¿Qué es el inicio de sesión único (SSO)?

Inicio de sesión único: definición y utilidad

Sin SSO, cada empleado tiene para cada aplicación una cuenta propia con su propia contraseña: para el correo, el sistema de almacén, el control horario, el sistema de tickets y el portal de clientes. Esto provoca fatiga de contraseñas, claves reutilizadas y muchas consultas al soporte por credenciales olvidadas. El SSO concentra el inicio de sesión en un solo lugar.

Los usuarios inician sesión una vez en el servicio central de identidad, el proveedor de identidad (IdP), por ejemplo Microsoft Entra ID, Okta o el servicio de código abierto Keycloak. Las aplicaciones conectadas, los proveedores de servicio, reciben una confirmación de la identidad y dejan entrar al usuario. Es más que el «same sign-on», en el que solo se usa la misma contraseña en todas partes.

Cómo funciona el SSO

Técnicamente, el SSO se basa en protocolos estandarizados. SAML 2.0 está extendido sobre todo en aplicaciones empresariales, y OpenID Connect, construido sobre OAuth 2.0, en aplicaciones web y móviles modernas. Ambos transmiten una confirmación firmada de la identidad junto con atributos como nombre, dirección de correo o pertenencia a grupos.

Cuando un usuario abre una aplicación, esta lo redirige al proveedor de identidad. Si allí ya existe una sesión, vuelve a la aplicación sin introducir nada. En caso contrario se realiza el inicio de sesión, idealmente con autenticación en dos factores, que después vale para todas las aplicaciones conectadas.

Ejemplo práctico: la baja de empleados en una mediana empresa

Un fabricante de maquinaria con 80 empleados utiliza una docena de aplicaciones. Cuando alguien deja la empresa, los responsables de TI tienen que bloquear doce cuentas una a una; en la práctica es fácil que quede activo un acceso olvidado, por ejemplo en el portal de clientes o en el sistema de tickets, y nadie lo advierte.

Con SSO, la cuenta se desactiva de forma centralizada y los nuevos inicios de sesión dejan de ser posibles de inmediato en todas las aplicaciones conectadas; las sesiones existentes caducan poco después, según la configuración. Los nuevos empleados reciben al instante los accesos adecuados mediante grupos, y la autenticación en dos factores puede imponerse en un único lugar.

Ventajas, límites y errores habituales

El SSO aumenta la comodidad y la seguridad, porque circulan menos contraseñas y las reglas se aplican de forma central. Al mismo tiempo, el proveedor de identidad se convierte en un punto crítico: si falla o se compromete una cuenta, se ven afectadas muchas aplicaciones a la vez. Esta dependencia debe protegerse. Errores típicos:

• Operar el SSO sin autenticación en dos factores para la cuenta central
• Olvidar un acceso de emergencia (cuenta break-glass) para cuando falle el servicio de identidad
• Conectar aplicaciones sin asignar con claridad roles y permisos
• Sesiones demasiado largas, de modo que los accesos perduran tras la salida de una persona
• Dejar que sigan funcionando en paralelo las antiguas cuentas locales

Qué debe tener en cuenta su empresa

Aclare de antemano qué aplicaciones admiten SSO (SAML u OpenID Connect), quién mantiene las identidades y cómo se asignan los roles. Si ya utiliza Microsoft 365, con Entra ID normalmente ya dispone del servicio de identidad. Nano Concepts conecta portales de clientes, apps y aplicaciones web con su servicio de identidad mediante OpenID Connect o SAML.