Usuarios y sesiones
El primer administrador
Recién instalado, Atalaya no tiene usuarios. Al abrir la web aparece Bienvenido a Atalaya, donde se crea el administrador con su contraseña. En cuanto existe, esa pantalla desaparece.
Iniciar sesión
Escribe tu usuario y tu contraseña en la pantalla de entrada. La sesión dura mientras la uses y caduca tras 12 horas sin actividad (se cambia en Ajustes). Salir, en el menú con tu nombre, la cierra en el acto.
Tras 5 intentos fallidos desde la misma dirección, el servidor rechaza nuevos intentos durante 15 minutos; además, un mismo usuario se bloquea 15 minutos tras 30 intentos fallidos repartidos entre cualquier número de direcciones. Si Atalaya está detrás de un proxy (nginx), el servidor solo ve la dirección real del cliente si el proxy está en trusted_proxies; ver Publicar Atalaya en internet.
Verificación en dos pasos
Además de la contraseña, cada usuario puede pedir un código de 6 dígitos que cambia cada 30 segundos y que da una aplicación como Aegis, FreeOTP, Google Authenticator o Microsoft Authenticator (estándar TOTP, RFC 6238). Se activa desde el menú con tu nombre, Verificación en dos pasos:
- Escribe tu contraseña y pulsa Configurar.
- Escanea el código QR con la aplicación (o escribe la clave a mano).
- Escribe el código que muestra para comprobar que funciona y pulsa Activar.
- Atalaya muestra 10 códigos de recuperación, de un solo uso, que sirven en lugar del código de la aplicación si pierdes el móvil. Se muestran una sola vez: guárdalos en un lugar seguro.
A partir de ahí, al entrar, tras la contraseña se pide el código (o un código de recuperación). Un mismo código no sirve dos veces, y tras 5 códigos incorrectos hay que volver a escribir la contraseña. Para desactivarla o pedir códigos de recuperación nuevos hace falta la contraseña y un código actual de la aplicación.
El secreto se guarda cifrado con la clave maestra del servidor (/etc/atalaya/master.key); si la pierdes, nadie con 2FA activada podría entrar hasta que se la quites desde el servidor (siguiente apartado).
Hacerla obligatoria. En Ajustes → Web y registro, Verificación en dos pasos obligatoria: 0 opcional, 1 para administradores, 2 para todos. Quien no la tenga activada, al entrar solo puede configurarla; hasta entonces el resto de la web y de la API le responde «mfa_setup_required». Cuando es obligatoria, el usuario no puede desactivarla.
Si un usuario pierde el móvil y los códigos. Un administrador pulsa el escudo de su fila en Ajustes → Usuarios (quita su verificación y cierra sus sesiones), o desde el servidor:
sudo -u atalaya atalaya user-2fa-off NOMBRELos agentes de IA (MCP), el puerto de agentes y Prometheus no usan este segundo paso: tienen sus propios tokens y certificados.
Roles
| Rol | Puede |
|---|---|
| Administrador | Todo: equipos, comprobaciones, alertas, canales, ajustes y usuarios. |
| Solo lectura | Ver el estado de los equipos, sus comprobaciones y las alertas, y lanzar una comprobación al momento, sin cambiar nada. |
Gestionar usuarios
Los usuarios se gestionan en Ajustes → Usuarios: añadir, cambiar el rol o la contraseña, desactivar y borrar. Cada uno cambia su propia contraseña desde el menú con su nombre, Cambiar contraseña; al hacerlo se cierran sus sesiones en otros navegadores.
Las contraseñas se guardan cifradas con argon2id, nunca en claro. Cada inicio de sesión, correcto o fallido, queda anotado en el historial de eventos del servidor.
Si se pierde la contraseña del administrador
Desde el propio servidor se puede poner una nueva:
sudo -u atalaya atalaya user-add adminEso no quita la verificación en dos pasos: si también la perdiste, añade sudo -u atalaya atalaya user-2fa-off admin.