Políticas de contraseña

La autenticación es el primer punto de defensa de la iglesia. Ministrium aplica políticas de contraseña y controles de sesión. La autenticación multifactor (MFA / TOTP) no está disponible en la aplicación en este momento.

Autenticación multifactor (MFA)

Próximamente. Cuando esté disponible, se documentará aquí. No hay fecha comprometida.

Política de contraseñas

Toda contraseña en Ministrium debe cumplir:

• Mínimo 12 caracteres.
• Al menos una letra mayúscula, una minúscula, un número y un símbolo.
• No estar en la lista de contraseñas comprometidas (validamos contra el dataset público de Have I Been Pwned cuando se crea o cambia la contraseña).
• No reutilizar las últimas 5 contraseñas del usuario.

No exigimos rotación periódica forzada. Las pautas modernas (NIST SP 800-63B) muestran que la rotación obligatoria empuja a los usuarios a contraseñas predecibles. En cambio:

• Forzamos cambio inmediato si detectamos una contraseña en una brecha pública.
• Forzamos cambio si se detecta actividad sospechosa en la cuenta.

Políticas de sesión

• Tokens de acceso de corta duración (15 minutos), renovados automáticamente con refresh tokens.
• Refresh tokens revocables: cerrar sesión los invalida inmediatamente.
• Cierre automático de sesión por inactividad después de 8 horas en kioskos, 24 horas en escritorio.
• Detección de sesiones concurrentes sospechosas (cambio de IP geográfico o de país); en ese caso forzamos re-autenticación.
• Cambio de contraseña revoca todas las sesiones activas del usuario.

Bloqueo por intentos fallidos

• Después de 5 intentos fallidos consecutivos, la cuenta queda bloqueada por 15 minutos.
• Después de 15 intentos fallidos en una hora desde diferentes IPs, se aplica un bloqueo extendido de 24 horas y se notifica al admin.
• El admin puede desbloquear manualmente desde la administración de usuarios de la iglesia.

Detección de actividad sospechosa

Ministrium monitorea automáticamente:

• Logins desde países o regiones nuevos para el usuario.
• Logins múltiples en muy poco tiempo desde IPs distintas.
• Patrones de acceso a datos inusuales para el rol.

Cuando se detecta actividad sospechosa:

• Se notifica al usuario por correo.
• Se notifica al admin de la iglesia.
• Se fuerza re-autenticación.

Próximos pasos

• Cifrado — cómo se protegen las contraseñas y los tokens.
• Auditoría y logs — qué queda registrado de cada login.
• Roles y permisos — qué puede hacer cada rol después de autenticarse.