Cuentas y SSO: Parte 2 — FusionAuth

FusionAuth — un servidor de autenticación y gestión de usuarios que los desarrolladores construyeron alrededor de una API: todo lo que se puede hacer en el panel de administración también se puede hacer mediante una petición al REST API. Se puede alojar en su propio servidor de forma gratuita o utilizar la versión en la nube del desarrollador.

Modelo de licenciamiento

Lo principal que debe saber antes de elegir: FusionAuth no es un proyecto de código abierto. La edición Community es gratuita y puede instalarse en servidores propios, pero el código está cerrado. Esto lo diferencia de Keycloak, donde todo el código está abierto bajo la licencia Apache 2.0.

Tarifas en septiembre de 2026 (según el sitio de FusionAuth):

Alojar FusionAuth en su propio servidor está permitido en todos los planes. SAML v2 está incluido en todos los planes, incluido el gratuito; la afirmación anterior de que SAML solo está disponible de pago es incorrecta.

Qué puede hacer

• OAuth 2.0, OpenID Connect y SAML v2 — acceso a aplicaciones web y móviles y a sistemas corporativos.
• Registro y perfiles de usuario, grupos y roles a nivel de aplicación.
• Autenticación multifactor e inicio de sesión mediante proveedores externos.
• API para cada acción y bibliotecas cliente para los lenguajes populares — útil cuando las cuentas se crean desde el código, por ejemplo, al registrarse en su producto.
• Webhooks sobre eventos: registro, inicio de sesión, modificación de usuario.

Cómo ejecutar

La forma oficial para probarlo es Docker Compose desde el repositorio fusionauth-containers:

curl -o docker-compose.yml https://raw.githubusercontent.com/FusionAuth/fusionauth-containers/main/docker/fusionauth/docker-compose.yml
curl -o .env https://raw.githubusercontent.com/FusionAuth/fusionauth-containers/main/docker/fusionauth/.env
# en .env reemplazar las contraseñas de la base de datos
docker compose up -d

Componentes de la instalación: el propio FusionAuth, una base de datos (PostgreSQL por defecto o MySQL) y el servicio de búsqueda OpenSearch o Elasticsearch. Según la documentación, la búsqueda formalmente no es obligatoria, pero en la configuración estándar está presente. El panel de administración se abre en el puerto 9011; al primer acceso se inicia un asistente de configuración inicial.

Para una instalación en producción se requieren las mismas medidas que para cualquier servidor de autenticación: HTTPS en el proxy inverso, base de datos con copias de seguridad, acceso restringido al panel de administración y actualizaciones periódicas.

Comparación con Keycloak

Limitaciones

• Código cerrado. No es posible verificar o corregir el código por cuenta propia, y las condiciones de la edición gratuita las determina la empresa desarrolladora.
• Precio de los planes de pago. La diferencia entre Starter y Essentials es grande; para una empresa pequeña las funciones de pago pueden ser inaccesibles por presupuesto.
• Rusia. La versión en la nube y los planes de pago se abonan con tarjeta extranjera; las tarjetas Visa y Mastercard emitidas en Rusia no funcionan en el extranjero. La edición gratuita en un servidor propio en Rusia no depende de pagos, y los datos de los usuarios permanecen con usted, lo que se ajusta al requisito de almacenar los datos personales de los ciudadanos en bases de datos en el territorio del país.

Errores típicos

• Creer que FusionAuth es un proyecto abierto y basar en ello una auditoría de código o un fork.
• Dejar las contraseñas de la base de datos tal como en el ejemplo .env.
• Abrir el puerto 9011 con el panel de administración a Internet sin proxy inverso y sin restricciones de acceso.
• No hacer copias de seguridad de la base de datos: en ella están todos los usuarios y la configuración.

Cuándo elegir

FusionAuth es conveniente si desarrolla un producto y quiere gestionar usuarios desde el código mediante una API ordenada, y el código abierto no es un requisito. Si la apertura, una gran comunidad e integración con directorios corporativos son importantes, es más lógico elegir Keycloak.