Laboratorio de autenticación reforzada (step-up)
Decide en cada acción de la cuenta si permitir, pedir autenticación reforzada o denegar: la fricción justa en el momento justo.
Abrir la herramienta →La herramienta interactiva se abre en inglés.
Una buena autenticación no es un muro delante de cada acción: es la fricción justa en el momento justo. Trabajas una cola de unas 20 acciones de cuenta y decides en cada una: permitirla en silencio, pedir autenticación reforzada (un nuevo desafío) o denegarla y forzar una recuperación fuera de banda. Un beneficiario nuevo, un cambio del dispositivo MFA, del correo, de la contraseña o de la cuenta de cobro, una operación privilegiada, un dispositivo nuevo o un viaje imposible merecen un desafío. Un pago grande pero recurrente, un nuevo inicio de sesión inocuo y una transferencia verificada entre cuentas propias no; y un pago diminuto a un beneficiario recién creado sí. Hay trampas en los dos sentidos, como un «cambio de configuración» que solo afecta a las preferencias de marketing. En el nivel Elite hay además una categoría de denegación: cuando el viaje imposible, las ráfagas de MFA fallidas o el credential stuffing coinciden en una acción de alto impacto, la sesión probablemente la controla el atacante y no se puede confiar en un desafío de autoservicio. Se te evalúa por la calibración: desafiar de menos (el error de seguridad) cuesta más que desafiar de más (el error de fricción), y tras la evaluación cada acción explica por qué su decisión es la correcta. Es un laboratorio Pro: con una cuenta gratuita tienes 3 usos de herramientas Pro en total y después necesitas Pro.
- Lee el contexto de cada acción: importe, historial del beneficiario, dispositivo, ubicación o viaje, puntuación de riesgo, actividad reciente y lo que es normal para el usuario.
- Decide: permitir en silencio, pedir autenticación reforzada o denegar y enviar a recuperación fuera de banda.
- Desafía donde el riesgo justifica la fricción y no donde no lo hace.
- Revisa la calibración y la explicación de cada acción tras la evaluación.
Preguntas frecuentes
¿Qué es el laboratorio de autenticación reforzada?
Un ejercicio en el navegador sobre autenticación basada en riesgo (adaptativa). Trabajas una cola de acciones de cuenta (pagos, añadir un beneficiario, cambiar una configuración de seguridad, inicios de sesión, operaciones privilegiadas), cada una con su contexto: importe, historial del beneficiario, dispositivo, ubicación o viaje, puntuación de riesgo, actividad reciente y lo que es normal para el usuario. En cada una tomas la decisión de autorización: permitirla en silencio, pedir autenticación reforzada con un nuevo desafío (MFA o reautenticación) o denegarla y enviarla a una recuperación verificada fuera de banda.
¿Cuándo pedir autenticación reforzada y cuándo permitir en silencio?
Pide autenticación reforzada cuando un factor de riesgo supera un umbral: un beneficiario nuevo, un cambio en una configuración que sirve de ancla para tomar la cuenta (dispositivo MFA, correo de recuperación, contraseña, cuenta de cobro, límite de transferencia), una operación privilegiada, un dispositivo nuevo o no reconocido, un contexto anómalo (viaje imposible, una puntuación de riesgo elevada del modelo) o un pago muy fuera del patrón establecido del usuario. Permite en silencio cuando la acción es poco sensible o rutinaria para ese usuario: un pago recurrente que coincide con el patrón habitual, un nuevo inicio de sesión inocuo, una lectura o un cambio de preferencias que no afecta a la seguridad. La razón para no desafiarlo todo es real: los avisos innecesarios provocan fatiga de MFA y acostumbran a la gente a aceptar sin mirar el desafío que de verdad importa.
¿Cuándo no basta la autenticación reforzada y hay que denegar?
Cuando varias señales fuertes de toma de cuenta coinciden en una acción de alto impacto, la propia sesión probablemente la controla el atacante y un segundo factor enviado puede responderlo él (fatiga de MFA, SIM swapping). Por ejemplo: cambiar la cuenta de cobro durante un viaje imposible desde un dispositivo nuevo con una ráfaga de notificaciones MFA fallidas, o un restablecimiento de contraseña en mitad de una oleada de credential stuffing. Ahí un desafío de autoservicio se puede burlar, así que deniegas el flujo y exiges en su lugar una verificación de identidad fuera de banda.
¿Se conecta a un sistema de autenticación real o mueve dinero?
No. No se sube nada, no se toca ninguna cuenta y no se mueve dinero. Las acciones son instantáneas de decisión realistas, escritas a mano e incluidas en la página, evaluadas sin reloj y sin aleatoriedad, así que la cola es determinista. Funciona íntegramente en tu navegador: sin instalación y sin enviar nada a ninguna parte.
¿Para quién es?
Para ingenieros de IAM, fraude y seguridad de plataforma que diseñan políticas de autenticación adaptativa y SCA, analistas de riesgo y fraude que ajustan reglas de autenticación reforzada y cualquiera que prepare una entrevista de seguridad y quiera entender por qué una nómina recurrente de 45.000 dólares puede pasar sin fricción mientras que un pago de 4 dólares a un beneficiario recién creado desde un dispositivo nuevo debe desafiarse.
¿Es gratis?
No, es un laboratorio Pro. Con una cuenta gratuita tienes 3 usos de prueba de herramientas Pro en total; después necesitas Pro.