Tomar la decisión correcta
La verificación en dos pasos permite el uso de múltiples elementos de verificación al iniciar sesión. El código de autenticación, la clave de acceso y los SMS no ofrecen la misma experiencia ni el mismo modelo de amenazas. Agregar un método no implica que se cumplan automáticamente los demás requisitos de seguridad; el panel debe explicar qué paso es necesario.
¿A qué prestar atención en la aplicación?
Mostrar solo el código QR durante la instalación no es suficiente. El usuario debe verificar la instalación con el código generado y guardar de forma segura el método de recuperación. No debe enviar códigos de un solo uso, códigos QR ni claves de recuperación al chat de soporte. Estos podrían permitir el acceso a la cuenta.
Verificación y siguiente paso
El flujo de seguridad adecuado puede variar para el administrador y el cliente. Volver al sitio después de una verificación exhaustiva no debería resultar en la pérdida injustificada de la sesión. También se deben probar la pérdida del dispositivo, los cambios de contraseña y los procesos de cierre de sesión; la seguridad no se limita a una pantalla de inicio de sesión exitosa.
Tu lista de verificación
- Verifique la instalación con el código.
- Proteja el método de recuperación.
- Pruebe el comportamiento de la sesión.