Proteger el inicio de sesión de Sophos Fusion con MFA, passkeys e IdP

Sophos Fusion (antes Sophos Central) controla políticas, exclusiones, Live Response y aislamiento de dispositivos. Por eso, una cuenta de administrador comprometida puede causar más daños que un único endpoint infectado. MFA es el requisito mínimo, pero no sustituye ni a los roles adecuados ni a un proceso de recuperación.

Distinguir el acceso Partner, Customer y Enterprise

Para Sophos Fusion Partner, el requisito es explícito: cada administrador Partner debe registrar al menos dos métodos MFA y autenticarse con MFA en cada inicio de sesión. Se admiten passkeys y aplicaciones Authenticator TOTP; se puede utilizar cualquiera de los métodos registrados para iniciar sesión. Durante el registro inicial se configuran una contraseña y al menos una aplicación TOTP; los passkeys pueden añadirse después. Cuando Sophos solicite registrar dos métodos, debe completarse ese registro. Los siguientes apartados explican cómo configurar TOTP y passkeys y cómo elegir dispositivos independientes.

Sin embargo, una cuenta Partner y un tenant Customer administrado no pertenecen al mismo ámbito de administración. El requisito Partner no significa que las cuentas Customer o Enterprise hereden automáticamente los ajustes de MFA, SSO o recuperación. Antes de realizar un cambio, se comprueba en qué portal se ha iniciado sesión y a qué cuenta pertenece la identidad afectada. Para restablecer MFA, este ámbito determina el administrador autorizado y el procedimiento correcto: el Super Admin del tenant Customer o el Partner Super Admin del portal Partner. Los procedimientos Customer y Partner descritos a continuación no sustituyen a un procedimiento de recuperación Enterprise verificado por separado.

Configurar MFA inmediatamente y con redundancia

Cada administrador debe registrar al menos dos métodos MFA y se le solicita MFA en cada inicio de sesión. Sophos admite passkeys y aplicaciones Authenticator con códigos de un solo uso basados en tiempo, conocidos como TOTP.

Para las cuentas privilegiadas se registran dos métodos independientes, por ejemplo, un passkey en una llave de hardware y una aplicación Authenticator en otro dispositivo. Dos passkeys en el mismo portátil no constituyen una redundancia real. Sophos también menciona como combinaciones posibles dos passkeys en dispositivos distintos o dos registros de Authenticator separados.

Las llaves de hardware de repuesto y la información de recuperación documentada se guardan en una caja fuerte empresarial protegida. No se almacenan en el gestor de contraseñas personal de un único empleado ni en un ticket abierto.

En cada cuenta de administrador pueden registrarse como máximo diez aplicaciones TOTP Authenticator. Una extensión Authenticator para el navegador es técnicamente posible, pero procede de un proveedor externo y Sophos no la desarrolla ni ofrece soporte para ella. Antes de instalarla se comprueban el editor, los permisos, la vía de actualización y la política de la empresa. Para cuentas privilegiadas, una extensión en el mismo perfil del navegador que la sesión de Sophos Fusion no separa bien los factores.

Los métodos registrados se administran en el perfil, en Manage login settings o Manage MFA. Eliminar una entrada únicamente en la aplicación Authenticator local no elimina el método de Sophos Fusion. Al cambiar de dispositivo, primero se prueba un segundo método, después se elimina el registro antiguo de Sophos Fusion y solo al final se restablece el dispositivo anterior.

Configurar una aplicación Authenticator

Después de iniciar sesión con el método existente, se abre Icono de perfil > My info > Manage MFA. También se puede acceder a la misma administración mediante Sophos ID > My Profile > Manage MFA. Tras volver a autenticarse, en Multi-Factor Authentication se selecciona el signo más, luego Authentication App en Set up MFA method y finalmente Set up now.

El código QR de un solo uso se escanea con la aplicación Authenticator autorizada. Después se introduce en Sophos Fusion el código de seguridad generado, se asigna opcionalmente un nombre inequívoco al dispositivo y se elige Continue. Successful enrollment confirma el registro; otro Continue finaliza el proceso. En el siguiente inicio de sesión de prueba, después de la dirección de correo y la contraseña se introduce el código de verificación actual de la aplicación.

Cada cuenta admite un máximo de diez aplicaciones Authenticator. El código QR y el secreto TOTP subyacente no se guardan como captura de pantalla. Después de la prueba se configura un segundo método independiente antes de eliminar un dispositivo o registro antiguo.

Configurar una aplicación Authenticator en el navegador

Una extensión del navegador puede generar códigos TOTP, pero para cuentas privilegiadas solo debe utilizarse después de una evaluación consciente de riesgos. El procedimiento es:

1. En Sophos Fusion, abrir Icono de perfil > My info > Manage MFA y utilizar un método existente para confirmar.
2. En Multi-factor Authentication, seleccionar el signo más, marcar Authentication App y abrir Set up now.
3. Mantener abierto el código QR de un solo uso. En otra pestaña, instalar la extensión autorizada desde la tienda oficial de extensiones del navegador.
4. Volver a la página del código QR, abrir la extensión junto a la barra de direcciones y elegir Add Account > Scan QR from screen.
5. Introducir el código de un solo uso generado en Verify Your Device > Security Code, asignar opcionalmente un nombre inequívoco al dispositivo y elegir Continue.
6. En Icono de perfil > My info > Manage MFA, comprobar que el nuevo método está registrado. En un inicio de sesión de prueba deben funcionar el nombre de usuario, la contraseña y el código de la extensión.

El código QR es un secreto de registro de un solo uso y no debe guardarse como captura de pantalla ni enviarse en un ticket. Antes de autorizar la extensión se comprueban el editor, los permisos solicitados al navegador, la fuente de actualización y la sincronización de datos. Como de otro modo el perfil del navegador, la sesión de Sophos Fusion y el secreto TOTP se encuentran en el mismo lugar, sigue siendo necesario un método separado en otro dispositivo o una llave de hardware.

Administrar los métodos MFA registrados

La página de administración se abre mediante Icono de perfil > My info > Manage MFA o, alternativamente, Sophos ID > My Profile > Manage MFA. Tras volver a autenticarse, Sophos Fusion muestra todos los métodos registrados, su nombre predeterminado o visible y el último uso.

Con el signo más se añade otra aplicación Authenticator o un passkey. Se permiten como máximo diez registros por tipo de método. En el menú de tres puntos de un método se puede seleccionar Rename, introducir un nombre nuevo y confirmarlo con la marca. Delete elimina el registro de Sophos Fusion.

Deben permanecer registrados al menos dos métodos MFA. En cuanto solo queda el mínimo obligatorio, Sophos Fusion no permite eliminar otro método. Continue cierra la administración y vuelve al dashboard de Sophos Fusion. Antes de retirar un método antiguo se prueba el nuevo en un inicio de sesión independiente.

Configurar un passkey y elegir dónde guardarlo

Un passkey se añade como método adicional después de haber configurado una aplicación Authenticator. En Icono de perfil > My info > Manage MFA, tras volver a autenticarse, se seleccionan el signo más y después Passkey. El sistema operativo o el Credential Manager guía por la comprobación mediante PIN o biometría. En Windows puede tratarse, por ejemplo, de una huella mediante Windows Hello. Después de Passkey Saved, se confirma con OK, se comprueba el nuevo registro en la lista de métodos y se finaliza con Continue.

El lugar de almacenamiento forma parte de la decisión de seguridad. Puede utilizarse un Credential Manager del equipo local, como el navegador, el sistema operativo o el gestor de contraseñas empresarial; un authenticator ligado al dispositivo, como un YubiKey; o un dispositivo móvil mediante un proceso con código QR. Para asegurar la disponibilidad se registran passkeys en más de un dispositivo controlado. Sophos Fusion permite un máximo de diez passkeys.

Iniciar sesión con passkey o aplicación Authenticator

Para iniciar sesión con passkey, primero se abre fusion.sophos.com, se introduce la dirección de correo y se elige Continue. En la página de passkey, Login with passkey inicia el método registrado, por ejemplo, huella dactilar, PIN del dispositivo o llave de hardware. Tras la comprobación correcta se abre el dashboard de Sophos Fusion.

Si están registrados un passkey y una aplicación Authenticator, Sophos Fusion prefiere el passkey. Con Try another way, después de introducir la contraseña, se puede seleccionar otro método. Para el inicio de sesión clásico con Authenticator, a la dirección de correo y Continue les siguen la contraseña y Sign in. En MFA Validation Required se introduce el código actual de la aplicación Authenticator.

Ambos métodos se prueban después de configurarlos, cambiar de dispositivo o actualizar el navegador. Un passkey almacenado no basta por sí solo como recuperación si el Credential Manager, el acceso al dispositivo y la sesión de Sophos Fusion dependen del mismo fallo o bloqueo de cuenta.

My info, rol y contraseña local

En Icono de perfil > My info, un administrador ve su rol actual, la dirección de inicio de sesión de Sophos Fusion y la configuración de contraseña y MFA. Al hacer clic en el nombre del rol se abren todos sus permisos. La dirección de correo es también un dato importante para relacionar el inicio de sesión, la revisión de roles y un caso de soporte.

Una contraseña local de Sophos se cambia en My info > Password > Change password. Después de verificarla, Sophos Fusion muestra la contraseña actual ya rellenada. La nueva necesita al menos ocho caracteres, una minúscula, una mayúscula y un número o carácter especial. Tras Reset Password, Sophos Fusion inicia automáticamente la sesión del administrador con la contraseña nueva y vuelve al portal; la anterior deja de ser válida de inmediato. En el inicio de sesión federado, la contraseña se cambia en el Identity Provider responsable.

Los datos de la cuenta también contienen ajustes personales de suscripción por correo electrónico. Estas suscripciones no son lo mismo que los destinatarios de alertas de todo el tenant en Configure Email Alerts. Los administradores, listas de distribución y sistemas de tickets que reciben notificaciones de seguridad se gestionan en el procedimiento separado para correos de alerta y notificaciones de Sophos Fusion.

Proteger las acciones sensibles con MFA transaccional

Transaction Authentication using MFA exige una autenticación adicional antes de determinadas acciones sensibles en el tenant Customer (CDB). No es una protección general de acciones en los dashboards Partner o Enterprise. La confirmación utiliza el passkey o la aplicación Authenticator ya registrados para la MFA de Sophos. Según el anuncio del 15 de septiembre de 2026, la función está desactivada de forma predeterminada.

Antes de activarla, se comprueban el tenant Customer correcto, un Super Admin para realizar el cambio y un método MFA registrado que funcione. Los permisos y las licencias necesarios para Live Response o la Response Action correspondiente siguen siendo independientes. Si un administrador solo tiene permitido el inicio de sesión federado y la MFA la proporciona exclusivamente el IdP federado, esta configuración no está disponible para él. No se modifica la configuración del IdP únicamente para esta prueba.

1. Como Super Admin en el tenant Customer, abrir Global Settings > Access Control > Sign-in and Identity > Multi-factor Authentication y documentar el estado anterior. Si falta la opción, comprobar primero el tenant, el rol y la vía de inicio de sesión; el anuncio por sí solo no demuestra que esté habilitada en el tenant propio.
2. Antes de activarla, informar a los administradores afectados y permitir ventanas emergentes para el inicio de sesión de Sophos. Si el navegador las bloquea, estudiar una excepción específica para sophos.com, en vez de desactivar de forma general la protección contra ventanas emergentes.
3. En Transaction Authentication using MFA, activar Require re-authentication before executing high risk operations. No activar por error la opción independiente Expand MFA Coverage: amplía MFA a otros inicios de sesión de portales y no puede volver a desactivarse después de activarla.
4. Volver a abrir la página y comprobar que la opción esté activada. Después, los administradores afectados deben cerrar sesión e iniciarla de nuevo para que el cambio surta efecto en su nueva sesión de Fusion. Una sesión ya abierta no constituye una prueba válida del efecto.

En la nueva sesión se espera una nueva autenticación cada vez que se inicia una sesión Live Response. Para una Response Action, se exige si la última autenticación adicional no se produjo en los 15 minutos anteriores. No es una ventana general de 15 minutos para Live Response ni una garantía de que cubra cualquier tipo de acción.

La solicitud MFA se comprueba en la siguiente acción expresamente autorizada; no se activa un aislamiento de dispositivo, otra Response Action o una sesión Live Response de producción solo para probar. Si no aparece la solicitud esperada, se revisan primero el nuevo inicio de sesión, la configuración guardada, el contexto Customer, la excepción del IdP y el bloqueo de ventanas emergentes. Si el comportamiento sigue siendo distinto, no se aprueba la acción sensible como suficientemente protegida; se escala a Sophos Support con el tenant, la hora y las observaciones, sin credenciales. La ayuda consultada describe la activación, pero no un procedimiento fiable de desactivación o reversión; por tanto, no se garantiza una reversión sin verificarla.

Entender las sesiones vinculadas al dispositivo con DBSC

Device Bound Session Credentials (DBSC) vinculan una sesión a una clave criptográfica en el dispositivo. El navegador demuestra periódicamente que posee esa clave; así, una cookie de sesión robada resulta menos útil en otro dispositivo. Es una capa adicional contra el robo de sesiones, no un sustituto de MFA, endpoints seguros o el cierre de sesión deliberado.

Sophos anunció DBSC para los dashboards Customer, Enterprise y Partner (CDB, EDB y PDB). Con un navegador y una plataforma compatibles, la función opera de forma transparente; no requiere un interruptor del cliente ni una implementación propia de DBSC. El anuncio de Sophos del 15 de septiembre de 2026 indica Google Chrome y Microsoft Edge a partir de la versión 146 en Windows con TPM y a partir de la versión 147 en macOS. Estos datos describen el soporte de Sophos en el momento del anuncio, no una validación independiente de las plataformas ni una garantía de activación en todas las sesiones.

Google, en cambio, describe la capacidad básica de DBSC ya para Chrome 145 en Windows. No equivale al umbral superior de Sophos ni confirma el soporte de Edge o macOS para Sophos Fusion. Sin soporte adecuado de navegador y plataforma, no se debe contar con DBSC como protección disponible. Para su introducción, se registran las versiones de navegador y sistema operativo realmente utilizadas; un inicio de sesión correcto por sí solo no demuestra la vinculación DBSC.

Limitar las sesiones inactivas de administradores

MFA protege el inicio de sesión, pero no una sesión ya abierta en un equipo desatendido. En Connected Sessions, Session Idle Timeout establece tras cuántas horas de inactividad debe volver a iniciar sesión un administrador. Sophos documenta esta configuración por separado para los portales Customer, Enterprise y Partner. Antes de realizar un cambio, se comprueban el portal utilizado, la cuenta o el tenant correspondiente y la vía de inicio de sesión. Al acceder a cuentas Customer mediante una sesión Partner o Enterprise, prevalece el tiempo de espera de esa sesión según el anuncio sobre sesiones. Por tanto, el valor Customer por sí solo no describe esa sesión. Esta prioridad no es una copia automática de la configuración Customer ni una herencia general de MFA, SSO u otras reglas de la cuenta.

1. En el portal correspondiente, abrir el icono Global Settings y seleccionar Access Control > Sign-in and Identity > Connected Sessions.
2. Documentar el valor anterior de Session Idle Timeout para poder restablecerlo si es necesario. Se permiten valores de 1 a 23 horas y el valor predeterminado documentado es de 3 horas.
3. Introducir la duración máxima de inactividad y seleccionar Save. Para las cuentas de administrador privilegiadas, 1 hora es un ejemplo de piloto de Avanet deliberadamente estricto, no el valor predeterminado de Sophos. Un valor más corto limita el tiempo durante el cual una sesión inactiva y desatendida puede seguir utilizándose, pero exige volver a iniciar sesión con más frecuencia durante el trabajo. La elección se acuerda con los administradores responsables; el tiempo de espera no sustituye ni al bloqueo de pantalla ni al cierre de sesión deliberado.

Después de guardar, se vuelve a abrir la página y se comprueba el valor guardado. Para comprobar el efecto, un administrador de prueba inicia sesión en el mismo portal en una sesión independiente del navegador. Esta se deja abierta sin interacción durante más tiempo que la duración configurada; después se accede a una página protegida. Se espera que aparezca una nueva solicitud de inicio de sesión. A continuación, se completa correctamente la vía de inicio de sesión local o federado que se utiliza realmente, incluida la MFA requerida en ella. La prueba se realiza por separado para cada portal afectado.

Si la sesión sigue pudiendo utilizarse después del periodo de inactividad previsto, primero se comprueban el portal, el tenant, el valor guardado y cualquier posible actividad durante la prueba. Después se repite la prueba con una sesión recién iniciada; si el resultado sigue sin ser el esperado, se documentan el portal, la fecha y hora y lo observado para Sophos Support, sin incluir credenciales. Si es necesario revertir el cambio, se vuelve a guardar el valor anterior documentado y se repite la comprobación.

Session Idle Timeout no garantiza la revocación inmediata de todas las sesiones ya abiertas ni sustituye las medidas necesarias ante una cuenta comprometida. Tampoco implica una aplicación automática de la configuración entre los portales Customer, Enterprise y Partner. Ante un incidente de seguridad, también se revisan el acceso a la cuenta, los roles, el IdP y los Audit Logs.

Clasificar correctamente los passkeys

Los passkeys son resistentes al phishing si la clave está vinculada al dominio auténtico de Sophos Fusion y protegida con el PIN del dispositivo o biometría. Un passkey sincronizado resulta cómodo, pero adopta las propiedades de seguridad y recuperación de la cuenta Apple, Google o Microsoft utilizada.

Para Super Admins, una llave de hardware administrada es un método especialmente robusto. Antes de imponerla en todo el tenant se comprueba que funcionen el acceso de emergencia, las llaves de repuesto y el offboarding.

Microsoft Authenticator no es compatible con un passkey de Sophos fuera de un inicio de sesión federado con Entra ID. La aplicación puede seguir utilizándose como Authenticator TOTP. Según la plataforma, los passkeys entre dispositivos necesitan Bluetooth, proximidad de los dispositivos y un procedimiento con código QR.

En cada cuenta pueden registrarse como máximo diez passkeys. La sustitución de factores antiguos y la lógica de bloqueo se tratan por separado en la siguiente sección, ya que afectan tanto a cuentas TOTP como a cuentas con passkey.

La compatibilidad con passkeys documentada actualmente incluye Windows 10 y 11, macOS 10.15.7 o posterior, Android 9 o posterior, e iOS y iPadOS 16 o posterior. Sophos indica como versiones mínimas Chrome 118, Firefox 119, Safari 16 o posterior y Edge 119. Entre los almacenes habituales se encuentran Windows Hello, Google Password Manager, iCloud Keychain y 1Password; como llaves ligadas al dispositivo, Sophos menciona YubiKey 5 y YubiKey NFC. Pueden funcionar otras combinaciones si los fabricantes del navegador y el sistema operativo implementan los protocolos de passkey necesarios.

Sophos estima que esta compatibilidad cubre aproximadamente el 98 % de las combinaciones de navegador y sistema operativo utilizadas, además de Credential Managers habituales. Es una indicación de alcance, no una garantía para cada plataforma. El sistema operativo, el navegador, el Credential Manager, la política de sincronización y la recuperación se prueban con las versiones realmente utilizadas.

Los passkeys sincronizados funcionan para iniciar sesión en Sophos, pero la propia sincronización sigue siendo una función del Credential Manager. Por ejemplo, iCloud Keychain puede distribuir passkeys entre Macs, iPhones y iPads de la misma identidad de iCloud. Si falla la sincronización, el responsable es el fabricante del Credential Manager. Para los passkeys entre dispositivos, Bluetooth debe estar activo en el equipo y el móvil, ambos deben encontrarse cerca y debe haber un escáner de códigos QR disponible.

Microsoft Authenticator solo puede utilizar un passkey de Sophos en el contexto de un inicio de sesión federado con Entra ID. Sin esa vía de acceso, durante el registro suelen aparecer Failed to add passkey o Microsoft Authenticator doesn’t support this passkey. Esto no afecta a su uso como aplicación TOTP.

En 1Password Business, las políticas de Team o Shared Vault pueden bloquear el registro de passkeys. En ese caso, 1Password aparece en el diálogo de inscripción, pero desactivado. El administrador responsable de 1Password debe permitir la inscripción en las Team Policies; eliminar repetidamente el método MFA de Sophos no corrige esa política externa.

Métodos MFA obsoletos y bloqueo de cuenta

SMS y correo electrónico más PIN son métodos MFA obsoletos. Los nuevos usuarios de Sophos Fusion deben utilizar una aplicación Authenticator TOTP o un passkey. Si se restablece MFA para un usuario existente que utiliza SMS o correo más PIN, Sophos Fusion también lo trata como un usuario nuevo durante la siguiente inscripción y exige TOTP o passkey.

Después de cinco intentos de inicio de sesión incorrectos consecutivos, Sophos Fusion bloquea la cuenta inicialmente durante un minuto. Otros intentos fallidos con la misma cuenta prolongan gradualmente el bloqueo hasta un máximo de cinco horas. Por eso no se siguen realizando pruebas automáticas tras un bloqueo. Si no se dispone de un segundo método o de otro Super Admin, Sophos Support puede desbloquear la cuenta después de verificar la identidad.

Inicio de sesión federado mediante un Identity Provider

Con un Identity Provider compatible, Sophos Fusion puede delegar el inicio de sesión en la identidad central de la empresa. Esto simplifica Conditional Access, el ciclo de vida y el bloqueo central. Sophos Fusion utiliza un flujo iniciado por el Service Provider, conocido como SP-initiated SSO: el inicio de sesión comienza en Sophos Fusion y desde allí se redirige al IdP.

La configuración sigue un orden fijo. Primero se verifica el dominio propio mediante un registro DNS TXT. La propagación DNS puede tardar hasta 24 horas. Una verificación correcta es válida durante un año y después debe renovarse. A continuación, el proveedor de identidad se asigna al dominio verificado y solo al final se activa la opción de inicio de sesión deseada. Estas tareas requieren permisos de Super Admin.

Sophos Fusion puede permitir únicamente credenciales federadas o también la dirección de correo y la contraseña de Sophos Fusion. Con Microsoft Entra ID, Sophos Fusion sigue mostrando ambas opciones aunque esté configurado Federated credentials only. En cambio, con otros proveedores de identidad esta configuración conduce directamente al IdP sin un paso de selección. Este comportamiento diferente debe incluirse en la prueba de bloqueo.

La selección se realiza en Global Settings > Access Control > Sign-in and Identity > Sophos sign-in. En principio se aplica a todos los productos de Sophos Fusion. Para administradores individuales pueden definirse Custom Sign-in Rules, por ejemplo, para conservar durante el piloto un inicio de sesión controlado de Sophos como vía alternativa. Cada usuario solo puede asignarse a un dominio verificado y un Identity Provider.

Con Federated credentials only, los usuarios no pueden restablecer por sí mismos su contraseña de Sophos. Si más adelante se vuelve a utilizar exclusivamente el inicio de sesión de Sophos, es posible que esas cuentas aún no tengan una contraseña utilizable y deban ejecutar Reset Password. Los usuarios del Self Service Portal con inicio de sesión exclusivamente federado no reciben una invitación separada para crear una contraseña, sino que acceden directamente mediante el IdP.

La opción Expand MFA Coverage amplía la solicitud de MFA a usuarios administrados en otros portales de Sophos, como Self Service Portal, Partner Portal o Support Portal. Una vez activada, no puede desactivarse. Por eso solo se guarda para todo el tenant después de un piloto con los usuarios de portales realmente afectados.

Antes de activarla se aclaran estos puntos:

• asignación inequívoca de la dirección de correo y el inicio de sesión de Sophos Fusion,
• MFA y reglas de acceso en el IdP,
• comportamiento para cuentas de invitados y partners,
• al menos un acceso de emergencia probado,
• prevención de bloqueos por una configuración incorrecta del dominio o el IdP.

El inicio de sesión federado no sincroniza automáticamente usuarios de Endpoint ni grupos de dispositivos. Son funciones independientes.

Cuando el UPN y la dirección de correo son diferentes

Sophos Fusion identifica inicialmente la cuenta mediante la dirección de correo almacenada. Si Microsoft Entra ID utiliza internamente otro User Principal Name, la aplicación de Entra necesita una configuración OpenID Connect adaptada, con el claim opcional email y los permisos de Microsoft Graph adecuados. El usuario sigue introduciendo en Sophos Fusion su dirección de correo asignada y después se autentica en la página de Microsoft con el UPN.

Las instrucciones estándar bastan si la dirección de correo y el UPN son idénticos. Una configuración diferente debe probarse primero con una cuenta de prueba, porque un claim ausente o incorrecto impide la asignación aunque la autenticación en Entra se haya realizado correctamente.

Administrar y activar Identity Providers

Solo un Super Admin puede administrar un Identity Provider federado. Antes debe haberse verificado al menos un dominio apropiado. En Global Settings > Access Control > Sign-in and Identity > Federated identity providers, mediante Add identity provider se añade Microsoft Entra ID, OpenID Connect o Microsoft AD FS. Los proveedores parcialmente configurados pueden guardarse, pero solo se pueden activar cuando la configuración está completa y es válida.

Para activarlo se selecciona el proveedor terminado y se elige Turn on. A partir de ese momento puede utilizarse para el inicio de sesión federado. En el mismo lugar se pueden editar o eliminar proveedores. Antes de Federated credentials only, cada administrador y usuario afectado debe estar asignado a un dominio verificado y a un proveedor activado; de lo contrario se produce un bloqueo. Por eso, primero se prueba el proveedor con cuentas individuales y conservando una vía alternativa de acceso.

Las instrucciones operativas para proveedores se encuentran en Configurar Microsoft Entra ID como Identity Provider, Configurar OpenID Connect y Okta para Sophos Fusion y Conectar Microsoft AD FS con Sophos Fusion.

Los roles siguen siendo decisivos

MFA protege la identidad, pero no limita sus permisos. Super Admin solo se utiliza para cambios del tenant, roles, API y otros cambios de gran alcance. Help Desk, Read-only y Custom Roles reducen el posible daño de un error o una cuenta comprometida.

La asignación específica del producto se explica en Planificar roles y permisos de Sophos Central Endpoint.

Dispositivo MFA perdido y bloqueo

El proceso de recuperación se prueba antes de necesitarlo. Primero se utiliza un segundo método registrado. Si ya no hay ningún método disponible, se verifica la identidad mediante un canal de contacto conocido y confirmado de forma independiente antes del restablecimiento; un correo que solicite el restablecimiento no basta por sí solo. Se informa al usuario afectado por el canal acordado. No se solicitan contraseñas, passkeys, códigos QR ni códigos de seguridad a quien llama, ni se guardan en el ticket.

Para una cuenta de usuario en el tenant Customer, el procedimiento de recuperación es:

1. Utilizar un segundo método registrado.
2. Pedir a un Super Admin del tenant que ejecute Reset MFA en el objeto del usuario.
3. Introducir en el siguiente inicio de sesión el código de seguridad enviado por Sophos por correo electrónico.
4. Registrar dos métodos MFA nuevos y comprobar que estén disponibles de forma independiente.
5. Si no hay otro Super Admin disponible, contactar con Sophos Support aportando datos verificables de la cuenta.

Para una identidad Partner, en cambio, se recurre al Partner Super Admin y al procedimiento Partner descrito más abajo. El correo de verificación Customer no implica que el diálogo de recuperación Partner funcione igual. Tras el restablecimiento Partner, el usuario sigue las indicaciones de inicio de sesión y registro que realmente se muestran y vuelve a disponer de al menos dos métodos independientes. Si no hay otro Super Admin para la cuenta Partner, se contacta con Sophos Support; seguir intentando iniciar sesión sin éxito no sustituye a este proceso de recuperación.

Después de la recuperación se eliminan los métodos antiguos, se registran otros nuevos y se revisan los Audit Logs en busca de inicios de sesión o cambios inusuales.

Eliminar la entrada de Sophos directamente en la aplicación Authenticator no elimina el método de Sophos Fusion. Permanece registrado allí, pero ya no genera códigos válidos. Por tanto, el método también debe eliminarse en Sophos Fusion o ser restablecido por un Super Admin. Si se eliminan todos los métodos locales, solo quedan otro método registrado, el restablecimiento por otro Super Admin o la vía verificada mediante Sophos Support.

Restablecer MFA como Super Admin

Este procedimiento se aplica a una cuenta de usuario en el tenant Customer, no a la página Partner Administer MFA.

Solo un Super Admin puede restablecer los registros MFA de otro usuario. La ruta es My Environment > Users & Groups > Users. Allí se abre el nombre de usuario, se selecciona Reset MFA y después nuevamente Reset. Un mensaje de estado en la parte inferior confirma el restablecimiento correcto.

Sophos Fusion envía entonces automáticamente al usuario un correo de verificación con un código de seguridad. En el siguiente inicio de sesión debe introducirse ese código y configurarse MFA por completo. Se comprueban la entrega, la identidad de quien solicita el cambio y el nuevo registro satisfactorio; un simple restablecimiento aún no proporciona un acceso seguro. Si la cuenta propia está bloqueada y no hay otro Super Admin disponible, solo queda la recuperación verificada mediante Sophos Support.

Restablecer MFA en la cuenta Partner

La página Administer MFA solo es visible para un Partner Super Admin. Es el procedimiento Partner para identidades administradas; no se utiliza para ello la ruta Customer My Environment > Users & Groups > Users. Los administradores de la cuenta Partner pueden consultarse en Global Settings > Access Control > Admin & Roles > Admins.

1. En el portal Partner, abrir el icono Global Settings y, en Access Control, seleccionar la página Administer MFA.
2. Introducir la dirección de correo completa de la identidad afectada. Solo pueden buscarse direcciones asociadas a una cuenta Partner. Una dirección parcial no basta. Si no se encuentra ningún resultado, no aparece ningún aviso ni mensaje de error; esto no confirma un restablecimiento. En ese caso se comprueban la escritura y la asociación de la cuenta, en lugar de restablecer MFA de otro usuario.
3. En el resultado que corresponda inequívocamente a la identidad, ir a la columna Action y hacer clic en Reset MFA. Una indicación en la parte inferior de la página confirma el restablecimiento correcto.
4. Pedir al usuario que configure MFA de nuevo. Después se comprueban un inicio de sesión satisfactorio y al menos dos métodos registrados disponibles de forma independiente. Un restablecimiento correcto por sí solo no confirma que se haya recuperado un acceso seguro.

Un passkey perdido no se reconstruye a partir de un ticket ni se sustituye compartiendo la clave de otra persona. La recuperación se realiza con un método propio todavía disponible o mediante un restablecimiento autorizado; después se revisan los registros antiguos o perdidos. Si la entrada de Sophos solo se ha eliminado localmente en la aplicación Authenticator, el registro permanece en el portal Partner aunque ya no proporcione códigos utilizables. Por tanto, sigue siendo válida la distinción explicada anteriormente entre eliminar la entrada local y eliminar el registro del portal.

Restablecer MFA de un usuario Customer desde el portal Partner

Para un usuario del tenant Customer administrado, Sophos documenta un punto de entrada distinto:

1. Abrir My Business > My Customers y seleccionar Customers.
2. En Sophos Central Customers, seleccionar el cliente correcto y elegir Launch customer. La cuenta Customer se abre con su dashboard; antes del restablecimiento se comprueba la asociación del cliente.
3. Abrir My Environment > Users & Groups, seleccionar el usuario afectado y elegir Reset MFA en su perfil.
4. Comprobar el mensaje de confirmación en la esquina inferior derecha y completar la recuperación con el usuario, incluidas la notificación y la nueva inscripción.

Este acceso Customer no es la búsqueda por correo de Administer MFA. Quien accede a un tenant Customer desde el dashboard Partner mediante SSO Partner no puede modificar los ajustes MFA de los Super Admins de ese tenant. Si el afectado es un Super Admin Customer, se recurre a otro Super Admin autorizado del mismo tenant; si no se dispone de ese acceso, se contacta con Sophos Support. Entrar en el tenant Customer no elimina esta restricción.

Revisión periódica

Al menos cada trimestre se revisan los administradores, los roles, las credenciales de API, los métodos MFA y las identidades externas. En una salida o un cambio de rol, el acceso a Sophos Fusion no solo se desactiva, sino que también se elimina de los roles de administrador y de los grupos relevantes del IdP.

Preguntas frecuentes