Usuarios y acceso

Roles

El acceso se basa en roles:

Rol	Alcance
Admin	Acceso completo a todo, incluidos los parámetros y la gestión de usuarios
Operator	Por grupo: ver en vivo y el archivo, exportar clips y capturas de pantalla, controlar PTZ, activar o desactivar la grabación, reconocer eventos, gestionar mapas, y añadir o quitar observadores en sus grupos
Viewer	Por grupo: ver en vivo y el archivo, y explorar eventos, clips y capturas de pantalla de las cámaras de sus grupos

Los roles Operator y Viewer se conceden por grupo (consulta Grupos), de modo que puedes dar a un usuario acceso solo a las cámaras que necesita. La interfaz oculta los controles para los que el usuario no tiene permiso, así que los usuarios nunca ven botones que no pueden usar.

Gestionar usuarios

En Settings → Users un administrador puede invitar usuarios, asignar roles y activar o desactivar cuentas. La primera cuenta de administrador se crea automáticamente en la instalación con las credenciales que imprime el instalador.

Desactivar a un usuario o cambiar su rol cierra de inmediato todas sus sesiones. Cualquier cambio en la contraseña de un usuario — por sí mismo o mediante un enlace de restablecimiento — hace lo mismo.

Invitar a un usuario y restablecer una contraseña producen un enlace de un solo uso que el administrador copia y comparte directamente con la persona — Vision no envía credenciales por correo electrónico. El destinatario abre el enlace para establecer su propia contraseña. Los enlaces caducan a los 7 días, y desactivar una cuenta invalida sus enlaces pendientes. El uso de un enlace queda registrado en el registro de auditoría.

Tu perfil y contraseña

Cualquier usuario con sesión iniciada puede cambiar su propia contraseña desde el menú Profile (parte superior de la barra lateral) — introduce tu contraseña actual y una nueva (mínimo 8 caracteres). No se necesita la intervención de un administrador. Cambiar tu contraseña cierra tus otras sesiones e invalida cualquier enlace de restablecimiento pendiente de tu cuenta.

Recuperar una contraseña olvidada

¿Sin acceso a la cuenta de administrador y sin otro administrador activo que pueda enviar un enlace de restablecimiento? Recupérala desde el host del servidor — una vía de emergencia que requiere acceso a la shell de la máquina, no una sesión iniciada.

La base de datos y la configuración pertenecen a root/vision, así que ejecútalo con sudo:

sudo vision reset-password admin@localhost

Imprime un enlace de restablecimiento de un solo uso — nunca una contraseña — y cierra de inmediato todas las sesiones de esa cuenta:

Password reset link for admin@localhost:

  https://your-server/reset-password?token=…

Expires: 2026-07-28T12:00:00Z (7 days)
Existing sessions for this user were signed out.

Abre el enlace en un navegador para establecer una nueva contraseña. Caduca a los 7 días. La cuenta debe estar activa — reactiva primero a un usuario desactivado. Nunca se escribe, genera ni imprime ninguna contraseña, y la acción queda registrada en el registro de auditoría.

Nota

El comando lee la base de datos activa, así que no necesitas detener el servicio. Busca config.yaml en el directorio de trabajo y luego en /etc/vision/. Añade --config o --db para rutas no predeterminadas, y --url https://your-host para fijar el host del enlace cuando no está ya en http.allowed_origins.

Sesiones

Iniciar sesión emite un token de acceso de corta duración (15 minutos por defecto) que la interfaz renueva en silencio en segundo plano. La sesión en sí dura hasta el tiempo de vida del refresco (7 días por defecto) y se guarda en una cookie httpOnly; solo se te envía a la página de inicio de sesión cuando la sesión ya no se puede refrescar. Cerrar sesión invalida la sesión de forma duradera — un reinicio del servidor no la resucita. Los administradores pueden ajustar las duraciones con auth.access_ttl y auth.refresh_ttl — consulta la referencia de configuración.

Tras 5 inicios de sesión fallidos con un mismo correo electrónico, ese correo se bloquea durante 60 segundos; las demás cuentas no se ven afectadas. Recargar la página nunca cierra tu sesión — si llegan muchas recargas a la vez desde una misma red, la página espera unos segundos. Se puede ajustar mediante auth_rate_limit.* — consulta la referencia de configuración.

Rastro de auditoría

Los inicios de sesión correctos y fallidos, los cierres de sesión, los cambios de contraseña, el uso de enlaces de restablecimiento, los cambios de usuarios y otras acciones clave se registran en el registro de auditoría para la rendición de cuentas — consulta Registros.