Seguridad¶
Aquí reúnes las herramientas para proteger la cuenta y los datos de tu empresa: verificación en dos pasos, control de sesiones y roles, acceso limitado a la red del punto de venta, invitaciones con vencimiento y los derechos sobre datos personales. La mayoría vive en páginas de cuenta fuera de la aplicación (/account/…, /util/…).
Permiso
Activar 2FA y gestionar tus datos personales lo hace cada usuario sobre su propia cuenta. Marcar ACCESO_SOLO_RED_POS en un rol pide GESTIONAR_EQUIPO.
Verificación en dos pasos (2FA)¶
- 1 Estado actual de la cuenta. Sin 2FA solo se pide usuario y contraseña.
- 2 Lleva a
/account/two_factor/setup/: escaneas un código QR con tu app de autenticación (Google Authenticator, Authy…) y confirmas con el código de seis dígitos. - 3 Códigos de respaldo (
/account/two_factor/backup/tokens/): guárdalos para entrar si pierdes el celular.
Con 2FA activo, la pantalla de inicio de sesión de la aplicación muestra el campo Código de verificación después de la contraseña, con el aviso Ingresa el código de tu aplicación de autenticación. Para desactivarlo: /account/two_factor/disable/.
Sesiones, cierre de sesión y roles¶
- Un rol por empresa. Tu acceso a cada empresa es un rol distinto con sus propios permisos; al entrar eliges con cuál trabajar. La aplicación guarda un token para ese rol; cambiar de empresa es volver a elegir rol.
- Cerrar sesión desde el icono logout del encabezado termina la sesión y borra el token guardado en el navegador. Hazlo siempre en computadores compartidos: la aplicación recuerda la sesión hasta que la cierres.
- Tokens que se renuevan solos. La aplicación renueva su token en segundo plano; si el usuario es desactivado o pierde el rol, la renovación falla y vuelve a la pantalla de inicio de sesión.
- Los detalles del inicio de sesión están en Iniciar sesión.
Acceso solo desde la red del POS¶
El permiso ACCESO_SOLO_RED_POS es restrictivo: un rol que lo tiene solo puede usar la aplicación cuando su dispositivo sale a internet por la misma dirección pública que el cliente de impresión conectado en el local. Sirve para cajeros o meseros que no deben entrar desde su casa.
• Tu dispositivo esté conectado al mismo Wi-Fi o red del local.
• No estés usando VPN ni datos móviles.
403 pos_network_required.Sin cliente de impresión no hay acceso
El control es cerrado por defecto: si ningún cliente de impresión está conectado, o no se puede determinar la IP del usuario, el rol restringido queda bloqueado. Ninguna plantilla incluye este permiso; márcalo a propósito y prueba con el usuario antes de confiar en él.
Invitaciones con vencimiento¶
Las invitaciones de Configuración → Equipo viajan por correo como un enlace con token único y caducan a los 7 días. Quien abre el enlace acepta con la cuenta con la que haya iniciado sesión: el correo destino no se verifica, así que no reenvíes el enlace a otra persona. Mientras esté pendiente puedes revocarla. El paso a paso está en Invitar a tu equipo.
Datos personales (Ley 1581 de 2012)¶
Agapanto guarda evidencia del consentimiento de cada usuario y registra los accesos a datos personales. Cada usuario puede ejercer sus derechos desde estas páginas:
| Página | Para qué |
|---|---|
/util/privacidad/ |
Política de privacidad vigente, con versión y fecha de entrada en vigor. |
/util/acuerdo-datos/ |
Acuerdo de tratamiento de datos entre tu empresa y Agapanto (modelo multiempresa). |
/util/mis-datos/ |
Derecho de acceso: todo lo que Agapanto guarda de ti, tus consentimientos y tus roles. |
/util/exportar-datos/ |
Descarga de tus datos en JSON. |
/util/gestionar-consentimiento/ |
Derecho de oposición: revocar el consentimiento de marketing. Cada cambio queda en el registro de acceso a datos. |
Al registrarte aceptas la política de privacidad y el tratamiento de datos; cada aceptación guarda fecha, versión de la política, IP y navegador. Estas páginas siguen disponibles aunque la suscripción de la empresa esté vencida.
Qué NO hace Agapanto sin tu configuración¶
| Acción | Solo ocurre si… |
|---|---|
| Enviar facturas o nómina a la DIAN | Configuraste credenciales de facturación electrónica y el flag correspondiente (Activar). Sin ellas, las facturas se guardan localmente y nada sale a la DIAN. |
| Cobrar en línea a tus clientes | Registraste tus llaves de Wompi en Configuración (Pagos en línea). Sin llaves no hay botón de pago. |
| Cobrarte la suscripción | Ingresaste una tarjeta al elegir plan. La prueba gratis no pide tarjeta (Planes y límites). |
| Atender por bot o IA | Soporte creó una configuración MCP con su bot_secret (Bots e IA). |
| Imprimir en la impresora térmica | Creaste un token de cliente y lo instalaste en la caja (Cliente de impresión). |
| Compartir datos entre empresas | Nunca: cada consulta se limita a la empresa del rol activo, también en la API y en los bots. |
Quién debe tener CONFIG_CREDENCIALES
Las llaves de Wompi, DIAN y scraping se editan con CONFIG_CREDENCIALES, que solo la plantilla Propietario incluye. Mantén ese permiso en una o dos personas.
¿Problemas?
- Perdí el celular con la app de autenticación. Entra con uno de los códigos de respaldo y genera un dispositivo nuevo en
/account/two_factor/. Si no los guardaste, escribe a soporte con tu usuario. - Un cajero ve "Acceso solo desde el punto de venta" estando en el local. El cliente de impresión está apagado o desconectado, o el celular usa datos móviles/VPN. Revisa Último uso del token en Impresión POS.
- Un invitado ve "Invitación caducada". Pasaron 7 días. Envía una invitación nueva.
- La API devuelve
401 otp_required. El usuario tiene 2FA; la integración debe enviarotp_code(API).
Siguiente: vuelve al índice de Administración o consulta Errores comunes.