Security Suite byAkyras — 2FA, protección bancaria, control de accesos y auditoría

Security Suite byAkyras — Detecta los riesgos. Controla los accesos. Mantén tu capacidad de respuesta.

¿Un exempleado conserva acceso? ¿Un proveedor acaba de cambiar sus datos bancarios? ¿La última copia de seguridad es reciente? ¿Quién puede exportar datos o conceder permisos sensibles?

Son preguntas que afectan a tu empresa cada día. Security Suite byAkyras reúne en Dolibarr las herramientas para responder: autenticación fuerte, control de accesos, protección de operaciones empresariales, supervisión de la instancia, alertas y gestión de incidentes.

Un centro de seguridad integrado en tu ERP, con puntos que corregir y acciones que realizar. La 2FA está incluida; la suite también acompaña lo que sucede después de iniciar sesión.

Un panel que te ayuda a decidir qué corregir

Consulta la adopción de la 2FA, los administradores activos, las cuentas inactivas y las cuentas con clave API. Una puntuación orientativa sobre 100 resume los controles.

Los puntos pendientes se ordenan por gravedad, con el hallazgo y una corrección recomendada: copias ausentes, cuentas poco protegidas, permisos de riesgo, aprobaciones desactivadas o ajustes que reforzar. Empieza con una lista concreta de acciones en Dolibarr.

1. Autenticación moderna para tu equipo

El motor 2FA byAkyras está integrado: Windows Hello, llaves FIDO2/WebAuthn, aplicaciones TOTP y YubiKey OTP, con configuración guiada, códigos de recuperación y dispositivos recordados. Los usuarios disponen de varios métodos; tú defines la obligatoriedad mediante las políticas del módulo.

Windows Hello permite confirmar con PIN o biometría en configuraciones compatibles. FIDO2/WebAuthn vincula la comprobación al sitio legítimo; los datos biométricos permanecen en el dispositivo. Cuando se exige un segundo factor, la sesión autenticada de Dolibarr solo se establece después de verificarlo.

2. Defensas frente a ataques a las cuentas

• Fuerza bruta: bloqueo temporal por IP y por nombre de usuario atacado, con umbrales configurables.
• Password spraying: detección de una dirección que prueba muchos nombres de usuario distintos.
• Reincidencia: bloqueos progresivamente más largos, direcciones exentas y página de desbloqueo.
• Usuarios señuelo: un intento con un identificador ficticio configurado provoca bloqueo y alerta crítica.
• Contraseñas comprometidas: consulta a Have I Been Pwned, rechazo al definir una nueva contraseña comprometida y advertencia al iniciar sesión.

La comprobación solo transmite un prefijo de cinco caracteres del hash SHA-1 mediante k-anonymity, nunca la contraseña.

3. Reglas de acceso antes y durante la sesión

Define restricciones por IP o rango de red IPv4/IPv6, país, día y horario. Aplícalas a todos, administradores, no administradores, grupos o cuentas concretas.

Empieza en modo supervisión y después activa el bloqueo. Las reglas se comprueban al acceder y periódicamente durante la sesión. Un simulador muestra las reglas incumplidas para un usuario, dirección y momento. Los controles preventivos reducen bloqueos accidentales del propio acceso, con un mecanismo de emergencia documentado.

4. Conoce quién está conectado y controla las sesiones

Consulta sesiones activas, IP, dispositivo y última actividad. Cierra a distancia una sesión o las sesiones de un usuario; el cierre se aplica en su siguiente solicitud. El historial conserva conexiones y motivos de finalización.

Gestiona dispositivos conocidos, olvida los perdidos y recibe alertas de nuevos dispositivos o redes según tus ajustes. Detecta sesiones simultáneas con un límite opcional. El control de «viaje imposible» puede alertar o rechazar una conexión geográficamente incoherente con la anterior.

«Mi seguridad» permite participar al usuario. «No he sido yo» cierra sus otras sesiones, olvida dispositivos, elimina su clave API, avisa al equipo de seguridad, abre un incidente y solicita una nueva contraseña.

5. Añade una segunda aprobación a los cambios bancarios

Los cambios de IBAN, BIC o titular pueden requerir la aprobación de otra persona. El solicitante no aprueba su propia petición. Los datos existentes se mantienen hasta la decisión; un nuevo registro pendiente queda sin IBAN.

Sigue solicitudes, decisiones y rechazos motivados, con notificaciones. Los procesos API compatibles también están cubiertos. Los cambios se registran con IBAN ocultos parcialmente en los eventos.

Al crear una orden de transferencia SEPA en Dolibarr, datos de beneficiario modificados recientemente pueden generar una alerta o bloquear la orden. Tras comprobarlos con el proveedor, «Datos bancarios verificados» permite levantar este control.

La suite también supervisa cambios de correo, teléfono y dirección de proveedores y sus contactos, con alcance configurable.

6. Revisa permisos efectivos, no solo listas de usuarios

Visualiza los permisos efectivos, directos o heredados de grupos, con su origen. Detecta administradores que revisar, cuentas inactivas y combinaciones que concentran operaciones sensibles en una misma persona.

La separación de funciones cubre escenarios como proveedor, factura y pago; datos bancarios y transferencias; salarios y pagos; movimientos bancarios y conciliación. Corrige permisos o acepta un riesgo con una justificación registrada.

Activa la doble aprobación de permisos sensibles para el estado de administrador, permisos seleccionados o pertenencia a grupos que los incluyen. Las concesiones pasan a ser solicitudes para otro administrador. Nadie aprueba su propia petición.

Para intervenciones puntuales, concede privilegios temporales de administrador, entre 15 minutos y 4 horas dentro de los límites configurados, con o sin aprobación. Las elevaciones son visibles y registradas, con retirada automática al vencimiento mediante los controles del módulo.

7. Organiza incorporaciones, bajas y revisiones periódicas

• Incorporación: crea una cuenta desde un compañero de referencia, copia grupos y opcionalmente permisos individuales. Fija un plazo de configuración 2FA con recordatorio y activación obligatoria al vencer cuando exista un método disponible.
• Baja: coordina desactivación, cierre de sesiones, cambio de contraseña y retirada de claves API, 2FA, permisos, grupos y dispositivos. Confirmación explícita previa y constancia PDF con fecha y hora.
• Campañas de revisión: toma una instantánea de las cuentas activas con grupos, permisos, 2FA, claves API y últimos accesos. Documenta decisiones de conservar, modificar o retirar y cierra con conclusión y PDF justificativo. Las campañas atrasadas se señalan.

8. Mantén las claves API bajo supervisión

Inventaría las cuentas con una clave sin mostrarla. Consulta última llamada, dirección y número de llamadas. Detecta claves sin uso y configura una duración máxima con aviso antes de caducar.

Define direcciones permitidas y aplica opcionalmente restricciones de acceso a la API. Trata las credenciales técnicas como accesos que también deben controlarse.

9. Detecta exportaciones y eliminaciones inusuales

La suite registra descargas del módulo Exports y sus filas en formatos compatibles. Los umbrales señalan exportaciones grandes o muchas exportaciones y descargas de documentos en poco tiempo. También se supervisan generación y descarga de copias de seguridad.

Una vista agrupa los exportes por usuario. Las eliminaciones de objetos empresariales compatibles se registran y pueden generar alertas por encima del umbral horario. Obtén elementos para investigar actividades inusuales.

10. Supervisa el estado de la instancia

• Análisis de configuración: controles de Dolibarr, PHP, conf.php, carpeta de documentos y módulos potencialmente riesgosos.
• Integridad de archivos: referencia SHA-256, detección de ejecutables añadidos, modificados o eliminados y scripts sospechosos en documentos. Puedes aprobar una nueva referencia tras actualizar.
• Historial de parámetros: cambios con valores anterior y nuevo; los valores secretos no se conservan en texto claro.
• Copias de seguridad: supervisa antigüedad, tamaño, fallos y reducciones inusuales, con carpetas vigiladas y declaraciones o señales de herramientas externas. Sigue las copias fuera del servidor y pruebas de restauración declaradas.
• Versiones: consulta versiones Dolibarr publicadas, vulnerabilidades recogidas en avisos GitHub y fin del soporte de seguridad PHP.

11. Un registro verificable y alertas en tus canales habituales

El registro reúne eventos compatibles de acceso, sesiones, cuentas, permisos y datos bancarios, con filtros y exportación CSV o JSON. Una cadena de hashes permite verificar la integridad, con comprobación automática, aviso de ruptura y constancia PDF.

Envía eventos a un SIEM o servidor syslog mediante UDP, TCP o TCP con TLS, en formato RFC 5424 con JSON o CEF. La conservación externa puede complementar el registro local.

Las alertas llegan por correo, Teams, Slack, Google Chat, Discord o webhook JSON. El resumen semanal reúne puntuación, actividad, bloqueos, cambios sensibles y puntos pendientes.

12. Responde a incidentes y documenta las acciones

Crea incidentes con categoría, gravedad, responsable, estado y cronología de acciones. Consulta eventos próximos y sigue los plazos propuestos para procesos NIS2 y RGPD.

El modo de bloqueo cierra las sesiones de no administradores y rechaza nuevos accesos hasta desactivarlo. Requiere confirmación, registra el motivo y genera alerta e incidente.

Un informe PDF reúne controles, cuentas que revisar, incidentes y actividad del periodo elegido, con correspondencias a medidas NIS2 y RGPD. Las revisiones y constancias completan la documentación. La suite documenta medidas técnicas; no certifica a la organización ni cubre por sí sola sus obligaciones organizativas.

Una suite independiente. Continuidad para clientes 2FA byAkyras.

No necesitas comprar la 2FA por separado. En instalaciones existentes se recuperan datos, ajustes y permisos, se conservan los métodos registrados y se desactiva el módulo 2FA independiente. Los usuarios no vuelven a registrarse.

Interfaz completa en francés, inglés, alemán, español, italiano y neerlandés; las variantes regionales usan el idioma base. Otros idiomas disponen de las traducciones 2FA y el resto se muestra en inglés.

Requisitos y alcance

Dolibarr 20–24, PHP 7.4 mínimo (8.2 o posterior recomendado), MySQL/MariaDB. HTTPS para Windows Hello y FIDO2/WebAuthn. Tareas programadas y cron del sistema para controles automáticos; GeoIP Maxmind para funciones geográficas. Declara los proxies de confianza si usas un proxy inverso. Multicompany no se ha probado.

Have I Been Pwned y GitHub requieren conexión saliente y sus controles se omiten si los servicios no están disponibles; YubiKey OTP utiliza YubiCloud. La supervisión de copias no crea copias. Los controles de transferencias cubren órdenes SEPA Dolibarr, no pagos directos en el banco. Exportaciones REST y capturas no están cubiertas por la detección.

La doble aprobación cubre procesos Dolibarr/API compatibles, no escrituras directas en la base de datos. La aprobación de permisos es opcional; sin segundo administrador, la concesión se aplica con un evento de omisión registrado. Los hashes no son prueba independiente frente a quien controla la base y la clave de la instancia. VPN y redes móviles pueden afectar controles geográficos. Consulta opciones y procedimientos de emergencia en la documentación.

Haz de la seguridad de Dolibarr una tarea visible, práctica y continua.