Preguntas frecuentes
XFA comprueba, entre otras cosas, si su disco está cifrado, si su pantalla se bloquea automáticamente, si su sistema operativo y su navegador están actualizados y si la protección antivirus o el cortafuegos están activos, además de otras comprobaciones. La lista exacta la define la política de su organización, y XFA solo lee esos ajustes concretos, nunca sus archivos ni su actividad.
No. XFA no puede tomar el control de su dispositivo y nunca cambia un ajuste por su cuenta: la app funciona sin permisos de administrador. No lee sus archivos, mensajes ni historial de navegación. Para detectar apps de riesgo, revisa qué apps están instaladas y solo comparte cuántas ha encontrado, no sus nombres. Si algo no supera una comprobación, XFA le muestra cómo resolverlo. En algunas comprobaciones también puede iniciar la solución desde la app de XFA, por ejemplo para volver a activar la protección de instalación. Solo ocurre después de que usted lo confirme. Cuando el cambio necesita derechos de administrador, su Mac le pide su contraseña de administrador y Windows le pide su permiso.
Instalar XFA lleva solo unos minutos y no hace falta una cuenta. Cuando su organización le pida verificar un dispositivo, siga el enlace y descargue la app de XFA: la Desktop Application en Windows, macOS y Linux, o la Mobile App en iOS y Android. Abra el instalador, siga los pasos y vuelva después a la pantalla de verificación para conectar. En Linux, incluido NixOS, ejecute en su lugar el comando de instalación de Cómo instalar XFA.
Si su organización ve un dispositivo con el estado "Conexión perdida", abra la app de XFA en ese dispositivo (instálela o actualícela antes si hace falta) y compruebe que su organización sigue conectada. Si no lo está, acepte de nuevo la invitación o siga el correo de verificación que le envió su equipo de TI. XFA comparte después un estado nuevo automáticamente.
Puede que no necesite desinstalar nada. Si quiere dejar de compartir el estado de su dispositivo, basta con desconectarse de la organización dentro de la app de XFA. Si quiere quitar XFA por completo, desconéctese primero de todas las organizaciones y desinstale después la app con el procedimiento habitual de su sistema operativo, en Windows, macOS, Linux, iOS o Android.
No. Tanto en macOS como en Windows, el antivirus y el cortafuegos integrados ofrecen un buen nivel de seguridad y bastan por sí solos. En el Mac siempre ha sido así. Suelen estar activados de fábrica, pero si usted u otra persona los desactiva, XFA lo señalará en sus comprobaciones.
Sí, en Windows. XFA lee lo que comunica la propia Seguridad de Windows, así que cuenta cualquier antivirus registrado ahí, no solo Microsoft Defender. El nombre de producto que ve en XFA es el que muestra Windows en "¿Quién me protege?". Windows mantiene Microsoft Defender registrado en modo pasivo junto a su antivirus, lo cual es normal y no afecta a la comprobación. Si XFA dice que no hay antimalware activo y su antivirus parece estar bien, abra Seguridad de Windows y confirme que la protección en tiempo real está activada para él. Después vuelva a abrir XFA para repetir la comprobación. En macOS, XFA lee XProtect, integrado por Apple, en lugar de un producto de un proveedor concreto.
En un ordenador, la app de XFA comprueba su dispositivo y comunica su estado cada 4 horas. También lo comprueba cuando se inicia, cuando usted elige Volver a comprobar el estado de seguridad en el menú y después de que inicie sesión a través de XFA. En un teléfono, la app de XFA lo comprueba cuando usted la abre y cada 6 horas en segundo plano.
La comprobación Secretos en el entorno de XFA busca variables de entorno cuyo nombre sugiere que contienen credenciales, como claves de API, tokens o contraseñas, en configuraciones de shell, procesos en ejecución y ajustes del sistema. Solo anota el nombre de la variable, nunca el valor real, y señala los casos en los que esas credenciales podrían quedar expuestas a cualquier proceso del dispositivo.
Buscamos nombres de variables con patrones como:
- KEY (por ejemplo, API_KEY, PRIVATE_KEY, AWS_ACCESS_KEY)
- TOKEN (por ejemplo, AUTH_TOKEN, GITHUB_TOKEN)
- SECRET (por ejemplo, CLIENT_SECRET, JWT_SECRET)
- PASSWORD / PASSWD (por ejemplo, DB_PASSWORD)
- CREDENTIAL (por ejemplo, AWS_CREDENTIAL)
- OAUTH (por ejemplo, OAUTH_TOKEN)
- ENCRYPTION_KEY, SIGNING_KEY
¿Dónde buscamos?
- Entorno del proceso: variables que heredan todos los procesos hijos
- Entornos de shell (bash, zsh, fish): variables definidas en los archivos de configuración del shell
- Líneas de comandos de procesos en ejecución: secretos pasados como argumentos (por ejemplo,
docker run -e API_KEY=xxx) - Sesión launchd de macOS: variables que heredan las apps gráficas (IDE, asistentes de IA)
- Registro de Windows: variables de entorno de usuario y de sistema
Los secretos guardados en variables de entorno son accesibles para todos los procesos que se ejecutan en ese contexto, incluidos los asistentes de programación con IA, los complementos del IDE y cualquier herramienta que se abra desde la terminal o el escritorio. Es una superficie de ataque considerable.
XFA solo anota el nombre de la variable (por ejemplo, OPENAI_API_KEY), nunca el valor secreto en sí. Las variables seguras conocidas, como PATH, HOME, SSH_AUTH_SOCK y los ajustes de idioma, se omiten para evitar falsas alarmas.
La comprobación busca TeamViewer, AnyDesk y Chrome Remote Desktop configurados para el acceso desatendido: una contraseña o un PIN permanente que permite a alguien conectarse sin que usted lo acepte en pantalla. Tener instalada una de estas herramientas no basta para no superar la comprobación. Si XFA no puede confirmar si el acceso desatendido está configurado, el dispositivo indica que no se pudo verificar la comprobación, y no se considera conforme hasta que XFA pueda confirmarlo.
Para superarla, elimine la contraseña o el PIN permanente en los ajustes de la propia herramienta, o desinstale la herramienta si ya no la necesita. Su organización decide si una comprobación no superada solo le advierte o bloquea el inicio de sesión.
Esta comprobación es independiente de las comprobaciones de acceso remoto del propio sistema operativo: uso compartido de pantalla, inicio de sesión remoto, gestión remota y scripting remoto.