Seguridad de la cuenta

mTime protege tu cuenta y tus datos mediante la autenticación, la gestión de sesiones y los controles de acceso.

Métodos de autenticación

mTime admite varias formas de iniciar sesión:

Puedes usar el método que prefieras, y puedes añadir un método de inicio de sesión a una cuenta que ya tienes. Si tu espacio de trabajo está restringido a un solo proveedor de inicio de sesión, allí solo funciona ese proveedor.

Añadir un método de inicio de sesión

Para iniciar sesión con Google, Microsoft o Visma Connect además de con el enlace por correo, añádelo desde tu propia cuenta:

1. Ve a Seguridad en la configuración de tu cuenta
2. En Métodos de inicio de sesión, elige Añadir Google, Añadir Microsoft o Añadir Visma Connect
3. Inicia sesión en el proveedor

Sigues con la sesión iniciada en mTime en todo momento: tener la sesión iniciada es lo que nos indica que la cuenta es tuya, así que la dirección que devuelve el proveedor no tiene por qué coincidir con el correo de tu cuenta de mTime.

Solo aparecen como opciones los proveedores que tiene configurados tu instalación de mTime, y puedes tener un método de inicio de sesión por proveedor. Para cambiar un proveedor a otra cuenta de ese proveedor, quita primero el existente.

Si la cuenta del proveedor ya se usa para iniciar sesión en otra cuenta de mTime, mTime no permitirá añadirla. Inicia sesión en esa cuenta y quítala allí primero: una cuenta de proveedor solo puede iniciar sesión en una cuenta de mTime.

Iniciar sesión con un proveedor que aún no has añadido

Si eliges Iniciar sesión con Microsoft (o Iniciar sesión con Google ) en la página de inicio de sesión y ya tienes una cuenta de mTime con la misma dirección de correo, mTime añade ese método de inicio de sesión por ti y te deja entrar, siempre que el proveedor confirme que la dirección es tuya. Microsoft lo confirma para las cuentas de trabajo de un dominio que tu organización ha verificado con Microsoft, y para las cuentas personales de Microsoft.

Si el proveedor no puede confirmarlo, mTime te lo indica. Inicia sesión con el enlace que mTime te envía por correo, o con una llave de acceso, y añade el método en Seguridad como se describe arriba.

La dirección que usa cada método

Cada método de inicio de sesión muestra la dirección de correo que nos ha dado el proveedor, que no siempre coincide con el correo de tu cuenta de mTime. Es normal cuando tu organización usa alias: tu cuenta de Microsoft puede presentar nombre.apellido@empresa.com mientras que tu cuenta de mTime es napellido@empresa.com. Las dos funcionan; simplemente las direcciones son distintas.

Quitar un método de inicio de sesión

En Métodos de inicio de sesión, elige Quitar. Puedes volver a añadirlo en cualquier momento.

mTime no te permite quitar el último método de inicio de sesión que te quede. Si un proveedor es el único de tu cuenta, añade antes una llave de acceso u otro proveedor. En un espacio de trabajo restringido a un solo proveedor de inicio de sesión, mTime también conserva ese proveedor, ya que el espacio de trabajo no acepta nada más.

Llaves de acceso

Una llave de acceso te permite iniciar sesión con tu huella, tu cara o el PIN del dispositivo en lugar de una contraseña. Se queda en tu dispositivo (o en tu gestor de contraseñas), así que no hay nada que recordar ni nada que escribir en una página de inicio de sesión falsa.

Para añadir una, ve a Seguridad, elige Añadir llave de acceso y sigue las indicaciones de tu dispositivo. Puedes añadir varias —una por dispositivo— y cambiarles el nombre o eliminarlas desde la misma página. En el móvil, Seguridad está en Más . Para usar una, elige Iniciar sesión con llave de acceso en la página de inicio de sesión.

Las llaves de acceso funcionan en los navegadores actuales y en la aplicación mTime para Android e iPhone. Donde no están disponibles —un navegador antiguo o una versión antigua de la aplicación—, las opciones de llave de acceso se ocultan y se inicia sesión con el enlace por correo o con una cuenta vinculada. Las llaves de acceso que añadiste en otros dispositivos siguen en tu cuenta y continúan apareciendo en la página Seguridad.

Verificación del correo electrónico

Todas las cuentas deben tener una dirección de correo verificada. Cuando te registras sin una invitación, mTime te envía por correo un enlace de verificación, y tienes que hacer clic en él antes de poder usar mTime.

Si te registras mediante una invitación e inicias sesión con Google, Microsoft o Visma Connect, tu dirección ya está verificada: la invitación se envió a ella.

Iniciar sesión con un enlace por correo

En la página de inicio de sesión, introduce tu correo y elige Continuar con correo electrónico . mTime te envía por correo un enlace de inicio de sesión, y la pantalla muestra Revisa tu correo con unas palabras que también aparecen en el correo. No hay ninguna contraseña que recordar.

• En el mismo navegador, al abrir el enlace inicias sesión directamente.
• En otro dispositivo, por ejemplo tu móvil mientras inicias sesión en el ordenador, la página del enlace muestra las palabras, el dispositivo, la dirección IP y la hora a la que se pidió el inicio de sesión. Si las palabras coinciden con la pantalla en la que estás iniciando sesión, elige Sí, iniciar sesión y esa pantalla inicia sesión. Si no has pedido iniciar sesión, elige No he sido yo : nadie inicia sesión y el intento queda registrado en el registro de seguridad.

El enlace es válido durante 10 minutos y solo funciona una vez. Si no llega, elige Enviar un enlace nuevo ; el enlace anterior deja de funcionar.

Iniciar sesión con una llave de acceso o con un proveedor vinculado (Google, Microsoft, Visma Connect, Apple) no pasa por el correo: esos métodos ya demuestran que eres tú. Las llaves de acceso siempre piden tu huella, tu cara o el PIN del dispositivo, así que no se puede usar una llave de seguridad sin PIN.

Cuando inicias sesión desde un dispositivo o navegador que tu cuenta no ha usado en los últimos seis meses, mTime te envía un correo sobre el nuevo inicio de sesión, con el dispositivo, el lugar y la hora. Si no has sido tú, revisa tus sesiones y tus métodos de inicio de sesión en la página Seguridad. Un inicio de sesión con enlace por correo no recibe ese aviso, porque el correo del enlace ya indicaba el dispositivo.

Iniciar sesión con contraseña

Las cuentas cuyo buzón nadie puede leer, como las cuentas de revisión de las tiendas de aplicaciones, pueden tener permiso para iniciar sesión con contraseña. Un administrador activa Iniciar sesión con contraseña para el usuario en Administración › Usuarios, y antes confirma que es él. Solo se aplica si está activado en todos los espacios de trabajo a los que pertenece la persona, para que un espacio de trabajo no pueda rebajar la seguridad de otro. Después, la persona establece una contraseña mediante el restablecimiento de contraseña.

Confirmar que eres tú

Algunos cambios te piden que confirmes que eres tú si iniciaste sesión hace más de 10 minutos:

• dar a alguien un rol distinto de Empleado o Responsable, y crear, cambiar o eliminar roles personalizados
• crear usuarios de servicio y claves de API
• crear y descargar exportaciones de datos
• añadir o quitar llaves de acceso y métodos de inicio de sesión
• cambiar la restricción de inicio de sesión del espacio de trabajo, asociar una integración a una cuenta y eliminar un espacio de trabajo

Se abre un diálogo Confirma que eres tú . Confirma con una llave de acceso, con un código enviado a tu correo o con el proveedor de inicio de sesión que tengas vinculado, y el cambio se aplica. En un espacio de trabajo restringido a un solo proveedor de inicio de sesión, confirmas con ese proveedor. No se te vuelve a preguntar durante los 10 minutos siguientes.

Gestión de sesiones

Cuando inicias sesión, mTime crea una sesión que te mantiene conectado.

• Las sesiones duran 30 días desde la última actividad
• Si no usas mTime durante 30 días, tendrás que volver a iniciar sesión
• Las sesiones caducan automáticamente: no hace falta cerrar sesión manualmente, aunque puedes hacerlo si lo prefieres

Restablecer la contraseña

El restablecimiento de contraseña solo se aplica a las cuentas que tienen permiso para iniciar sesión con contraseña. Si olvidas tu contraseña o quieres cambiarla:

1. Ve a la página de inicio de sesión de mTime
2. Haz clic en ¿Has olvidado tu contraseña?
3. Introduce tu dirección de correo
4. Haz clic en el enlace del correo de restablecimiento para establecer una contraseña nueva

El enlace de restablecimiento caduca al cabo de un tiempo limitado. Si caduca, solicita uno nuevo.

Si tu cuenta también puede iniciar sesión con una llave de acceso o con un proveedor vinculado, la página de restablecimiento los muestra y ofrece Quitar también estos, para que solo funcione la nueva contraseña . Déjalo sin marcar si simplemente has olvidado tu contraseña. Márcalo si crees que otra persona tiene acceso a tu cuenta: después solo funcionará la nueva contraseña. Un proveedor que exige tu espacio de trabajo se conserva, para que no te quedes sin acceso a él.

Cuando cambian tu contraseña, tus llaves de acceso o tus métodos de inicio de sesión, mTime te envía un correo. Si no has hecho tú el cambio, restablece tu contraseña y marca la casilla anterior.

Tras 10 contraseñas incorrectas en 15 minutos, el inicio de sesión con contraseña para ese correo se pausa durante un tiempo. Espera o inicia sesión con una llave de acceso o un proveedor vinculado.

Seguridad de las claves de API

Los usuarios de servicio usan claves de API para acceder a la API de mTime. Requieren un manejo cuidadoso:

• Se muestran una sola vez: las claves de API solo se muestran al crearlas. Cópialas y guárdalas de forma segura en ese momento.
• Siempre caducan: cada clave tiene una fecha de caducidad, y ninguna puede durar más de un año. Una clave caducada no se puede prorrogar; crea una nueva.
• Revocación: revoca cualquier clave que ya no se necesite o que pueda haber quedado expuesta. Las claves revocadas dejan de funcionar de inmediato.
• Trazabilidad: la lista de claves registra quién creó cada clave y quién la revocó y cuándo, para que puedas dar cuenta de cada credencial a posteriori.

Buenas prácticas

Sigue estas recomendaciones para mantener seguro tu espacio de trabajo:

• Comprueba antes de aprobar: elige Sí, iniciar sesión solo cuando las palabras de la página del enlace coincidan con la pantalla en la que estás iniciando sesión.
• Revoca las claves de API que no se usan: revisa periódicamente los usuarios de servicio y revoca las claves que ya no se utilicen.
• Suspende a los usuarios que se van: cuando alguien deja tu organización, suspende su cuenta cuanto antes para retirarle el acceso.
• Limita el acceso de administración: concede los roles de Administrador de RR. HH., Administrador del espacio de trabajo o Propietario solo a quien los necesite, y da a cada persona solo el rol de administración que requiere su trabajo. Usa los roles de Responsable o Empleado para los usuarios del día a día.
• Revisa periódicamente la lista de usuarios: consulta Administración › Usuarios con regularidad para asegurarte de que solo tienen acceso las personas adecuadas.