Una aplicación de autenticación compartida para tu equipo

Una aplicación de autenticación normal vive en un teléfono. Guarda los secretos de tus cuentas, los convierte sin conexión en códigos de seis dígitos y se los muestra a quien tenga el aparato en la mano. Ese diseño es deliberado, y para una sola persona es el correcto.

Un equipo no es una sola persona. En cuanto dos personas necesitan el código de la misma cuenta, una aplicación construida en torno a un único dispositivo deja de ser una solución y pasa a ser aquello que todo el mundo esquiva.

Qué es una aplicación de autenticación compartida

El mismo trabajo, hecho para más de una persona. Los secretos viven en una bóveda en lugar de en un dispositivo, allí se generan los códigos, y quien los necesita lee el código actual sin llegar a ver nunca lo que lo produjo.

Todo lo demás se deriva de esa separación. El secreto es la credencial permanente y no se revoca; el código vale treinta segundos y un uso. Compartir lo segundo cuesta poco. Compartir lo primero es para siempre.

Por qué una aplicación de autenticación normal se rompe en equipo

Nada en TOTP impide que dos dispositivos produzcan el mismo código, y justo por eso los equipos improvisan. En la improvisación es donde se tuerce.

• El código QR circula. En cuanto alguien lo escanea, tiene el secreto de forma permanente. Salir de la empresa no lo devuelve, y la cuenta no guarda ninguna constancia de que se hiciera la copia.
• Un teléfono se convierte en cuello de botella. Quien configuró la cuenta queda de guardia sobre ella, vacaciones incluidas, y su marcha se convierte en una operación de recuperación.
• Los códigos viajan por el chat. Acaban en Slack, en WhatsApp, en una nota compartida, y siguen ahí mucho después de caducar, junto al nombre de la cuenta que explica para qué servían.
• No queda registro. Cuando algo va mal en la cuenta, no hay forma de responder quién leyó el código, ni cuándo.

Compartir el código, no el secreto

Share Auth guarda cada secreto TOTP cifrado y genera los códigos por su cuenta. Un miembro abre la bóveda, ve el código actual de una cuenta y lo copia. El secreto no se muestra, no se envía a su navegador y no se puede exportar como código QR.

Como nadie tiene una copia, retirar un acceso retira el acceso de verdad. Esa es la única garantía que un código QR escaneado nunca podrá darte.

Lo que gana el equipo

• Roles. Decide quién solo lee códigos, quién añade cuentas y quién administra el equipo. Un miembro nuevo empieza con las cuentas que necesita, no con todas.
• Un registro de accesos. Cada lectura de un código queda anotada con su autor y su hora, de modo que un incidente en una cuenta tiene respuesta en lugar de un encogimiento de hombros.
• Una bóveda por equipo. Las cuentas se agrupan donde ya trabaja la gente que las usa, y no en una aplicación personal a la que hay que preguntar.
• Las mismas cuentas de antes. TOTP es un estándar. Todo lo que se configura en Google Authenticator o Microsoft Authenticator entra aquí desde el mismo código QR o la misma clave.

Qué sustituye

La captura de pantalla en el canal del equipo. El compañero al que se escribe a las once de la noche por seis dígitos. La entrada del gestor de contraseñas compartido donde alguien pegó el secreto en un campo de notas, que es el problema del código QR con mejor traje. La hoja de cálculo que nadie reconoce.

Nada de eso es descuido. Es lo que queda cuando la herramienta supone una persona y el trabajo implica a cuatro.

Para empezar

Añade una cuenta como la añadirías a cualquier autenticador: escanea el código QR que muestra el servicio, o pega la clave de configuración. Invita a quien la necesite, dale un rol, y a partir de ese momento lee códigos.

Las cuentas ya configuradas en un teléfono siguen funcionando. Traerlas aquí supone volver a darlas de alta desde el proveedor, que es además el momento de restablecer aquellas cuyo secreto ha circulado.