¿Qué software de gestión de identidades y SSO elegir en 2026?

Entra ID es el directorio que hay detrás de Microsoft 365. Si tu empresa tiene cuentas de Microsoft, ya tiene un Entra ID aunque nadie lo haya configurado a propósito. La edición gratuita incluye SSO sin límite de aplicaciones, doble verificación y restablecimiento de contraseña por el propio usuario.

El salto importante es P1, a 6,10 € sin IVA por usuario y mes. Añade el acceso condicional: permitir o bloquear un inicio de sesión según el dispositivo o el lugar desde el que se conecta. Añade también el acceso sin contraseña y la sincronización con un Active Directory local. Lo que muchas pymes no saben: P1 viene incluido en Microsoft 365 Business Premium. Hay empresas que lo pagan cada mes sin usarlo.

La galería tiene miles de aplicaciones listas para el SSO. El aprovisionamiento automático funciona con SCIM 2.0, pero no en todas las aplicaciones de la galería: revisa la ficha de cada una. Los administradores coinciden: sencillo si todo está en Microsoft, confuso cuando intentas entender qué licencia desbloquea qué, y P2 resulta caro para un equipo pequeño.

Okta es el especialista independiente en identidad, y su baza sigue siendo el catálogo: más de 8 000 integraciones listas para usar. Si tus herramientas no viven solo dentro de Microsoft, la mayoría se conectará en pocos clics.

El precio empieza en 6 $ por usuario y mes con Starter, que cubre SSO, doble verificación y directorio. La creación y el borrado automáticos de cuentas (Lifecycle Management) y la doble verificación adaptativa son extras en ese plan. Para tener ambas cosas hace falta Essentials, a 17 $, con 50 automatizaciones (Workflows) incluidas. Todo se paga en anual con un contrato mínimo de 1 500 $: un equipo de 15 personas paga el mínimo, no 15 veces 6 $.

Los administradores lo resumen sin rodeos: la opción más cara, pero muy fácil de usar, y funciona. También se quejan de la presión para añadir módulos y de que se cobra por usuario de Okta, cuentas de servicio incluidas. Okta sufrió además dos incidentes de seguridad, en 2022 y en 2023, el segundo en su sistema de soporte. Si piensas dejarlo, nuestra guía para cambiar de Okta repasa las opciones.

JumpCloud se define como un directorio en la nube. Gestiona las cuentas de la plantilla, el SSO hacia las aplicaciones y también los propios ordenadores, con módulos LDAP y RADIUS para los equipos que no hablan SSO. Esa mezcla es lo que lo separa de Okta.

Su paquete SSO cuesta 11 $ por usuario y mes en anual, 13 $ en mensual, e incluye doble verificación y gestor de contraseñas. La gestión de dispositivos sola cuesta 9 $, las dos cosas juntas 13 $, y hay módulos sueltos desde 3 $. Ojo: JumpCloud ya no es gratis para las cuentas nuevas desde 2024. El antiguo plan gratuito de 10 usuarios solo sigue para cuentas abiertas antes, y muchas comparativas en español lo siguen mostrando.

Las opiniones destacan todo lo que cubre, pero citan una consola exigente, muchos clics para las políticas avanzadas e informes limitados. La relación calidad-precio es el punto peor valorado por los usuarios. Otra trampa: los usuarios suspendidos se cobran, así que haz limpieza antes de cada renovación.

Duo, de Cisco, nació como herramienta de doble verificación y hoy ofrece SSO en sus planes de pago. Su argumento es el precio: el SSO va incluido desde Essentials, a 3 $ por usuario y mes, el precio público más bajo con SSO de esta lista.

La edición gratuita cubre 10 usuarios, pero sin SSO: sirve para proteger unos pocos accesos con doble verificación. Por encima, Advantage cuesta 6 $ y Premier 9 $ por usuario y mes. Las licencias se venden en lotes de 10 por debajo de 100 usuarios, y luego de 25: un equipo de 32 personas paga 40.

El límite está en el catálogo. Duo no tiene ni la biblioteca de Okta ni la galería de Microsoft, y no sustituye a un directorio completo. Encaja con una pyme que quiere una doble verificación sólida en todas partes y SSO para una docena de aplicaciones.

Cloud Identity es la capa de identidad que sostiene Google Workspace. Puede actuar como proveedor de identidad para tus aplicaciones de terceros: tu equipo abre Slack o el CRM con su cuenta de Google, por SAML. La verificación en dos pasos y las llaves de seguridad están en las dos ediciones.

La gratuita basta para arrancar con el SSO. Premium, a 6,60 € por usuario y mes en el plan flexible, añade el aprovisionamiento automático en las aplicaciones y un compromiso de disponibilidad del 99,9 %. Sin Premium, cada baja se cierra a mano en cada aplicación.

Las opiniones de los administradores están divididas. Funciona bien en pymes y en educación, pero muchos lo ven demasiado ligero más allá, sin las reglas de acceso de Entra ID u Okta. Si dudas entre las dos suites, nuestra guía para cambiar de Google Workspace las compara.

Cloud-IAM es un proveedor francés que aloja y mantiene Keycloak por ti. Te quedas con la herramienta de código abierto estándar (SAML, OIDC, directorio LDAP), sin gestionar servidores, actualizaciones ni copias de seguridad. Para una pyme española que exige un proveedor europeo por el RGPD, es una de las pocas opciones con precio público.

El precio es una cuota mensual, no un precio por usuario: gratis hasta 100 usuarios (un solo entorno, alojado en AWS, sin compromiso de disponibilidad), después Starter desde 225 € al mes, Essential desde 495 € y Premium desde 1 440 €, con un 10 % de descuento en anual. El precio final depende del número de usuarios, del soporte y del alojamiento elegido. Todos los planes de pago tienen la certificación ISO 27001:2022. Las certificaciones francesas SecNumCloud 3.2 y de datos de salud (HDS) solo valen en el alojamiento de Outscale.

El límite es la propia lógica de Keycloak: una consola técnica, pensada tanto para desarrolladores como para administradores. Para 30 personas que solo quieren SSO hacia sus aplicaciones, Entra ID o Duo son más sencillos. Para proteger una aplicación propia, o cumplir una exigencia europea escrita en un contrato, Cloud-IAM tiene mucho sentido.

authentik es un proveedor de identidad de código abierto, más reciente que Keycloak y con fama de ser más sencillo. La versión gratuita ya incluye OIDC, SAML, LDAP, SCIM, RADIUS, Kerberos y un modo proxy para proteger aplicaciones que no saben hablar SSO. El equipo se ha posicionado contra el «impuesto SSO» y mantiene estos protocolos en el código abierto.

La versión gratuita solo tiene soporte de la comunidad. Enterprise cuesta 5 $ por usuario interno y mes en anual y 0,02 $ por usuario externo, y las cuentas de servicio son gratis, al revés que en Okta. Enterprise Plus empieza en 20 000 $ al año.

En los foros de autoalojamiento, authentik aparece una y otra vez como el punto medio entre Keycloak, completo pero pesado, y herramientas más ligeras. Sigue siendo un programa que instalas, actualizas y respaldas tú. Sin alguien que se ocupe, una opción alojada sale más barata al final.

Keycloak es el servidor de identidad de código abierto de referencia, con licencia Apache 2.0 y hoy en incubación en la CNCF (la fundación del ecosistema cloud nativo). Gestiona SSO, OIDC, OAuth 2.0 y SAML 2.0, se conecta a un directorio LDAP o Active Directory y ofrece doble verificación.

La licencia no cuesta nada. El precio real es el servidor, las actualizaciones, las copias de seguridad y la persona que sabe arreglar su configuración un viernes por la noche. Un administrador resumía montarlo por tu cuenta como una pesadilla. Otros lo encuentran muy sólido una vez en marcha.

Para una pyme sin desarrolladores, Keycloak no es el punto de partida. Para una empresa de software o un equipo técnico, es la herramienta más completa de la lista. Si lo quieres sin mantenerlo, Cloud-IAM lo ofrece gestionado.