Cuando una cuenta debe inscribir la autenticación en dos pasos, GitHub muestra este aviso. Las frases son de GitHub. El enlace de inscripción se abre después de iniciar sesión.

Click here to enroll in 2FA.

Making the software supply chain more secure is a team effort, and we can't do it without you. Your enrollment in 2FA is an impactful step in keeping the world's software secure. If you want to learn more about this change, please take a look at our documentation about the program.

To see this and other security events for your account, visit your account security audit log.

Qué exige el programa

La documentación de GitHub dice que, desde marzo de 2023, las cuentas que contribuyen código en GitHub.com pueden tener que activar la 2FA. Las acciones que cuentan incluyen publicar una app o una Action, crear una release, contribuir a repositorios de alta importancia y administrarlos, ser propietario de una organización, publicar un paquete o administrar una empresa. Si no recibiste un aviso, GitHub dice que no estabas en un grupo obligatorio. Los criterios pueden cambiar. La página es About mandatory two-factor authentication.

El aviso abre 45 días de inscripción y después 7 días de margen. Cuando ambos pasan, GitHub.com sigue cerrado hasta que la 2FA esté activa. Los personal access tokens y los tokens OAuth ya emitidos siguen funcionando. Una cuenta bloqueada no puede autorizar una app nueva ni crear un personal access token nuevo hasta que la 2FA esté activa. GitHub recomienda una app de autenticación basada en tiempo como método principal, y una passkey o una llave de seguridad como respaldo. El SMS es el método que GitHub pide no preferir. Una app de autenticación no exige dar a GitHub un número de teléfono. GitHub Enterprise Managed Users y GitHub Enterprise Server quedan fuera de este programa.

Qué cambia para una tienda que despliegas tú

FatLeon Commerce corre en una cuenta AWS que controlas. Un inicio de sesión en GitHub no forma parte de ese despliegue. Amplify Hosting y la tienda siguen si GitHub bloquea la sesión del navegador. Lo que GitHub tiene es el git privado, si el código está ahí. La licencia permite un git privado. No permite un repositorio público que muestre el código a quien no tiene licencia. Mira Términos del servicio y qué ejecutas en AWS Amplify.

Vincular Google Authenticator

GitHub acepta cualquier app que hable TOTP, la contraseña de un solo uso basada en tiempo del RFC 6238. Google Authenticator es una de ellas. Los pasos siguen la guía de configuración de GitHub. Los dibujos son nuestros. No son capturas, y el patrón del QR no es un secreto. Escanea solo el código que GitHub muestra en tu propia pantalla. No envíes ese código, ni la setup key, por chat o por correo.

1. Instala Google Authenticator desde App Store o Google Play. Ábrela una vez para que se pueda conceder el permiso de la cámara.
2. En GitHub, con la sesión iniciada, abre la página de inscripción. O pulsa tu foto de perfil y luego Settings. En la sección Access de la barra lateral, pulsa Password and authentication. Bajo Two-factor authentication, pulsa Enable two-factor authentication.
3. Cuando GitHub muestre un código QR, quédate en ese método.

4. En Google Authenticator, toca +, luego Scan a QR code, y apunta la cámara al código QR de la página de GitHub. Si la cámara no lo lee, pulsa setup key en GitHub. En la app, elige Enter a setup key. Ponle de nombre GitHub, deja el tipo en time based y pega el secreto.
5. La app muestra seis dígitos. En GitHub, escríbelos bajo Verify the code from the app antes de que el código cambie. Si lo rechaza, espera el siguiente. Pon el reloj del teléfono en automático.

6. Bajo Save your recovery codes, descarga los códigos y ponlos en un sitio que no sea el teléfono ni la cuenta de GitHub. Luego pulsa I have saved my recovery codes. La guía de GitHub dice que ese clic activa la 2FA.
7. GitHub abre entonces una revisión de 28 días. Inicia sesión con la app una vez durante esos 28 días. Una passkey o una llave de seguridad se puede añadir después. La guía de GitHub las trata como respaldo, y primero tiene que estar configurada una app TOTP o el SMS.

Los inicios de sesión y otros eventos de seguridad están en el registro de seguridad de la cuenta. Si pierdes el teléfono, empieza en la página de GitHub, Recovering your account if you lose your 2FA credentials.