Activación de dispositivos para organizaciones de Salesforce

Descripción general

Para inicios de sesión en la interfaz de usuario en organizaciones de producción y sandbox activas, se requiere la activación de dispositivos si Salesforce no puede Trust el intento de inicio de sesión utilizando uno de estos métodos.

Nota No se requiere la activación de dispositivos para el inicio de sesión de API.

Nota Para facilitar a los representantes del Servicio de atención al cliente de Salesforce la tarea de solucionar problemas, puede activar el permiso Omitir activación de dispositivo en Inicio de sesión en la cuenta de un usuario. La activación de este permiso solo permite a un representante del Servicio de atención al cliente omitir la activación del dispositivo al iniciar sesión en la cuenta. Los usuarios con el permiso aún tienen que verificar su identidad cuando inician sesión desde un navegador, un dispositivo o una dirección IP no reconocidos.

Reconocimiento de navegador o dispositivo

Para determinar si se reconoce el navegador o el dispositivo de un usuario, Salesforce utiliza la cookie de plataforma sfdc_lv2. Salesforce crea esta cookie la primera vez que un usuario completa la activación del dispositivo, siempre que la casilla de verificación "No vuelva a preguntar" esté seleccionada. Esta casilla de verificación se selecciona de forma predeterminada. Esta es la casilla de verificación en la página donde los usuarios verifican su identidad por email. Para otros métodos de verificación, esta página tiene un aspecto diferente, pero aún incluye esta casilla de verificación.

Intervalos de direcciones IP de inicio de sesión de perfil

Los intervalos de direcciones IP de inicio de sesión de perfil controlan si un usuario puede iniciar sesión. Si un usuario intenta iniciar sesión desde una dirección IP fuera de su intervalo de inicio de sesión de perfil, Salesforce bloquea el inicio de sesión, independientemente de cualquier otra configuración. Sin embargo, si sus intervalos de IP son demasiado amplios, los usuarios pueden seguir teniendo problemas para la activación de dispositivos si están dentro de su intervalo de perfil. El límite de intervalo de direcciones IP se aplica tanto a intervalos de direcciones IP de inicio de sesión de perfil como a intervalos de direcciones IP de confianza de toda la organización. Por ejemplo, si los intervalos de IP de inicio de sesión de perfil del usuario están por debajo del límite, pero los intervalos de IP de confianza de toda su organización superan el límite, se puede requerir a los usuarios que completen la activación del dispositivo. A continuación se incluye una descripción general del comportamiento de inicio de sesión para organizaciones de producción y sandbox activas.

A continuación le mostramos cómo evalúa Salesforce el inicio de sesión cuando se configuran los intervalos de direcciones IP de inicio de sesión de perfil.

1. ¿Está la dirección IP del usuario fuera del intervalo para sus intervalos de IP de inicio de sesión de perfil?
   • Sí: el inicio de sesión siempre está bloqueado por completo, independientemente de cualquier otra condición.
   • No: vaya al paso 2.
2. ¿Utiliza el inicio de sesión un método de autenticación sólido: MFA para el inicio de sesión de nombre de usuario-contraseña o un método de autenticación aceptado para SSO?
   • Sí: se omite la activación del dispositivo.
   • No: vaya al paso 3.
3. ¿Los intervalos de direcciones IP de inicio de sesión de perfil o los intervalos de direcciones IP de confianza de toda su organización (si están configurados) son demasiado anchos?
   • Sí: vaya al paso 4.
   • No: los usuarios pueden iniciar sesión desde su intervalo de direcciones IP de inicio de sesión de perfil sin activación de dispositivo. Como se mencionó en el paso 1, los inicios de sesión desde fuera del intervalo se bloquean completamente.
4. ¿Reconoce Salesforce el navegador o el dispositivo según la cookie de sfdc_lv2?
   • Sí: el dispositivo ya está activado. Los usuarios pueden iniciar sesión sin completar la verificación de identidad.
   • No: se requiere activación de dispositivo. Si los usuarios dejan la casilla de verificación “No vuelva a preguntar” seleccionada, no se les impugnarán los inicios de sesión posteriores hasta que caduque la cookie.

Intervalos de direcciones IP de confianza de toda la organización

Los intervalos de direcciones IP de confianza de toda la organización son menos restrictivos que los intervalos de direcciones IP de inicio de sesión de perfil. Los usuarios pueden seguir iniciando sesión si están fuera del intervalo de direcciones IP de toda la organización. Sin embargo, si los intervalos de direcciones IP son demasiado amplios, los usuarios pueden seguir teniendo problemas para la activación de dispositivos incluso si su dirección IP es de confianza. Este es el funcionamiento de los intervalos de IP de toda la organización, suponiendo que el perfil del usuario no tiene intervalos de IP de inicio de sesión.

Este es el proceso que Salesforce utiliza para evaluar el inicio de sesión cuando los intervalos de toda la organización, pero no los intervalos de direcciones IP de inicio de sesión de perfil, están configurados.

1. ¿Utiliza el inicio de sesión un método de autenticación sólido: MFA para el inicio de sesión de nombre de usuario-contraseña o un método de autenticación aceptado para SSO?
   • Sí: se omite la activación del dispositivo.
   • No: vaya al paso 2.
2. ¿Son los intervalos de direcciones IP de confianza de toda su organización demasiado anchos?
   • Sí: vaya al paso 3.
   • No: vaya al paso 4
3. (Si los intervalos de direcciones IP son demasiado amplios) ¿Reconoce Salesforce el navegador o el dispositivo basándose en la cookie de sfdc_lv2?
   • Sí: el dispositivo ya está activado. Los usuarios pueden iniciar sesión sin completar la verificación de identidad.
   • No: se requiere activación de dispositivo, incluso si la dirección IP del usuario está dentro del intervalo de confianza de la organización. Si los usuarios dejan la casilla de verificación “No vuelva a preguntar” seleccionada, no se les impugnarán los inicios de sesión posteriores hasta que caduque la cookie.
4. (Si los intervalos de IP no superan el límite) ¿Está el usuario dentro de los intervalos de IP de confianza de la organización?
   • Sí: se omite la activación del dispositivo.
   • No: se requiere activación de dispositivo si el usuario está fuera del intervalo de la organización, incluso si Salesforce reconoce el navegador o el dispositivo.

Métodos de autenticación sólidos para el inicio de sesión único

La activación de dispositivos se omite para SSO si el inicio de sesión utiliza un método de autenticación sólido. Para una autenticación sólida, tiene dos opciones.

• Utilice el servicio Salesforce MFA.
• Trabaje con su proveedor de identidad para utilizar un método de autenticación que cumpla los estándares de seguridad de Salesforce. Salesforce acepta un intervalo de valores Referencia de clase de contexto de autenticación (ACR) y Referencia de método de autenticación (AMR) de su proveedor de identidad.

Si elige la segunda opción, así es como Salesforce comprueba el método de autenticación durante el inicio de sesión dependiendo de su configuración de SSO. En todos los casos, si su proveedor de identidad envía al menos un método de autenticación sólido, se omite la activación del dispositivo. Por ejemplo, si su proveedor de identidad envía dos métodos de autenticación (un método sólido y un método débil), los usuarios pueden omitir la activación del dispositivo.

Esta es una lista de valores de ACR y AMR aceptados. Salesforce acepta estos valores para OpenID Connect y SAML.

Diferencias de comportamiento para organizaciones sin ingresos

En organizaciones sin ingresos, como organizaciones de prueba, se requiere la activación de dispositivos para un navegador o dispositivo no reconocido, incluso si la dirección IP del usuario está configurada como de confianza en los parámetros de toda la organización o en el perfil del usuario. Este requisito se aplica incluso para intervalos de IP estrechos.

Métodos de verificación

Salesforce utiliza el método de verificación de identidad de mayor prioridad disponible. Este es el orden que Salesforce sigue para los métodos de verificación:

1. Autenticador integrado registrado con la cuenta del usuario, como Touch ID o Windows Hello
2. Llave de seguridad U2F registrada con la cuenta del usuario
3. Notificación de envío o verificación automatizada basada en la ubicación con la aplicación móvil Salesforce Authenticator conectada a la cuenta del usuario
4. Contraseña simultánea basada en tiempo (TOTP) generada por una aplicación de autenticación móvil conectada a la cuenta del usuario, como Google Authenticator™
5. Contraseña simultánea (OTP) enviada a través de SMS al dispositivo móvil verificado del usuario
6. OTO enviada por email a la dirección de email registrada del usuario