Métodos de autenticación de la identidad de Adobe Acrobat Sign

Autenticación de la identidad

La autenticación de la identidad de un destinatario es un elemento crítico del sistema de Acrobat Sign para obtener una firma legal y mejorar la irrefutabilidad.

Sin embargo, en la autenticación de la identidad confluyen distintos fines comerciales con exigencias diferentes. Ten en cuenta los diferentes niveles de garantía de identidad que exigiría para las transacciones siguientes:

• Solicitud de permiso laboral en el trabajo
• Boletín de notas de un niño de la escuela
• Registro de eventos privados
• Abono a un gimnasio
• Acceso a los historiales médicos
• Documentos que cumplen con CFR 21, parte 11

Acrobat Sign proporciona un conjunto de controles que permite definir tipos de autenticación en el nivel de cuenta y de grupo con valores predeterminados definibles para optimizar la experiencia del remitente y garantizar mejor el cumplimiento de las políticas de firma de la compañía.

Teniendo en cuenta que los métodos de autenticación más sólidos generan más “fricción” en el proceso de firma, los administradores deben configurar los valores predeterminados de la cuenta o el grupo para que sean compatibles con el requisito de autenticación más común, optar por la opción menos compleja cuando sea posible y permitir opciones editables si algunas transacciones requieren soluciones más complejas.

Terminología clave

Destinatarios internos frente a externos

Los controles de autenticación realizan adaptaciones específicas para configurar métodos de autenticación para dos tipos de destinatarios, internos y externos:

• Los destinatarios internos incluyen a todos los usuarios activos (identificados por la dirección de correo electrónico) de la misma cuenta de Acrobat Sign desde la que se ha enviado el acuerdo
  
  • Una lista de todos los usuarios de su cuenta es una lista de todos los usuarios internos
  • No importa en qué grupo se encuentre el destinatario, siempre y cuando el usuario esté en la estructura de la misma cuenta
• Los destinatarios externos incluyen las direcciones de correo electrónico de destinatarios que no están asociadas a un usuario interno
  • Las direcciones de correo electrónico no incluidas en una lista de usuarios de nivel de cuenta son usuarios externos

Definir a los destinatarios de esta forma permite que los flujos de trabajo aprovechen la autenticación de alto nivel para los destinatarios externos a la vez que se utiliza una autenticación más rentable para los usuarios internos.

Métodos de autenticación de destinatarios de un solo factor

Autenticación de Acrobat Sign

En la autenticación de Acrobat Sign se solicita al destinatario que se autentique en el sistema de Acrobat Sign.

Utiliza este método principalmente como opción de contrafirma "de baja fricción" para los destinatarios internos cuando tengas requisitos de firma que requieran un evento registrado o autenticado para cada firma.

Se solicita a los destinatarios que se autentiquen en Acrobat Sign antes de poder ver el contenido del acuerdo:

Puede encontrar más información sobre la autenticación de Adobe Sign aquí >

Contraseña de un solo uso por correo electrónico  

El método de autenticación de contraseña de un solo uso por correo electrónico (OTPvEm) proporciona una autenticación de un solo factor con alguna protección y una fricción mínima para el usuario.

Dado que el código de acceso único se envía a la misma dirección de correo electrónico que el vínculo de firma original, el método de autenticación OTPvE se considera un método de autenticación de un solo factor. Sin embargo, OTPvEm no requiere que los usuarios creen una cuenta o inicien sesión en otra aplicación. Solo necesitan acceder a su correo electrónico, por lo que este método reduce la fricción.

Y el uso de OTPvEm proporciona cierta seguridad adicional que no proporciona solo confiar en el enlace de correo electrónico. Por ejemplo:

• El acceso a un correo electrónico no significa que el buzón de correo electrónico esté comprometido. La autenticación OTMvEm mantendrá la seguridad del acuerdo si se muestra un vínculo de correo electrónico, pero el buzón de correo electrónico estará protegido.
  
• Supón que el correo electrónico de un acuerdo se reenvía incorrectamente (en lugar de delegarlo correctamente). En ese caso, la dificutad de OTPvEm impide el acceso al acuerdo, lo que preserva la integridad del informe de auditoría con respecto al correo electrónico del firmante identificado y al firmante real.

El destinatario debe introducir el código de acceso en un plazo de 60 segundos tras solicitarlo. Una vez introducido el código correctamente, el destinatario puede acceder al acuerdo.

Más detalles para la autenticación Contraseña de un solo uso por correo electrónico se pueden encontrar aquí >

Autenticación de doble factor (2FA)

Acrobat Sign es compatible con varios métodos de autenticación de doble factor en el caso de transacciones de mayor valor que requieren más que una simple verificación de un solo factor.

El tipo de documento o el sector de las partes involucradas suele determinar el método de autenticación. Corresponde al administrador comprender sus políticas de firma internas y las posibles exigencias de cumplimiento.

A continuación se muestra un resumen de las opciones de autenticación de segundo factor disponibles con vínculos a descripciones más detalladas:

Métodos de autenticación de firmantes “prémium”

Teléfono, KBA, Identificación oficial y Firmas digitales basadas en la nube son métodos de autenticación "premium".

Los métodos de autenticación premium son un recurso medido que debe comprarse antes de utilizarse. Póngase en contacto con su administrador de éxito o agente de ventas para obtener más información.

Umbrales de cancelación automática

Todos los métodos de autenticación de segundo factor tienen umbrales configurables con los que se cancela el acuerdo cuando un destinatario no logra autenticarse un número de veces inaceptable.

• Se notificará al propietario del acuerdo (remitente) que se ha cancelado el acuerdo
  • Solo se notifica al remitente.
  • Los acuerdos cancelados no pueden volver a tener un estado activo. Debe crearse un acuerdo nuevo.

Verificación de la identidad digital

La verificación de Identidad digital aprovecha un proveedor de identidades federado (IdP) con licencia externa para el servicio de Acrobat Sign y debe configurarse antes de que se pueda acceder al redactar acuerdos.

Detalles completos de la solución de Identidad digital se encuentra aquí >

Los detalles de la experiencia del destinatario varían según el proveedor de identidad que utilice el remitente. En un nivel superior, se informa al destinatario de que la verificación de identidad se debe resolver a través de un IdP federado, con el botón Verificar identidad disponible para activar el proceso de verificación.

Cómo seleccionan los remitentes un método de autenticación

Al configurar un acuerdo, los remitentes pueden seleccionar un método de autenticación en el menú desplegable a la derecha de la dirección de correo electrónico del destinatario.

La mayoría de los métodos de autenticación se pueden configurar como el valor predeterminado seleccionado para simplificar el proceso de envío. Solo las opciones de Identidad digital no se pueden configurar como valor de autenticación predeterminado.

Experiencia del destinatario

Normalmente, un destinatario recibe primero un aviso de un acuerdo que espera su atención por correo electrónico.

• Si el acuerdo se envía sin autenticación (Ninguno) , al seleccionar el botón Revisar y firmar del correo electrónico se abre el acuerdo para que se visualice y se puedan realizar las acciones correspondientes.
• Si el acuerdo tiene configurado un método de autenticación adicional, al seleccionar el botón Revisar y firmar del correo electrónico se abre la página de comprobación de la autenticación.
  • Una vez satisfecho el método de seguridad, se abre el acuerdo para que se visualice y se puedan realizar las acciones correspondientes.
    

Eventos del informe de auditoría

Cada método de autenticación de segundo factor tiene un mensaje explícito de éxito en el que se identifica el método utilizado.

Si no se selecciona ninguna autenticación (Ninguno), el informe de auditoría solo indica que el documento se ha firmado:

Opciones configurables y valores predeterminados

Controles del administrador

Para acceder a la configuración de nivel de cuenta, inicie sesión como administrador de nivel de cuenta de Adobe Sign y vaya a Configuración de la cuenta > Configuración de envío > Opciones de identificación del firmante

Todos los controles también se pueden configurar en el nivel de grupo. Recuerde lo siguiente:

• De forma predeterminada, todos los grupos heredan la configuración del nivel de cuenta.
• La configuración de nivel de grupo anula la de nivel de cuenta.
• Todas las opciones disponibles en la página Enviar se derivan de la configuración del grupo desde el que se envía el acuerdo.

Los controles se dividen en dos secciones:

• Opciones de identificación del firmante: el conjunto principal de configuración de autenticación de la identidad. Estos valores se aplican a todos los destinatarios de todos los acuerdos creados en el grupo de envío con las excepciones siguientes:
  • Procesos basados en API, que pueden restringir las opciones del remitente (integraciones, flujos de trabajo, aplicaciones personalizadas, etc.)
    
  • Cuando está activada la opción Activar distintos métodos de autenticación de la identidad para los destinatarios internos (ver más adelante).
    
• Autenticación de la identidad para los destinatarios internos: este subconjunto de opciones permite al grupo definir un conjunto diferente de métodos de autenticación de la identidad para los destinatarios internos. Esto ofrece las ventajas siguientes:
  • Menos frustración para los firmantes internos.
  • Un proceso de firma menos complejo acelera la firma por parte de destinatarios que tal vez tengan que contrafirmar muchos acuerdos.
  • Los costes de la autenticación prémium pueden obviarse para los destinatarios internos.

Métodos de autenticación de la identidad

Los controles de autenticación principales son estos:

• Requerir que los remitentes especifiquen uno de los métodos de autenticación habilitados: cuando esta opción esté habilitada, los remitentes deberán seleccionar un método de autenticación que no sea Ninguno como método de autenticación predeterminado. Es posible que la opción Ninguno no se pueda seleccionar.
  
• Permitir que Acrobat Sign rellene automáticamente la dirección de correo electrónico de los firmantes para cada método de seguridad de autenticación: esta opción solo se aplica al método de autenticación de Adobe Sign. Cuando está habilitada, la dirección de correo electrónico del destinatario se inserta automáticamente donde sea necesario para la autenticación.
• No solicitar al firmante que se autentique de nuevo si ya ha iniciado sesión en Acrobat Sign: cuando esta opción está habilitada, los firmantes no tienen que volver a autenticarse si actualmente han iniciado sesión en Adobe Sign.
• Permitir a los remitentes descargar un informe de identidad del firmante para los acuerdos que contengan firmas verificadas: los Informes de identidad del firmante (SIR) están disponibles con los métodos de autenticación Identificación oficial e Identidad digital. Esta configuración, cuando está activada, permite al remitente del acuerdo descargar el SIR de su página Administrar.
  
• Habilitar los siguientes métodos de autenticación de la identidad: esto precede a la lista de opciones de autenticación disponible para los remitentes.  Selecciona uno o más según tus necesidades de seguridad y cumplimiento.
• De forma predeterminada, utilizar el método siguiente: establece el método de autenticación predeterminado que se inserta al añadir a un destinatario a un acuerdo nuevo.
• Permitir que los remitentes puedan cambiar el método de autenticación predeterminado: si esta opción está activada, el remitente puede seleccionar cualquier método habilitado.
  
  • Cuando esta opción está deshabilitada, solo se puede utilizar el método de autenticación predeterminado.

Autenticación de la identidad para los destinatarios internos

Los controles internos del destinatario proporcionan las opciones que se aplican a los destinatarios internos:

• Habilitar diferentes métodos de autenticación de la identidad para los destinatarios internos: cuando esta opción está habilitada, los destinatarios internos se tratan como una excepción a las reglas de autenticación principales y, en su lugar, se presentan con las opciones predeterminadas de autenticación definidas en la sección Autenticación de la identidad para los destinatarios internos.
  
• Habilitar los siguientes métodos de autenticación de la identidad: esto precede a la lista de opciones disponibles para la autenticación de destinatarios internos.  Selecciona uno o más según tus necesidades de seguridad y cumplimiento.
  • La autenticación de Adobe Sign proporciona un método de autenticación de bajo coste y fricción cuando los remitentes también son contrafirmantes.
    
• De forma predeterminada, utilizar el método siguiente: establece el método predeterminado insertado para los destinatarios internos al crear un acuerdo nuevo.
  
• Permitir que los remitentes puedan cambiar el método de autenticación predeterminado: concede al remitente la autoridad para cambiar el método de autenticación predeterminado a cualquier opción habilitada por el administrador.

Excepción de formulario web a la autenticación de la identidad

En muchos casos, los formularios web tienen un uso único y normalmente hay menos demanda de autenticación de la identidad aplicada.  

En cuentas o grupos en los que no sea necesario autenticar firmas de formulario web, se puede configurar la opción para desactivar la verificación por correo electrónico de la manera siguiente:

• Ir a: Configuración de la cuenta > Configuración global > Formularios web (para la configuración de nivel de cuenta).
  
  • Edite Grupo: {Group Name} > Configuración del grupo > Formularios web (para la configuración de nivel de grupo).
• Desmarque la opción Exigir a los firmantes que verifiquen su dirección de correo electrónico para aceptar firmas de formulario web sin verificación.
  • Al eliminar el requisito de verificar la firma del formulario web, no se elimina el requisito de que el firmante proporcione una dirección de correo electrónico.

Prácticas recomendadas y consideraciones

• Es posible configurar todos los métodos y las opciones de autenticación en el nivel de cuenta y de grupo.
• Los grupos heredan sus valores de configuración predeterminados de la configuración de nivel de cuenta. Diseña la configuración de nivel de cuenta para aprovechar al máximo la herencia de propiedades automática y minimizar la configuración de grupos más adelante.
• Los acuerdos obtienen sus opciones de autenticación del grupo desde el que se envía el acuerdo. Si no ve las opciones que espera, compruebe la configuración de nivel de grupo.
  
• Evalúe los requisitos de autenticación de la identidad para los tipos de documentos que envía y si están sujetos a alguna normativa de cumplimiento. Si se requiere autenticación “premium”, asegúrate de haber comprado volumen suficiente para el tráfico previsto.
• Autenticación mediante identificación oficial: (i) no está destinada a flujos de trabajo y casos prácticos de firma electrónica regulados o de gran valor; (ii) no puede detectar todos los documentos de identificación fraudulentos o “falsos”; y (iii) no podrá reemplazar la necesidad de revisión humana.
• Determine si hay flujos de firma que puedan requerir autenticaciones de dos factores, como:
  • Firmas alojadas
  • Soluciones personalizadas diseñadas para suprimir las notificaciones por correo electrónico (por ejemplo, Workday)
    
  • Flujos de firma que intentan obtener firmas legales de dos o más destinatarios que utilizan la misma dirección de correo electrónico (compartida)
    
• Identifica si, y en qué casos, es útil tener diferentes estándares de autenticación para los destinatarios internos.
• En las cuentas con acceso a flujos de trabajo personalizados se pueden definir métodos de autenticación muy precisos para cada uno de los flujos de firmas, por lo que el valor predeterminado tendrá una fricción menor (y un volumen potencialmente mayor), a la vez que se garantiza el cumplimiento de las normas en los procesos de firma críticos.
• Tenga en cuenta que se deben habilitar los métodos de autenticación individuales antes de que estén disponibles para otros servicios. Una vez habilitado, un método se muestra en los casos siguientes:
  • Otros controles administrativos, como Configuración de seguridad para los métodos de autenticación de segundo factor
    
  • Usuarios que se deben seleccionar durante el proceso estándar Enviar
  • Flujos de trabajo personalizados creados en el Diseñador de flujos de trabajo
  • Eventos de envío controlados por API
  • Acceso de integración (Dynamics, Salesforce)