Configuraciones de seguridad

Forzar a los usuarios a identificarse para ver los perfiles

Esta opción obliga a acceder al sitio con cuentas válidas (no como invitados) antes de poder ver las páginas de los perfiles de usuario. Si deshabilitas esta configuración, los usuarios podrán editar su perfil y potencialmente incluir publicidad/spam o contenido inapropiado. 

-

Forzar a los usuarios a identificarse para ver los avatares de los usuarios

Si la opción está habilitada, los usuarios deben identificarse con el fin de ver los avatares de usuario y el avatar de usuario por defecto se utilizará en todos los correos electrónicos de notificación.

-

Prevenir varios accesos por el mismo usuario

Si se marca esta opción, el usuario solo puede acceder a su cuenta desde una única ubicación. Si hay un segundo inicio de sesión con una cuenta, el primero de ellos se desconectará automáticamente.

Habilitar múltiples inicios de sesión permite a los administradores del sitio "iniciar sesión como" un usuario conectado mientras proporcionan soporte técnico en vivo. 

Ir a Google

Si activas esta opción, se permitirá a Google entrar al sitio como Invitado. Además, quien acceda al sitio vía búsqueda en Google accederá automáticamente como Invitado. Ten en cuenta que esta opción solo proporciona acceso transparente a los cursos que ya permiten el acceso a invitados.

-

Permitir el acceso público a imágenes de elementos del catálogo.

Habilitar esta configuración permite a los servicios web externos acceder a las imágenes del catálogo desde su catálogo utilizando la URL de la imagen. Esto permite que estas imágenes se incluyan en el contenido del catálogo que se muestra en otros sistemas. Si has configurado integraciones, como una aplicación de Microsoft Teams, estas pueden acceder a imágenes de catálogo cuando esta configuración está habilitada.

Esta configuración está deshabilitada por defecto. Ten en cuenta que esto permite que cualquiera acceda a las imágenes de tu catálogo si tienen las URL directas.

Roles de perfil visibles

Lista de roles que son visibles en los perfiles de usuario y en la página de participación.

-

Tamaño máximo del archivo subido

Esta opción especifica el tamaño máximo que deben tener los archivos subidos al sitio. Está limitada por los ajustes post_max_size y de PHP y por el ajuste LimitRequestBody de Apache. A su vez, los maxbytes limitan el rango de tamaños que se pueden elegir en el nivel del curso o en el nivel del módulo. Si se elige el límite del servidor, se utilizará el máximo permitido por el servidor.

Los tamaños de los archivos de carga pueden restringirse de varias maneras: 

• Nivel de servidor 
• – Nivel de sitio 
• – Nivel de curso 
• Nivel de actividad

-

Cuota de usuarios

El número máximo de bytes que un usuario puede almacenar en sus carpetas de archivos privados. bytes == El valor por defecto es 04857600 bytes o 100MB.

-

Deshabilitar la limpieza constante

Desactiva la limpieza constante de contenido de Totara.

Puedes obtener más información sobre la desinfección de contenido en Totara 13 en adelante en la documentación del desarrollador.

Permitir etiquetas EMBED y OBJETIVO

Como medida de seguridad por defecto, los usuarios normales no tienen permitido incrustar multimedia (como Flash) dentro del texto utilizando etiquetas EMBED y OBJETIVO explícitas en su HTML (aunque aún se puede hacer de forma segura utilizando el filtro mediaplugins). Si deseas permitir estas etiquetas, habilita esta opción.

Esta opción solo aparecerá si la opción Desactivar limpieza consistente está habilitada.

Tiempo máximo para editar mensajes

 Esta opción especifica cuánto tiempo tienen los usuarios para reeditar los mensajes enviados al foro, comentarios en el glosario, etc.   Permitir a los usuarios este período de enfriamiento después de enviar una entrada de foro/glosario les da tiempo para revisar el contenido, verificar la ortografía y la gramática.

Las publicaciones en el foro que aún se encuentren en el período de edición son visibles en el foro correspondiente, pero el mensaje no se enviará a ningún usuario suscrito hasta que el período de edición haya pasado.

Permitir caracteres extendidos en nombres de usuario

Habilita este ajuste para permitirle a los usuarios usar cualesquiera caracteres en sus nombres de usuario (eso no afecta sus nombres reales). El valor predeterminado es No , que restringe los nombres de usuario a caracteres alfanuméricos en minúsculas, guión bajo (_), guión (-), punto (.) o símbolo (@). 

Esta opción debe estar habilitada para que el sitio utilice direcciones de correo electrónico para los nombres de usuario.

URL con la política del sitio

Si tu política de sitio exige que todos los usuarios registrados lean y acepten tus condiciones antes de usar el sitio, especifica aquí la URL que muestra esta información; en caso contrario, deja el campo en blanco.   La URL puede apuntar a cualquier tipo de archivo en línea al que se pueda acceder sin necesidad de iniciar sesión en tu sitio de Totara.

• Se recomienda que la política del sitio esté en el mismo dominio que Totara, ya que los usuarios de Internet Explorer verán una pantalla en blanco cuando la política del sitio esté en un dominio diferente.
• La política del sitio se mostrará en un marco. Puedes verlo a través de la URL yourtotarasitecom/user/policy.php.
• Si el autoregistro basado en correo electrónico está habilitado en el sitio, se muestra un enlace a la política del sitio en la página de inscripción.

No se recomienda utilizar un recurso de Página como política del sitio, ya que el encabezado del sitio se repetirá en el iframe.

Esta opción no aparecerá si la opción Habilitar políticas del sitio está marcada en el menú Acceso rápido > Configurar características. Cualquier política vinculada aquí será sobrescrita por la nueva política del sitio.

Siempre que sea posible, debes usar la funcionalidad de políticas de sitio dedicadas, que incluye características como políticas multilingües, control de versiones e informes sobre el consentimiento de la política.

URL con la política del sitio para invitados

Si tu política exige que todos los invitados lean y acepten tus condiciones antes de usar el sitio, especifica aquí la URL que muestra esta información; en caso contrario, deja el campo en blanco. Esta configuración puede contener cualquier URL pública. 

Nota: El acceso de usuarios no registrados pueden evitarse con la configuración 'forzar a los usuarios a identificarse'.

Esta opción no aparecerá si la opción Habilitar políticas del sitio está marcada en el menú Acceso rápido > Configurar características. Cualquier política vinculada aquí será sobrescrita por la nueva política del sitio.

Mantener 'casing' de nombre de marca

Marca esta opción si deseas que los nombres de marca conserven el 'casing' original tal como fue introducido por los usuarios que los crearon. Si se selecciona esta opción, se mostrarán etiquetas como las siguientes: RUGBY, gUiTaR, totara

Si no se selecciona esta opción, todas las etiquetas se mostrarán de la siguiente manera: Rugby, Guitarra, Totara.

Para inglés, es posible que desees dejar esta configuración desactivada. Para japonés, no se realizan cambios de ninguna manera. Para los idiomas donde este tipo de mayúsculas cambia el significado, es mejor mantener esta opción habilitada.

Perfiles solo para usuarios inscritos

Para prevenir el abuso de los creadores de spam, se ocultan las descripciones del perfil de los usuarios que aún no están inscritos en ningún curso. Los nuevos usuarios deben inscribirse en al menos un curso antes de poder agregar una descripción de perfil. 

-

Ejecución de cron solo mediante comandos

La ejecución del cron desde un navegador web puede exponer información privilegiada a usuarios anónimos. Se recomienda ejecutar el cron solamente desde la línea de comandos, o establecer una contraseña del cron para el acceso remoto.

-

Contraseña de cron para acceso remoto

Esto significa que el script cron.php no se puede ejecutar desde un navegador web sin proporcionar la contraseña utilizando la siguiente forma de URL: http://site.example.com/admin/cron.php?password=opensesame

Si se deja vacío, no se requiere contraseña.

-

Umbral de bloqueo de la cuenta

Después de un número específico de intentos de inicio de sesión fallidos, la cuenta de un usuario se bloquea y se le envía un correo electrónico que contiene una URL para desbloquear la cuenta. Configurar esto en No significa que no hay umbral y que una cuenta que intenta iniciar sesión puede hacerlo una cantidad ilimitada de veces.

-

Ventana de observación de cuenta bloqueada

Tiempo de observación para el umbral de bloqueo; si no hay intentos fallidos, el contador se restablece después de este tiempo. Este es el contador de cuánto tiempo hay que estar atento a más intentos fallidos de una cuenta que intenta iniciar sesión incluso después de haber sido bloqueada. El contador se restablecerá en cada intento y durará tanto tiempo.

-

Tiempo de duración del bloqueo

La cuenta bloqueada se desbloquea automáticamente después de este tiempo. Una cuenta también puede ser desbloqueada por un administrador del sitio a través del menú de acceso rápido > Usuarios > Cuentas > Buscar lista de usuarios.

-

Política de contraseñas

Activar esto hará que Totara verifique las contraseñas de los usuarios contra una política de contraseñas válidas. Se recomienda encarecidamente que se establezca una política de contraseñas para forzar a los usuarios a usar contraseñas más fuertes que sean menos susceptibles de ser descifradas por un intruso. Utiliza la siguiente configuración para especificar tu política (serán ignoradas si configuras esto en No).

Si un usuario ingresa una contraseña que no cumple con los requisitos, se le dará un mensaje de error que indicará el problema con la contraseña ingresada.

Habilitar la política de contraseñas no afecta a los usuarios existentes hasta que decidan cambiar su contraseña o se les solicite hacerlo. Un administrador del sitio puede forzar a todos los usuarios a cambiar su contraseña usando la opción Forzar cambio de contraseña con acciones masivas de usuario.

La política de contraseñas también puede aplicarse a las claves de inscripción al marcar la casilla de verificación Usar política de contraseñas en la configuración de Autoinscripción.

Longitud de la contraseña

Las contraseñas deben tener al menos este número de caracteres.

-

Dígitos

Las contraseñas deben contener esta cantidad de dígitos.

-

Minúsculas

Las contraseñas deben tener al menos este número de minúsculas.

-

Mayúsculas

Las contraseñas deben tener al menos este número de mayúsculas.

-

Caracteres no alfanuméricos

Las contraseñas deben tener al menos este número de caracteres no alfanuméricos.

-

Caracteres consecutivos idénticos

Las contraseñas no deben tener más de este número de caracteres idénticos consecutivos. Utiliza el 0 para deshabilitar esta comprobación.

-

Límite de rotación de la contraseña

Número de veces que un usuario debe cambiar su contraseña antes de poder volver a reutilizar una contraseña. Los hashes de contraseñas generadas previamente son almacenados en una base de datos local.

Esta característica puede no ser compatible con algunos plugins de autenticación externos.

Tiempo máximo para validar una solicitud de restablecimiento de contraseña

Especifica de cuánto tiempo se dispone para validar una solicitud de restablecimiento de contraseña antes de que caduque. Para la mayoría de los casos de uso, 30 minutos es un valor adecuado. 

-

Salir después del cambio de contraseña

Por defecto, los usuarios pueden cambiar su contraseña y permanecer conectados. Al activar esta configuración, se cerrarán las sesiones existentes, excepto la que especifique su nueva contraseña. Esta configuración solo se aplica a los usuarios que cambian manualmente su contraseña, no a los cambios masivos de contraseña.

-

Política de claves de inscripción de grupos

Al activar esta opción, Totara verificará las claves de inscripción del grupo contra una política de contraseñas válidas.

-

Desactivar imágenes en el perfil del usuario

Desactiva la posibilidad de que los usuarios cambien las imágenes de sus perfiles.

-

Confirmar cambio de correo electrónico

Cuando los usuarios cambien su dirección de correo electrónico en sus perfiles de usuario, se requerirá confirmación del correo electrónico. 

-

Recordar nombre de usuario

Activar si deseas almacenar las cookies permanentes con nombres de usuario durante el inicio de sesión. 

Esto almacenará cookies permanentes, y en algunos países puede considerarse un problema de privacidad si se usa sin consentimiento. 

Validación estricta de campos obligatorios

Si la opción está activada, se impide a los usuarios introducir un espacio en blanco o un salto de línea en los campos obligatorios de los formularios.

-

Inicio de sesión persistente

Si esta opción está habilitada, aparecerá una opción Recordar inicio de sesión en la página de inicio de sesión. Cualquier usuario que inicie sesión puede marcar esta casilla para habilitar un inicio de sesión persistente, lo que significa que no se agotará el tiempo de espera y tendrá que volver a iniciar sesión.

Este ajuste funciona al volver a iniciar sesión sin problemas con un usuario después de que la sesión expire. Si bien cualquier formulario que se estaba completando aún debería poder enviarse cuando la nueva sesión carga otra información, se puede perder, como filtros en el generador de informes.

El usuario no podrá notar cuando se inicie la nueva sesión.

La opción Recordar inicio de sesión reemplaza a la opción Recordar nombre de usuario anterior.

Además, vale la pena destacar que cuando esta configuración está habilitada, conduce a una advertencia en el informe de seguridad. Esto se debe a que cuando se habilitan los inicios de sesión persistentes, los tiempos de espera de sesión estándar se ignoran y establece una cookie de navegador permanente. Esta cookie se usa más tarde para volver a iniciar sesión automáticamente después de reiniciar el navegador o de pasado el tiempo de espera de la sesión.