Problemas de Login y Auth

¿Bloqueado fuera del admin, o algo raro pasando con tus sesiones? Esta página cubre los problemas de acceso comunes y cómo se corrige cada uno. En todos los casos el site estático sigue corriendo . estos problemas solo afectan el acceso a la interfaz de administración.

"Too many attempts, please try again later"

Demasiados logins fallidos desde una dirección IP disparan lockouts escalantes que persisten a través de reinicios:

• Después de 5 fallos: espera de 60 segundos
• Después de 10 fallos: espera de 5 minutos
• Después de 20 fallos: espera de 30 minutos

El contador es por dirección IP, así que varias personas detrás de una misma oficina o VPN lo comparten. Un login exitoso lo limpia, y los registros de intentos viejos se desvanecen solos. Cada intento . éxito, fallo, o bloqueado . queda registrado en la pestaña Auth Log de la página Health, y el historial de login por usuario se alcanza desde las páginas de Users.

También puedes activar alertas: cuando el umbral de fallos de la pestaña Security (por defecto 20) se alcanza en 10 minutos, se registra un evento de error, y el primer evento de ese tipo en cualquier hora envía un email a la dirección definida para notificaciones de build.

Dice "Invalid credentials", pero estoy escribiendo la contraseña correcta

Ese mensaje cubre varias situaciones:

• Cuenta suspendida. La suspensión también revoca cualquier sesión existente. El intento de login queda registrado como bloqueado.
• Contraseña expirada. Si la expiración de contraseñas está activada (Settings → Security), una contraseña vieja ya no te deja entrar: te envían a tu página de Account con "Your password has expired. Please change it now." Define una nueva ahí.
• Contraseña incorrecta . deliberadamente indistinguible de un username desconocido, y ambos dan una pausa corta antes de que se muestre el error.

Perdí la contraseña de admin

Desde el shell del servidor, corre perl bin/reset-admin.pl [username] (por defecto: el admin de número más bajo). La cuenta destino regresa al estado placeholder, y la siguiente petición al admin redirige a /setup, que es donde defines la nueva contraseña. Una vez que completas el setup, esa página desaparece (404) . este es el comportamiento esperado, y no se repite a menos que la cuenta se resetee de nuevo. El setup requiere una contraseña de al menos 12 caracteres con mayúscula, minúscula, y un dígito; ahí también eliges el idioma de la UI y los idiomas iniciales.

Contraseña olvidada, autoservicio (el email debe estar configurado)

La opción forgot-password del formulario de login envía por correo, a quien sea dueño del username o email address, un enlace de restablecimiento válido por 24 horas. La respuesta es deliberadamente siempre "If an account with that username or email exists, a reset link has been sent." . así alguien pescando usernames no puede saber si una cuenta existe. Cada nueva solicitud de restablecimiento invalida a las anteriores, y cada enlace funciona solo una vez y solo antes de su expiración de 24 horas. Si dice que el enlace es inválido o expiró, pide uno nuevo.

Tu sesión fue invalidada

Visitar /admin puede aterrizarla de pronto en /login con "Your session was invalidated. Please log in again." Eso sucede cuando una sesión es revocada del lado servidor; en juego están:

• los tiempos de vida de sesión: 8 horas por defecto, o 30 días si el "Remember me" del formulario de login fue marcado
• cambiar tu contraseña invalida las sesiones que abrieron con la contraseña vieja; tu sesión actual sobrevive
• en tu página de Account puedes invalidar tus sesiones, lo que conserva la actual y remueve las anteriores
• un admin puede revocar las sesiones de un usuario específico una por una o invalidar todas las sesiones de un usuario de una vez . excepto las suyas propias, que deben administrarse desde su página de Account

Las sesiones registran la IP y el user agent del navegador con cada login, así que actividad sospechosa puede revisarse en las páginas de sesiones del usuario y de auth-log.

Instalaciones frescas que no pueden entrar

Una instalación nueva termina en el mismo estado que una contraseña reseteada: el admin placeholder no puede entrar hasta que /setup se haya corrido una vez, reemplazando al placeholder (después de eso, /setup devuelve 404).

Si nada de esto aplica, recuerda que el contador de lockout es por dirección IP: varias personas entrando detrás de una IP de oficina compartida o una VPN pueden bloquearse entre sí, y la pestaña Auth Log muestra qué IPs fueron bloqueadas.