Configurar XFA como proveedor de identidad para Proton Pass y Proton VPN Beta

A diferencia de las otras guías de proveedores de identidad, aquí XFA es el proveedor de identidad: Proton delega el inicio de sesión en XFA, que inicia la sesión de los usuarios con una passkey y comprueba su dispositivo.

Nota: esta guía supone que su organización tiene una cuenta en XFA, que usted es administrador de esa organización en XFA y que es administrador de una organización Proton for Business con un plan que incluye inicio de sesión único (Proton Pass Professional, Proton VPN Professional o Enterprise, o VPN and Pass Professional). Si aún no tiene cuenta en XFA, puede crear una en https://dashboard.xfa.tech/signup.

Proton como proveedor de identidad está en beta y permanece desactivado hasta que XFA lo active para su organización. Si no ve Conectar Proton en Proveedor de identidad ni el mosaico Proton en la página Enforcement, su organización todavía no lo tiene: contacte con support@xfa.tech y lo activaremos para usted.

Cómo funciona

Cuando un usuario inicia sesión en Proton Pass o Proton VPN con Sign in with SSO, Proton lo redirige a XFA. XFA lo autentica con una passkey en un dispositivo que ha registrado en XFA (Built-in passkey), comprueba la postura de seguridad del dispositivo y devuelve a Proton una aserción SAML firmada. Proton confía en esa aserción y deja entrar al usuario.

Como es XFA quien se encarga del inicio de sesión, el usuario nunca escribe una contraseña de Proton. Su primer dispositivo se pone en marcha mediante un paso de recuperación que prepara un administrador (abajo). Después, iniciar sesión es un solo toque en la passkey de un dispositivo de confianza.

En Proton, el inicio de sesión único se aplica por dominio verificado. Proton Pass y Proton VPN comparten la configuración de inicio de sesión único de la organización, y esta guía trata esos dos productos.

Crear una conexión de Proton en el panel de control de XFA

Tras iniciar sesión en el panel de control de XFA, abra Proveedor de identidad en la barra lateral y haga clic en Conectar Proton. (También puede ir a la página Enforcement, hacer clic en New y elegir el mosaico Proton.) XFA crea la conexión y abre su configuración guiada: cuatro pasos que recorre, en cualquier orden, entre XFA y su panel de administración de Proton.

En Básicos, defina:

un nombre para la conexión y la política cuyas comprobaciones del dispositivo se aplican al iniciar sesión;
Dominios de correo permitidos: el dominio o dominios que añadirá al inicio de sesión único en Proton (por ejemplo, example.com). XFA solo autentica y afirma correos de esos dominios o de los dominios de correo de su organización; todo lo demás se rechaza. Sin dominios aquí ni en los dominios de correo de la organización, nadie puede iniciar sesión (fail-closed), así que configúrelo antes de ponerlo en producción.

El paso 1, Añadir XFA como proveedor de identidad en Proton, muestra los valores que Proton necesita para confiar en XFA:

URL de metadatos: los metadatos SAML de XFA para esta conexión. Proton los importa de una vez.
Entity ID (Proton también lo llama Issuer), URL de inicio de sesión y un certificado que puede descargar, para cuando Proton pida campos de texto.

Deje la pestaña abierta; volverá a ella en cuanto Proton muestre sus propios valores.

Una conexión de proveedor de identidad por organización

XFA admite una conexión de proveedor de identidad por organización. Si ya conectó Google Workspace o un proveedor de identidad SAML genérico, elimine primero esa conexión; el mosaico de Proton queda desactivado hasta entonces.

Antes de continuar, haga clic en Guardar y continuar más tarde para guardar la conexión. Los enlaces de incorporación y los inicios de sesión usan los Dominios de correo permitidos y la política guardados, no lo que aún no se ha guardado en la página.

Prepare a los usuarios para su primer dispositivo

Como ahora es XFA quien se encarga del inicio de sesión, un dispositivo nuevo todavía no tiene passkey y, en cuanto el inicio de sesión único está activo para un dominio, sus miembros solo pueden llegar a Proton a través de XFA. Por eso el primer dispositivo lo pone en marcha un administrador, antes de activar el inicio de sesión único en Proton.

En la página Personas (en Identidad), asigne a cada usuario que vaya a iniciar sesión a través de XFA un correo electrónico secundario: una dirección personal o alternativa a la que tenga acceso. Después puede enviarle a esa dirección un enlace de incorporación, que le permite registrar su passkey sin escribir nunca una contraseña. El enlace es de un solo uso y es válido durante 7 días.

Para añadir usuarios, haga clic en Nuevo usuario. Si prefiere no enviar un enlace por correo electrónico, puede generar en su lugar una contraseña de incorporación de un solo uso para un usuario y entregársela por el canal que prefiera.

Las personas que ya usan Proton Pass o Proton VPN conservan sus datos. Desde el momento en que el inicio de sesión único está activo para su dominio, inician sesión con Sign in with SSO.

Enviar enlaces de incorporación

Para enviar enlaces más tarde, seleccione los usuarios en la página Personas y haga clic en Enviar enlace de incorporación. XFA pone los correos en cola y los envía en los próximos minutos; después, la página Personas muestra Enlace enviado el con la fecha.

XFA omite, y le indica el motivo:

los usuarios que ya se inscribieron,
los usuarios sin correo electrónico secundario,
los usuarios que recibieron un enlace hace menos de 7 días. Haga clic en Reenviar de todos modos para enviar uno nuevo; sustituye al enlace anterior.

El estado de incorporación de cada usuario se muestra en la página Personas: Aprovisionado, Enlace enviado el, Inscrito o Inscripción desconocida cuando XFA no pudo comprobarlo.

Configurar el inicio de sesión único en Proton

En su panel de administración de Proton (el panel de administración de Proton Pass, o account.protonvpn.com para Proton VPN for Business), vaya a Single sign-on > SAML authentication > Configure SAML:

Introduzca el dominio de su empresa y haga clic en Add domain.
Añada en su proveedor de dominio el registro DNS TXT que muestra Proton y haga clic en Continue. Proton verifica el dominio antes de aceptar el proveedor de identidad; un registro DNS nuevo puede tardar en propagarse.
Importe los metadatos del proveedor de identidad por URL, con la URL de metadatos de XFA, y haga clic en Continue. Si Proton pide Text fields, introduzca el Entity ID de XFA como entity ID, la URL de inicio de sesión como URL de inicio de sesión único, y suba o pegue el certificado de XFA.
Proton muestra ahora su Assertion Consumer Service (ACS) URL y su Issuer ID. Haga clic en Done y después en See details para revisar la configuración.

Los valores de Proton son los mismos para todas las organizaciones:

Issuer ID: https://sso.proton.me/sp
Assertion Consumer Service (ACS) URL: https://sso.proton.me/auth/saml

XFA envía la dirección de correo de la persona como NameID, en el formato emailAddress que pide Proton. Proton la asocia al miembro con esa dirección.

Una organización puede configurar hasta cinco dominios. Cada uno se configura por separado en Proton y debe apuntar al mismo proveedor de identidad; añádalos todos también a Dominios de correo permitidos en XFA.

Completar la integración en el panel de control de XFA

De vuelta en el panel de control de XFA:

Paso 2, Confirmar los valores de Proton: XFA ya ha rellenado el Issuer ID y la ACS URL de Proton, porque nunca cambian. Compárelos con lo que Proton muestra en See details y haga clic en Marcar como hecho. Si algún valor se editó alguna vez y difiere, Usar los valores de Proton lo restablece.
Paso 3, Activar el inicio de sesión único para sus personas: compruebe que su dominio aparece como verificado en Proton, que todos los dominios están en Dominios de correo permitidos y que cada persona tiene una identidad XFA (consulte Prepare a los usuarios para su primer dispositivo). Haga clic en Marcar como hecho cuando esté hecho.
Paso 4, Comprobar y probar: haga clic en Comprobar mis valores, pruebe después un inicio de sesión con un miembro de su dominio y marque Lo he probado y ha funcionado.

Haga clic en Terminar la configuración para guardar la conexión.

Solicitudes firmadas

Proton firma las solicitudes de inicio de sesión que envía a XFA. De forma predeterminada, XFA las acepta sin comprobar la firma. Para que XFA las verifique, abra la conexión, active Exigir solicitudes firmadas y pegue el certificado de firma de Proton en Certificado de firma del proveedor de servicios. El certificado está en los metadatos SAML de Proton en https://sso.proton.me/saml/metadata; Proton puede rotarlo, y el inicio de sesión deja de funcionar hasta que pegue el nuevo.

Primer dispositivo: el usuario abre el enlace de incorporación de su correo electrónico secundario (o introduce la contraseña de incorporación que usted le dio) y registra una passkey en su dispositivo. XFA comprueba la seguridad del dispositivo como parte de ello y, desde ese momento, esa passkey es su inicio de sesión en Proton.
Los siguientes dispositivos: en una aplicación de Proton Pass o Proton VPN, o en account.proton.me, el usuario hace clic en Sign in with SSO e introduce su correo. Toca su passkey, sin contraseña y sin nada más que escribir, y XFA confirma el dispositivo nuevo en un dispositivo que ya tenía registrado antes de iniciar su sesión.

¿Y qué pasa con el segundo factor?

XFA sustituye por completo el inicio de sesión con contraseña de Proton, así que no hay un segundo factor aparte que se pueda perder: la passkey en un dispositivo en el que ha confiado explícitamente con XFA es el factor fuerte. Esto es el Built-in passkey de XFA. Lea más en la documentación sobre Built-in passkey.