Identidad federada

En una federación hay dos registros de una misma entrada: el del proveedor de identidad, que vio la autenticación y el segundo factor, y el del servicio, que solo vio que llegó una afirmación sobre la persona. Si un servicio externo reporta un acceso sospechoso, lo que explica cómo se autenticó esa persona no está en el servicio: está en el proveedor de identidad. Abre inicios_federados para ver el formato.

Cuenta, por usuario, los países distintos desde los que inició sesión federada en el día, contando también los intentos fallidos. Un número alto por sí solo no es un ataque: un estudiante en intercambio o una docente de viaje también lo producen. Es el primer filtro para decidir a quién mirar con más cuidado.

El principio de dar a cada servicio solo los datos que necesita se ve en la tabla atributos_liberados: cada fila dice qué atributo recibe cada servicio y si el contrato o la función del servicio lo justifican (necesario). Un atributo de más es una copia más de un dato personal en un sistema que la universidad no controla, y el único lugar donde se ve es el registro del proveedor de identidad.

Una regla simple, «inicio desde un país nuevo», disparará por cada estudiante de intercambio y por cada docente en un congreso. Una regla mejor combina el país nuevo con lo que el sistema ya sabe: la afiliación de la cuenta, si el segundo factor se pidió y si hubo fallos justo antes. Mira politica_segundo_factor: no todas las afiliaciones tienen la misma exigencia.