Alternativas a Okta: adónde ir y cómo migrar sin cortar accesos

Por qué ir a Entra ID. Si tus empleados ya entran en Outlook, Teams y SharePoint con una cuenta de Microsoft, el directorio ya existe. Entra ID (el antiguo Azure AD) hace SSO (un solo inicio de sesión para todas las aplicaciones) con SAML y OIDC, MFA y acceso condicional: reglas como «desde un equipo no gestionado, MFA obligatorio». Eliminas una factura en lugar de cambiarla por otra.

Para quién. Empresas que trabajan con Microsoft 365, y las que aún tienen un Active Directory en sus servidores.

Para quién no es. Un equipo 100 % Google Workspace y Mac: comprarías un ecosistema entero para tener un directorio.

Su límite. El catálogo y el panel de aplicaciones de Okta siguen siendo más cómodos, y las aplicaciones que entraban con contraseña guardada (el modo SWA de Okta) se migran mal. Hay opiniones divididas sobre el acceso condicional: más fino que la política de sesión de Okta, pero más lento de ajustar. La federación por fases tampoco admite protocolos de correo antiguos como POP3 o SMTP autenticado.

Cómo migrar. Es la herramienta mejor documentada para salir de Okta: Microsoft publica tres guías oficiales. Una lista tus aplicaciones con la API de Okta y las migra una a una (SAML, OIDC, servidores de autorización). Otra pasa la federación de Microsoft 365 por grupos de usuarios, con la sincronización de hash de contraseñas. La tercera traduce tus políticas de inicio de sesión de Okta a acceso condicional.

Su precio. Hay una versión Free. P1 cuesta 6,10 € sin IVA por usuario y mes, P2 (protección de identidad, accesos privilegiados) 8,70 € y la Suite 10,40 €, con pago anual; la Suite requiere P1.

Por qué ir a JumpCloud. Okta gestiona identidades, no ordenadores. JumpCloud hace las dos cosas: un directorio en la nube, SSO, MFA, un gestor de contraseñas y la gestión de equipos Windows, Mac y Linux (MDM). Para una pyme sin Active Directory, suele ser una herramienta menos que pagar.

Para quién. Pymes (la oferta Platform Essentials llega a 300 usuarios), con equipos de distintos sistemas y un departamento de IT pequeño.

Para quién no es. Una gran empresa que necesita un gobierno de accesos avanzado: en los foros, JumpCloud aparece como agradable pero menos completo que Okta. Un antiguo cliente de Okta cuenta además que dejó JumpCloud por una curva de aprendizaje más dura de lo esperado.

Su límite. No hay plan gratis permanente, solo una prueba de 30 días. Los usuarios suspendidos se siguen facturando: borra las cuentas de quien se va. La oferta Platform Essentials llega como máximo a 300 usuarios.

Cómo migrar. Crea primero tus grupos con los mismos nombres que en Okta y después conecta cada aplicación por SAML o por SCIM (el protocolo que crea y borra cuentas de forma automática). Mantén el mismo identificador por persona, casi siempre el correo, para que cada aplicación reconozca las cuentas existentes.

Su precio. El paquete SSO (SSO, MFA, gestor de contraseñas) cuesta 11 $ por usuario y mes con pago anual, 13 $ con pago mensual. La gestión de dispositivos cuesta 9 $ (11 $ mensual) y el paquete de dispositivos e identidad 13 $ (15 $). Hay módulos sueltos desde 3 $, y la plataforma completa va por presupuesto.

Por qué ir a Ping. Ping es el otro gran nombre de la identidad corporativa y ofrece tres formas de desplegar: PingOne (nube compartida), Advanced Identity Cloud (una nube dedicada a tu empresa) y un software que instalas en tus servidores. Si parte de tus aplicaciones sigue en tu centro de datos, esa flexibilidad cuenta.

Para quién. Bancos, aseguradoras, administraciones e industria, con miles de usuarios y requisitos de alojamiento.

Para quién no es. Una pyme: sin precio público y con un ciclo de venta de gran cuenta, pasarás más tiempo en reuniones que migrando.

Su límite. No muestra precios. La tarifa depende del número y del tipo de identidades (empleados, clientes, socios) y todo pasa por un comercial. Compara con el mismo alcance, módulo a módulo.

Cómo migrar. Los pasos son los mismos que hacia Entra: inventario de aplicaciones, reconfiguración SAML u OIDC una a una, paso del MFA por grupos. Pide a Ping que el presupuesto diga qué ayuda a la migración incluye y cuánto tiempo pueden convivir las dos herramientas.

Su precio. Solo por presupuesto.

Por qué ir a Keycloak. Keycloak es gratis, con licencia Apache 2.0, y cubre lo esencial de un proveedor de identidad: SSO, OIDC, OAuth 2.0, SAML 2.0 y conexión a un directorio LDAP o Active Directory. Es un proyecto en incubación de la Cloud Native Computing Foundation, algo que da confianza sobre su futuro. Se acabó la factura por usuario.

Para quién. Equipos técnicos que ya alojan sus propios servicios y empresas de software que necesitan identidad para sus clientes.

Para quién no es. Una empresa sin equipo de sistemas: en los foros, alojar Keycloak se describe como una carga pesada. Actualizaciones, copias de seguridad, alta disponibilidad y seguridad corren de tu cuenta.

Su límite. No tiene un catálogo de aplicaciones listas para conectar como el de Okta: cada aplicación se configura a mano. Tampoco hay soporte del editor, salvo que contrates a un partner.

Cómo migrar. Monta primero una instancia de pruebas y migra una aplicación poco crítica. Crea los grupos con los mismos nombres, mantén el correo como identificador y prepara el cambio de contraseñas: Okta no te las devolverá en claro.

Su precio. Gratis. El coste real es el tiempo de tu equipo y el alojamiento.

Por qué ir a Cloud-IAM. ¿Quieres Keycloak sin alojarlo tú? Cloud-IAM, un editor francés, lo gestiona por ti. Eliges el proveedor de alojamiento, entre ellos Scaleway y Outscale, ambos europeos. Para una empresa que quiere sus identidades fuera de las nubes estadounidenses, por el RGPD o por requisitos de un cliente público, es un argumento que ni Okta ni Entra ofrecen. Además, publica sus precios en euros.

Para quién. Empresas de software, salud, sector público y cualquier organización con exigencias de soberanía de datos. No hemos encontrado un editor español de identidad comparable.

Para quién no es. Una pyme pequeña que busca un SSO listo para sus empleados: vuelves a la configuración aplicación por aplicación de Keycloak.

Su límite. El precio es una tarifa mensual fija, no por persona: a pequeña escala pesa más que una herramienta que cobra por usuario. El catálogo de integraciones sigue siendo el de Keycloak.

Cómo migrar. Empieza con el plan Freemium (100 usuarios, un solo espacio) para reconfigurar dos o tres aplicaciones de prueba. Un punto a favor: Cloud-IAM factura por número de cuentas, pero nunca bloquea el servicio si superas tu cuota, lo que evita un corte el día de la importación.

Su precio. Freemium gratis, Starter 225 € al mes, Essential 495 € y Premium 1 440 €, con un 10 % de descuento en pago anual.

Por qué ir a authentik. authentik es un proveedor de identidad de código abierto más joven que Keycloak. La versión gratuita basta para casos sencillos, y la oferta Enterprise añade soporte y funciones de empresa a un precio por persona muy por debajo del de Okta.

Para quién. Equipos técnicos que quieren alojar su identidad pero tener un editor al que llamar.

Para quién no es. Un equipo que no quiere alojar nada: servidores, copias de seguridad y actualizaciones siguen siendo cosa tuya.

Su límite. El propio editor presenta la versión gratuita para laboratorios caseros y casos simples, con soporte de la comunidad. El salto al nivel alto es brusco: Enterprise Plus empieza en 20 000 $ al año.

Cómo migrar. El mismo método que con Keycloak: una instancia de pruebas, una aplicación poco crítica primero, los grupos con los mismos nombres y el correo como identificador estable.

Su precio. La versión de código abierto es gratis. Enterprise cuesta 5 $ por usuario interno y mes, o 0,02 $ por usuario externo, con pago anual.

Por qué ir a Duo. Muchos equipos usan Okta sobre todo para la doble autenticación. Si es tu caso, Duo hace ese trabajo por mucho menos, sumándose al directorio que conserves.

Para quién. Equipos pequeños y empresas que mantienen un directorio de Microsoft o Google pero quieren un MFA más sólido delante de su VPN y sus aplicaciones.

Para quién no es. Sustituir todo Okta: Duo es ante todo un MFA, no un directorio completo. Tienes que combinarlo con el que conserves.

Su límite. Las licencias se venden en lotes de 10 por debajo de 100 usuarios y luego en lotes de 25: con 104 personas pagas 125 puestos.

Cómo migrar. El MFA es la parte de la migración que toca a cada empleado. Lanza una campaña de registro en Duo antes de apagar el MFA de Okta, con una fecha límite clara y un canal de ayuda.

Su precio. Free hasta 10 usuarios. Essentials 3 $, Advantage 6 $ y Premier 9 $ por usuario y mes, con prueba de 30 días.

Por qué ir a ZITADEL. ZITADEL es un proveedor de identidad de código abierto que también ofrece una versión alojada por el editor, facturada por mes y no por puesto. Mantienes la puerta de salida del código abierto sin gestionar servidores.

Para quién. Empresas de software que necesitan el inicio de sesión de sus propios clientes y que no quieren la oferta de identidad de clientes de Okta, cuya base Enterprise obligatoria cuesta 3 000 $ al mes.

Para quién no es. Sustituir la identidad de tus empleados con un catálogo de aplicaciones listo: ZITADEL piensa primero en los desarrolladores.

Su límite. El plan gratis se queda en 100 usuarios activos al día y 3 proveedores de identidad externos. Si te pasas un poco, el salto a Pro es grande.

Cómo migrar. Para una aplicación de clientes, prevé una migración progresiva: cada usuario cambia su contraseña o entra con un proveedor externo (Google, Microsoft), porque Okta no entrega las contraseñas en claro.

Su precio. Free gratis, Pro a 100 $ al mes hasta 25 000 usuarios activos al día, Enterprise por presupuesto.