> ## Documentation Index > Fetch the complete documentation index at: https://docs.mindfort.ai/llms.txt > Use this file to discover all available pages before exploring further. # Autenticación y credenciales > Configura credenciales de contraseña, enlace mágico, 2FA, correo electrónico, SMS y API para que los agentes de MindFort ejecuten pruebas autenticadas. ## Por qué añadir credenciales Las credenciales ayudan a las evaluaciones a acceder a áreas autenticadas que no son visibles para el rastreo público. Las credenciales y las instrucciones de inicio de sesión se usan conjuntamente: * las credenciales indican qué introducir * las instrucciones de inicio de sesión indican dónde y cómo deben iniciar sesión los agentes ## Tipos de credenciales MindFort admite varios tipos de credenciales. Cada uno está pensado para un flujo de autenticación distinto que puede usar tu aplicación. | Tipo | Flujo de autenticación | | - | - | | **Application Login** | Nombre de usuario y contraseña | | **Authenticator 2FA** | Nombre de usuario, contraseña y código TOTP | | **Email MFA** | Nombre de usuario, contraseña y código de verificación por correo electrónico | | **Magic Link** | Enlace de inicio de sesión por correo electrónico sin contraseña | | **SMS MFA** | Nombre de usuario, contraseña y código SMS | | **SMS Login** | Solo número de teléfono y código SMS | | **API Key** | Credencial bearer, de encabezado, de parámetro de consulta o de cuerpo JSON para objetivos de API | ### Application Login Autenticación estándar con nombre de usuario y contraseña. | Campo | Obligatorio | | - | - | | Credential Name | Sí | | Username | Sí | | Password | Sí | | Role | Sí (predeterminado: user) | | Description | No | **Configuración:** 1. Abre **Target Inventory** y selecciona un objetivo. 2. Haz clic en **Add Credential** y elige **App Login**. 3. Introduce el nombre de usuario y la contraseña de la cuenta de prueba. 4. Selecciona el rol adecuado y guarda. ### Authenticator 2FA Autenticación con nombre de usuario y contraseña y un segundo factor basado en TOTP. MindFort genera automáticamente códigos basados en el tiempo durante las evaluaciones usando el secreto que proporciones. | Campo | Obligatorio | | - | - | | Credential Name | Sí | | Username | Sí | | Password | Sí | | TOTP Secret | Sí | | Role | Sí (predeterminado: user) | | Description | No | El secreto TOTP es la cadena codificada en base32 que se muestra al configurar una aplicación de autenticación (por ejemplo, `JBSWY3DPEHPK3PXP`). Normalmente puedes encontrarlo durante el flujo de configuración del autenticador en el que se muestra un código QR. Busca una opción como "¿No puedes escanearlo?" o "Entrada manual" para ver el secreto en texto. **Configuración:** 1. Abre **Target Inventory** y selecciona un objetivo. 2. Haz clic en **Add Credential** y elige **2FA**. 3. Introduce el nombre de usuario, la contraseña y el secreto TOTP en base32. 4. Selecciona el rol adecuado y guarda. ### SMS MFA Autenticación con nombre de usuario y contraseña en la que el segundo factor es un código de verificación SMS. MindFort aprovisiona un número de teléfono dedicado y lee los códigos entrantes durante las evaluaciones. | Campo | Obligatorio | | - | - | | Credential Name | Sí | | Username | Sí | | Password | Sí | | Country Code | Sí | | Role | Sí (predeterminado: user) | | Description | No | Se aprovisiona automáticamente un número de teléfono al crear la credencial. Lo verás en la tabla de credenciales cuando finalice el aprovisionamiento. Registra este número como número de teléfono de MFA en la cuenta del objetivo. **Configuración:** 1. Abre **Target Inventory** y selecciona un objetivo. 2. Haz clic en **Add Credential** y elige **SMS MFA**. 3. Introduce el nombre de usuario y la contraseña de la cuenta de prueba. 4. Selecciona el país del número de teléfono aprovisionado. 5. Guarda la credencial. Se aprovisionará un número de teléfono. 6. Copia el número de teléfono aprovisionado de la tabla de credenciales y regístralo como número de MFA en la configuración de la cuenta de tu aplicación objetivo. 7. *(Opcional)* Si la aplicación objetivo envía un código de verificación para confirmar el número de teléfono durante el registro, haz clic en el icono de mensaje en la columna Actions de la tabla de credenciales y pulsa **Check for Code** para obtenerlo. Introduce el código en la aplicación objetivo para completar el registro. ### SMS Login Autenticación solo con número de teléfono en la que se envía un código de un solo uso por SMS en lugar de usar una contraseña. MindFort aprovisiona un número de teléfono dedicado y lee los códigos entrantes durante las evaluaciones. | Campo | Obligatorio | | - | - | | Credential Name | Sí | | Country Code | Sí | | Role | Sí (predeterminado: user) | | Description | No | No se necesita nombre de usuario ni contraseña. Se aprovisiona automáticamente un número de teléfono. **Configuración:** 1. Abre **Target Inventory** y selecciona un objetivo. 2. Haz clic en **Add Credential** y elige **SMS Login**. 3. Selecciona el país del número de teléfono aprovisionado. 4. Guarda la credencial. Se aprovisionará un número de teléfono. 5. Copia el número de teléfono aprovisionado de la tabla de credenciales y regístralo como usuario en tu aplicación objetivo. 6. *(Opcional)* Si la aplicación objetivo envía un código de verificación durante la creación de la cuenta, haz clic en el icono de mensaje en la columna Actions de la tabla de credenciales y pulsa **Check for Code** para obtenerlo. Introduce el código en la aplicación objetivo para completar el registro. ### Email MFA Autenticación con nombre de usuario y contraseña en la que el segundo factor se envía a una bandeja de entrada de correo electrónico dedicada. MindFort genera la dirección de correo electrónico durante la configuración de la credencial y la usa durante las evaluaciones. | Campo | Obligatorio | | - | - | | Credential Name | Sí | | Username | Sí | | Password | Sí | | Generated Email | Sí | | Role | Sí (predeterminado: user) | | Description | No | **Configuración:** 1. Abre **Target Inventory** y selecciona un objetivo. 2. Haz clic en **Add Credential** y elige **Email MFA**. 3. Introduce el nombre de usuario y la contraseña de la cuenta de prueba. 4. Genera la dirección de correo electrónico en el formulario de la credencial. 5. Registra esa dirección de correo electrónico como correo de MFA en la cuenta del objetivo. 6. Guarda la credencial. ### Magic Link Autenticación sin contraseña en la que la aplicación envía un enlace de inicio de sesión a una dirección de correo electrónico generada. No se requiere nombre de usuario ni contraseña. **Configuración:** 1. Abre **Target Inventory** y selecciona un objetivo de tipo Web Application. 2. Haz clic en **Add Credential** y elige **Magic Link**. 3. Genera la dirección de correo electrónico. 4. Registra esa dirección en la aplicación objetivo. 5. Guarda la credencial. 6. Añade instrucciones de inicio de sesión que expliquen dónde solicitar el enlace y qué página confirma un inicio de sesión correcto. ### API Key Las credenciales de clave de API están disponibles para objetivos de API. Úsalas cuando el objetivo autentique las solicitudes con un token bearer, un encabezado personalizado, un parámetro de consulta, un campo del cuerpo JSON o campos obligatorios adicionales. Los objetivos de API requieren contenido en **API Structure** antes de poder añadir credenciales de clave de API. Describe allí la ruta de validación, el método de solicitud, la estructura de la solicitud y los criterios de éxito. | Campo | Obligatorio | | - | - | | Credential Name | Sí | | API Key or Token | Sí | | Placement | Sí | | Additional Fields | No | | Role | Sí (predeterminado: user) | | Description | No | **Configuración:** 1. Abre **Target Inventory** y selecciona un objetivo de API. 2. Haz clic en **Add Credential** y elige **API Key**. 3. Introduce la clave o el token. 4. Selecciona dónde debe colocar MindFort la credencial: encabezado, token bearer, parámetro de consulta o campo del cuerpo JSON. 5. Añade los campos estáticos adicionales que requiera la API. 6. Guarda la credencial. ### Flujos de redirección SSO Para aplicaciones que se autentican mediante un flujo de redirección de un proveedor de identidad, crea una cuenta de prueba dedicada y documenta el flujo de redirección completo en las instrucciones de inicio de sesión. Incluye: * la URL de inicio de sesión de la aplicación * la opción de proveedor de identidad que se debe elegir * cualquier selector de tenant, espacio de trabajo u organización * la URL esperada tras el inicio de sesión * si la cuenta de prueba requiere MFA Si el flujo SSO requiere un segundo factor por correo electrónico, teléfono o autenticador, configura el tipo de credencial correspondiente e incluye los pasos de SSO en las instrucciones de inicio de sesión. ## Configuración de credenciales según el flujo de autenticación | Flujo | Configuración recomendada | | - | - | | Nombre de usuario y contraseña | Credencial Application Login | | MFA con aplicación de autenticación | Credencial Authenticator 2FA con secreto TOTP | | Código de verificación por correo electrónico | Credencial Email MFA con dirección de correo electrónico generada | | Enlace de correo electrónico sin contraseña | Credencial Magic Link con dirección de correo electrónico generada | | Segundo factor por SMS | Credencial SMS MFA con número de teléfono aprovisionado | | Inicio de sesión solo por SMS | Credencial SMS Login | | Clave de API o token | Credencial API Key en un objetivo de API | | Flujo de redirección SSO | Credencial de prueba almacenada más instrucciones de inicio de sesión explícitas | | Inicio de sesión con número de teléfono | Credencial SMS Login más instrucciones de inicio de sesión explícitas | ## Pautas para credenciales * Usa cuentas de prueba dedicadas; evita cuentas personales o de administración de producción. * Limita el acceso de la cuenta a lo que quieres que se pruebe. * Prefiere roles con privilegios mínimos que sigan permitiendo usar las funciones que quieres evaluar. * Crea credenciales independientes para roles sustancialmente distintos, como usuario y administrador. * Crea al menos dos credenciales almacenadas distintas cuando quieras usar el modo de credenciales duales de la evaluación para probar los límites del control de acceso. * Rota las credenciales con regularidad. * Para los tipos de credenciales SMS, contacta con el soporte si la opción no está disponible para tu organización. ## Configuración relacionada Después de añadir credenciales, añade instrucciones de inicio de sesión claras para ayudar a los agentes a recorrer el flujo de inicio de sesión de tu objetivo: [Redactar instrucciones de inicio de sesión](https://docs.mindfort.ai/es/guides/login-instructions.md) ## Instrucciones de API específicas de la credencial Usa **Additional Auth Instructions** en una credencial de API para los pasos que se aplican a esa cuenta, como intercambiar una clave por un token de sesión o seleccionar un tenant. MindFort combina estas instrucciones con la **API Structure** del objetivo al iniciar sesión y renovar el acceso durante las pruebas. El campo de la API REST es `additional_auth_instructions`. Acepta hasta 10 000 caracteres de texto sin formato. Omítelo en una actualización para conservar el valor existente; una entrada compuesta solo por espacios en blanco lo borra. Se rechazan las etiquetas HTML y los caracteres de control no admitidos. Las herramientas de credenciales de MCP no exponen actualmente este campo; usa el panel o la API REST para establecerlo. ## Verificar credenciales 1. Abre el objetivo en **Target Inventory**. 2. Busca la credencial en **Stored Credentials**. 3. Selecciona **Verify** y espera el resultado. 4. Si la verificación falla, revisa el motivo indicado, actualiza la credencial o las instrucciones y vuelve a verificar. Si la nueva prueba de un hallazgo falla porque una cuenta no es válida o no está disponible, puedes elegir credenciales sustitutas desde los detalles del hallazgo. Consulta [recuperación de credenciales en nuevas pruebas](https://docs.mindfort.ai/es/guides/retesting.md#recuperarse-de-un-fallo-de-autenticación). La verificación comprueba si MindFort puede autenticarse con la configuración actual. Una comprobación correcta refleja ese intento; no establece la cobertura de seguridad del objetivo. Mantén actualizadas las credenciales y las instrucciones antes de iniciar evaluaciones o [nuevas pruebas](https://docs.mindfort.ai/es/guides/retesting.md). This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.