Inicio de sesión y contraseñas

Decide cómo inicia sesión la gente: longitud de la contraseña, un atajo para la red de casa e inicio de sesión externo. Solo el propietario cambia estos ajustes, en Settings > Sign-in and security (Ajustes > Inicio de sesión y seguridad).

Fijar la longitud mínima de la contraseña

1. Abre Settings > Sign-in and security > Passwords (Ajustes > Inicio de sesión y seguridad > Contraseñas).
2. Escribe un número del 4 al 64. El valor predeterminado es 8.
3. Haz clic en Save (guardar). Deberías ver que el número nuevo sigue ahí después de recargar.

El mínimo se aplica a toda contraseña nueva: el primer propietario, las invitaciones aceptadas, los cambios en My account (mi cuenta) y holyarrs reset-owner. Las contraseñas que ya existen siguen funcionando hasta su próximo cambio. La contraseña más larga es de 1024 caracteres.

Precaución

HolyArrs frena los inicios de sesión fallidos repetidos, pero una contraseña corta sigue siendo fácil de adivinar. Si se puede llegar a HolyArrs desde fuera de tu casa, usa 12 o más.

Omitir el inicio de sesión en mi red local

Los dispositivos de tu red de casa abren HolyArrs como propietario, sin contraseña. Desactivado de forma predeterminada.

1. Abre Settings > Sign-in and security > Local network (Ajustes > Inicio de sesión y seguridad > Red local).
2. Enumera tus redes, una por línea, hasta 32. Usa un rango (192.168.1.0/24, fd00::/8) o una sola dirección (192.168.1.20).
3. Activa el interruptor y guarda. Deberías ver tu propia dirección en la tarjeta.

El interruptor no puede estar activado con la lista vacía, ni mientras exista alguna cuenta infantil. Crear claves de API, cambiar los ajustes de inicio de sesión, leer o reemplazar secretos y restaurar copias de seguridad siguen pidiendo una contraseña.

Comprueba primero la dirección

Algunas configuraciones hacen que todos los dispositivos parezcan una sola dirección de puerta de enlace: Docker Desktop, Docker o Podman en modo rootless y Kubernetes NodePort. Las más habituales son 172.17.0.1, 172.18.0.1 y siguientes, 10.88.0.1, 10.89.x.1, 10.0.2.2 y 192.168.65.x.

Si pones una de esas en la lista, cualquiera que llegue a HolyArrs entra como propietario. La tarjeta te advierte cuando una entrada parece ser una de ellas. Abre la página desde un segundo dispositivo: si muestra la misma dirección, desactiva el interruptor y quita esa entrada.

Detrás de un proxy inverso, HolyArrs solo lee la dirección reenviada de los proxies que están en HOLYARRS_TRUSTED_PROXIES. Si no, la tarjeta no muestra ninguna dirección y dice que el proxy no es de confianza.

Inicio de sesión único

Un proveedor de OpenID Connect puede iniciar la sesión de la gente. Aparece como un botón en la página de inicio de sesión.

1. Abre Settings > Sign-in and security > Single sign-on (Ajustes > Inicio de sesión y seguridad > Inicio de sesión único).
2. Escribe el emisor del proveedor y haz clic en Test (probar). En la prueba no se envía ningún secreto.
3. Escribe el id de cliente y el secreto de cliente. Marca Public client (cliente público) si el proveedor no usa secreto.
4. Copia la Callback address (dirección de retorno) y registra esa dirección exacta en el proveedor.
5. Escribe tu contraseña, más un código de verificación en dos pasos si usas uno, y haz clic en Save. Cada cambio lo pide.

Después vincula tu propia cuenta: inicia sesión con tu contraseña, abre My account, en Linked sign-ins (inicios de sesión vinculados) haz clic en Link (vincular), confirma tu contraseña y luego haz clic en Single sign-on.

Consejo

Conserva una contraseña de propietario que funcione. Si el proveedor está caído, el inicio de sesión con contraseña sigue funcionando.

Opciones

Dejar que entre gente nueva mediante el inicio de sesión único

Desactivado de forma predeterminada. Activado, cualquiera a quien el proveedor inicie sesión recibe una cuenta, así que HolyArrs te pide que lo confirmes. Los recién llegados entran como miembros que solo pueden pedir. El inicio de sesión único nunca crea un propietario ni un administrador.

Cambiar el emisor o el id de cliente

Tienes que escribir el secreto otra vez. Los vínculos antiguos se eliminan y se cierra la sesión de todos los que usaban el inicio de sesión único. Vuelven a vincularse desde My account. Desactivar el inicio de sesión único también les cierra la sesión.

Desvincular un inicio de sesión

• El tuyo: My account > Linked sign-ins > Unlink (Mi cuenta > Inicios de sesión vinculados > Desvincular). Necesita una confirmación reciente de la contraseña, y se rechaza si es tu única forma de entrar.
• El de cualquiera: el propietario usa Settings > Users and roles (Ajustes > Usuarios y roles). Si es la única forma de entrar de esa persona, HolyArrs pregunta una vez más.

Desvincular cierra la sesión en los dispositivos que lo usaban. Si la entrada de gente nueva está abierta, la misma persona puede volver como miembro nuevo. Desactívala para que no pueda entrar.

Si no funciona

Síntoma: HolyArrs vuelve a pedirte la contraseña. Causa: los cambios en cuentas, claves y ajustes necesitan una confirmación de la contraseña de los últimos 10 minutos, más la verificación en dos pasos si está configurada. El inicio de sesión externo y el atajo de la red local no cuentan. Solución: confirma con tu contraseña. Cerrar sesión y cerrar la sesión de dispositivos nunca la piden.

Síntoma: un retorno falló con un error corto y sigues sin sesión iniciada. Causa: la dirección de retorno en el proveedor no es la misma que la de HolyArrs. Solución: copia Callback address otra vez y pégala tal cual en el proveedor.

Síntoma: una cuenta creada mediante el inicio de sesión único no puede poner una contraseña. Causa: no es posible en esta versión. Solución: crea primero el propietario local y después vincúlale el inicio de sesión único.

Síntoma: al cerrar sesión en HolyArrs, tu sesión en el proveedor siguió abierta. Causa: HolyArrs solo cierra su propio inicio de sesión. Solución: en un dispositivo compartido, cierra sesión también en el proveedor.

¿Perdiste la contraseña del propietario? Consulta Sesiones y contraseñas.

Para expertos

Inicio de sesión por proxy de confianza

Si un proxy inverso ya inicia la sesión de la gente, HolyArrs acepta el nombre que este le pasa. Configúralo solo en el entorno. Aparece como un botón en la página de inicio de sesión; una visita nunca inicia la sesión de nadie solo con las cabeceras.

• El proxy quita los Remote-User y Remote-Name entrantes y pone los suyos después del inicio de sesión.
• Remote-User: un nombre estable, de 255 bytes como máximo. Remote-Name: nombre visible opcional, de 200 bytes como máximo.
• Los valores repetidos, unidos por comas o con caracteres de control se rechazan. Las cabeceras de rol se ignoran.

Haz que solo se pueda llegar a HolyArrs a través de ese proxy. Confiar en la dirección de un proxy significa confiar en cada nombre que envía. Vincúlalo a una cuenta desde My account > Link trusted proxy sign-in (Mi cuenta > Vincular inicio de sesión por proxy de confianza).

Variables de entorno

Defínelas antes de iniciar. Los dos métodos están desactivados a menos que se activen. Una configuración incorrecta impide que HolyArrs se inicie; una caída del proveedor deja funcionando el inicio de sesión con contraseña. Si HOLYARRS_OIDC_ENABLED está definida, aunque sea como false, el entorno manda sobre el inicio de sesión único y Ajustes solo lo muestra.

Variable	Qué hace	Predeterminado
HOLYARRS_OIDC_ENABLED	Activa el inicio de sesión único	false
HOLYARRS_OIDC_ISSUER	Emisor HTTPS exacto del proveedor	ninguno
HOLYARRS_OIDC_CLIENT_ID	Id de cliente registrado	ninguno
HOLYARRS_OIDC_CLIENT_SECRET_FILE	Archivo que contiene el secreto de cliente, de 4096 bytes como máximo. Omítela para un cliente público	ninguno
HOLYARRS_OIDC_REDIRECT_URL	Retorno HTTPS exacto: tu dirección, la URL base si la hay y luego /api/v1/auth/oidc/callback	ninguno
HOLYARRS_OIDC_ALLOW_JOIN	La gente nueva entra como miembros que solo pueden pedir	false
HOLYARRS_OIDC_ALLOW_LOCAL_NETWORK	Permite un proveedor en tu red privada	false
HOLYARRS_OIDC_ALLOW_LOOPBACK_HTTP	Permite HTTP sin cifrar en loopback, para pruebas	false
HOLYARRS_FORWARD_AUTH_ENABLED	Activa el inicio de sesión por proxy de confianza	false
HOLYARRS_FORWARD_AUTH_ISSUER	Nombre HTTPS estable para este proxy. Un valor nuevo cuenta como un origen nuevo	ninguno
HOLYARRS_FORWARD_AUTH_TRUSTED_PEERS	Direcciones o rangos de proxies separados por comas. Obligatoria. Un rango que abarque todas las direcciones se rechaza	ninguno
HOLYARRS_FORWARD_AUTH_ALLOW_JOIN	Los nombres nuevos del proxy entran como miembros que solo pueden pedir	false

Los dos ajustes ALLOW_LOCAL_NETWORK y ALLOW_LOOPBACK_HTTP también se aplican al inicio de sesión único configurado en Ajustes.

Cómo funciona el inicio de sesión único

• El proveedor debe admitir el inicio de sesión con código de autorización, con PKCE S256 y tokens RS256, y con todos los endpoints en el origen del emisor.
• Las cuentas se emparejan por el id de cuenta propio del proveedor, nunca por email.
• Los roles y grupos del proveedor no se usan.
• El secreto de cliente se guarda cifrado y no se vuelve a mostrar. Deja el campo vacío para conservarlo.

Relacionado

• Usuarios y roles
• Sesiones y contraseñas
• Cuentas infantiles
• URL base y proxy inverso