Roles y acceso

Roles

• Un indicador hr aparte concede acceso de lectura a todos los documentos de RR. HH. sin derechos de administrador.
• Una exención de puntuación retira a una persona de todas las vistas comparativas y automatizadas, aunque un administrador aún puede abrir su puntuación bajo demanda; un indicador de cuenta flexible silencia faltas e insistencias sin tocar la puntuación.

Alcance

Asistencia, auditoría, detalle de empleado, informes, exportaciones y todos los endpoints acotados por lista aplican el alcance de quien llama antes de devolver datos. Una persona fuera del alcance devuelve la misma respuesta de no-encontrado que una inexistente, de modo que los códigos de respuesta no pueden usarse para cartografiar la organización.

Iniciar sesión

• Código de un solo uso por mensaje directo de chat: seis dígitos, caducidad de cinco minutos, un solo uso; tres fallos bloquean el perfil durante quince minutos; reenvío a los sesenta segundos. Cada intento se registra con IP y agente de usuario.
• Inicio de sesión con dispositivo de confianza para un dispositivo de uso habitual.
• El inicio de sesión con contraseña existe como opción por equipo y está desactivado por defecto; el inicio de sesión único es una función de los planes Enterprise y autoalojado.
• Las sesiones son una cookie HTTP-only, same-site y segura que lleva un token firmado; las rutas vuelven a comprobar el rol en la base de datos en cada solicitud, y rotar la clave de firma cierra la sesión de todos.

Tokens de API personales

• Los emite un superadministrador para una persona; el texto en claro se muestra una sola vez y solo se guarda un hash SHA-256.
• Un token actúa como su titular, de modo que todas las comprobaciones de rol y alcance se aplican sin cambios.
• Los ámbitos son lectura, o lectura y escritura; a un token de lectura se le rechaza cualquier solicitud que cambie algo, antes de que se ejecute la ruta. Un ámbito desconocido se reduce a solo lectura.
• Caducidad opcional; la revocación surte efecto en la siguiente solicitud; se sella el último uso para que los tokens abandonados sean visibles.

Bóveda de documentos de RR. HH.

Los tipos son justificante médico, justificante de permiso, contrato, identificación y otro; los archivos tienen un tope de 20 MB, se guardan bajo un nombre opaco y se devuelven sin cambios. Cada subida, consulta y eliminación se audita. El producto nunca lee el contenido.