Doble factor de autenticación

¿Qué es el doble factor de autenticación?

El doble factor de autenticación (2FA) en EducaMadrid es una medida de seguridad que nos ayuda a proteger nuestras cuentas frente a accesos no autorizados y/o suplantaciones de identidad.

Actualmente, esta funcionalidad se encuentra en fase de pruebas y está disponible exclusivamente para las cuentas de docentes, institucionales y PAS de los centros EMLab 1000+ para evaluar el correcto funcionamiento y realizar los ajustes necesarios antes de su despliegue general.

Actualmente, está implementado en el Correo web, Cloud y EMPieza para las cuentas personales de docentes, cuentas institucionales y PAS. Poco a poco se irá activando en los demás servicios de EducaMadrid.

La autenticación en dos pasos no será requerida cuando estemos conectados a la red de gestión de Madrid Digital o a la red educativa del centro.

Con el 2FA activado:

• Protegemos mejor los datos personales y académicos.
• Evitamos que alguien acceda sin permiso a nuestros recursos.
• Cumplimos con la normativas de protección de datos y trabajamos con mayor tranquilidad en un entorno protegido.

El 2FA se basa en combinar dos elementos distintos para confirmar nuestra identidad en el momento de acceso:

1. Primer factor: nuestra contraseña de EducaMadrid.
2. Segundo factor: un código de verificación.

En EducaMadrid disponemos de dos métodos para la autenticación en dos pasos:

• Móvil o correo electrónico.
• Sólo correo electrónico.

Activar 2FA

Debemos acceder a EMPieza para activar el doble factor de autenticación. Una vez activado, tendremos que utilizarlo cada vez que iniciemos sesión en los siguientes servicios:

• EMPieza
• Cloud
• Correo web

Seguiremos estos pasos para configurar el método de autenticación.

Acceder a EMPieza

1. Iniciamos sesión en EMPieza con nuestro usuario y contraseña.
2. Pulsamos en el icono de la silueta en la esquina superior derecha para acceder a "Mis datos".
3. El sistema nos pedirá confirmar nuestra contraseña de EducaMadrid.
   
   
4. Si nunca hemos accedido a EMPieza o recientemente hemos modificado la contraseña de EducaMadrid, debemos actualizarla en el apartado "Contraseña" para sincronizar herramientas y calendarios.
   Para ello teclearemos nuestra contraseña de EducaMadrid y pulsaremos en "Guardar".
   
5. A continuación, abriremos el desplegable "Seguridad 2FA".

Verificar el correo alternativo

Antes de configurar la autenticación en dos pasos, es necesario comprobar si ya tenemos registrada una cuenta alternativa. En caso contrario, deberemos añadirla y verificarla, teniendo en cuenta las siguientes condiciones según el tipo de cuenta:

• Cuentas de tipo “Profesor” y “PAS”: deben añadir una cuenta personal que no pertenezca al dominio @educa.madrid.org. Esta cuenta podrá utilizarse tanto para el doble factor de autenticación como para recuperar o modificar la contraseña de acceso de manera autónoma mediante la opción “Olvidé mi contraseña”.

• Cuentas institucionales (excepto la cuenta institucional del centro): también deben añadir una cuenta personal que no sea del dominio @educa.madrid.org. Sin embargo, esta cuenta no podrá emplearse para la recuperación o modificación de la contraseña de acceso, que únicamente puede ser gestionada por la cuenta TIC y/o la cuenta institucional del centro.

• Cuenta institucional del centro (UID del centro): únicamente podrá asociar el correo @madrid.org del director del centro. Este correo se utilizará exclusivamente para el acceso mediante doble factor de autenticación y no servirá para la recuperación de la contraseña de acceso. En este caso, la modificación de la contraseña deberá realizarse siguiendo el procedimiento habitual de solicitud al CAU de EducaMadrid.

Si nunca hemos utilizado el correo alternativo, el apartado "Correo alternativo" aparecerá vacío y podremos añadir una dirección. Tendremos que confirmarla mediante un código de verificación que se nos enviará a la dirección indicada:

Recibiremos un código en el correo indicado, que será válido solo en esta sesión de EMPieza, para confirmar la dirección añadida. Deberemos introducirlo en "Código de verificación":

Si en "Correo alternativo" ya consta una dirección, pero queremos cambiarla, tenemos que seguir las instrucciones detalladas en el apartado "Cambiar el correo alternativo".

Elegir el método de autenticación

En EducaMadrid podemos configurar la autenticación en dos pasos (2FA) mediante las siguientes opciones:

• Email.
• Móvil o email (recomendada).

Email

Con este método de autenticación, cada vez que iniciemos sesión, el sistema nos enviará un código de verificación a nuestro correo alternativo previamente registrado. Para completar el acceso, debemos introducir ese código.

Para configurar el 2FA por email, abriremos el desplegable "Autenticación de doble factor (2FA)", seleccionaremos "Email" y pulsaremos en "Guardar". Un mensaje de confirmación nos informará de que la configuración se ha guardado y se cerrará la sesión de EMPieza.

A partir de este momento, cada vez que iniciemos sesión en EMPieza, Cloud o Correo web, se nos pedirá el código de verificación que recibiremos en nuestro correo alternativo.

Es importante revisar el buzón de correo no deseado la primera vez que utilicemos el acceso con 2FA y trasladar el mensaje con el código de verificación a nuestra bandeja de entrada.

Móvil o email

El método “Móvil o email” ofrece dos vías distintas para verificar la identidad en cada inicio de sesión:

• Aplicación de autenticación instalada en nuestro teléfono: FreeOTP (disponible para Android y para iOS) u otra aplicación de doble factor de autenticación con OTP.
• Nuestro correo electrónico alternativo, que podemos añadir tanto en EMPieza ("Mis datos") como en el Portal Educativo ("Mi cuenta").

De este modo, podremos elegir el canal más conveniente en cada acceso.

Para configurar este método de autenticación, abriremos el desplegable "Autenticación de doble factor (2FA)", seleccionaremos "Móvil o email (recomendada). Elige el método que prefieras cada vez que accedas." (1) y pulsaremos en "Guardar" (2):

Tras un mensaje de confirmación, se cerrará la sesión de EMPieza y se nos recordará que tenemos que acceder de nuevo para configurar la aplicación móvil de autenticación:

Al pulsar en "Acceder de nuevo", veremos las instrucciones que nos ayudarán a terminar de configurar la aplicación:

1. En primer lugar, deberemos instalar una aplicación de autenticación en nuestro teléfono móvil. Podemos utilizar, por ejemplo, FreeOTP (disponible para Android y para iOS) u otra aplicación de doble factor de autenticación con OTP.

2. A continuación, deberemos abrir la aplicación y escanear el código QR. Si no conseguimos escanear el código QR, pulsaremos en "¿No consigues escanear?" para obtener una clave, que teclearemos en la aplicación.

3. Una vez configurada la aplicación, pulsaremos en la entrada generada. Se nos mostrará el código de verificación que introduciremos en el apartado "Código de identificación".

A partir de este momento, cuando iniciemos sesión en EMPieza, Cloud o Correo web, podremos elegir mediante qué canal recibir el código de autenticación: aplicación móvil o correo electrónico alternativo.

Restablecer la configuración de la aplicación de autenticación

En algunas situaciones necesitaremos restablecer la configuración de la aplicación de doble factor de autenticación (Free OTP u otra). Por ejemplo:

• Tras cambio o pérdida del dispositivo móvil: si se nos avería o perdemos el teléfono móvil, deberemos restablecer la configuración para poder volver a vincular la aplicación de autenticación en el nuevo dispositivo.
• Después de la reinstalación de la aplicación de autenticación, en el caso de que la desinstalemos o se borra su configuración.
• Ante problemas de sincronización o códigos incorrectos: para corregir los fallos si los códigos generados no coinciden por desajustes de hora o errores internos.
• Ante sospechas de acceso indebido o compromisos de seguridad, para garantizar que solo nosotros tenemos control sobre el segundo factor.

Para restablecer la configuración de la aplicación de autenticación, pulsaremos en el enlace "Si necesitas renovar el acceso desde tu aplicación de autenticación puedes restablecer la configuración."

Se nos pedirá el código de verificación para confirmar la acción:

Una vez hecho esto, la configuración se restablecerá y se cerrará la sesión. Es importante eliminar la entrada antigua de autenticación en la aplicación móvil antes de volver a configurarla, con el fin de evitar posibles confusiones.

Si desactivamos o restablecemos la autenticación de dos factores a través del móvil, debemos eliminar la entrada en la aplicación (Free OTP u otra aplicación) antes de volver a activarla.

Al acceder de nuevo a EMPieza, deberemos volver a configurar la aplicación, como se explica en este apartado de ayuda.

Cambiar el correo alternativo

Podemos modificar nuestro correo alternativo desde "Mi cuenta" del Portal Educativo o desde "Mis datos" de EMPieza. 

Desde "Mi cuenta" del Portal Educativo

Instrucciones para el cambio del correo alternativo desde "Mi cuenta" del Portal Educativo.

Desde "Mis datos" de EMPieza

Podemos modificar nuestro correo alternativo desde "Mis datos" de EMPieza o desde "Mi cuenta" del Portal Educativo.

Para realizar el cambio del correo alternativo desde EMPieza, accederemos a "Mis datos".

Abrimos el desplegable "Seguridad 2FA"  e introducimos nuestra dirección de correo externa a EducaMadrid en el campo "Correo alternativo". Pulsamos sobre "Verificar".

Un mensaje nos indicará que se ha enviado un correo con instrucciones a la cuenta de correo alternativo que acabamos de introducir.

Si previamente hemos activado el doble factor de autenticación, la aplicación nos solicitará en primer lugar un código de validación que recibiremos en el método que hubiéramos seleccionado (móvil o email) para continuar con este proceso.

Accedemos a la dirección de correo alternativo, seguimos las instrucciones proporcionadas en el mensaje recibido y si lo hemos realizado correctamente veremos el mensaje "Correo verificado correctamente".

Es importante revisar no solo la bandeja de entrada, sino también la de correos no deseados.

Si transcurridos dos minutos no hemos seguido las instrucciones, quedarán deshabilitadas y deberemos iniciar el proceso.

La comunicación entre EMPieza y Portal Educativo es bidireccional: en ambos sitios se mostrará la misma dirección de correo alternativo. Los cambios realizados en un sitio se mostrarán en el otro. 

Es importante tener en cuenta las condiciones de uso de cuentas alternativas según el tipo de cuenta (institucional, "Profesor" o "PAS").

Desactivar 2FA

Existen tres procedimientos para desactivar el doble factor de autenticación:

1. De forma autónoma, accediendo a la opción “Mis datos” en EMPieza.
2. Si no tenemos acceso a la cuenta alternativa, debemos solicitar la desactivación al coordinador TIC o al director de nuestro centro.
3. Si no estamos asignados a ningún centro y no tenemos acceso a nuestra cuenta alternativa, podremos solicitar la desactivación al CAU de EducaMadrid.

Desde "Mis datos" de EMPieza

Para desactivar el doble factor de autenticación, abriremos el desplegable "Autenticación de doble factor (2FA)", seleccionaremos "Desactivada" (1) y pulsaremos en "Guardar" (2).

Se nos pedirá el código de verificación que obtendremos mediante la aplicación o mediante nuestro correo electrónico alternativo, en función del método de autenticación que tenemos configurado.

Es importante que, una vez desactivado el 2FA, eliminemos la entrada de autenticación en la aplicación móvil (si usábamos este método) con el fin de evitar posibles confusiones en el futuro.

Desde la cuenta TIC o institucional

En ocasiones excepcionales puede suceder que no podamos desactivar el doble factor de autenticación directamente desde la opción “Mis datos” de EMPieza. En este caso debemos dirigirnos al coordinador TIC o al director de nuestro centro y solicitar la desactivación.

Esto puede ocurrir, por ejemplo, cuando utilizamos el método de autenticación “Email” y hemos perdido el acceso a nuestro correo alternativo.

Tanto la cuenta TIC como la cuenta institucional del centro pueden desactivar el 2FA de cualquier cuenta vinculada a la organización del centro en el Portal Educativo.

Para desactivar el 2FA, la cuenta TIC o la institucional del centro deben acceder a EMPieza -> "Opciones TIC" (1) y pulsar en "Gestión de 2FA" (2):

Tras introducir el UID (sin @educa.madrid.org), pulsará en "Desactivar":

Será necesario aceptar un mensaje de confirmación para seguir adelante con la desactivación.

A partir de este momento, el usuario cuyo 2FA ha sido desactivado podrá acceder al Correo web, Cloud y EMPieza utilizando únicamente su contraseña de EducaMadrid, sin necesidad del segundo factor de autenticación. Posteriormente, siempre podrá volver a configurar el 2FA desde la opción “Mis datos” de EMPieza.

Solicitud de desactivación del 2FA

Excepcionalmente podremos solicitar al CAU de EducaMadrid la desactivación del doble factor de autenticación si se dan de manera simultánea las siguientes condiciones:

1. No podemos acceder a “Mis datos” de EMPieza para desactivar el doble factor porque hemos perdido el acceso a nuestra cuenta alternativa.
2. No estamos asignados a ningún centro y, por tanto, no podemos solicitar la gestión al coordinador TIC o al director.

En este caso, debemos presentar la solicitud debidamente justificada y firmada digitalmente a través de una de las siguientes vías:

1. Registrando una incidencia en el Portal CAU de EducaMadrid: https://portalcau.educa.madrid.org.
2. Si nuestra cuenta de EducaMadrid está bloqueada o no disponemos de la contraseña, enviando un correo electrónico al buzón del CAU (cau@educa.madrid.org) desde una cuenta alternativa (Gmail, Outlook, etc.).