Two-Factor Authentication (2FA / TOTP). Two-Factor Authentication añade códigos de un solo uso TOTP (Google Authenticator, Authy, Microsoft Authenticator) al back office y a la cuenta del cliente: alta con código QR, secretos cifrados en reposo, códigos de recuperación de un solo uso y bloqueo contra la fuerza bruta. El módulo se basta a sí mismo: sin servicios externos, sin llamadas de red, sin librerías añadidas.
Two-Factor Authentication añade códigos de un solo uso TOTP (Google Authenticator, Authy, Microsoft Authenticator) al back office y a la cuenta del cliente: alta con código QR, secretos cifrados en reposo, códigos de recuperación de un solo uso y bloqueo contra la fuerza bruta. El módulo se basta a sí mismo: sin servicios externos, sin llamadas de red, sin librerías añadidas.
1. Instalación
- En el back office ve a Módulos → Gestor de módulos → Subir un módulo y selecciona el ZIP del módulo.
- Cuando termine la instalación, pulsa Configurar para abrir el asistente.
.local, .test, localhost) se admiten siempre. Cuando sale una versión nueva, el propio módulo te avisa.Si en lugar de la confirmación lees «Upload failed», PrestaShop puede haber desactivado el módulo sin decírtelo: los ajustes y los datos se quedan donde están. Cómo actualizar un módulo, y qué hacer si dice «Upload failed».
2. Configuración: paso a paso
La pantalla Configurar tiene un panel de ajustes y, debajo, dos listas de personas dadas de alta. Fija primero la norma y usa después las listas para ver quién está protegido y para desbloquear a quien haga falta.
Two-Factor Authentication - Ajustes interruptor principal
Este panel decide dónde se aplica la doble autenticación y con cuánta severidad. Guarda con el botón Guardar de abajo.
- Activar la 2FA para el back office: pone en marcha el segundo factor para los empleados que entran en la administración. Con esto activo, cualquier petición al back office se bloquea hasta que se comprueba el código.
- Activar la 2FA para el front office: pone en marcha el segundo factor para los clientes, en su zona de cuenta.
- Obligar a la 2FA en estos perfiles: los identificadores de perfil separados por comas (por ejemplo
1para SuperAdmin). Los empleados de esos perfiles están obligados a darse de alta; el formulario recuerda el identificador y el nombre de cada perfil. - Ventana de tolerancia (pasos de 30 s): cuánto desfase de reloj se acepta, en pasos de 30 segundos (de 0 a 5). Un valor alto perdona más si el reloj del teléfono va mal; uno bajo es más estricto.
- Número de códigos de recuperación: cuántos códigos de un solo uso se generan al darse de alta (de 4 a 20, 8 por defecto). Cada código sirve una vez, cuando la aplicación no está a mano.
- Nombre del emisor (se ve en la aplicación): la etiqueta que aparece junto a la cuenta en la aplicación de autenticación. Déjalo vacío para usar el nombre de la tienda.
- Borrar los datos al desinstalar: si respondes Sí, al desinstalar el módulo se borran todos los secretos de alta y los códigos de recuperación.
Empleados dados de alta
Lista de todos los empleados del back office que han configurado la 2FA, con identificador, nombre, correo, estado (Activo o Pendiente) y fecha de la última actualización.
- Reiniciar la 2FA: borra el secreto de ese empleado y pone a cero su contador de fallos, de modo que pueda darse de alta otra vez desde cero (úsalo cuando alguien pierde el teléfono o se queda fuera).
- Si todavía no se ha dado de alta nadie, el panel lo dice sin más.
Clientes dados de alta
La misma lista para los clientes del front office que han activado la 2FA en su cuenta: identificador, nombre, correo, estado y última actualización.
- Reiniciar la 2FA: borra el alta de un cliente y su contador de fallos para que pueda volver a darse de alta, muy útil cuando un cliente ya no consigue entrar y escribe al servicio de atención.
- La lista está vacía hasta que se da de alta el primer cliente.
3. Comprobar que funciona
- Activa la 2FA para el back office, sal de la sesión y vuelve a entrar: te debe pedir escanear un código QR e introducir un código de 6 cifras antes de llegar al panel.
- Una vez dado de alta, comprueba que tu cuenta aparece en la lista Empleados dados de alta con estado Activo.
- Sal de la sesión, vuelve a entrar y, en lugar del código de la aplicación, escribe uno de tus códigos de recuperación: debe dejarte pasar una vez y quedar gastado.
- Desde el back office, pulsa Reiniciar la 2FA en una cuenta de prueba y comprueba que desaparece de la lista y que en el siguiente acceso se le vuelve a pedir el alta.
4. Preguntas frecuentes
¿Qué aplicaciones de autenticación valen?
Cualquier aplicación TOTP estándar (RFC 6238), Google Authenticator, Authy, Microsoft Authenticator y parecidas funcionan todas.
¿Y si un empleado pierde el teléfono?
Puede usar un código de recuperación, o un administrador puede pulsar Reiniciar la 2FA en la lista de altas para que registre un dispositivo nuevo.
¿Hace falta conexión a internet o un servicio externo?
No. Los códigos se generan y se comprueban en local; los secretos están cifrados en reposo. No hay ninguna llamada de red ni ninguna dependencia de terceros.
¿Aguanta la fuerza bruta?
Sí. Los códigos erróneos repetidos disparan un bloqueo contra la fuerza bruta, y la ventana de tolerancia se ajusta para equilibrar seguridad y comodidad.