2FA en back office: blinda accesos admin - Módulo PrestaShop

Proteja su Back-Office PrestaShop con la Autenticación de Dos Factores (2FA)

¿Sabía que una contraseña, por muy compleja que sea, ya no basta para garantizar la seguridad de su tienda online? Ante el auge del phishing y el robo de credenciales, el acceso a su administración es el objetivo preferido de los hackers. Nuestro módulo Two-Factor Authentication (2FA) añade un segundo paso a cada inicio de sesión: el código de 6 dígitos de una aplicación instalada en el smartphone del empleado. Con una licencia válida, una contraseña robada ya no basta: nada se ejecuta en su back-office sin ese código, ni páginas, ni formularios, ni llamadas AJAX. Sin una licencia válida, el módulo se desactiva: no se pide ningún código y las páginas del módulo se cierran, pero se conservan las inscripciones, los códigos de recuperación, los dispositivos de confianza, los ajustes y el registro.

Un Segundo Cerrojo contra el Robo de Contraseñas

La seguridad de su facturación y la protección de los datos de sus clientes son sus prioridades. El módulo se basa en el estándar abierto TOTP (Time-based One-Time Password, RFC 6238), compatible con las aplicaciones de autenticación habituales: el código cambia cada 30 segundos y solo funciona una vez. Así refuerza la protección de los datos personales de su tienda y la confianza dentro de su equipo de gestión; el registro de accesos le ayuda a documentar sus obligaciones RGPD.

Un Inicio de Sesión que No Ralentiza a su Equipo

Una autenticación de dos factores que se esquiva porque cansa no protege a nadie. El módulo reduce el número de códigos solicitados sin debilitar el control:

• Un código al mes y por navegador: el dispositivo de confianza se recuerda 30 días (ajustable), sea cual sea la dirección IP. Cada empleado ve sus dispositivos y quita los que ya no utiliza.
• Una sesión verificada de 12 horas: un solo código por jornada de trabajo, incluso en un equipo no recordado. La duración se ajusta de 1 a 168 horas y cerrar la sesión la termina.
• Una introducción rápida: el código se envía al sexto dígito y la casilla «Recordar este dispositivo» viene marcada por defecto (ajustable).

Funcionalidades Clave

• Compatibilidad universal: Google Authenticator, Microsoft Authenticator, Authy, 1Password, Bitwarden o cualquier aplicación TOTP. Activación mediante código QR, mediante una clave de configuración legible o con el botón «Abrir en la aplicación» en el teléfono.
• Gestión granular de perfiles: haga obligatoria la 2FA para los perfiles críticos (p. ej., SuperAdmin) y deje que los demás la activen ellos mismos desde «Mi autenticación en dos pasos».
• Periodo de gracia configurable: dé unos días (7 por defecto) a sus colaboradores para equiparse antes de hacer obligatoria la doble autenticación. El plazo corre desde el día en que el perfil pasa a ser obligatorio y un aviso indica los días restantes.
• Bloqueo tras códigos erróneos: tras 5 códigos incorrectos (ajustable), la cuenta se bloquea 15 minutos (ajustable). El bloqueo se guarda en la base de datos: volver a iniciar sesión no reinicia los intentos.
• Panel y registro: los superadministradores ven quién está protegido, quién está bloqueado y quién aún debe configurar la 2FA, y consultan el historial de verificaciones, fallos y cambios de seguridad.
• Restablecimiento de un compañero: ¿un empleado ha perdido su teléfono? Un superadministrador restablece o desbloquea su cuenta en unos clics, confirmando con su propio código.
• Control antes de cualquier acción: mientras el módulo está activo, se exige el código antes de que se ejecute una página, un formulario o una llamada AJAX. Cambiar de teléfono o crear nuevos códigos de recuperación también requiere un código válido.

Una licencia válida, una protección continua

La autenticación en dos pasos solo se aplica con una licencia válida. Si la licencia falta, ha caducado, está suspendida o revocada, o si el dominio o la firma no se reconocen, el módulo se desactiva en todas las tiendas: no se pide ningún código al iniciar sesión y las páginas del módulo se cierran. Se conservan las inscripciones, los códigos de recuperación, los dispositivos de confianza, los ajustes y el registro, y la tienda sigue disponible: solo la contraseña protege entonces el back office. El formulario de licencia sigue accesible desde Configurar.

Active o renueve la licencia desde esa página, eligiendo el contexto que abarca todas las tiendas en multitienda: el módulo se reactiva al instante y, desde la página siguiente, el back office vuelve a pedir el código. Una licencia pagada no se corta por error: el módulo mantiene la protección siete días después de la fecha de fin registrada, consulta el servidor como máximo una vez por hora y tolera siete días de respuestas temporales desde el primer fallo. Una respuesta definitiva (licencia caducada, suspendida o revocada, dominio o firma no reconocidos) se aplica de inmediato.

¿Por qué elegir esta solución para su tienda PrestaShop?

A diferencia de otras soluciones complejas, nuestro módulo se ha diseñado para comerciantes exigentes que no quieren sacrificar su tiempo. Ofrece un equilibrio entre alta seguridad y comodidad de uso.

• Tranquilidad: su catálogo, sus márgenes y sus ficheros de clientes están protegidos por un doble cerrojo digital.
• Siempre una puerta de emergencia: 10 códigos de recuperación de un solo uso por empleado, el restablecimiento por un superadministrador, el archivo DISABLE_2FA y el comando de consola wepresta:2fa:disable le evitan un bloqueo definitivo.
• Ligero: sin overrides, sin bibliotecas PHP de terceros, con secretos cifrados y autenticados y un archivo de menos de 250 KB.
• Una licencia válida, sin reinscripción: sin licencia, el módulo se desactiva y conserva inscripciones, códigos de recuperación y ajustes; al activar o renovar la licencia, la protección se reanuda sin volver a inscribir a los empleados.

Una Instalación Simple, Rápida y Eficaz

No hace falta ser un experto en ciberseguridad para proteger su negocio. La instalación se hace en pocos clics desde su gestor de módulos. Una vez activado, el módulo guía a cada empleado paso a paso en la configuración de su aplicación móvil: bastan dos minutos. Designe los perfiles obligatorios y su back-office PrestaShop disfruta de una protección de nivel profesional, lista para afrontar las amenazas de la web actual.

Compatibilidad

Compatible con PrestaShop 1.7.8, 8.0+ y 9.0+, con PHP 7.4 como mínimo (extensiones json, openssl y mbstring). PrestaShop 1.7.7 y las versiones anteriores no son compatibles. Un único archivo sirve para estas versiones. La interfaz está disponible en francés, inglés, español, italiano y polaco. En PrestaShop 1.7, la página de ajustes señala tres antiguos scripts independientes de PrestaShop (backup.php, pdf.php, get-file-admin.php) que hay que eliminar: responden a un empleado conectado sin pasar por el control del módulo.

El soporte se presta desde su área de cliente WePresta o por correo electrónico a mail@wepresta.shop, según la opción de soporte de su oferta. Leer la documentación completa