Todo lo que querrías saber antes de instalar.
Una mirada detallada a cómo funciona 2FA Google Authenticator para PrestaShop, por qué lo construimos así y la lógica detrás de las características anteriores.
Por qué el 2FA en PrestaShop
El back-office PrestaShop es el objetivo nº1 de los ataques sobre su tienda. Una contraseña admin comprometida (por phishing, fuga de otra app, ataque por diccionario), es el acceso directo a sus pedidos, sus clientes, su código fuente. El 2FA añade una segunda capa: incluso con la contraseña, el atacante no puede conectarse sin el teléfono. En los últimos seis años, más del 80% de las intrusiones PrestaShop documentadas habrían sido impedidas por un 2FA activo.
Estándar TOTP, sin servicio propietario
El módulo respeta el estándar RFC 6238 (TOTP) — el mismo que Google Authenticator, Authy, 1Password, Microsoft Authenticator, etc. Eso significa que sus empleados usan la app de su elección, sin instalar una app específica. Si su empresa ya tiene 1Password, el 2FA simplemente se añade a los secretos existentes. Sin servicio tercero, sin coste por usuario, sin dependencia externa.
Configuración progresiva
El 2FA puede activarse globalmente (todos los admins deben usarlo) o por perfil de empleado (Super Admin obligatorio, otros perfiles opcionales). Eso permite un despliegue progresivo: empezar por los perfiles sensibles, observar la reacción de los equipos, luego generalizar. Activación desde Preferencias → 2FA Google Authenticator.
Gestionar la pérdida del teléfono
El escenario «ya no consigo conectarme, he cambiado de teléfono» se anticipa en dos niveles. Primer red de seguridad: 10 códigos de recuperación de un solo uso, generados en el emparejamiento inicial. El empleado los conserva en su gestor de contraseñas o impresos en una caja fuerte. Segunda red de seguridad: un Super Admin puede restablecer el 2FA de un empleado desde su perfil en un clic. El siguiente login pedirá el emparejamiento inicial de nuevo con un nuevo QR code.
Seguridad y auditoría
El secreto TOTP de cada empleado se cifra en AES-256 en base de datos — incluso un acceso de lectura SQL no permite regenerar los códigos. Cada intento de introducción del código 2FA se registra con éxito/fallo, empleado, IP, fecha. Un número excesivo de fallos en una cuenta desencadena un bloqueo temporal automático para ralentizar los ataques por fuerza bruta.
Valoraciones
No hay valoraciones aún.