# ¿Cómo freno a los bots y exijo el inicio de sesión en dos pasos?

Source: https://help.didit.me/es/authentication/bot-protection-mfa-and-sessions
Updated: 2026-11-12

Activa la protección contra bots, exige MFA y define la duración de la sesión y las reglas de contraseña en Autenticación, y mira qué requiere Growth.

Abre **Autenticación → Protección contra bots** y activa **Solo permitir humanos** para proteger el registro, el inicio de sesión y el restablecimiento de contraseña. Abre **Autenticación → Seguridad y sesiones** para elegir quién debe usar MFA, cuánto dura una sesión, tus reglas de contraseña y tus URL de redirección. La MFA, la duración de sesión personalizada y el bloqueo de usuarios requieren el plan Growth o superior.

![La página Protección contra bots en la consola de Didit, con el interruptor Solo permitir humanos, el Modo de ataque y el modo de cada protección](https://help.didit.me/screenshots/auth-bot-protection-light.webp)

*Protección contra bots: elige Apagado, Registrar, Desafiar o Bloquear para cada protección.*

## Protección contra bots

La protección contra bots está desactivada por defecto. Cuando activas **Solo permitir humanos**, seis protecciones vigilan cada registro, inicio de sesión y restablecimiento de contraseña:

| Protección | Qué detecta |
|---|---|
| **Detección de bots** | Scripts, navegadores sin interfaz y controladores de navegador, usando señales del dispositivo y del formulario |
| **Uso de credenciales robadas** | Un dispositivo o una red que prueba muchas cuentas, o una contraseña filtrada conocida |
| **Bloqueo por fuerza bruta** | Intentos fallidos repetidos en una misma cuenta |
| **Correos desechables** | Registros, e inicios de sesión con código por correo o enlace mágico, desde dominios de correo desechables |
| **IP de VPN y centros de datos** | Intentos desde redes de VPN, Tor o centros de datos, usando el análisis de IP de Didit |
| **Viaje imposible** | Un inicio de sesión lejos del anterior, demasiado rápido para ser la misma persona |

Da a cada protección uno de cuatro modos:

| Modo | Qué hace |
|---|---|
| **Apagado** | La protección no se comprueba. |
| **Registrar** | El intento pasa y Didit registra la coincidencia. |
| **Desafiar** | La persona debe superar antes una prueba extra. Es un código por correo o una clave de acceso. |
| **Bloquear** | El intento se rechaza. |

Las personas reales nunca ven un rompecabezas. Un intento bloqueado nunca revela a quien llama si existe una cuenta. Cada decisión aparece en **Autenticación → Accesos**.

### Otras protecciones

- **Comprobación de contraseñas filtradas**: las contraseñas nuevas y restablecidas se comparan con contraseñas filtradas conocidas, y una filtrada se rechaza. La contraseña en sí nunca se envía a ningún sitio.
- **Modo de ataque**: para emergencias. Pulsa **Activar el modo de ataque** y elige cuánto dura: 1, 6 o 24 horas. Mientras está activo, cada registro y cada inicio de sesión se desafía con una clave de acceso, se rechazan los registros nuevos desde redes de centros de datos, y las personas sin clave de acceso no pueden terminar hasta que acabe. Se desactiva solo, tus ajustes guardados vuelven a aplicarse y se avisa a tu equipo cuando termina.
- **Límites de solicitudes**: se aplican siempre, sean cuales sean tus ajustes.
- **Bloqueo de cuenta**: hasta que guardes los ajustes de protección contra bots, 5 contraseñas incorrectas bloquean la cuenta durante 15 minutos. Con el bloqueo por fuerza bruta en **Bloquear**, la persona debe restablecer su contraseña. También puedes desbloquear a la persona tú mismo (consulta [usuarios, sesiones y organizaciones](https://help.didit.me/es/authentication/users-sessions-and-organizations)).

### Prueba en Sandbox

Las pruebas automatizadas del navegador cuentan como bots. Ejecútalas en una aplicación en Sandbox con **Detección de bots** en **Apagado** o **Registrar**.

## Listas de permitidos y bloqueados

En Growth y superiores, y en cada aplicación en Sandbox, la **Lista de bloqueo** y la **Lista permitida** de tu aplicación en **Listas** se aplican en cada registro, inicio de sesión y restablecimiento de contraseña, tengas o no activada la protección contra bots. Son las mismas listas que usan tus verificaciones, así que un valor que bloqueas ahí también queda bloqueado en el inicio de sesión.

En Free, las listas de una aplicación en Producción solo se aplican a la verificación de identidad.

| Lista | Qué hace en el inicio de sesión |
|---|---|
| **Lista de bloqueo** | Una persona cuyo correo electrónico, número de teléfono, dirección IP (o un rango que la incluya), dispositivo o usuario (su `vendor_data`) esté en ella no puede registrarse ni iniciar sesión. El intento se rechaza y aparece como **Bloqueado** en **Autenticación → Accesos**. |
| **Lista permitida** | Una dirección IP (o un rango) que esté en ella se salta **Detección de bots**, **Uso de credenciales robadas** y **IP de VPN y centros de datos**. Un correo electrónico que esté en ella se salta **Correos desechables**. Un dispositivo que esté en ella no cambia nada en el inicio de sesión. **Bloqueo por fuerza bruta**, **Viaje imposible**, el modo de ataque, los límites de solicitudes y la Lista de bloqueo se aplican siempre. |

- Una persona que ya ha iniciado sesión y luego se añade a la Lista de bloqueo se desconecta en un plazo de cinco minutos.
- Un valor que está en ambas listas se bloquea.
- Un cambio en una lista se aplica en un plazo de 30 segundos.
- Las listas personalizadas, como High Risk Countries (países de alto riesgo), no se aplican en el inicio de sesión.
- Si no se pueden comprobar las listas, el inicio de sesión continúa. Un inicio de sesión nunca falla por esta comprobación.

## Seguridad y sesiones

**Autenticación → Seguridad y sesiones** reúne estos ajustes:

| Ajuste | Opciones | Por defecto |
|---|---|---|
| **Quién debe usar MFA** | Todos, Administradores de organizaciones, Opcional | Administradores de organizaciones |
| **Métodos de MFA** | Se aceptan la clave de acceso, la aplicación de autenticación y los códigos de respaldo. Elegir cuáles todavía no está disponible. | Cualquiera de ellos |
| **Duración de la sesión** | 1 día, 7 días, 30 días, 90 días | 30 días |
| **Finaliza tras un periodo de inactividad** | 30 minutos, 2 horas, 1 día, 7 días | 1 día |
| **Longitud mínima de la contraseña** | 8, 10, 12 o 14 | 10 |
| **Quién puede registrarse** | Cualquiera, Personas invitadas, Dominios permitidos (hasta 100 dominios) | Cualquiera |

Otros ajustes de la página:

- **Varios dispositivos a la vez**: activado por defecto. Desactívalo para cerrar la sesión de una persona en sus otras sesiones en cada inicio de sesión nuevo.
- **Cerrar las sesiones de otros dispositivos al cambiar la contraseña**: activado por defecto. Termina todas las sesiones después de restablecer la contraseña.
- **Subdirecciones de correo**: si se acepta una dirección con un signo más, como `name+tag@example.com`. Desactivado por defecto.
- **Dominios de correo permitidos**: se usa cuando el registro está limitado a dominios permitidos.
- **Listas de permitidos y bloqueados**: abre **Listas**, donde gestionas las listas de la aplicación. Donde tu plan lo incluye, ambas listas se aplican en el inicio de sesión, como describe la sección anterior.
- **URL de redirección** y **Orígenes permitidos**: adónde vuelven las personas después de iniciar sesión y qué sitios pueden llamar a Didit. Registra tus direcciones exactas. Las aplicaciones en Producción solo aceptan `https://`.

Una sesión también termina cuando tu equipo revoca o bloquea a la persona, o cuando se reutiliza un token de actualización.

## Qué requiere Growth

| Parte | Plan |
|---|---|
| Inicio de sesión en dos pasos (MFA), duración de sesión personalizada, bloqueo de usuarios, listas de permitidos y bloqueados en el inicio de sesión | Growth y superiores |
| 30 días de registros de inicios de sesión | Scale y superiores |

En un plan sin estas funciones, **Seguridad y sesiones** muestra "Los ajustes de seguridad requieren un plan superior" con **Ver planes**. Las sesiones tienen entonces una duración fija. Consulta [precios y usuarios activos](https://help.didit.me/es/authentication/pricing-and-active-users).

Cambiar los ajustes requiere un rol que pueda editar aplicaciones: Developer, Admin u Owner por defecto.

## Relacionado

- [Ver los inicios de sesión y cerrar la sesión o bloquear a un usuario](https://help.didit.me/es/authentication/users-sessions-and-organizations)
- [Cuánto cuesta Autenticación](https://help.didit.me/es/authentication/pricing-and-active-users)
- [Protección contra bots en la documentación](https://docs.didit.me/authentication/bot-protection)
- [Resumen de Autenticación en la documentación](https://docs.didit.me/authentication/overview)