Contraseñas

Esta página explica cómo funcionan las contraseñas en Chinaski: las reglas que deben seguir, cómo cambiarlas o resetearlas, cómo se comportan la expiración y el bloqueo, y cómo los administradores gestionan las contraseñas de otros usuarios.

Requisitos de contraseñas

Las contraseñas se almacenan de forma segura y nunca son visibles a nadie, incluyendo los administradores.

Cuando creas o cambias una contraseña, debe cumplir todas estas reglas:

• Al menos 8 caracteres de largo
• Al menos una letra mayúscula
• Al menos una letra minúscula
• Al menos un dígito

Una regla más estricta aplica cuando la contraseña del primer administrador del site se establece, ya sea durante la pantalla de setup del navegador o desde la línea de comandos: esa contraseña debe tener al menos 12 caracteres de largo, además de las reglas anteriores.

Si tu contraseña no cumple estos requisitos, el formulario te dice exactamente qué regla falló.

Cambiar tu propia contraseña

Puedes cambiar tu contraseña en tu página de cuenta.

1. Introduce tu contraseña actual.
2. Introduce la nueva contraseña dos veces para confirmarla.
3. Guarda.

Unas cuantas cosas suceden cuando el cambio tiene éxito:

• Todas tus demás sesiones quedan deslogueadas de inmediato. El dispositivo desde el que la cambiaste permanece logueado.
• El reloj de expiración de contraseña se reinicia desde el momento del cambio.
• Si tu contraseña había sido marcada como expirada, esa bandera se limpia.

Si la contraseña actual es incorrecta o las nuevas contraseñas no coinciden, nada se cambia y se te muestra un error.

Expiración de contraseñas

Un administrador del site puede requerir que los usuarios cambien sus contraseñas periódicamente. Esto lo controla la setting Password expiry en la pestaña Settings → Security, medida en días. Está apagada por defecto (en 0).

Cuando la expiración está habilitada y tu contraseña alcanza su límite de edad:

• La próxima vez que inicies sesión, verás "Your password has expired. Please change it now." y te llevan directo a tu página de cuenta para cambiarla.
• Tu página de cuenta también muestra una advertencia mientras tu contraseña aún es válida pero se acerca a expirar: "Password expires in N day(s)." aparece cuando quedan 7 días o menos.

Cambiar tu contraseña resetea la cuenta regresiva.

Resetear una contraseña olvidada

Si olvidaste tu contraseña:

1. Abre la página "Forgot password" e introduce tu usuario o dirección de correo.
2. Si la cuenta existe y tiene una dirección de correo registrada, un link de reset se envía a esa dirección.
3. Abre el link y establece una nueva contraseña, luego inicia sesión.

Cosas útiles que saber sobre los links de reset:

• Un link es válido por 24 horas.
• Un link solo puede usarse una vez. Después de un reset exitoso deja de funcionar.
• Pedir un nuevo reset cancela cualquier link anterior para tu cuenta.
• Después de resetear tu contraseña, quedas deslogueado de todas las sesiones: cada dispositivo logueado necesitará iniciar sesión de nuevo.
• El formulario siempre muestra la misma confirmación exista o no la cuenta, así que no puede usarse para averiguar quién tiene cuenta.

Bloqueo de cuenta

Para protegerte contra adivinanzas, los intentos de login están limitados por dirección IP. Los fallos repetidos escalan:

• 5 intentos fallidos → bloqueado por 1 minuto
• 10 intentos fallidos → bloqueado por 5 minutos
• 20 intentos fallidos → bloqueado por 30 minutos

Si dejas de intentar durante unos 10 minutos, el conteo de intentos fallidos empieza de nuevo. Durante un bloqueo, incluso las credenciales correctas son rechazadas hasta que la espera termina, y la página de sign-in te indica reintentar después.

Configurando usuarios y contraseñas como administrador

Los administradores gestionan las contraseñas de otros usuarios desde la pantalla de edición del usuario en el área de admin:

• Introduce una nueva contraseña (dos veces) para establecer o resetear la contraseña de ese usuario. El usuario queda deslogueado de todas sus sesiones después, y el cambio se registra.
• Deja ambos campos de contraseña vacíos para actualizar el rol, correo o detalles de perfil del usuario sin tocar su contraseña.
• Cualquier contraseña que establezcas debe cumplir los requisitos estándar listados arriba.

Una salvaguarda: si eres el único administrador activo, no puedes degradar tu propia cuenta de admin a editor. Intentarlo muestra un error, porque encerraría a todos fuera de la gestión de usuarios.

Las cuentas nuevas creadas por la página de autorregistro reciben el rol de editor, y se aplican los mismos requisitos de contraseña. Los intentos de registro están limitados por dirección IP como el sign-in.

Setup de primera ejecución

En un site nuevo, la contraseña del primer administrador se elige en la pantalla de setup, que requiere el mínimo estricto de 12 caracteres más las reglas estándar. La pantalla de setup solo está disponible hasta que el setup se completa; una vez establecida la primera contraseña, ya no está disponible.

Si un administrador pierde su contraseña y no hay otro admin disponible, un operador con acceso de línea de comandos al servidor puede poner el site de vuelta en modo de setup de primera ejecución para que pueda elegirse una nueva contraseña por la misma pantalla de setup.

Páginas protegidas por contraseña

Además de las cuentas de usuario, las páginas y posts individuales pueden recibir su propia contraseña en el editor de contenido. Los visitantes deben introducir esa contraseña para ver el contenido.

Una cosa de la que estar consciente: esta protección es una puerta orientada al lector, no la eliminación del contenido de la página. El theme que uses debe soportar explícitamente el password gate; si no, establecer una contraseña en una página no tendrá ningún efecto visible, sin advertencia mostrada a ti o al administrador.