Snowflake amplía los métodos de MFA compatibles y los hace disponibles de forma predeterminada en todas partes

A principios de este año, anunciamos un plan multifásico para bloquear los inicios de sesión con contraseñas de un solo factor. A partir de mayo, la autenticación multifactor (multi-factor authentication, MFA) se aplicará a todos los usuarios humanos que inicien sesión con contraseña en la interfaz de usuario de Snowsight como parte de BCR 2025_04. Los inicios de sesión con contraseña fuera de Snowsight, como los de herramientas de inteligencia empresarial (business intelligence, BI) como PowerBI, estarán exentos de esta política. Sin embargo, esta exención es temporal y dejará de aplicarse en marzo de 2026, cuando Snowflake aplicará la MFA para todos los accesos. La aplicación de la MFA en la implementación de Snowsight seguirá el proceso de gestión de cambios en el comportamiento de Snowflake. 

También hemos anunciado la disponibilidad general de nuevos métodos de MFA: aplicaciones de autenticación y claves de paso. Para respaldar las aplicaciones de inteligencia empresarial existentes que aún no admiten el inicio de sesión de MFA, vamos a lanzar tokens de acceso programático (programmatic access token, PAT) como reemplazo de las contraseñas. 

Ten en cuenta que la aplicación de MFA en Snowsight no afectará a los usuarios que inician sesión con SAML u OAuth, ni a los usuarios de servicios heredados. Las cuentas gestionadas y las cuentas de prueba no se incluyen en esta implementación. 

Cómo abordamos las preocupaciones de los clientes sobre MFA con nuevas capacidades 

Para comprender mejor los desafíos que plantea habilitar la MFA, entrevistamos a más de 100 clientes. Estas conversaciones permitieron identificar dos mejoras clave en el producto:

• Métodos alternativos de MFA: Los clientes nos dijeron que querían poder utilizar sus métodos de MFA aprobados con Snowflake.

• Solución para aplicaciones de inteligencia empresarial que actualmente no admiten MFA: Los clientes nos pidieron que brindáramos una solución para las aplicaciones que solo admiten contraseñas.

Nos complace anunciar la disponibilidad general de cuatro productos que abordan estas preocupaciones:

• Compatibilidad con claves de paso: Según los estándares establecidos por FIDO para todo el sector, las claves de paso permiten iniciar sesión en Snowflake con el mismo proceso que los usuarios utilizan para desbloquear su dispositivo (biometría, PIN, claves de seguridad). Ten en cuenta que las claves de paso solo se admiten como un factor de autenticación secundario, además del nombre de usuario y la contraseña.

• Compatibilidad con aplicaciones de autentificación: Según el estándar del sector Time-Based One Time Password (TOTP), los usuarios ahora pueden utilizar sus aplicaciones de autenticación aprobadas existentes (como las aplicaciones de autenticación de Microsoft o Google) para acceder a Snowflake a través de MFA.

• Compatibilidad con PAT: Introdujimos PAT como solución para el acceso programático a Snowpark Container Services (SPCS) y Snowflake REST API. Los PAT también pueden sustituir las contraseñas de aplicaciones que solo admiten autenticación con nombre de usuario y contraseña. Los PAT elevan el listón de seguridad porque, de forma predeterminada, están vinculados a roles específicos, tienen fecha de caducidad y deben usarse junto con una política de red. Recomendamos crear PAT independientes para diferentes casos de uso a fin de minimizar el grado de riesgo en caso de que el PAT esté comprometido.

• Compatibilidad con OAuth en los controladores de Snowflake: Para simplificar la migración a la federación, vamos a introducir la compatibilidad nativa con OAuth en los controladores ODBC, JDBC y Python (todos ellos con disponibilidad general). En los próximos meses, planeamos ampliar esta compatibilidad a todos los demás controladores. Al utilizar Snowflake OAuth junto con la nueva configuración de OAuth “aplicación local”, los controladores pueden admitir de forma nativa nuevos métodos de MFA, como claves de paso y aplicaciones de autenticación.

¿Qué deberías hacer?

Consulta la lista de usuarios afectados en tu cuenta de Snowflake visitando el nuevo escáner Risky Human User del paquete Trust Center Threat Intel. Recomendamos seguir nuestras prácticas recomendadas para la migración de la autenticación de un solo factor a fin de mitigar cualquier sorpresa. Si tienes dudas o preguntas, ponte en contacto con el representante de tu cuenta o con el servicio de asistencia de Snowflake. 

Próximos pasos

Como se anunció anteriormente, Snowflake desactivará los inicios de sesión con contraseña de un solo factor próximamente. Adelántate y comienza tu migración de usuario hoy mismo siguiendo nuestras prácticas recomendadas para la migración de autenticación de un solo factor. 

Declaraciones prospectivas

Este artículo contiene declaraciones prospectivas, incluidas las declaraciones relativas a nuestras futuras ofertas de productos, que no implican que nos comprometamos a proporcionar ninguna oferta de producto. Los resultados y las ofertas reales pueden diferir y están sujetos a riesgos e incertidumbres conocidos y desconocidos. Consulta nuestro formulario 10-Q más reciente para obtener más información.