Quien inicia sesión en tu LMS una vez al año para una actualización de cumplimiento nunca va a recordar su contraseña. Así que hace clic en «he olvidado mi contraseña», espera un correo, inventa una contraseña nueva que volverá a olvidar o se rinde y abre una incidencia. El inicio de sesión sin contraseña elimina la contraseña por completo. Esta guía explica cómo funciona, dónde están realmente los compromisos de seguridad y cuándo merece la pena agregar el inicio de sesión único SAML por encima.
Por qué las contraseñas fallan con los alumnos ocasionales
Las contraseñas funcionan mejor en los sistemas que la gente usa a diario. Una plataforma de formación suele ser lo contrario: las personas inician sesión cuando se las inscribe, cuando llega un recordatorio o cuando un certificado está a punto de vencer.
Eso crea una serie previsible de problemas:
- Contraseñas olvidadas. Con meses entre un inicio de sesión y otro, muchos alumnos empiezan con un restablecimiento, a menudo el mismo día en que vence la formación.
- Reutilización. Quienes no pueden recordar otra contraseña más reutilizan una de otro sitio. Si ese otro sitio sufre una brecha, el mismo correo electrónico y la misma contraseña pueden probarse en tu LMS.
- Atajos. Las reglas estrictas de contraseñas llevan a contraseñas en notas adhesivas o a variaciones predecibles, como agregar un número cada vez.
- Carga de soporte. Cada bloqueo y cada restablecimiento es una incidencia para tu servicio de asistencia o para el equipo de L&D.
Hay además un punto más sutil. La mayoría de los sistemas de contraseñas permiten restablecerlas por correo electrónico, lo que significa que la bandeja de entrada ya controla la cuenta. La contraseña es la parte que la gente olvida, no la que la protege. El inicio de sesión sin contraseña se limita a hacerlo explícito.
Cómo funciona el inicio de sesión sin contraseña
Códigos de un solo uso por correo electrónico
- El alumno introduce su dirección de correo electrónico.
- El LMS genera un código aleatorio corto y se lo envía por correo electrónico.
- El alumno escribe el código y el LMS lo comprueba.
Un código bien diseñado funciona una sola vez, caduca en minutos y deja de funcionar tras unos pocos intentos erróneos. No hay nada que recordar, nada reutilizado de otro sitio y ninguna contraseña que pueda filtrarse.
Algunos sistemas envían por correo electrónico un enlace de inicio de sesión en lugar de un código. Los códigos son prácticos cuando alguien lee el correo en su teléfono pero inicia sesión en una computadora de trabajo, porque puede simplemente teclear el código.
Cuentas de Google, Microsoft o LinkedIn
Con los botones de «iniciar sesión con», el LMS cede el inicio de sesión al proveedor mediante protocolos estándar como OAuth 2.0 y OpenID Connect. El proveedor comprueba quién es la persona, incluida cualquier verificación en dos pasos de su cuenta, y le indica al LMS quién es y cuál es su dirección de correo electrónico verificada. El LMS nunca ve su contraseña.
Esto encaja con el personal que ya inicia sesión a diario en Microsoft 365 o Google Workspace: un clic y ya está dentro.
Los compromisos de seguridad, con honestidad
El inicio de sesión sin contraseña no es magia. Traslada la confianza a otro lugar, y conviene saber adónde.
| Método | Qué protege la cuenta | A qué prestar atención |
|---|---|---|
| Contraseña | Algo que el alumno recuerda | Reutilización, elecciones débiles y, de todos modos, restablecimientos por correo electrónico |
| Código por correo electrónico | El acceso a la bandeja de entrada del alumno | Un buzón comprometido implica una cuenta del LMS comprometida |
| Google, Microsoft o LinkedIn | La cuenta del proveedor y su verificación en dos pasos | Las cuentas personales quedan fuera de tu control |
| Inicio de sesión único SAML | Tu proveedor de identidad y sus políticas | El esfuerzo de configuración y la dependencia de que el proveedor esté disponible |
Algunos detalles concretos que conviene entender:
- La cuenta de correo electrónico es lo más importante. Cualquiera que pueda leer el correo de un alumno puede iniciar sesión como ese alumno. La autenticación multifactor en los buzones de trabajo hace más por la seguridad del LMS que cualquier regla de contraseñas.
- La caducidad y los intentos limitados impiden adivinar. Un código de seis dígitos tiene alrededor de un millón de valores posibles, así que con tres intentos quien intente adivinarlo tiene solo unas pocas probabilidades entre un millón, y cada código vive unos minutos. Los límites a la frecuencia con la que se pueden solicitar códigos frenan aún más el proceso.
- Los códigos también pueden ser objeto de phishing. Una página de inicio de sesión falsa puede pedir un código y usarlo de inmediato. Enseña a las personas a introducir los códigos únicamente en la dirección real de tu LMS y a saber que nadie, ni siquiera el soporte, se lo pedirá jamás.
- Los buzones compartidos debilitan tus registros. Si varias personas pueden leer una misma bandeja de entrada, cualquiera de ellas puede iniciar sesión como su titular. Cada alumno necesita su propia dirección para que los registros de formación signifiquen algo.
- Las bajas hay que retirarlas en todas partes. Una cuenta personal de Google o LinkedIn no desaparece cuando alguien se va. Suspéndela o archívala en el LMS como parte del proceso de salida, y no solo en tu directorio.
- La entrega del correo electrónico forma parte del sistema. Los códigos que acaban en el correo no deseado o llegan tarde provocan inicios de sesión fallidos. Pide al equipo de TI que permita los correos del LMS en tus filtros de correo.
Planifica la recuperación antes de necesitarla
Con el inicio de sesión sin contraseña, las incidencias de «he olvidado mi contraseña» prácticamente desaparecen. La pregunta habitual al soporte pasa a ser «no me ha llegado el código», y la respuesta es casi siempre revisar la carpeta de correo no deseado, confirmar la dirección y solicitar un código nuevo.
Los administradores requieren más reflexión. Si dependes del inicio de sesión único y tu proveedor de identidad sufre una caída, o alguien cambia un ajuste por error, necesitas una vía de entrada que no dependa de lo que se haya roto. Buenas prácticas:
- Mantén al menos dos administradores, para que la pérdida de acceso de una persona no deje a la organización bloqueada.
- Asegúrate de que los administradores tienen una vía de recuperación que no dependa de tu proveedor de identidad.
- Prueba esa vía de recuperación una vez, con calma, antes de necesitarla en un mal día.
- Si limitas a los administradores a los rangos de IP de la oficina, comprueba cómo entrarán los administradores remotos.
Cuándo agregar el inicio de sesión único SAML
Los códigos por correo electrónico y el inicio de sesión con cuentas sociales se adaptan a la mayoría de los alumnos. Conviene agregar el inicio de sesión único SAML cuando:
- Tu personal ya está gestionado en Microsoft Entra ID, Okta o Google Workspace.
- Quieres que las políticas de acceso y multifactor de tu proveedor de identidad se apliquen también a la formación.
- Quieres que las personas pierdan el acceso en cuanto se las desactiva en tu directorio.
- Las revisiones de seguridad o los cuestionarios de clientes piden inicio de sesión único.
No es toda la respuesta si muchos alumnos están fuera de tu directorio, como contratistas, voluntarios, clientes o personal de otras organizaciones. En ese caso, usa el SSO para tu propio personal y mantén los códigos por correo electrónico para todos los demás. Explicamos la configuración con más detalle en inicio de sesión único para tu LMS.
Cómo lo hace Acadenix
Acadenix no tiene contraseñas en absoluto. Las personas inician sesión de una de estas maneras:
- Códigos por correo electrónico. Las personas introducen su correo electrónico y reciben un código de seis dígitos. Funciona una vez, durante cinco minutos, y deja de funcionar tras tres intentos erróneos. Si pides códigos con demasiada frecuencia, se te pide que esperes.
- Google, Microsoft y LinkedIn. Cada método se activa o desactiva en Settings → Authentication (ajustes de autenticación) y puede limitarse a determinados dominios de correo electrónico verificados. Antes de guardar un cambio, ves a cuántas personas y sesiones afecta.
- Tus propias aplicaciones de inicio de sesión. Las organizaciones pueden usar su propia aplicación de Google, Microsoft o LinkedIn. Con tu propia aplicación de Microsoft, solo pueden usarla las cuentas de tu tenant.
- Inicio de sesión único SAML en Gold. Conecta Microsoft Entra ID, Okta o Google Workspace. Las cuentas de alumno pueden crearse en el primer inicio de sesión, pero solo para las direcciones de los dominios de correo electrónico de tu organización. La primera vez que alguien inicia sesión mediante SAML, se envía un código por correo electrónico para confirmar el vínculo, una vez por persona. Los demás métodos que hayas activado siguen siendo la alternativa. Consulta planes y precios.
Para los administradores hay medidas de seguridad adicionales. Se puede limitar a los administradores a tus rangos de IP sin afectar a los alumnos, y las sesiones inactivas se cierran. Si tu inicio de sesión habitual deja de funcionar, un administrador todavía puede entrar con un código de recuperación enviado a su correo electrónico, y esa vía no se puede desactivar. Suspender la cuenta de alguien le impide iniciar sesión de inmediato, y Email History (historial de correos) muestra qué correos se enviaron o fallaron en los últimos 30 días, sin conservar el contenido de los mensajes ni los códigos. Hay más detalles en nuestra página de seguridad.
Puntos clave
- Para los alumnos ocasionales, las contraseñas generan restablecimientos, reutilización e incidencias sin aportar mucha protección.
- Los códigos por correo electrónico y el inicio de sesión con la cuenta de trabajo eliminan la contraseña; la bandeja de entrada o la cuenta del proveedor pasa a ser la llave, así que protégela con autenticación multifactor.
- Los códigos de un solo uso que caducan rápido y permiten pocos intentos hacen inviable adivinarlos, pero las personas siguen necesitando saber que nunca deben compartir uno.
- Planifica la recuperación de los administradores y el proceso de bajas antes de activar los métodos.
- Agrega el inicio de sesión único SAML cuando tu personal viva en un proveedor de identidad central, y mantén los códigos por correo electrónico para todos los demás.
Si las contraseñas son la mayor fuente de incidencias de soporte de tu formación, descubre cómo funciona el inicio de sesión sin contraseña con tu propia gente. Solicita una evaluación y configura los métodos de inicio de sesión que mejor se adapten a tu organización.
