Implementamos y operamos Keycloak y Red Hat Build of Keycloak (RHBK) para que controles la autenticación de millones de usuarios sin depender de terceros, sin vendor lock-in, y sin sorpresas en la factura.
El Problema
Estos son los escenarios reales que vemos en empresas que no tienen una solución IAM profesional.
Tu equipo lleva 3 sprints manteniendo un login casero con JWT y middleware que nadie documentó. Cada microservicio tiene su propia lógica de validación. Un cambio en staging rompe auth en 4 servicios a la vez. No hay un solo punto de verdad sobre quién tiene acceso a qué.
Deuda técnicaEl auditor SOC 2 pregunta: "Muéstreme el log centralizado de quién accedió a qué recurso en los últimos 90 días." Silencio. Los logs están dispersos en 12 microservicios con formatos distintos. El equipo pasa semanas armando un CSV a mano. La certificación se retrasa meses.
ComplianceArrancaste con Auth0 free tier. Ahora tienes 200K usuarios, necesitas MFA adaptativo, y la factura mensual supera los $15K USD. El CFO pregunta por qué gastas más en autenticación que en compute. Migrar es un proyecto de 6 meses que nadie quiere liderar.
Costos ocultosUn ingeniero senior se va un viernes. RRHH cierra su email el lunes, pero su token de API con scope admin y su sesión activa en producción siguen vivos. No hay offboarding centralizado. Tres semanas después descubren que aún podía borrar la base de datos de clientes.
Riesgo de seguridadElegiste Cognito porque "ya estamos en AWS". Dos años después necesitas federar identidad con un partner SAML, implementar CIBA para un flujo B2B, y soportar multi-tenancy. Cognito no puede. Estás atrapado: migrar 500K usuarios con hashes propietarios que AWS no exporta. Tu "decisión simple" se convirtió en una cárcel de la que salir cuesta 6 meses de ingeniería.
Vendor lock-inLa Solución
Un único sistema para autenticación, autorización, federación de identidad y gestión de sesiones. Desplegado en tu infraestructura, bajo tu control.
Un login para todas tus aplicaciones. OIDC, SAML 2.0, OAuth 2.0 out-of-the-box. Tus usuarios se autentican una vez y acceden a todo el ecosistema.
Conecta Active Directory, LDAP, Google, Azure AD, o cualquier IdP externo. Centraliza la gestión de identidad sin migrar usuarios.
TOTP, WebAuthn, FIDO2, passkeys. Autenticación multifactor y passwordless sin depender de proveedores externos de MFA.
Arquitecturas multi-realm u organization-based para SaaS, holding companies, o ecosistemas B2B con aislamiento total entre tenants.
Community vs Enterprise
El mismo motor. Diferente nivel de garantía. Para cuando tu negocio depende de que funcione 24/7.
Ideal para desarrollo, startups y entornos donde tu equipo puede asumir el mantenimiento completo.
Para producción enterprise donde necesitas SLAs, certificaciones, y alguien que responda a las 3AM.
Security Response Team dedicado. CVEs críticos parcheados en 24–48h con distribución garantizada por contrato. En sectores regulados, esto es la diferencia entre pasar o fallar la auditoría.
FIPS 140-2/140-3 para criptografía y Common Criteria. Si vendes a gobierno federal, banca o salud, estas certificaciones no son opcionales. Certificar por tu cuenta cuesta seis cifras.
Integración nativa con OpenShift, Ansible Automation Platform, y RHEL. Un solo contrato, un solo vendor, soporte unificado para todo el stack.
Keycloak community es como Linux. RHBK es como Red Hat Enterprise Linux. Ambos usan el mismo motor. Pero cuando tu negocio depende de que ese motor funcione 24/7, quieres a alguien que responda el teléfono a las 3AM, que te garantice parches de seguridad por contrato, y que certifique que el software cumple con las regulaciones de tu industria. No pagas por el software — pagas por la tranquilidad.
Servicios
No vendemos horas de consultoría. Vendemos resultados con entregables claros.
De cero a producción en semanas, no en meses.
Arquitectura y despliegue HA: Topología Keycloak/RHBK en alta disponibilidad sobre Kubernetes/OpenShift con Infinispan distribuido, TLS end-to-end y Operator configurado para rolling upgrades zero-downtime.
Federación de identidad: Integración con Active Directory/LDAP + Identity Brokering con proveedores externos (Google, Azure AD, SAML IdPs) con mappers de atributos y flujos de first-login.
Hardening y seguridad: Políticas de passwords, brute-force detection, MFA (TOTP/WebAuthn/FIDO2), session management, CSP headers. Entrega con runbook operativo documentado.
Salga de Auth0, Cognito o su login casero sin que un solo usuario note el cambio.
Auditoría y mapeo: Inventario completo de aplicaciones, protocolos (OIDC/SAML/OAuth2), custom claims, roles y flujos de autenticación existentes. Gap analysis con roadmap de migración.
Migración progresiva: Estrategia de lazy migration con hash-compatibility o bulk import, preservando sesiones activas. Dual-run period con proxy de autenticación para rollback instantáneo.
Cutover y validación: Migración de cada Relying Party con testing E2E por entorno. Runbook de cutover con checklist y plan de rollback documentado.
Prepárese para SOC 2, ISO 27001 o PCI DSS antes de que llegue el auditor.
Auditoría de configuración: Review de realms, clients, flows, token lifetimes, CORS, signing algorithms, admin endpoints expuestos y session fixation risks. Reporte con severidad CVSS.
Event logging y audit trail: Pipeline de eventos hacia SIEM (Splunk, ELK, Datadog). Dashboards de acceso, login fallidos, cambios administrativos y alertas de comportamiento anómalo.
Documentación de controles: Evidencias pre-formateadas para SOC 2 / ISO 27001: matrices de control de acceso, políticas de MFA, procedimientos de offboarding y registros de revisión periódica.
Cuando el out-of-the-box no alcanza, construimos lo que falta.
Custom SPIs y Auth Flows: Autenticadores custom (step-up auth, risk-based MFA, CIBA), User Storage SPIs para backends no-estándar, y Event Listener SPIs para integraciones con sistemas internos.
Temas y UX de marca: Themes responsive para login, registro, account console y emails transaccionales alineados con tu design system, incluyendo self-registration con validación de dominio.
Multi-tenancy avanzado: Arquitecturas multi-realm, custom protocol mappers para claims de negocio, y token exchange flows para microservicios con delegation chains.
Tecnologías
Protocolos, plataformas y herramientas del ecosistema Keycloak.
Preguntas frecuentes
Keycloak es la plataforma open source líder de gestión de identidad y acceso (IAM): single sign-on, federación de usuarios, OAuth 2.0, OpenID Connect y SAML. Red Hat Build of Keycloak (RHBK) es la distribución empresarial de Red Hat sobre el mismo proyecto, con soporte comercial, ciclo de vida extendido y parches de seguridad certificados. Implementamos ambas según tu necesidad de soporte y cumplimiento.
Un proveedor SaaS factura por usuario activo y aloja tus identidades fuera del país. Keycloak conviene cuando necesitas soberanía sobre los datos de identidad, costos predecibles a escala, o integraciones a medida (LDAP, Active Directory, SPIs propios) sin pagar por cada usuario. Si hoy tienes vendor lock-in, también acompañamos la migración.
No vendemos licencias por usuario: cotizamos por alcance del proyecto (aplicaciones a integrar, federaciones, alta disponibilidad y migración de usuarios). Una implementación típica toma entre 4 y 10 semanas. Partimos con una consultoría inicial sin costo para dimensionar tu caso.
Sí. Entregamos soporte y operación gestionada: actualizaciones, parches de seguridad, monitoreo y respuesta ante incidentes, con o sin suscripción de Red Hat. Si quieres automatizar todo el ciclo de despliegue, revisa también nuestro servicio de DevOps.
Conversemos sobre cómo implementar Keycloak en tu organización con soberanía total sobre tus datos de identidad.
Agendar consultoría gratuita →