Authentik en la empresa: gestión centralizada de usuarios para herramientas de código abierto

Authentik es una solución de código abierto para inicio de sesión centralizado y gestión de usuarios. Conecta herramientas como Nextcloud, Open WebUI, Paperless-ngx y n8n en un inicio de sesión compartido, ofrece inicio de sesión de dos factores y una página de inicio, en la que los empleados encuentran todas las aplicaciones autorizadas. Authentik se configura relativamente rápido y es especialmente adecuado para PYME sin un gran departamento de TI.

Lo que Authentik aporta en el día a día

• Una cuenta por persona: los usuarios se crean una sola vez y se asignan a grupos.
• Un inicio de sesión para todas las herramientas: mediante los estándares OpenID Connect y SAML.
• Página de inicio: Todas las aplicaciones autorizadas de un vistazo: práctico para nuevos empleados.
• Dos factores: Aplicación de autenticación, llave de seguridad o passkeys.
• Protección para aplicaciones sin SSO propio: Un proxy integrado exige iniciar sesión antes de las aplicaciones que no disponen de un inicio de sesión centralizado.
• Autoservicio: Restablecer la contraseña o configurar un segundo factor sin preguntar a TI.
• Diseñar procesos: Los flujos de inicio de sesión y registro se pueden adaptar visualmente.

Un escenario típico

Un servicio de atención domiciliaria con 40 empleados utiliza Nextcloud para archivos, Open WebUI como asistente interno de IA y Paperless-ngx para la gestión. Con Authentik, cada persona inicia sesión una sola vez. El grupo „Verwaltung“ ve Paperless-ngx, el grupo „Pflege“ solo Nextcloud y el asistente de IA. Si alguien deja el servicio, la dirección desactiva una única cuenta. El ejemplo es ilustrativo.

Licencia y costes

El núcleo de Authentik está bajo la licencia MIT y puede utilizarse de forma gratuita. Algunas funciones adicionales, como determinadas conexiones con directorios de Microsoft y Google, el registro ampliado o las funciones de acceso remoto, forman parte de la versión Enterprise de pago. Para escenarios típicos de pymes, la versión gratuita suele ser suficiente.

Protección de datos y seguridad

• Operación en Alemania: en servidor propio o con un proveedor de hosting alemán.
• Punto central de protección: Como todos los inicios de sesión pasan por Authentik, el sistema debe estar especialmente bien protegido, actualizado y asegurado.
• Protocolos:Las inscripciones y los cambios se registran: útil en caso de incidentes de seguridad.
• Minimización de datos: Transmitir solo los datos a las aplicaciones que realmente los necesitan.

Introducción en cinco pasos

1. Planificar grupos: Definir departamentos y roles.
2. Configurar Authentik: servidores en Alemania, dos factores obligatorios.
3. Conectar la primera aplicación: por ejemplo Nextcloud, probar con el equipo piloto.
4. Conectar más aplicaciones una tras otra.
5. Adaptar procesos: Entrada y salida, cambio de rol, acceso de emergencia.

Si Authentik o Keycloak encaja mejor, lo responde Keycloak vs. Authentik.

bettersorted apuesta por sus clientas y clientes por componentes abiertos y visibles – operados en servidores en Alemania y agrupados en el automaisa Hub. Asesoramos de forma neutral respecto a fabricantes, estamos registrados en el BAFA como consultores y somos INQA-Coach autorizado. La consultoría y la introducción acompañada se pueden subvencionar a través de INQA-Coaching con un 80 %; el camino adecuado lo muestra el Förder-Check. Para una primera conversación sin compromiso: Contacto.

Planificar grupos y roles de forma adecuada

• Por departamento: Administración, ventas, técnica, cuidados …
• Por función: Dirección, administración, personas en formación, externos.
• Después de la aplicación: quién puede utilizar qué herramienta.
• Roles especiales: acceso de emergencia, responsables de protección de datos, auditores.

Mantenga el modelo lo más simple posible: cada grupo adicional debe mantenerse.

Errores frecuentes

• Cuentas de administrador sin segundo factor.
• Sin copia de seguridad de la base de datos de Authentik.
• Actualizaciones aplazadas: especialmente arriesgado en un servicio central de inicio de sesión.
• Sin documentación de qué aplicación está conectada y cómo.

Costes y financiación

Para la introducción de Authentik, con herramientas de código abierto no hay costes de licencia. Los costes se generan para Configuración (planificación, instalación, conexión, pruebas), Operación (servidor o alojamiento en Alemania, actualizaciones, supervisión, copias de seguridad) y Acompañamiento (formación, normas, persona de contacto). No indicamos precios fijos porque el alcance y la situación de partida varían mucho.

Es subvencionable es la consultoría y la introducción acompañada: El INQA-Coaching cubre a nivel nacional el 80 % de los costes de coaching (hasta 11.520 €, vales hasta el 30.06.2028); un análisis previo está subvencionado por la ayuda a la consultoría de la BAFA con un 80 % en los nuevos estados federados, Lüneburg y Trier, y en caso contrario un 50 % – para solicitudes hasta el 31.12.2026.

Preguntas frecuentes

¿Qué es Authentik?

Una solución de código abierto para inicio de sesión centralizado (Single Sign-On) y gestión de usuarios, con la que se pueden utilizar muchas herramientas mediante un inicio de sesión común.

¿Es Authentik gratuito?

El núcleo es gratuito bajo licencia MIT. Algunas funciones empresariales son de pago; para escenarios típicos de pymes, por lo general basta con la versión gratuita.

¿Qué programas se pueden conectar con Authentik?

Todas las aplicaciones que admiten OpenID Connect, SAML o LDAP, entre ellas Nextcloud, Open WebUI, Paperless-ngx y n8n. Las aplicaciones sin SSO pueden protegerse mediante el proxy integrado.

¿Qué ocurre si Authentik falla?

Entonces se ve afectado el inicio de sesión en las herramientas conectadas. Por eso, la supervisión, la copia de seguridad de datos y un acceso de emergencia forman parte de la operación.

Estado: octubre de 2026. Los modelos, las versiones y las licencias cambian rápidamente; antes de tomar una decisión, compruebe la licencia actual con el proveedor.