Requerir autenticación de dos factores para los usuarios de Nextcloud

Para implementar la autenticación de dos factores (2FA) en Nextcloud, primero habilite al menos un proveedor de 2FA y, a continuación, active la opción de aplicación en Configuración de administración → Seguridad o utilice el occ twofactorauth:enforcecomando correspondiente. Un proveedor es el método que proporciona la segunda prueba de identidad, como un código de un solo uso de una aplicación de autenticación. La activación de la 2FA la hace obligatoria para el ámbito que seleccione; la simple instalación de un proveedor no la hace obligatoria. Estos pasos se basan en el Manual de administración de Nextcloud 35.

Conozca qué cambios en la aplicación de la ley

Nextcloud separa la disponibilidad del proveedor del requisito de usar la autenticación de dos factores (2FA). Los administradores habilitan primero un proveedor; luego, el usuario activa un método en su cuenta, o bien, un administrador impone la 2FA, por lo que los usuarios deben completar la configuración. El proveedor TOTP integrado admite códigos temporales generados por una aplicación de autenticación compatible. En Nextcloud 35, está instalado pero deshabilitado por defecto. El proveedor de códigos de respaldo siempre está habilitado y proporciona a los usuarios códigos de recuperación de un solo uso.

Antes de habilitar un requisito para un grupo grande, decida si se aplica a todas las cuentas o solo a un grupo piloto. Identifique también las cuentas de administrador de servicio, integración y emergencia. Una regla general puede interrumpir el acceso a los usuarios que aún no se han registrado o que no pueden acceder a su factor. La guía oficial de Nextcloud describe la selección y exclusión de grupos; la pertenencia a un grupo seleccionado tiene prioridad si un usuario también pertenece a un grupo excluido. Revise la pertenencia antes de aplicar una política.

Preparar un plan de recuperación y un proveedor de servicios

1. Inicia sesión como administrador de Nextcloud y abre Aplicaciones . Habilita el proveedor TOTP de dos factores si planeas usar códigos de autenticación. La disposición exacta del menú puede variar ligeramente según las versiones de servidor y los temas compatibles.
2. Mantén disponible el proveedor de códigos de respaldo. Solicita a un usuario piloto que acceda a la configuración personal, configure un segundo factor y genere códigos de respaldo. El manual de usuario de Nextcloud recomienda almacenar los códigos de un solo uso en un lugar seguro y separado del dispositivo de autenticación.
3. Prueba el inicio de sesión de ese usuario en una sesión de navegador independiente: cierra sesión, vuelve a iniciarla y verifica que la solicitud de autenticación de dos factores acepte un código válido. Si tus usuarios utilizan clientes de escritorio o móviles, revisa también su proceso de inicio de sesión. Nextcloud indica que los clientes que no admiten la autenticación de dos factores podrían necesitar contraseñas específicas para cada dispositivo.

No desactive ni desinstale un proveedor que los usuarios ya hayan registrado sin planificar la migración. El manual del administrador advierte que Nextcloud conserva las asociaciones con los proveedores; al eliminar la aplicación, los usuarios podrían ver una advertencia de factor de conexión no disponible al iniciar sesión. Si se elimina un proveedor de forma permanente, consulte el procedimiento de limpieza documentado y tenga en cuenta que esta acción es irreversible.

Implementar la autenticación de dos factores (2FA) en la interfaz de administrador.

1. Abra la configuración de administración → Seguridad .
2. Encuentra los controles para la aplicación de la autenticación de dos factores. Elige si deseas aplicar la autenticación de dos factores en todo el sistema, selecciona los grupos que deben usarla y agrega exclusiones solo donde tu política lo requiera.
3. Guarde o aplique la configuración si la interfaz presenta un control de guardado, luego pruebe una cuenta normal dentro del ámbito aplicado y una cuenta fuera de dicho ámbito.

Si no se selecciona ningún grupo, Nextcloud aplica la autenticación de dos factores (2FA) a todos los usuarios, excepto a los miembros de los grupos excluidos. Si se seleccionan grupos, se aplica la 2FA a los miembros de dichos grupos. Si un usuario pertenece tanto a un grupo seleccionado como a uno excluido, prevalece el grupo seleccionado, por lo que el requisito se mantiene. Estas reglas hacen que sea importante verificar las membresías de grupos anidados o sincronizados antes de habilitar la aplicación de la autenticación de dos factores.

Utilice occ cuando necesite una política repetible.

occes la herramienta de administración de línea de comandos de Nextcloud. Ejecute los comandos desde el directorio de instalación de Nextcloud como el usuario del servidor web; el usuario y la ruta pueden variar según el método de instalación. Los ejemplos a continuación utilizan la cuenta documentada de estilo Debian o Ubuntu www-data.

# Enforce 2FA for every user
sudo -E -u www-data php occ twofactorauth:enforce --on

# Enforce for selected groups, with a service-account exclusion
sudo -E -u www-data php occ twofactorauth:enforce --on \
  --group=staff --group=admins --exclude=service-accounts

# Check a user's 2FA state
sudo -E -u www-data php occ twofactorauth:state alex

Reemplace los ID de grupo y el ID de usuario con valores que existan en su servidor. La política de ejemplo aplica la autenticación de dos factores (2FA) para los miembros de staffy admins; no es una recomendación universal excluir las cuentas de servicio. Excluya una cuenta solo después de decidir cómo se autentica y qué controles compensatorios la protegen. Nextcloud documenta --offcómo deshabilitar la aplicación, pero utilice esto como una reversión planificada en lugar de un sustituto de las pruebas:

sudo -E -u www-data php occ twofactorauth:enforce --off

Consulte la referencia oficial de comandos de usuario y grupo de Nextcloud 35 para conocer la sintaxis actual. Las instalaciones en contenedores, snaps y otras pueden requerir un prefijo de comando o un contexto de ejecución diferente; siga las instrucciones de su implementación en lugar de copiar el ejemplo literalmente.

Verificar el despliegue y evitar bloqueos.

Compruebe el estado de aplicación para usuarios representativos con occ twofactorauth:state <uid>. A continuación, pruebe un inicio de sesión normal en el navegador para un usuario con restricciones y confirme que Nextcloud requiere un factor configurado. Verifique a un usuario excluido solo si la excepción es intencional. Mantenga los códigos de recuperación protegidos y asegúrese de que los administradores conozcan la ruta de recuperación documentada antes de ampliar la política.

Si un usuario pierde su factor de autenticación, Nextcloud proporciona un comando administrativo específico del proveedor para desactivar la autenticación de dos factores (2FA) para ese usuario, siempre que el proveedor lo admita sudo -E -u www-data php occ twofactorauth:disable <uid> <provider_id>. Esta es una acción de recuperación, no una forma de debilitar la aplicación de la autenticación para todos. El manual oficial también describe una aplicación independiente de soporte administrativo para la autenticación de dos factores que puede generar un código de inicio de sesión único en situaciones compatibles. Confirme el método adecuado para su versión instalada y su proveedor antes de utilizarlo.

Para obtener información detallada, consulte la guía del administrador de Nextcloud 35 sobre autenticación de dos factores y la guía del usuario de Nextcloud 35 sobre códigos de inscripción y copia de seguridad . La disponibilidad del proveedor y las etiquetas exactas de la interfaz pueden depender de su versión de Nextcloud y de las aplicaciones habilitadas, por lo que le recomendamos confirmarlas en su instancia antes de implementar la autenticación de dos factores para todos los usuarios.