Alternativas a Auth0: adónde ir y cómo migrar sin perder un usuario

Por qué irte a Clerk. Clerk entrega las pantallas de inicio de sesión, registro y perfil como componentes que colocas dentro de tu app React o Next.js, en lugar de redirigir a una página de login alojada. El plan Hobby es gratis hasta 50.000 usuarios retenidos al mes por aplicación, frente a 25.000 usuarios activos en Auth0 (dos unidades distintas).

Para quién. Equipos de producto en React o Next.js, en B2C o SaaS B2B, que quieren organizaciones y roles sin programar un panel de administración.

Para quién no. Una app cuya interfaz no está en JavaScript, o una gran empresa que exige alojar ella misma las identidades.

Su límite. Clerk no cuenta los usuarios como Auth0. Un MRU (usuario retenido mensual) es alguien que vuelve al menos un día después de registrarse: quien se registra y no vuelve no cuesta nada, pero tus cifras de Auth0 y de Clerk no se comparan línea a línea. En B2B incluye una conexión SSO empresarial, luego 75 $ al mes cada una, y una organización se queda en 20 miembros sin el complemento B2B de 100 $ al mes.

Cómo migrar. Clerk mantiene un script de importación de código abierto que lee JSON o CSV, con un campo password_hasher para conservar las contraseñas. También admite la migración progresiva («trickle»): cada usuario pasa en su siguiente inicio de sesión. Ojo: las sesiones abiertas se cierran en el cambio y todo el mundo vuelve a entrar una vez.

Por qué irte a Supabase Auth. Si tu app ya corre en Supabase, la autenticación viene en la misma suscripción: 50.000 usuarios activos al mes en el plan gratuito, 100.000 en el plan Pro de 25 $ al mes por organización, y después 0,00325 $ por usuario activo adicional. Con 200.000 activos, el excedente suma unos 325 $ al mes. Sin un muro de «Contact us» a medio camino.

Para quién. Equipos que quieren a sus usuarios en la misma base Postgres que sus datos, con reglas de acceso por fila (Row Level Security) escritas en SQL.

Para quién no. Un SaaS B2B construido sobre las Organizations de Auth0: Supabase Auth no tiene equivalente y tendrás que programar el modelo de equipos.

Su límite. La guía de migración solo conserva el MFA por TOTP, y un proyecto gratuito inactivo se pausa a los 7 días. Para producción, cuenta con el plan Pro desde el principio. El SAML incluye 50 usuarios activos y luego cuesta 0,015 $ cada uno.

Cómo migrar. Supabase publica una guía específica para Auth0. Importa hashes bcrypt y Argon2, así que tus usuarios conservan su contraseña, siempre que consigas la exportación de hashes del soporte de Auth0. Los factores MFA se vuelven a registrar y las conexiones SAML se enlazan con ayuda del soporte de Supabase. Más detalles en nuestra reseña de Supabase y, si Supabase no te encaja, mira sus alternativas.

Por qué irte a WorkOS. En un SaaS B2B, el primer motivo para dejar Auth0 es la línea del SSO empresarial en la factura. WorkOS separa las dos cosas: AuthKit, su capa de login, es gratis hasta 1 millón de usuarios activos al mes. Solo pagas las conexiones empresariales (SSO y sincronización de directorio): 125 $ al mes por conexión de la 1 a la 15, y 100 $ de la 16 a la 30.

Para quién. Un SaaS que firma con clientes que usan Okta, Entra ID o Google Workspace y piden SAML o SCIM en cada contrato.

Para quién no. Una app de consumo: no aprovecharías lo que WorkOS hace bien.

Su límite. Cada cliente empresarial añade una línea fija. Con 20 clientes en SSO, la cuenta ronda los 2.375 $ al mes (15 × 125 $ + 5 × 100 $). Suele salir más barato que Auth0 B2B, pero repercútelo en tu plan Enterprise.

Cómo migrar. Importar las cuentas es lo fácil. Lo difícil es reconfigurar el SSO con cada cliente, que debe cambiar la URL de retorno o los metadatos SAML en su lado. Avisa a tus clientes empresariales con un mes de antelación y fija una cita con cada uno.

Por qué irte a Cognito. El precio por usuario más bajo de esta página entre los servicios que facturan solo por MAU, sin suscripción. En el nivel Lite: 10.000 usuarios activos gratis, luego 0,0055 $ cada uno y 0,0046 $ en el tramo siguiente. Un desarrollador en Hacker News cuenta que se fue a Cognito cuando sus conectores empresariales llevaron la factura de Auth0 de gratis a 15.000 $ al año.

Para quién. Equipos que ya trabajan en AWS (Lambda, API Gateway, IAM) y manejan la infraestructura como código.

Para quién no. Quien quiere pantallas de login cuidadas sin esfuerzo: la personalización de Cognito se queda por detrás de Auth0 y de Clerk.

Su límite. Tres niveles distintos: Lite, Essentials (10.000 gratis y luego 0,015 $) y Plus (0,020 $ sin tramo gratuito). SAML y OIDC son gratis para 50 usuarios y luego cuestan 0,015 $. Los grupos de usuarios creados antes del cambio de tarifas de finales de 2024 conservan 50.000 MAU gratis: no borres uno antiguo sin saberlo.

Cómo migrar. El disparador Lambda «Migrate user» de Cognito valida la contraseña contra Auth0 en el primer login y crea el usuario. Nadie reinicia nada, pero Auth0 debe seguir activo durante toda la ventana. Quien pulse «olvidé mi contraseña» en ese periodo pasa por un reinicio. Para automatizar alrededor, existe un nodo de AWS Cognito en n8n.

Por qué irte a Keycloak. Se acabó la factura por MAU. Keycloak es un servidor de identidad de código abierto con licencia Apache 2.0 y más de 37.000 estrellas en GitHub: SSO, SAML, OIDC, federación LDAP y MFA vienen incluidos. Y los datos se quedan donde tú decidas, un argumento fuerte cuando un cliente pregunta por el RGPD.

Para quién. Un equipo con perfil de operaciones (Kubernetes, bases de datos, copias de seguridad), o una organización que debe guardar las identidades en casa.

Para quién no. Una startup de tres desarrolladores sin nadie de guardia: la licencia es gratis, operarlo no.

Su límite. Las actualizaciones. Los proveedores de Keycloak gestionado cuentan unas cuatro versiones menores al año, y cada salto se prepara. Si cae tu servidor de identidad, cae el login de todo tu producto.

Cómo migrar. Keycloak importa usuarios en JSON, y un proveedor de almacenamiento personalizado (SPI) puede validar las contraseñas antiguas al vuelo. Es más código que con Clerk o Cognito: calcula unos días de desarrollo en Java.

Por qué irte a Cloud-IAM. Quieres Keycloak sin ocuparte de los servidores y con los datos en la UE. Cloud-IAM, editor francés, aloja instancias de Keycloak gestionadas en Outscale o Scaleway, con la cualificación SecNumCloud 3.2 y la certificación HDS (datos de salud) en Outscale. Es la única opción de esta página que publica sus precios en euros.

Para quién. Sector público, salud, finanzas, y cualquier empresa cuyos clientes preguntan dónde se alojan las identidades en sus licitaciones.

Para quién no. Una app de consumo con cientos de miles de registros: factura por número de cuentas, no por usuarios activos.

Su límite. Más allá de los planes, el precio depende del número de cuentas y la tabla detallada no es pública. Pide presupuesto con tu volumen real antes de compararlo con Auth0.

Cómo migrar. Es Keycloak: el mismo camino de importación que la ficha anterior, con el soporte del editor. El plan freemium de 100 usuarios sirve para validar tu configuración antes de pagar.

Por qué irte a ZITADEL. ZITADEL, editor suizo, nació para el B2B multi-tenant: cada cliente tiene su espacio, sus proveedores de identidad y sus administradores. Puedes autoalojarlo o usar su nube, con residencia de datos a elegir entre UE, Estados Unidos, Suiza o Australia. El plan Pro cuesta 100 $ al mes para 25.000 usuarios activos diarios.

Para quién. Un SaaS B2B que quiere el modelo de organizaciones de Auth0 sin su factura por conexión, y dejar la puerta abierta al autoalojamiento.

Para quién no. Un equipo que quiere modificar el código y mantenerlo cerrado: desde la versión 3, el núcleo tiene licencia AGPL 3.0, con licencia comercial posible.

Su límite. La unidad de facturación: ZITADEL cuenta usuarios activos diarios (DAU), no mensuales. Una app en la que todos entran a diario agota pronto su plan. El gratuito se queda en 100 DAU y 3 proveedores de identidad.

Cómo migrar. Antes de firmar, pide al editor el procedimiento para importar los hashes bcrypt exportados de Auth0 y haz un piloto con unas pocas cuentas en el plan gratuito.

Por qué irte a Hanko. Hanko es un editor alemán centrado en las passkeys (inicio de sesión sin contraseña) y aloja su nube solo en AWS Fráncfort. El plan Starter es gratis hasta 10.000 usuarios activos al mes, y el Pro cuesta 29 $ al mes más 0,01 $ por usuario activo por encima del límite.

Para quién. Una app que quiere eliminar las contraseñas y mantener los datos en Alemania, con un código abierto (AGPL) detrás.

Para quién no. Un SaaS con muchos clientes empresariales: cada conexión SAML cuesta 49 $ al mes.

Su límite. El precio de cada conexión SAML. Detalle práctico: no bloquea tu app si superas el límite del plan, lo que evita un corte pero puede darte una sorpresa en la factura.

Cómo migrar. Antes de decidir, pregunta a Hanko cómo importa los hashes exportados de Auth0. Con passkeys, otra vía es pedir a cada usuario que cree una en su primer acceso, y retirar las contraseñas poco a poco.