Authentik: lista de comprobación de endurecimiento para IdP autoalojados

Authentik (goauthentik/authentik) es un proveedor de identidad de código abierto diseñado para el autoalojamiento, compatible con OIDC/OAuth2, SAML, LDAP y RADIUS. Sus mantenedores posicionan su oferta empresarial como un sustituto de proveedores de identidad comerciales como Okta, Auth0 o Entra ID. Para los MSP, ese cambio aporta un control real — y una responsabilidad operativa real.

Qué cambia al ejecutar tu propio IdP

Un proveedor de identidad autoalojado pone su disponibilidad, parcheado y recuperación de emergencia en manos del MSP. Authentik puede ejecutarse en Docker Compose para despliegues pequeños o mediante un chart de Helm para los más grandes, pero una caída o una mala configuración en esa pila puede bloquear el acceso a todas las aplicaciones posteriores que dependen de ella para iniciar sesión.

Una lista de comprobación de endurecimiento que merece la pena seguir

• Impón MFA en todas las cuentas de administrador, no solo en los inicios de sesión de los usuarios finales.
• Mantén cuentas de emergencia con una ruta de recuperación sin conexión que no dependa de que el propio IdP esté operativo.
• Incluye en una lista de permitidos a las partes de confianza (las aplicaciones) autorizadas a autenticarse contra cada proveedor, en lugar de dejar el registro abierto.
• Versiona y haz copias de seguridad de la configuración de Authentik por separado de los datos de la aplicación, para que un cambio erróneo pueda revertirse rápidamente.
• Supervisa los fallos de autenticación y las acciones de administración como telemetría de producción, alimentando el mismo canal de alertas que cualquier otro servicio crítico.

Nada de esto es específico de Authentik — se aplica a cualquier plano de identidad autoalojado —, pero Authentik es un ejemplo razonable sobre el que colgar la lista. La conclusión práctica es que «autoalojado» y «endurecido» no son la misma afirmación: lo primero es una decisión de despliegue, lo segundo es una lista de pasos operativos que hay que seguir después de que el despliegue esté en producción.

Fuentes: GitHub — goauthentik/authentik, authentik.io.