¿Necesito un nombre de dominio para Keycloak?

Sí. Keycloak firma sus tokens y construye sus redirecciones OIDC y SAML a partir de su dirección HTTPS pública: debe responder en un nombre estable. No hace falta comprar uno: cada VPS de ServOrbit incluye un subdominio gratuito (keycloak.{dns_slug}.servorbit-dns.com) con certificado HTTPS. También puede usar un subdominio de uno de sus dominios.

¿Dónde encuentro la contraseña de administrador?

Se muestra en su área de cliente, en la ficha de la aplicación instalada; el usuario es admin. Abre la consola de administración del realm master. Keycloak la marca como cuenta temporal: cree su propio administrador y desactive después esta cuenta.

¿Cuánta RAM hay que prever?

Keycloak funciona sobre la JVM: cuente con unos 600 MB en reposo junto con su base PostgreSQL. Un VPS de 2 GB basta para empezar; pase a 4 GB si varios realms reciben tráfico o si otras aplicaciones comparten el servidor.

¿Cómo hago copias de seguridad y actualizo Keycloak?

Las cuentas, los realms, los clientes y las sesiones persistentes residen en la base PostgreSQL, guardada en el volumen keycloak-pgdata: haga una copia con pg_dump antes de cada actualización. Para subir de versión, cambie la etiqueta de la imagen de Keycloak en el docker-compose.yml de la aplicación y ejecute docker compose pull y docker compose up -d; Keycloak migra su esquema al arrancar.

Reforzar la seguridad de las infraestructuras.

Keycloak

Keycloak — el SSO empresarial de código abierto en su VPS: OIDC, SAML 2.0, realms, federación LDAP y MFA, sin licencia por usuario.

2 GB mínimo RAM 2 vCPU Puerto 8105 En validación

En validación

La instalación automática de esta solución está lista y ahora mismo está pasando nuestras pruebas en un servidor real. El pedido se abrirá en cuanto termine la validación.

Código fuente

Stack técnico

DockerKeycloakPostgreSQL 17

RAM mínima2 GB mínimo

CPU mínima2 vCPU

Puerto por defecto8105

SO compatiblesDistribuciones Linux a elegir

Keycloak es el proveedor de identidad de código abierto (licencia Apache 2.0) respaldado por Red Hat y la Cloud Native Computing Foundation. Centraliza el inicio de sesión de sus aplicaciones: una sola cuenta, una sola página de acceso y tokens OpenID Connect o aserciones SAML 2.0 que sus aplicaciones verifican sin gestionar contraseñas. Los realms aíslan cada cliente o entorno, la federación conecta un LDAP o un Active Directory existente y el brokering permite iniciar sesión con Google, GitHub, Microsoft u otro proveedor OIDC.

Alojarlo en su VPS mantiene las cuentas de sus usuarios, sus sesiones y sus registros de auditoría en un servidor que usted administra, sin facturación por usuario activo. Keycloak está pensado para equipos que desarrollan en Java, Spring Boot, Node.js, PHP o .NET y quieren un SSO estándar, y para empresas que deben demostrar dónde residen sus datos de identidad.

Funcionalidades clave

OpenID Connect, OAuth 2.0 y SAML 2.0 — un solo servidor para sus aplicaciones web y móviles, API y herramientas internas.

Realms — espacios de identidad aislados, cada uno con sus usuarios, clientes, roles y página de acceso.

Federación de directorios — conecte un LDAP o un Active Directory existente sin migrar las cuentas.

Acceso con un proveedor externo — Google, GitHub, Microsoft o cualquier proveedor OIDC o SAML.

Autenticación fuerte — OTP, WebAuthn y passkeys, políticas de contraseña, detección de ataques de fuerza bruta.

Roles, grupos y autorización detallada — permisos incluidos en el token, que sus aplicaciones leen sin petición adicional.

¿Cuándo usar esta solución?

1

Un SSO para todas sus herramientas internas

Sus equipos inician sesión una sola vez y acceden a Grafana, Gitea, Nextcloud o sus aplicaciones de negocio. Una baja se resuelve desactivando una sola cuenta, no una por herramienta.

2

La autenticación de su aplicación SaaS

Su aplicación Spring Boot, Node.js o Laravel delega el inicio de sesión, el registro, el restablecimiento de contraseña y la MFA en Keycloak, y solo verifica un token OIDC.

3

Un realm por cliente

Una agencia o un editor de software aísla a cada cliente en su propio realm, con una página de acceso a su imagen y, si hace falta, la federación de su Active Directory.

Desplegar Keycloak en su VPS

Guía optimizada para los VPS Cloud ServOrbit.

01

Crear el VPS y elegir la dirección

Contrate un VPS Ubuntu 24.04 con al menos 2 GB de RAM, 4 GB si varios realms reciben tráfico. Keycloak exige un dominio: firma sus tokens y construye sus redirecciones OIDC y SAML a partir de su dirección HTTPS pública. Se abre en un subdominio de uno de sus dominios, o en el subdominio gratuito del VPS (keycloak.{dns_slug}.servorbit-dns.com), con HTTPS incluido. No hace falta comprar un nombre de dominio.

02

Instalar Keycloak desde el Marketplace

En su área de cliente, seleccione Keycloak, elija la dirección y pulse Instalar. El script despliega Keycloak y su base de datos PostgreSQL en Docker, conserva los datos en un volumen dedicado y configura el proxy inverso nginx en HTTPS.

03

Iniciar sesión por primera vez

Abra https://su-dominio/admin e inicie sesión con el usuario admin y la contraseña que se muestra en su área de cliente (botón «Revelar»). Esta cuenta del realm master es un administrador temporal: cree de inmediato su propia cuenta de administrador con el rol admin y desactive después la cuenta admin original.

04

Crear un realm para sus aplicaciones

Reserve el realm master para la administración. Cree un realm dedicado («Create realm»), defina su política de contraseñas, active la detección de fuerza bruta y, si lo necesita, la MFA con OTP o passkeys.

05

Conectar su primera aplicación

En el realm, añada un cliente OpenID Connect, declare las URL de redirección de su aplicación y copie su secreto. La dirección de descubrimiento que debe indicar en la aplicación es https://su-dominio/realms/<su-realm>/.well-known/openid-configuration.

Preguntas frecuentes

Keycloak es el más completo y el más extendido en las empresas: SAML 2.0, federación LDAP y Active Directory, realms, autorización detallada e integración nativa con Spring Boot y la mayoría de los frameworks. Authentik y ZITADEL son más ligeros y fáciles de empezar a usar. Elija Keycloak si necesita SAML, debe federar un directorio existente o seguir un estándar que sus clientes ya usan.

Soluciones complementarias

Cybersecurity & Bastion

Keycloak todavía no se puede pedir.