Cuenta, equipos y sincronización

Qué hace cada campo, interruptor y ajuste: 105 controles en esta página. Es el texto que hay detrás del ⓘ junto a cada etiqueta en las apps: en el escritorio, pasa el puntero por encima o haz clic (o pulsa F1 en el campo); en el teléfono, tócalo.

La línea bajo cada nombre indica el identificador que usa el código y dice cuándo solo una de las apps tiene el control.

Cuenta: iniciar sesión, crear, recuperar

Dónde: Ajustes › Cuenta y sincronización.

URL del servidor

account.serverUrl

La dirección del servidor de sincronización de Sternway que gestionas tú o tu organización. Una cuenta vive en un servidor; la app funciona sin ninguno, y entonces nada sale de este dispositivo.

• Ejemplo: https://sternway.example.com
• Atención: Usa https://. http:// sin cifrar envía tu inicio de sesión sin protección; el escritorio solo lo acepta para un servidor en este mismo equipo.
• Más: Leer más (en inglés)

Correo electrónico

account.email

La dirección de correo electrónico con la que está registrada tu cuenta en ese servidor. Es tu nombre de usuario allí.

• Ejemplo: ada@example.com

Contraseña

account.password

La contraseña de tu cuenta. Demuestra al servidor quién eres y además desbloquea tus datos cifrados en este dispositivo; la contraseña en sí nunca se envía.

Código del autenticador

account.totp

El código de 6 dígitos que tu app de autenticación (Google Authenticator, Aegis, 1Password y similares) muestra ahora mismo para Sternway. Solo se pide si la autenticación de dos factores está activada en la cuenta.

• Ejemplo: 492 817

Nombre

account.name

El nombre con el que te ven tus compañeros, por ejemplo en la lista de miembros de un equipo. Hasta 256 caracteres.

• Ejemplo: Ada Lovelace

Contraseña

account.newPassword

La contraseña de la cuenta, de al menos 8 caracteres. También cifra tus datos antes de subir nada, así que el servidor nunca ve tus hosts ni tus claves.

• Atención: Nadie puede restablecerla por ti, ni siquiera el administrador del servidor. Si la olvidas, solo tu kit de recuperación te permite volver a entrar.

Confirmar contraseña

account.confirmPassword

Vuelve a escribir la misma contraseña para detectar una errata mientras aún se puede corregir.

Clave de recuperación

account.recoveryKey

La clave de 52 caracteres de tu kit de recuperación, la página que imprimiste o guardaste al crearlo. Los espacios, los guiones y las mayúsculas no importan.

• Ejemplo: ABCD-EFGH-JKMN-…
• Atención: Recuperar establece una nueva contraseña e inutiliza este kit de recuperación: crea un kit nuevo después.

Contraseña de cifrado

account.ssoEncryptionPassword

El inicio de sesión único demuestra quién eres, pero no puede desbloquear tus datos. Esta contraseña aparte cifra y desbloquea tus bóvedas en tus dispositivos y nunca sale de ellos. Al menos 8 caracteres cuando la estableces por primera vez.

• Atención: Tu organización no puede restablecerla. Guarda un kit de recuperación.

Organización SSO

account.ssoOrganization

El nombre corto del inicio de sesión único de tu equipo, que eligió el propietario del equipo y te comunicó. Sternway te envía al proveedor de identidad de ese equipo (Okta, Entra ID, Google Workspace, Keycloak y similares). Déjalo vacío para usar el proveedor de inicio de sesión del propio servidor, si tiene uno.

• Ejemplo: acme
• Atención: En un servidor, los nombres se asignan al primero que los pide. Antes de que se abra el navegador, Sternway muestra el nombre del equipo y la dirección del proveedor de identidad: continúa solo si ambos son los tuyos.
• Más: Leer más (en inglés)

Cuenta: perfil y seguridad

Dónde: Ajustes › Cuenta y sincronización, con la sesión iniciada.

Nombre visible

profile.name · Solo escritorio

El nombre con el que te ven tus compañeros. Obligatorio, hasta 256 caracteres.

Correo electrónico

profile.email · Solo escritorio

La nueva dirección de correo electrónico de tu cuenta. A partir de entonces inicias sesión con ella.

Contraseña actual

account.currentPassword

La contraseña actual de tu cuenta, para demostrar que eres tú quien hace este cambio.

Nueva contraseña

security.newPassword

La nueva contraseña, de al menos 8 caracteres y distinta de la actual. Tus datos siguen cifrados; sus claves se vuelven a envolver con la nueva contraseña.

• Atención: Cambiar la contraseña inutiliza tu kit de recuperación. Crea uno nuevo justo después.

Código del autenticador

twoFactor.code

El código de 6 dígitos que muestra tu app de autenticación después de añadirle el secreto de arriba. Escribirlo demuestra que la app está configurada, y a partir de entonces iniciar sesión requiere tu contraseña y un código.

• Atención: Al activar la verificación en dos factores se muestran una sola vez diez códigos de recuperación de un solo uso: guárdalos. Para desactivarla se necesita un código actual, y se eliminan esos códigos de recuperación.

Nombre de la llave de acceso

account.passkeyName

Un nombre para distinguir esta llave de acceso en la lista, como el dispositivo o el gestor de contraseñas que la guarda. Hasta 64 caracteres. Añadir la llave de acceso también pide tu contraseña (y tu código de autenticación si la autenticación de dos factores está activada), porque una llave de acceso sustituye a ese código al iniciar sesión.

• Ejemplo: Portátil del trabajo (Windows Hello)
• Más: Leer más (en inglés)

Código

account.emailCode

El código de seis dígitos que tu servidor envió a la dirección de correo de tu cuenta. Al escribirlo demuestras que la dirección es tuya; tus compañeros de equipo la verán como verificada. Un código vale 15 minutos y cinco intentos; después pide uno nuevo.

• Más: Leer más (en inglés)

He impreso o guardado mi kit de recuperación

recovery.stored

Marca esta casilla cuando la clave de recuperación esté en un lugar seguro fuera de este dispositivo. Solo se muestra esta vez y es la única forma de volver a entrar si olvidas tu contraseña.

• Atención: Quien tenga esta clave y conozca tu dirección de correo electrónico puede establecer una nueva contraseña para la cuenta. Guárdala como una llave de repuesto de casa, no en una nota de este dispositivo.

Escribe DELETE para confirmar

danger.typeDelete · Solo escritorio

Un freno deliberado: el botón solo funciona cuando has escrito la palabra DELETE en mayúsculas.

• Atención: Eliminar una cuenta la quita del servidor junto con sus datos sincronizados (se puede restaurar durante 30 días). Restablecer una cuenta elimina permanentemente todas las bóvedas y elementos, sin vuelta atrás.

Directorio de claves públicas

Dónde: Ajustes › Cuenta y sincronización › Directorio de claves públicas (escritorio).

Identificador

keyDirectory.handle · Solo escritorio

Un nombre público corto bajo el que se publican tus claves públicas SSH en tu servidor de Sternway, para que un administrador de servidores pueda obtenerlas sin enviar archivos de clave por correo. De 3 a 32 letras minúsculas, dígitos o guiones.

• Ejemplo: ada
• Atención: Cualquiera que pueda acceder al servidor puede leer las claves publicadas bajo un identificador, sin iniciar sesión. Las claves públicas se pueden compartir sin riesgo, pero el identificador muestra qué claves son tuyas.

Contraseña de la cuenta

keyDirectory.password · Solo escritorio

La contraseña de tu cuenta, necesaria para cambiar el identificador o las claves publicadas.

Claves que publicar

keyDirectory.keys · Solo escritorio

Marca las claves cuya mitad pública debe aparecer bajo tu identificador. Solo se publica la mitad pública. Si no hay ninguna marcada, publicar las quita todas.

Equipos y bóvedas

Dónde: Ajustes › Cuenta y sincronización › Equipos, Bóvedas (escritorio).

Enlace de invitación

teams.inviteLink

El enlace del correo de invitación que te envió el propietario de un equipo. Al pegarlo te unes a ese equipo con la cuenta con la que has iniciado sesión. Una invitación funciona una vez, durante 7 días desde su envío, y solo para la cuenta a cuya dirección de correo se envió.

Nombre del equipo

teams.name

Cómo se llama el equipo. Un equipo es un grupo de cuentas que comparten bóvedas de hosts, claves y fragmentos. Obligatorio, hasta 256 caracteres.

• Ejemplo: Equipo de plataforma

Invitar por correo

teams.inviteEmail

La dirección de correo electrónico de la persona a la que invitar. Recibe un enlace para unirse; necesita, o crea, una cuenta en este servidor con esa misma dirección. El enlace funciona una vez y caduca a los 7 días; después, vuelve a invitarla.

Acceso a la bóveda

teams.memberPermission

Lo que este miembro puede hacer en la bóveda: “Puede editar” le permite cambiar su contenido, “Puede ver” le permite verla y usarla sin cambiarla, “Quitar acceso” le retira la bóveda. Con “Puede ver”, un miembro puede conectarse a los hosts de la bóveda y leer sus registros de sesión, pero no puede añadir, editar, mover, renombrar ni eliminar nada en ella, guardar en ella una contraseña o una clave de host, ni cambiar su registro.

• Atención: “Puede ver” no sirve para ocultar secretos a alguien. La app no ofrece a un miembro de solo lectura “Exportar clave privada” ni “Copiar clave privada”, pero es una regla de la app, no del cifrado: sus dispositivos reciben la clave de la bóveda, así que lo que contiene (contraseñas guardadas, claves privadas) se puede leer allí, y sus elementos se pueden copiar a una bóveda propia.

Miembro

teams.accessMember · Solo escritorio

El miembro del equipo al que dar esta bóveda. Solo aparecen los miembros que se unieron al equipo y ahora no tienen acceso a la bóveda; invita primero a alguien al equipo para añadirlo.

El acceso termina

teams.accessEnds

Cuándo termina por sí solo el acceso del miembro a esta bóveda. El fin se firma en la lista de miembros del equipo, así que la app de cada miembro lo termina entonces, diga lo que diga el servidor, y el servidor rechaza al miembro desde ese momento. Después la bóveda necesita una clave nueva, como tras quitar un acceso: rótala. Elegir de nuevo Puede editar o Puede ver mantiene el fin; dar acceso otra vez sin fin lo quita.

• Predeterminado: Nunca: hasta que quites el acceso.
• Atención: El fin impide que las apps del miembro abran la bóveda y reciban nada nuevo; lo que sus dispositivos recibieron antes pudo copiarse, como con cualquier retirada.

Exigir 2FA

teams.require2fa · Solo escritorio

Los miembros deben tener la autenticación de dos factores activada en su cuenta para abrir las bóvedas de este equipo. Se aplica de inmediato; los miembros que no la tengan quedan bloqueados fuera de las bóvedas del equipo hasta que la activen.

• Predeterminado: Desactivado.

Grabar sesiones en hosts del equipo

teams.recordSessions · Solo escritorio

La app de escritorio de cada miembro graba cada sesión a un host de las bóvedas de este equipo, digan lo que digan el host o los ajustes del propio miembro, y muestra en ella una insignia roja “Grabando”. Las grabaciones se quedan en el dispositivo de cada miembro; Sternway no sube grabaciones al servidor. La app del teléfono aún no graba, así que las sesiones del teléfono no están incluidas.

• Predeterminado: Desactivado.
• Atención: Una grabación contiene todo lo mostrado en la terminal. Avisa a tu equipo antes de activarlo.
• Más: Leer más (en inglés)

Qué pasa con su cuenta

teams.removeMode · Solo escritorio

“Convertir en cuenta individual” lo quita del equipo y le permite conservar una cuenta personal. “Eliminar su cuenta” quita la cuenta del servidor.

• Predeterminado: Convertir en cuenta individual.
• Atención: En ambos casos se sustituyen las claves de todas las bóvedas que podía abrir, así que lo que conocía deja de funcionar.

Transferir la propiedad

teams.transferTo · Solo escritorio

El miembro que pasa a ser propietario del equipo cuando acepte. Hasta entonces sigues siendo el propietario; después conservas acceso de edición a las bóvedas del equipo.

Salir del equipo

teams.leave

Saca tu cuenta del equipo. Un miembro sale de inmediato: las bóvedas del equipo y sus copias en tus dispositivos desaparecen; tu cuenta y tu propia bóveda se mantienen. El propietario sale eligiendo un nuevo propietario, y sigue siéndolo hasta que ese miembro acepte; un propietario que es el único miembro elimina el equipo en su lugar.

• Atención: Lo que guardaste en las bóvedas del equipo se queda en el equipo. Copia antes a tu propia bóveda lo que necesites.

Nuevo propietario

teams.leaveNewOwner

El miembro que se hace cargo del equipo. Primero se le pregunta: sigues siendo el propietario hasta que acepte, y entonces sales del equipo. Hasta entonces puedes cancelar, y él puede rechazarlo.

Esperando al nuevo propietario

teams.pendingTransfer

Pediste a un miembro que se hiciera cargo del equipo. No cambia nada hasta que acepte; entonces el equipo es suyo y, si elegiste salir, quedas fuera. “Cancelar transferencia” retira la petición.

¿Hacerte cargo de …?

teams.ownershipOffer

El propietario te pidió que pasaras a ser el propietario del equipo. Si aceptas, serás el propietario: gestionas sus miembros, bóvedas y ajustes, y obtienes acceso de edición a todas las bóvedas del equipo. Si rechazas, todo se queda como está y se avisa al propietario.

• Atención: Si el propietario eligió salir, pierde el acceso a las bóvedas del equipo en cuanto aceptas, y las bóvedas que podía abrir se marcan para rotar sus claves.

Eliminar equipo

teams.delete

Elimina el equipo para todos: sus bóvedas con todos los hosts, claves y fragmentos que contienen, el acceso de sus miembros, las invitaciones pendientes y su registro de auditoría. Los dispositivos de cada miembro eliminan sus copias de las bóvedas en su siguiente sincronización. Solo puede hacerlo el propietario, y solo tras escribir el nombre del equipo.

• Atención: No se puede deshacer. Exporta antes los hosts del equipo si puedes volver a necesitarlos.

Número de seguridad

teams.safetyNumber

Treinta dígitos calculados a partir de las claves de cifrado de una cuenta. El tuyo está en Cuenta › Seguridad; el de cada compañero, en su fila del equipo. Compáralos en persona o por otro canal de confianza: si coinciden, las claves son de verdad de esa persona y el servidor no puede leer ni cambiar lo que comparte el equipo. «Marcar como verificado» lo recuerda en este dispositivo.

• Atención: Si un número cambia, cambiaron las claves de la cuenta (un restablecimiento de la cuenta o alguien en medio). Sternway detiene lo que depende de ellas hasta que compares el número nuevo.
• Más: Leer más (en inglés)

Comparé este número con …

teams.restoreCompared

Marca esta casilla cuando tú y la persona hayan comparado el número de seguridad de esta fila con el de su propia Cuenta › Seguridad, en persona o por otro canal de confianza. «Restaurar» en la fila la añade entonces a la lista de miembros del equipo con ese número y comparte exactamente las bóvedas mostradas. «Restaurar todo» deja fuera a quien no tenga el número marcado como verificado.

• Atención: Un número que no comparaste puede ser una clave que puso el servidor: quien la tenga puede leer las bóvedas que compartes con ella.
• Más: Leer más (en inglés)

Nombre del equipo, para confirmar

teams.deleteName

Escribe el nombre del equipo exactamente como se muestra, con las mismas mayúsculas y espacios. Eliminar equipo permanece desactivado hasta que coincida.

Contraseña de la copia de seguridad

teams.exportPassword

La contraseña que cifra el archivo que escribe “Exportar antes los hosts del equipo”, de al menos 8 caracteres. El archivo solo contiene las bóvedas del equipo, claves y contraseñas guardadas incluidas. Si se restaura cuando el equipo ya no existe, su contenido va a tu propia bóveda.

• Atención: No se puede recuperar: sin ella el archivo no se puede abrir. Cualquiera con el archivo y la contraseña tiene todas las claves que contienen las bóvedas del equipo.

Inicio de sesión único (SAML)

teams.saml · Solo escritorio

Permite que los miembros del equipo inicien sesión mediante el proveedor de identidad de tu organización (Okta, Entra ID, Google Workspace, Keycloak y otros que usan SAML 2.0). Demuestra quiénes son; su propia contraseña de cifrado sigue desbloqueando sus datos.

• Predeterminado: No configurado.
• Más: Leer más (en inglés)

Nombre de la organización SSO

teams.samlOrganization · Solo escritorio

El nombre corto que los miembros escriben en “Iniciar sesión con SSO” para llegar al proveedor de identidad de este equipo. Único en el servidor; letras minúsculas, dígitos y guiones.

• Ejemplo: acme
• Más: Leer más (en inglés)

URL de metadatos del IdP

teams.samlMetadataUrl · Solo escritorio

Dónde publica tu proveedor de identidad sus metadatos SAML. Sternway (esta app, no el servidor) los descarga y rellena el ID de entidad, la URL de inicio de sesión y los certificados de firma. Vuelve a obtenerlos después de que el proveedor rote su certificado.

• Ejemplo: https://login.example.com/app/sternway/sso/saml/metadata

XML de metadatos del IdP

teams.samlMetadataXml · Solo escritorio

El documento de metadatos SAML del proveedor de identidad, pegado o cargado desde un archivo, cuando no tiene una URL de la que obtenerlo.

ID de entidad del IdP

teams.samlEntityId · Solo escritorio

El nombre que el proveedor de identidad usa para sí mismo (su Issuer). Cada inicio de sesión que envía debe llevar exactamente este valor.

• Ejemplo: https://sts.windows.net/0000…/

URL de inicio de sesión del IdP

teams.samlSsoUrl · Solo escritorio

La dirección de inicio de sesión único del proveedor de identidad para el enlace HTTP-Redirect. Los navegadores de los miembros se envían allí para iniciar sesión.

• Atención: Debe usar https:// (http:// sin cifrar solo se acepta para un proveedor en la propia máquina del servidor).

Certificado de firma

teams.samlCert · Solo escritorio

El certificado (PEM) con el que tu proveedor de identidad firma los inicios de sesión. Se rechaza un inicio de sesión firmado con cualquier otra clave.

Segundo certificado de firma

teams.samlCert2 · Solo escritorio

El siguiente certificado mientras tu proveedor de identidad rota su clave de firma: se aceptan ambos hasta que quites el antiguo.

• Predeterminado: Vacío: solo se acepta el primer certificado.

Atributo de correo

teams.samlEmailAttribute · Solo escritorio

El atributo SAML que lleva la dirección de correo electrónico del miembro.

• Predeterminado: Vacío: el NameID si su formato es emailAddress; si no, un atributo llamado email o mail.
• Ejemplo: http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress

Atributo de nombre

teams.samlNameAttribute · Solo escritorio

El atributo SAML que lleva el nombre visible del miembro, que se muestra al crear una cuenta nueva.

• Predeterminado: Vacío: un atributo llamado displayName o name; si no, la dirección de correo electrónico.

Exigir SSO a los miembros

teams.samlRequire · Solo escritorio

Los miembros (no tú, el propietario) solo podrán iniciar sesión en Sternway mediante el proveedor de identidad de este equipo; se rechaza iniciar sesión solo con la contraseña o con otro proveedor. Siguen escribiendo su contraseña de cifrado.

• Predeterminado: Desactivado.
• Atención: Tú conservas el inicio de sesión con contraseña, para poder arreglar una configuración rota. Un miembro que sale del equipo puede volver a iniciar sesión con la contraseña.

Resumen de actividad

teams.digest · Solo escritorio

Un resumen por correo para el propietario de lo que cambió en las bóvedas del equipo: quién cambió qué y cuándo, nunca el contenido.

• Predeterminado: Desactivado.

Equipo

vaults.team · Solo escritorio

El equipo al que pertenece la nueva bóveda. Se puede dar acceso a la bóveda a sus miembros.

Nombre de la bóveda

vaults.name · Solo escritorio

Cómo se llama la bóveda. Una bóveda es una colección cifrada por separado de hosts, claves y fragmentos que se puede compartir con un equipo. Obligatorio, hasta 256 caracteres.

• Ejemplo: Servidores de producción

Políticas de equipo

Dónde: Ajustes › Cuenta y sincronización › Equipos › un equipo › Políticas.

Política

teamAdmin.mode

«Sin política» deja el ajuste a cada miembro. «Sugerida» se aplica donde un miembro no tiene un ajuste propio, y puede usar el suyo. «Bloqueada» es un mínimo: los miembros pueden hacerla más estricta, nunca más laxa.

• Predeterminado: Sin política.
• Atención: Relajar una política te pide confirmar que eres tú, y se avisa al propietario.
• Más: Leer más (en inglés)

Motivo

teamAdmin.reason

Por qué se fija la política; los miembros lo ven como texto simple junto al ajuste. Hasta 280 caracteres. El servidor de sincronización puede leerlo.

• Más: Leer más (en inglés)

Exigir la autenticación de dos factores

policy.auth.require2fa

Los miembros necesitan la autenticación de dos factores en su cuenta para usar las bóvedas, los cambios y los informes de este equipo. El inicio de sesión y las bóvedas personales nunca se bloquean. Lo aplica el servidor.

• Predeterminado: Sin política.
• Más: Leer más (en inglés)

Exigir iniciar sesión con llave de acceso

policy.auth.requirePasskey

Quién debe haber iniciado sesión con una llave de acceso para usar los recursos de este equipo: todos, o solo el propietario, los administradores y los roles que firman. Lo aplica el servidor. No se puede combinar con «Exigir el inicio de sesión con SSO».

• Predeterminado: Sin política.
• Más: Leer más (en inglés)

Exigir el inicio de sesión con SSO

policy.auth.requireSso

Los miembros inician sesión en este equipo con el inicio de sesión único de tu organización. Solo el propietario lo cambia.

• Predeterminado: Sin política.
• Más: Leer más (en inglés)

Versión de la aplicación más antigua permitida

policy.apps.minVersion

Las aplicaciones anteriores a esta versión no pueden usar los recursos de este equipo hasta que se actualicen. Los administradores solo pueden subirla hasta una versión que ya informan los dispositivos de otros miembros; las sesiones del propietario nunca se bloquean.

• Predeterminado: Sin política.
• Atención: Una subida se aplica a las sesiones existentes 24 horas después de firmarse; el informe lista los dispositivos que bloquearía.
• Más: Leer más (en inglés)

Exigir el bloqueo de la aplicación

policy.lock.required

Activa el bloqueo de la aplicación en el dispositivo de cada miembro. Lo aplica la aplicación de cada miembro.

• Predeterminado: Sin política.
• Más: Leer más (en inglés)

Bloquear la aplicación como máximo tras

policy.lock.maxMinutes

Lo máximo que la aplicación de un miembro puede seguir desbloqueada sin uso, en minutos (1 a 1440). Un tiempo propio más corto se mantiene.

• Predeterminado: Sin política.
• Más: Leer más (en inglés)

Permitir shells locales

policy.localShell.allowed

Si los miembros pueden abrir un shell en su propio equipo mientras usan los hosts de este equipo. Desactivado es más estricto.

• Predeterminado: Sin política.
• Más: Leer más (en inglés)

Borrar los secretos copiados como máximo tras

policy.clipboard.maxClearSec

Lo máximo que una contraseña o clave copiada puede quedar en el portapapeles, en segundos (1 a 3600). Un tiempo propio más corto se mantiene.

• Predeterminado: Sin política.
• Más: Leer más (en inglés)

Iniciar sesión solo con claves, sin contraseñas

policy.hosts.keysOnly

Los hosts del equipo inician sesión solo con claves: no se guardan ni envían contraseñas para ellos. Lo aplica la aplicación de cada miembro.

• Predeterminado: Sin política.
• Más: Leer más (en inglés)

Claves de host desconocidas

policy.ssh.hostKeyPolicy

«Rechazar claves desconocidas» nunca se conecta a un host cuya clave aún no se conoce; «Preguntar» pregunta antes al miembro.

• Predeterminado: Sin política.
• Más: Leer más (en inglés)

Reenvío del agente SSH

policy.ssh.agentForwarding

Lo que el agente SSH reenvía a los hosts del equipo, en cada salto: nada, solo la clave de inicio de sesión o todas las claves. Los valores más estrictos ganan al ajuste propio de un miembro.

• Predeterminado: Sin política.
• Atención: Un agente reenviado permite a cualquiera con root en el host usar tus claves mientras estás conectado.
• Más: Leer más (en inglés)

Permitir algoritmos SSH antiguos

policy.ssh.legacyAlgorithms

Si las conexiones a los hosts del equipo pueden usar algoritmos SSH antiguos y más débiles (para equipos antiguos). Desactivado es más estricto.

• Predeterminado: Sin política.
• Más: Leer más (en inglés)

Los reenvíos de puertos escuchan solo en este dispositivo

policy.forwards.loopbackOnly

Los reenvíos de puertos a los hosts del equipo escuchan solo en el propio equipo del miembro, no en su red.

• Predeterminado: Sin política.
• Más: Leer más (en inglés)

Los miembros pueden añadir hosts

policy.hosts.membersMayAdd

Si los miembros que no firman cambios pueden añadir hosts a las bóvedas del equipo. Lo aplica el servidor.

• Predeterminado: Sin política.
• Más: Leer más (en inglés)

Exportar sin cifrado

policy.export.plaintext

Si los datos del equipo pueden exportarse a un archivo sin cifrar. «Bloqueada» sigue permitiendo copias de seguridad cifradas y exportar o copiar una clave privada del equipo con una frase de contraseña; las claves del propietario del equipo salen en cualquier caso. Los hosts del equipo quedan fuera del CSV del inventario y las grabaciones de sus hosts no se exportan.

• Predeterminado: Sin política.
• Más: Leer más (en inglés)

Copiar o mover elementos fuera del equipo

policy.items.copyOut

«Solo dentro del equipo» impide copiar o mover hosts, claves y snippets a una bóveda personal o de otro equipo, y exportar o copiar las claves privadas del equipo, incluso con una frase de contraseña. Copiar y mover entre las bóvedas del propio equipo sigue funcionando, y el propietario del equipo puede seguir exportando claves.

• Predeterminado: Sin política.
• Más: Leer más (en inglés)

Asistente de IA

policy.ai.mode

Si el asistente de IA puede usarse con los hosts del equipo: desactivado, solo con los proveedores aprobados de abajo o con cualquier proveedor.

• Predeterminado: Sin política.
• Más: Leer más (en inglés)

Proveedores de IA aprobados

policy.ai.approvedProviders

Las direcciones (orígenes https) de los proveedores de IA que los miembros pueden usar con los hosts del equipo cuando el asistente se limita a los aprobados. Un proveedor coincide solo si su dirección es exactamente una de estas.

• Predeterminado: Ninguno.
• Más: Leer más (en inglés)

Compartir sesiones

policy.share.mode

Si los miembros pueden compartir una sesión con un host del equipo: desactivado, solo lectura o con control.

• Predeterminado: Sin política.
• Más: Leer más (en inglés)

Máximo tiempo compartiendo una sesión

policy.share.maxHours

Cuánto puede durar como máximo compartir una sesión, en horas (1 a 168).

• Predeterminado: Sin política.
• Más: Leer más (en inglés)

La sincronización de carpetas puede incluir datos del equipo

policy.folderSync.teamData

Si la sincronización de carpetas puede escribir bóvedas del equipo en una carpeta. Desactivado es más estricto.

• Predeterminado: Sin política.
• Más: Leer más (en inglés)

Acceso a bóvedas más largo

policy.grants.maxDays

El acceso más largo a una bóveda del equipo que puede dar cualquiera salvo el propietario, en días (1 a 3650). Lo aplica el servidor.

• Predeterminado: Sin política.
• Más: Leer más (en inglés)

Grabar las sesiones

policy.recording.required

La aplicación de cada miembro graba las sesiones con los hosts del equipo. Solo el propietario lo cambia.

• Predeterminado: Sin política.
• Atención: Una grabación contiene todo lo que se muestra en el terminal. Avisa a tu equipo antes de activarlo.
• Más: Leer más (en inglés)

Conservar las grabaciones como máximo

policy.retention.recordingsMaxDays

Lo máximo que el dispositivo de un miembro conserva las grabaciones de sesiones del equipo, en días (1 a 3650). Los administradores solo pueden subirlo; solo el propietario lo baja.

• Predeterminado: Sin política.
• Atención: Un valor menor borra las grabaciones más antiguas.
• Más: Leer más (en inglés)

Conservar los registros de sesión en el servidor durante

policy.retention.sessionLogsMaxDays

Cuánto conserva el servidor los registros de sesión del equipo, en días (1 a 3650). Los administradores solo pueden subirlo; solo el propietario lo añade, lo baja o lo quita.

• Predeterminado: Sin política.
• Atención: Un valor menor borra los registros más antiguos.
• Más: Leer más (en inglés)

Conservar el registro de auditoría durante

policy.audit.retentionDays

Cuánto conserva el servidor el registro de auditoría del equipo, en días: 0 lo conserva siempre; si no, al menos 30. Los administradores solo pueden subirlo; solo el propietario lo añade, lo baja o lo quita.

• Predeterminado: Sin política.
• Atención: Un valor menor borra los eventos de auditoría más antiguos.
• Más: Leer más (en inglés)

Roles de equipo, gobierno, actualización y restauración

Dónde: Ajustes › Cuenta y sincronización › Equipos › un equipo.

Rol

teamAdmin.role

Lo que este miembro puede hacer en el equipo: miembro, administrador o un rol personalizado. Un rol que firma cambios solo se da a un miembro cuyo número de seguridad verificaste.

• Predeterminado: Miembro.
• Más: Leer más (en inglés)

Nombre del rol

teamAdmin.roleName

El nombre del rol, que se muestra en las filas de los miembros. Hasta 280 caracteres. El servidor de sincronización puede leerlo.

• Más: Leer más (en inglés)

Permisos

teamAdmin.perms

Lo que pueden hacer quienes tienen el rol. Invitar, quitar, crear, compartir, rotar, eliminar y gestionar políticas firman cambios del equipo; ver informes y exportar el registro de auditoría no.

• Más: Leer más (en inglés)

Los administradores pueden eliminar bóvedas

teamAdmin.adminsMayDeleteVaults

Permite a los administradores con acceso de edición a una bóveda eliminarla. Puedes restaurar una bóveda eliminada durante 30 días.

• Predeterminado: Desactivado.
• Más: Leer más (en inglés)

Eliminar una bóveda necesita tu aprobación

teamAdmin.deleteApproval

La eliminación de un administrador te llega como propuesta en lugar de ocurrir de inmediato.

• Predeterminado: Desactivado.
• Más: Leer más (en inglés)

Relajar una política necesita tu aprobación

teamAdmin.relaxApproval

La relajación de una política por un administrador te llega como propuesta en lugar de ocurrir de inmediato.

• Predeterminado: Desactivado.
• Más: Leer más (en inglés)

Espera antes de que una relajación entre en vigor

teamAdmin.relaxDelay

Cuánto se mantiene el ajuste más estricto después de que un administrador relaje una política, para que puedas revertirla: ninguna, 15 minutos, 1 hora, 4 horas o 24 horas.

• Predeterminado: Sin espera.
• Más: Leer más (en inglés)

Cerrar las versiones perdidas

teamAdmin.closeLost

Las claves antiguas de bóveda que este dispositivo nunca tuvo no se pueden incluir en la nueva lista de miembros. Cerrarlas mantiene legibles los elementos escritos con ellas donde se tiene la clave, y ya no se escribe nada con ellas.

• Más: Leer más (en inglés)

Quién firma los cambios

teamAdmin.signing

Propietario y administradores: los administradores y roles que des firman cambios dentro de las reglas. Solo tú: firmas cada cambio y los administradores pueden proponerlos.

• Predeterminado: Propietario y administradores.
• Más: Leer más (en inglés)

Aplicar la política de … a mis propios hosts y claves en este dispositivo

teamAdmin.personalOptIn

La política del equipo cubre sus propias bóvedas. Activada, también cubre tus hosts, claves y ajustes personales en este dispositivo: sus valores bloqueados son también un mínimo ahí. Se aplica solo en este dispositivo, y solo tú puedes cambiarlo.

• Predeterminado: Desactivada.
• Más: Leer más (en inglés)

Nombre de la bóveda nueva

teamAdmin.restoreName

El nombre de la bóveda creada a partir de la copia de este dispositivo. Recibe claves nuevas; los miembros solo tienen acceso cuando se lo des.

• Más: Leer más (en inglés)

Sincronizar mediante una carpeta

Dónde: Ajustes › Cuenta y sincronización › Sincronizar mediante una carpeta, sin sesión iniciada (escritorio y Android).

Carpeta

folderSync.folder

Una carpeta que una herramienta de sincronización que ya usas lleva a tus otros dispositivos: Dropbox, OneDrive, Google Drive para ordenador, iCloud Drive, Syncthing o una carpeta de red compartida. Sternway crea dentro una carpeta “Sternway Sync” y solo escribe allí archivos cifrados. Todos los dispositivos que sincronizas apuntan a la misma carpeta.

• Ejemplo: ~/Dropbox
• Atención: Usa una carpeta que solo tú puedas abrir. Cualquiera que tenga los archivos y tu frase de contraseña de sincronización puede leer tus hosts y claves.
• Más: Leer más (en inglés)

Frase de contraseña de sincronización

folderSync.passphrase

Cifra todo lo que Sternway escribe en la carpeta. La define el primer dispositivo; cada uno de los demás la pide una vez, cuando activas allí la sincronización por carpeta. Al menos 12 caracteres; unas cuantas palabras sin relación son fáciles de escribir y difíciles de adivinar.

• Atención: Nadie puede recuperarla por ti. Los dispositivos que ya sincronizan siguen funcionando sin ella, pero un dispositivo nuevo no puede unirse, así que guárdala en tu gestor de contraseñas.
• Más: Leer más (en inglés)

Confirmar frase de contraseña de sincronización

folderSync.confirmPassphrase

Vuelve a escribir la misma frase de contraseña para detectar una errata.

Desactivar

folderSync.turnOff · Solo escritorio

Este dispositivo deja de leer y escribir en la carpeta. Tus hosts, claves y ajustes se quedan aquí tal como están, y la carpeta conserva sus archivos para tus otros dispositivos.

Bloqueo de la app

Dónde: Ajustes › Seguridad › Bloqueo de la app; la pantalla de bloqueo.

PIN o frase de contraseña actual

appLock.current

El código que desbloquea ahora la app, necesario para cambiarlo o desactivar el bloqueo.

Nuevo PIN o frase de contraseña

appLock.new

El código que escribirás para abrir la app, de al menos 4 caracteres (en un equipo sin llavero del sistema, donde también es la frase de contraseña que cifra los datos: al menos 8, y no solo dígitos). La app se inicia entonces bloqueada y se vuelve a bloquear tras un tiempo inactiva. Bloquear oculta la app; tus sesiones siguen en marcha.

• Atención: No hay “he olvidado mi PIN”: solo se guarda un hash con sal (y, en un teléfono con el desbloqueo por huella o rostro activado, el propio PIN en el almacenamiento seguro del teléfono). Demasiados intentos fallidos hacen que la app espere cada vez más entre intentos.

Confirmar

appLock.confirm

Vuelve a escribir el mismo código para detectar una errata antes de quedarte fuera.

Desbloquear con huella o rostro

appLock.biometric · Solo teléfono

Abre la app con la verificación de huella o rostro del teléfono en lugar de escribir el PIN. Escribe primero tu PIN actual arriba y luego activa esta opción.

• Predeterminado: Desactivado.
• Atención: Para que funcione, el PIN se guarda en el almacenamiento seguro del teléfono (iOS Keychain, Android Keystore) y la app lo lee tras una verificación biométrica correcta. Desactivar esta opción, o desactivar el bloqueo, lo elimina.

PIN

lock.code

El código que elegiste para el bloqueo de la app. Las sesiones siguen en marcha mientras la app está bloqueada.

• Atención: Tras 5 intentos fallidos, la app te hace esperar, 30 segundos al principio y el doble cada vez.

Nueva frase de contraseña

lock.createPassphrase · Solo escritorio

Todo lo que Sternway guarda en este equipo está cifrado con una clave aleatoria, y esa clave normalmente la guarda el llavero del sistema (llavero de macOS, DPAPI de Windows, el keyring de Linux). Este equipo no tiene ninguno en el que la app confíe: no hay keyring, o solo el almacén “basic” sin protección. Así que la clave se cifra con una frase de contraseña que eliges tú, y nunca se guarda sin protección. Al menos 8 caracteres y no solo dígitos. La escribes cada vez que se inicia la app; también es el bloqueo de la app, y se puede cambiar pero no desactivar.

• Atención: No se puede recuperar. Sin ella no se pueden abrir los datos de este dispositivo.

Confirmar frase de contraseña

lock.confirmPassphrase · Solo escritorio

Vuelve a escribir la misma frase de contraseña para detectar una errata.