------------- | ------------------------------------------------------------------------------- | | Banca y finanzas | Transacciones seguras, detección de fraude y cumplimiento de NIS2 y ENS. | | Gobierno y administración pública | Acceso a servicios críticos, autenticación de empleados y cumplimiento del ENS. | | Industria | Protección de los accesos a sistemas OT e IT y monitorización de proveedores. | | Farmacéutico y salud | Protección de los datos de los pacientes y acceso remoto seguro. | ## Qué distingue a Ironchip [Sección titulada «Qué distingue a Ironchip»](#qué-distingue-a-ironchip) Ironchip reúne estos elementos en una sola plataforma: | Diferenciador | Detalle | | ---------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------ | | Localización por RF | Combina a la vez señales wifi, 2G/3G/4G/5G e IP, con el GPS como contraste, para una geolocalización muy difícil de falsificar. | | Sin almacenamiento de credenciales | No guarda credenciales (*zero credential storage*), lo que elimina el vector de ataque más habitual (el robo de bases de datos de contraseñas). | | Detección en tiempo real | SLA inferior a 1 segundo desde la captura de la señal hasta la decisión de bloqueo o acceso. | | Integración universal | SAML, OIDC, RADIUS, LDAP, SSH y RDP, con aplicaciones cloud modernas y con sistemas on-premise antiguos. | | Sin hardware obligatorio | Modelo OpEx (pago por uso), sin stock físico ni logística de hardware para el ENS. | | ENS Alto | Producto publicado en el catálogo del CCN-CERT a nivel ALTO del Esquema Nacional de Seguridad, apto para entornos críticos. Más en [Seguridad](/seguridad/). | | Comportamiento del fraude | El 99 % de los estafadores repite la misma ubicación: Ironchip aprende y bloquea desde la segunda vez. | ## Preguntas frecuentes sobre la tecnología [Sección titulada «Preguntas frecuentes sobre la tecnología»](#preguntas-frecuentes-sobre-la-tecnología) ### ¿Qué es la autenticación por ubicación? [Sección titulada «¿Qué es la autenticación por ubicación?»](#qué-es-la-autenticación-por-ubicación) Es usar el lugar desde el que se accede como un factor más. Ironchip no depende de las coordenadas: compara la firma radioeléctrica del entorno, formada por las redes móviles y wifi visibles, con la de las zonas autorizadas. El GPS es una señal más, y el motor detecta cuándo se falsifica. ### ¿Funciona dentro de edificios, donde no llega el GPS? [Sección titulada «¿Funciona dentro de edificios, donde no llega el GPS?»](#funciona-dentro-de-edificios-donde-no-llega-el-gps) Sí. La firma se basa en las señales de redes móviles y wifi, que están presentes en interiores. El GPS se usa solo como contraste. ### ¿Se puede engañar con una VPN o un GPS falso? [Sección titulada «¿Se puede engañar con una VPN o un GPS falso?»](#se-puede-engañar-con-una-vpn-o-un-gps-falso) Es muy difícil. Para suplantar un lugar habría que reproducir su entorno electromagnético completo. Además, el motor detecta el GPS falseado, las VPN, TOR, los proxies y las incoherencias entre la IP, la SIM y la firma del lugar. ### ¿Qué datos se guardan del lugar? [Sección titulada «¿Qué datos se guardan del lugar?»](#qué-datos-se-guardan-del-lugar) Una firma anónima del entorno radioeléctrico, vinculada a la clave del dispositivo. No se guardan direcciones ni un historial de movimientos, y la firma no se puede convertir en una ubicación concreta. Más detalle en [Privacidad de los datos de ubicación](/tecnologia/privacidad/). # Privacidad de los datos de ubicación > Qué señales usa la firma de ubicación de Ironchip, qué se guarda y qué no se guarda nunca, y cómo encaja el tratamiento con el RGPD y la ISO 27701. Esta página describe el tratamiento de los datos de ubicación por parte de la plataforma: qué se recoge, qué se guarda y qué no, y bajo qué controles. Está pensada para quien debe valorar la tecnología desde el punto de vista de la privacidad. ## Qué se recoge [Sección titulada «Qué se recoge»](#qué-se-recoge) En cada operación, el dispositivo mide las señales del entorno radioeléctrico: las redes móviles (2G a 5G) y wifi visibles, las latencias de red, el proveedor de Internet (ISP), la SIM en uso y la dirección IP. El GPS se usa solo como señal de contraste. Ninguna de estas señales identifica al usuario por sí sola. Consulta la lista completa en [Tecnología de localización](/tecnologia/). ## Qué se guarda [Sección titulada «Qué se guarda»](#qué-se-guarda) Solo se guarda una **firma anónima** del entorno radioeléctrico, vinculada a la clave del dispositivo. Es un modelo matemático que resulta de aprender el conjunto de señales del lugar: de ella no se puede deducir una ubicación concreta. ## Qué no se guarda [Sección titulada «Qué no se guarda»](#qué-no-se-guarda) * Las señales captadas: una vez aprendidas, se borran. * Las coordenadas GPS y el historial de movimientos del usuario. * Las direcciones: de la firma no se puede deducir una calle ni un portal. * Las credenciales de acceso del usuario. Para autenticar no hace falta guardar las señales ni las credenciales, y no guardarlas es más seguro: evita el robo masivo de credenciales y, a diferencia de la biometría, no deja al usuario con un dato robado que no puede cambiar. ## Cumplimiento [Sección titulada «Cumplimiento»](#cumplimiento) Ironchip cumple el RGPD en el tratamiento de los datos de localización: el análisis electromagnético genera una firma técnica (un hash del entorno), no un dato de geolocalización personal, y no se almacenan la posición GPS ni datos de geolocalización identificables. La certificación ISO 27701 de Ironchip valida su sistema de gestión de la privacidad. Más información en [Seguridad y cumplimiento](/seguridad/) y en las [preguntas frecuentes](/faq/).