Keycloak en las pymes: uso, ventajas, esfuerzo

Lo más importante en breve

Keycloak: Apache 2.0, impulsado por Red Hat, proyecto de la CNCF.
Fuerte en muchos usuarios, ubicaciones, accesos de socios.
Más esfuerzo de configuración y operación que Authentik.
Comercial Soporte disponible.

Keycloak es una solución Open Source madura para inicio de sesión centralizado (Single Sign-On) y gestión de accesos bajo licencia Apache-2.0. Está respaldada por Red Hat; desde 2023 es un proyecto de la Cloud Native Computing Foundation. En las empresas medianas, Keycloak es especialmente adecuado para compañías con muchos usuarios, varias sedes, accesos de socios o clientes y derechos complejos. El esfuerzo de configuración es mayor que en soluciones más ligeras.

Escenarios típicos de uso en empresas medianas

SSO para empleados: Un inicio de sesión para Nextcloud, herramientas de IA, aplicaciones web ERP y software especializado.
Varias sedes o sociedades: áreas separadas („Realms“) con sus propias reglas bajo un mismo sistema.
Portales para socios y clientes: accesos para externos, separados de las cuentas internas.
Conexión de directorios existentes: Active Directory o LDAP siguen siendo la fuente, Keycloak asume el inicio de sesión moderno.
Aplicaciones propias: Los portales web y las apps utilizan Keycloak para el inicio de sesión y los permisos.

Administrador con portátil en el centro de datos

Ventajas

Licencia completamente libre:Apache 2.0, sin nivel Enterprise con funciones bloqueadas.
Alcance funcional: permisos detallados, autenticación sólida, federación con otros proveedores de identidad.
Estándares: OpenID Connect, OAuth 2.0, SAML – amplia compatibilidad.
Estabilidad:gran proveedor, gran comunidad, larga experiencia en uso.
Soporte posible: soporte comercial a través de Red Hat o proveedores especializados.
Independencia: operación en Alemania, sin dependencia de un proveedor de nube – véase Evitar vendor lock-in.

Con qué esfuerzo debería contar

Planificación: reflexionar cuidadosamente sobre roles, grupos, áreas y conexiones.
Configuración: más compleja que con Authentik; la experiencia en gestión de identidades ayuda.
Operación: actualizaciones periódicas, supervisión, copias de seguridad de datos, alta disponibilidad con muchos usuarios.
Conocimientos técnicos: Internamente o a través de un proveedor de servicios, alguien debe conocer bien Keycloak.

Para entornos más pequeños, eso suele ser más de lo necesario; en ese caso, merece la pena echar un vistazo a Authentik. La comparación directa muestra Keycloak vs. Authentik.

Seguridad y protección de datos

Keycloak es la clave centralpara todos los sistemas: la seguridad, las actualizaciones y la supervisión tienen la máxima prioridad.
Inicio de sesión en dos factores para todos, como mínimo para los administradores.
Operación en Alemania, almacenar los registros por separado y protegidos.
Transmitir a las aplicaciones solo los datos necesarios (minimización de datos).

Introducción en las pymes

Inventario: aplicaciones, directorios, grupos de usuarios, accesos externos.
Imagen objetivo: áreas, roles, reglas de registro, obligación de doble factor.
Piloto con un departamento y dos o tres aplicaciones.
Ampliación gradual, formación de los administradores.
Concepto de operación: actualizaciones, supervisión, acceso de emergencia, documentación.

Para personas interesadas en la tecnología

Keycloak se basa en Java (Quarkus) y requiere una base de datos relacional, normalmente PostgreSQL.
Para alta disponibilidad, se ejecutan varias instancias en el clúster.
La configuración puede versionarse mediante exportaciones o herramientas de configuración como código.

bettersorted apuesta para sus clientas y clientes por componentes abiertos y transparentes – operados en servidores en Alemania y agrupados en el automaisa Hub. Asesoramos de forma independiente de fabricantes, estamos registrados en el BAFA como consultores y somos coaches autorizados de INQA. La consultoría y la introducción acompañada pueden subvencionarse a través del INQA-Coaching con un 80 %; el camino adecuado lo muestra la comprobación de subvención. Para una primera conversación sin compromiso: Contacto.

Ejemplo: portal para distribuidores y SSO para empleados

Un escenario ilustrativo: un fabricante de maquinaria con 300 empleados opera un portal para distribuidores y socios de servicio. Keycloak proporciona dos áreas separadas: los empleados inician sesión a través del Active Directory existente, los socios mediante cuentas propias con doble factor. Ambos utilizan las mismas aplicaciones web, pero solo ven lo que está habilitado para ellos.

Planificar la operación de forma realista

Dos instancias para garantizar la tolerancia a fallos con muchos usuarios
Actualizaciones periódicas con pruebas en un entorno de pruebas
Supervisión de errores de inicio de sesión y accesos inusuales
Configuración documentada para que el conocimiento no dependa de una sola persona

Costes y financiación

Para la implantación de Keycloak, con herramientas de código abierto no hay costes de licencia. Los costes surgen para Configuración (planificación, instalación, conexión, pruebas), Operación (servidor o alojamiento en Alemania, actualizaciones, supervisión, copia de seguridad de datos) y Acompañamiento (formación, normas, persona de contacto). No indicamos precios fijos, porque el alcance y la situación de partida varían mucho.

Es subvencionable es la asesoría y la introducción acompañada: El INQA-Coaching cubre a nivel nacional el 80 % de los costes de coaching (hasta 11.520 €, vales hasta el 30.06.2028); un análisis previo está subvencionado por la subvención de asesoramiento de la BAFA con un 80 % en los nuevos estados federados, Lüneburg y Trier, y en caso contrario un 50 % – para solicitudes hasta el 31.12.2026.

Preguntas frecuentes

¿Qué es Keycloak?

Una solución de código abierto para el inicio de sesión centralizado y la gestión de accesos (Identity and Access Management), bajo licencia Apache-2.0, respaldada por Red Hat y la Cloud Native Computing Foundation.

¿Es Keycloak adecuado para las pymes?

Sí, especialmente cuando hay muchos usuarios, varias ubicaciones, accesos externos o permisos complejos. Para entornos muy pequeños puede bastar una solución más ligera.

¿Cuánto cuesta Keycloak?

El software es gratuito. Los costes surgen por el servidor, la configuración, la operación y, opcionalmente, el soporte comercial.

¿Puede Keycloak conectarse a Active Directory?

Sí. Keycloak puede utilizar directorios existentes como Active Directory o LDAP como fuente de usuarios y construir sobre ellos un inicio de sesión moderno.

Estado: octubre de 2026. Los modelos, las versiones y las licencias cambian rápidamente: antes de tomar una decisión, compruebe la licencia actual con el proveedor.