MFA y seguridad desde el inicio

Las versiones 0.2.0 y 0.2.1 de DiagramaHub traen MFA por email y app TOTP, códigos de recuperación, contraseñas más fuertes, bitácora de seguridad y más hardening.

Tus diagramas describen cómo está construido tu sistema: qué servicios hay, cómo se autentican, dónde vive cada dato. Es información que no quieres que caiga en las manos equivocadas. Por eso, apenas unos días después de lanzar DiagramaHub, dedicamos dos versiones completas, la 0.2.0 y la 0.2.1, a reforzar la seguridad de las cuentas y de la plataforma.

Autenticación multi-factor

La novedad principal es MFA, con dos métodos que puedes tener activos al mismo tiempo:

Email: te enviamos un código al correo, en español o inglés según el idioma de tu cuenta.
App TOTP: Google Authenticator, Authy o cualquier app compatible.

Si activas los dos, eliges cuál es el predeterminado, y al iniciar sesión puedes usar "Probar otro método" para cambiar al otro. Además recibes 8 códigos de recuperación de un solo uso (formato XXXXX-XXXXX) para cuando no tengas a la mano tu método principal.

sequenceDiagram
    participant U as Tú
    participant D as DiagramaHub
    U->>D: Email y contraseña
    D->>U: Pide segundo factor
    U->>D: Código TOTP, email o de recuperación
    D->>U: Sesión de 5 días

Todo se gestiona desde la sección Seguridad de tu perfil: activar o desactivar métodos, cambiar el predeterminado y regenerar códigos. Si aún no tienes MFA, verás un banner discreto después de iniciar sesión recomendándote activarlo.

También cambiamos la duración de las sesiones: 2 días sin MFA y 5 días con MFA. Proteger tu cuenta te da, además, menos inicios de sesión.

Contraseñas más fuertes

La política de contraseñas pasó de 8 a 12 caracteres mínimos, con al menos una mayúscula, una minúscula, un dígito y un carácter especial, y no puede ser igual a tu email. En los formularios de registro, cambio y restablecimiento de contraseña verás un indicador de fortaleza en tiempo real.

En la 0.2.1 añadimos algo importante: al cambiar tu contraseña se invalidan todas las sesiones abiertas antes del cambio. Si sospechas que alguien entró a tu cuenta, cambiarla basta para sacarlo.

Bitácora de seguridad

La 0.2.1 incorpora un audit log de eventos de seguridad: logins exitosos y fallidos, bloqueos de cuenta, verificaciones MFA, cambios y restablecimientos de contraseña, uso de códigos de recuperación y resets de MFA hechos por un administrador. Los registros se conservan 90 días y se eliminan automáticamente después.

Para quien administra la instancia

Si hospedas DiagramaHub tú mismo, hay un nuevo panel de administración de usuarios: lista paginada con búsqueda, estado de MFA, plan de suscripción, fecha de registro y, desde la 0.2.1, número de diagramas por usuario. Puedes exportar esa lista a Excel (.xlsx) y desactivar el MFA de un usuario que se quedó fuera de su cuenta.

Hardening de la plataforma

Del lado del servidor también cerramos puertas:

Rate limiting en el login: máximo 10 intentos por IP por minuto.
Bloqueo temporal de 15 minutos tras 5 intentos fallidos consecutivos.
Cabeceras de seguridad HTTP (incluida HSTS en producción).
En producción, la documentación Swagger/OpenAPI queda deshabilitada y los errores 500 ya no exponen stack traces.

La 0.2.1 también corrige detalles del flujo MFA: el banner ya no aparece después de activarlo, "Probar otro método" muestra una pantalla de selección en lugar de enviar un email automáticamente, y los códigos de recuperación sin usar ya no se regeneran al activar un segundo método.

Activa tu MFA

Entra a DiagramaHub Cloud, ve a tu perfil → Seguridad y activa al menos un método. Si usas la versión self-host, actualiza desde el repositorio; el detalle de cada cambio está en el changelog.