Saltar al contenido principal

​
Por qué añadir credenciales

Las credenciales ayudan a las evaluaciones a acceder a áreas autenticadas que no son visibles para el rastreo público. Las credenciales y las instrucciones de inicio de sesión se usan conjuntamente:
  • las credenciales indican qué introducir
  • las instrucciones de inicio de sesión indican dónde y cómo deben iniciar sesión los agentes

​
Tipos de credenciales

MindFort admite varios tipos de credenciales. Cada uno está pensado para un flujo de autenticación distinto que puede usar tu aplicación.

​
Application Login

Autenticación estándar con nombre de usuario y contraseña. Configuración:
  1. Abre Target Inventory y selecciona un objetivo.
  2. Haz clic en Add Credential y elige App Login.
  3. Introduce el nombre de usuario y la contraseña de la cuenta de prueba.
  4. Selecciona el rol adecuado y guarda.

​
Authenticator 2FA

Autenticación con nombre de usuario y contraseña y un segundo factor basado en TOTP. MindFort genera automáticamente códigos basados en el tiempo durante las evaluaciones usando el secreto que proporciones. El secreto TOTP es la cadena codificada en base32 que se muestra al configurar una aplicación de autenticación (por ejemplo, JBSWY3DPEHPK3PXP). Normalmente puedes encontrarlo durante el flujo de configuración del autenticador en el que se muestra un código QR. Busca una opción como “¿No puedes escanearlo?” o “Entrada manual” para ver el secreto en texto. Configuración:
  1. Abre Target Inventory y selecciona un objetivo.
  2. Haz clic en Add Credential y elige 2FA.
  3. Introduce el nombre de usuario, la contraseña y el secreto TOTP en base32.
  4. Selecciona el rol adecuado y guarda.

​
SMS MFA

Autenticación con nombre de usuario y contraseña en la que el segundo factor es un código de verificación SMS. MindFort aprovisiona un número de teléfono dedicado y lee los códigos entrantes durante las evaluaciones. Se aprovisiona automáticamente un número de teléfono al crear la credencial. Lo verás en la tabla de credenciales cuando finalice el aprovisionamiento. Registra este número como número de teléfono de MFA en la cuenta del objetivo. Configuración:
  1. Abre Target Inventory y selecciona un objetivo.
  2. Haz clic en Add Credential y elige SMS MFA.
  3. Introduce el nombre de usuario y la contraseña de la cuenta de prueba.
  4. Selecciona el país del número de teléfono aprovisionado.
  5. Guarda la credencial. Se aprovisionará un número de teléfono.
  6. Copia el número de teléfono aprovisionado de la tabla de credenciales y regístralo como número de MFA en la configuración de la cuenta de tu aplicación objetivo.
  7. (Opcional) Si la aplicación objetivo envía un código de verificación para confirmar el número de teléfono durante el registro, haz clic en el icono de mensaje en la columna Actions de la tabla de credenciales y pulsa Check for Code para obtenerlo. Introduce el código en la aplicación objetivo para completar el registro.

​
SMS Login

Autenticación solo con número de teléfono en la que se envía un código de un solo uso por SMS en lugar de usar una contraseña. MindFort aprovisiona un número de teléfono dedicado y lee los códigos entrantes durante las evaluaciones. No se necesita nombre de usuario ni contraseña. Se aprovisiona automáticamente un número de teléfono. Configuración:
  1. Abre Target Inventory y selecciona un objetivo.
  2. Haz clic en Add Credential y elige SMS Login.
  3. Selecciona el país del número de teléfono aprovisionado.
  4. Guarda la credencial. Se aprovisionará un número de teléfono.
  5. Copia el número de teléfono aprovisionado de la tabla de credenciales y regístralo como usuario en tu aplicación objetivo.
  6. (Opcional) Si la aplicación objetivo envía un código de verificación durante la creación de la cuenta, haz clic en el icono de mensaje en la columna Actions de la tabla de credenciales y pulsa Check for Code para obtenerlo. Introduce el código en la aplicación objetivo para completar el registro.

​
Email MFA

Autenticación con nombre de usuario y contraseña en la que el segundo factor se envía a una bandeja de entrada de correo electrónico dedicada. MindFort genera la dirección de correo electrónico durante la configuración de la credencial y la usa durante las evaluaciones. Configuración:
  1. Abre Target Inventory y selecciona un objetivo.
  2. Haz clic en Add Credential y elige Email MFA.
  3. Introduce el nombre de usuario y la contraseña de la cuenta de prueba.
  4. Genera la dirección de correo electrónico en el formulario de la credencial.
  5. Registra esa dirección de correo electrónico como correo de MFA en la cuenta del objetivo.
  6. Guarda la credencial.
Autenticación sin contraseña en la que la aplicación envía un enlace de inicio de sesión a una dirección de correo electrónico generada. No se requiere nombre de usuario ni contraseña. Configuración:
  1. Abre Target Inventory y selecciona un objetivo de tipo Web Application.
  2. Haz clic en Add Credential y elige Magic Link.
  3. Genera la dirección de correo electrónico.
  4. Registra esa dirección en la aplicación objetivo.
  5. Guarda la credencial.
  6. Añade instrucciones de inicio de sesión que expliquen dónde solicitar el enlace y qué página confirma un inicio de sesión correcto.

​
API Key

Las credenciales de clave de API están disponibles para objetivos de API. Úsalas cuando el objetivo autentique las solicitudes con un token bearer, un encabezado personalizado, un parámetro de consulta, un campo del cuerpo JSON o campos obligatorios adicionales. Los objetivos de API requieren contenido en API Structure antes de poder añadir credenciales de clave de API. Describe allí la ruta de validación, el método de solicitud, la estructura de la solicitud y los criterios de éxito. Configuración:
  1. Abre Target Inventory y selecciona un objetivo de API.
  2. Haz clic en Add Credential y elige API Key.
  3. Introduce la clave o el token.
  4. Selecciona dónde debe colocar MindFort la credencial: encabezado, token bearer, parámetro de consulta o campo del cuerpo JSON.
  5. Añade los campos estáticos adicionales que requiera la API.
  6. Guarda la credencial.

​
Flujos de redirección SSO

Para aplicaciones que se autentican mediante un flujo de redirección de un proveedor de identidad, crea una cuenta de prueba dedicada y documenta el flujo de redirección completo en las instrucciones de inicio de sesión. Incluye:
  • la URL de inicio de sesión de la aplicación
  • la opción de proveedor de identidad que se debe elegir
  • cualquier selector de tenant, espacio de trabajo u organización
  • la URL esperada tras el inicio de sesión
  • si la cuenta de prueba requiere MFA
Si el flujo SSO requiere un segundo factor por correo electrónico, teléfono o autenticador, configura el tipo de credencial correspondiente e incluye los pasos de SSO en las instrucciones de inicio de sesión.

​
Configuración de credenciales según el flujo de autenticación

​
Pautas para credenciales

  • Usa cuentas de prueba dedicadas; evita cuentas personales o de administración de producción.
  • Limita el acceso de la cuenta a lo que quieres que se pruebe.
  • Prefiere roles con privilegios mínimos que sigan permitiendo usar las funciones que quieres evaluar.
  • Crea credenciales independientes para roles sustancialmente distintos, como usuario y administrador.
  • Crea al menos dos credenciales almacenadas distintas cuando quieras usar el modo de credenciales duales de la evaluación para probar los límites del control de acceso.
  • Rota las credenciales con regularidad.
  • Para los tipos de credenciales SMS, contacta con el soporte si la opción no está disponible para tu organización.

​
Configuración relacionada

Después de añadir credenciales, añade instrucciones de inicio de sesión claras para ayudar a los agentes a recorrer el flujo de inicio de sesión de tu objetivo: Redactar instrucciones de inicio de sesión

​
Instrucciones de API específicas de la credencial

Usa Additional Auth Instructions en una credencial de API para los pasos que se aplican a esa cuenta, como intercambiar una clave por un token de sesión o seleccionar un tenant. MindFort combina estas instrucciones con la API Structure del objetivo al iniciar sesión y renovar el acceso durante las pruebas. El campo de la API REST es additional_auth_instructions. Acepta hasta 10 000 caracteres de texto sin formato. Omítelo en una actualización para conservar el valor existente; una entrada compuesta solo por espacios en blanco lo borra. Se rechazan las etiquetas HTML y los caracteres de control no admitidos. Las herramientas de credenciales de MCP no exponen actualmente este campo; usa el panel o la API REST para establecerlo.

​
Verificar credenciales

  1. Abre el objetivo en Target Inventory.
  2. Busca la credencial en Stored Credentials.
  3. Selecciona Verify y espera el resultado.
  4. Si la verificación falla, revisa el motivo indicado, actualiza la credencial o las instrucciones y vuelve a verificar.
Si la nueva prueba de un hallazgo falla porque una cuenta no es válida o no está disponible, puedes elegir credenciales sustitutas desde los detalles del hallazgo. Consulta recuperación de credenciales en nuevas pruebas. La verificación comprueba si MindFort puede autenticarse con la configuración actual. Una comprobación correcta refleja ese intento; no establece la cobertura de seguridad del objetivo. Mantén actualizadas las credenciales y las instrucciones antes de iniciar evaluaciones o nuevas pruebas.
Última modificación el 5 de noviembre de 2026