Autenticacion
BeePass utiliza Supabase Auth con cookies SSR (Server-Side Rendering). La autenticacion es gestionada automaticamente por el navegador mediante cookies HttpOnly.
Registro
Cree una cuenta a traves de la interfaz web o de la API de Supabase Auth:
- Correo electronico: direccion de correo valida (verificada mediante enlace)
- Contrasena: minimo 8 caracteres, 1 digito, 1 caracter especial
- Roles disponibles:
eleveur(criador),testeur(evaluador),groupe_selection,research_center
Los roles groupe_selection y research_center requieren validacion del administrador tras el registro.
Inicio de sesion
Iniciar sesion a traves de Supabase Auth (signInWithPassword) establece automaticamente las cookies de sesion SSR. No es necesario incluir manualmente un encabezado Authorization para las llamadas a la API desde el navegador.
MFA (Autenticacion multifactor)
Al iniciar sesion desde un nuevo dispositivo, se envia un codigo de 6 digitos por correo electronico (a traves de Brevo). El dispositivo se identifica mediante huella digital (Canvas + User-Agent).
- Los dispositivos reconocidos no activan la MFA
- El codigo expira tras 10 minutos
- Maximo 10 intentos de verificacion por minuto
Sesiones
| Metodo | Ruta | Descripcion |
|---|---|---|
GET | /api/auth/sessions | Listar sesiones activas |
DELETE | /api/auth/sessions | Revocar una sesion (cuerpo: { session_id }) |
La revocacion elimina el token de actualizacion. El JWT actual sigue siendo valido hasta su expiracion (~1 hora).
Autenticacion de administrador
La autenticacion de administrador es independiente de la sesion de criador. Ambas coexisten simultaneamente.
| Metodo | Ruta | Descripcion |
|---|---|---|
POST | /api/admin/auth/login | Inicio de sesion de administrador (establece cookie HMAC) |
GET | /api/admin/auth/session | Leer sesion de administrador |
POST | /api/admin/auth/logout | Cierre de sesion de administrador (elimina cookie) |
La cookie beepass-admin-token es un JWT firmado con HMAC (HS256), HttpOnly, Secure, SameSite=Strict, con una expiracion de 8 horas.
Puede estar conectado simultaneamente como criador (cookie Supabase) y como administrador (cookie HMAC). Ambas sesiones son independientes.
Auditoria
| Metodo | Ruta | Descripcion |
|---|---|---|
POST | /api/auth/audit | Registrar un evento de auditoria |
GET | /api/auth/audit | Historial de eventos de auditoria |
Los eventos de auditoria registran inicios de sesion, cierres de sesion, revocaciones de sesion y acciones sensibles.
Eliminacion de cuenta
| Metodo | Ruta | Descripcion |
|---|---|---|
DELETE | /api/auth/delete-account | Eliminar cuenta (requiere verificacion MFA) |
Vea tambien: Descripcion general | Reinas | Evaluaciones