Caso de uso · equipos técnicos
La 2FA de las cuentas de infraestructura, para equipos técnicos
Cuenta raíz del cloud, registrador, DNS, organización de GitHub: pon los códigos 2FA de las cuentas críticas al alcance de la guardia, por la web, la API o un agente, con un registro de cada acceso.
Las cuentas más sensibles de un equipo técnico son también las que menos se usan: la cuenta raíz del proveedor cloud, el registrador, el DNS, el propietario de la organización de GitHub. Su 2FA suele configurarse una vez, en el teléfono de una sola persona, y se olvida hasta el incidente.
Lo que falla sin una bóveda compartida
- Un incidente a las 3 de la madrugada exige la cuenta raíz, y la semilla está en el teléfono de alguien que duerme.
- El dominio caduca, y la cuenta del registrador está protegida por el teléfono de un antiguo socio.
- La semilla se pegó en una wiki o en una variable de entorno «para salir del paso», y ya nadie sabe quién la copió.
Cómo lo resuelve Share Auth
La guardia tiene el código, no la semilla. Los miembros de guardia son lectores: obtienen el código actual sin poder copiar lo que lo genera. Las semillas siguen cifradas en la bóveda.
Cada acceso deja rastro. El registro de accesos dice quién obtuvo el código de la cuenta raíz, cuándo y desde qué dirección: con eso se puede reconstruir quién hizo qué durante un incidente.
Con la herramienta adecuada. El sitio para un acceso puntual, la API para un script, el conector MCP para un agente de IA, Slack o Discord para el canal de guardia, limitado por las restricciones por canal solo a las cuentas útiles.
Tokens que solo sirven para eso. Un token de API puede limitarse a la lectura de códigos, con una duración de 1 a 90 días, y revocarse en cualquier momento.
Para saber más
Preguntas frecuentes
Sí, por la API, con un token limitado a la lectura de códigos. No puede modificar nada, caduca al final de la duración elegida y cada código obtenido figura en el registro de accesos, a nombre de la persona a la que pertenece el token.
Lo menos posible. Pero el día en que hay que usarla, el equipo de guardia tiene que poder hacerlo sin buscar quién tiene el teléfono. Share Auth hace posible ese acceso y deja constancia de él, sin multiplicar las copias de la semilla.
El conector MCP les da el código de una cuenta, nunca su semilla. Mantén activada en tu cliente la confirmación humana para cada código solicitado.