¿Sustituye Authelia la autenticación propia de cada aplicación?

Depende de la aplicación. Para las que no tienen ninguna autenticación —paneles internos, interfaces de administración— Authelia añade un muro de acceso en el nivel del proxy, y es la única barrera. Para una aplicación compatible con OpenID Connect como Gitea o Nextcloud, Authelia puede convertirse en su proveedor de identidad y sustituir por completo su pantalla de inicio de sesión: se trata entonces de un SSO real, con una sola sesión para el conjunto.

¿Cuánta RAM hay que prever?

Muy poca. Authelia consume menos de 30 MB de RAM en reposo, a los que se añaden unos veinte megabytes para el almacén de sesiones Redis. Un VPS de 512 MB basta para un uso personal; 1 GB resulta cómodo para un equipo de diez a veinte personas y deja espacio para las aplicaciones que usted protege.

¿Funciona Authelia con las passkeys y las llaves físicas?

Sí. La versión desplegada admite WebAuthn (FIDO2), lo que cubre las passkeys, Touch ID, Face ID, las YubiKey y cualquier llave de hardware compatible con FIDO2. Un mismo usuario puede registrar varios segundos factores y elegir cuál emplear en el momento de conectarse.

Área de cliente

Cybersecurity & Bastion

Authelia

Coloque MFA, SSO y control de acceso granular delante de sus aplicaciones existentes, sin modificar ni una línea de su código.

Documentación oficial Código fuente

root@mon-serveur — ssh

# al crear el VPS
✓ Authelia instaladoroot@mon-serveur:~#

Acerca de Authelia

Authelia es un servidor de autenticación y autorización de código abierto (licencia Apache 2.0, unas 28 k estrellas en GitHub, escrito en Go) concebido para trabajar en tándem con un reverse proxy. Cada petición dirigida a sus aplicaciones se le somete antes de ser servida, y Authelia aplica su política: inicio de sesión simple, segundo factor obligatorio (TOTP, WebAuthn/passkeys) o paso libre, según el dominio, la ruta, el grupo del usuario o su red de origen. Es Authelia quien muestra el portal de inicio de sesión; la aplicación protegida, por su parte, no necesita saber que existe. La distinción con los demás componentes de identidad del catálogo es clara: Authentik es un proveedor de identidad completo, con directorio, SAML y editor de flujos, pensado para centralizar el SSO de un conjunto de herramientas; Logto se integra en el código de su propia aplicación para gestionar sus usuarios finales; Infisical distribuye secretos a máquinas, no a personas; y Vaultwarden guarda las contraseñas de sus colaboradores sin decidir nunca quién entra dónde. Authelia responde a una necesidad concreta: proteger aplicaciones ya instaladas, incluidas las que no tienen ninguna autenticación.

En un VPS ServOrbit, Authelia funciona en dos contenedores: el binario Go, muy económico (del orden de 25 MB de RAM en reposo), y un almacén de sesiones Redis 7. La versión desplegada es la 4.39.20, con un almacenamiento SQLite local y un archivo de usuarios `/config/users.yml` generado en el primer arranque, que contiene la cuenta `admin` y su contraseña. Authelia se interpone delante de nginx, Caddy, Traefik, HAProxy o Envoy mediante su mecanismo de forward auth, y además hace las veces de proveedor OpenID Connect de pleno derecho: las aplicaciones que hablan OIDC —Nextcloud, Gitea, Grafana— se conectan directamente y usted obtiene un SSO completo en todo su stack autoalojado desde un único archivo de configuración. Un nombre de dominio es imprescindible: la cookie de sesión se emite para ese dominio concreto.

Lo que se instala

Listo al arrancar el VPS

SO compatibles: Ubuntu 24.04
Aplicación: Authelia
Stack técnico: DockerGoSQLiteRedis 7
RAM mínima: 512 MB (1 GB recomendado)
CPU mínima: 1 vCPU
Puerto por defecto: 9091
Acceso: root por SSH

Funcionalidades clave

Segundo factor listo para usar: aplicación de autenticación (TOTP), llaves WebAuthn/passkeys y notificación Duo, activados mediante una regla por usuario o por grupo.
Proveedor OpenID Connect certificado: cualquier aplicación compatible con OIDC de su stack delega su inicio de sesión en Authelia y usted obtiene un SSO real, sin pasar por el reverse proxy.
Control de acceso granular: autorice, deniegue o exija el segundo factor según el dominio, el subdominio, la ruta, la red IP de origen o el grupo del usuario.
Independiente del reverse proxy: forward auth compatible de forma nativa con nginx, Caddy, Traefik, HAProxy y Envoy, con fragmentos de configuración listos para copiar en la documentación del proyecto.
Menos de 30 MB de RAM en reposo: Authelia convive sin estorbar con otros servicios en un VPS de 1 GB.
Directorio en archivo o en LDAP: la instalación arranca con el archivo local /config/users.yml y más adelante cambia a un directorio LDAP modificando configuration.yml, sin interrupción del servicio.

¿Cuándo usar esta solución?

Proteger herramientas internas

Coloque Authelia delante de Grafana, Dockge, Gitea o cualquier interfaz de administración. Sus usuarios se autentican una sola vez en el portal y después llegan a cada aplicación protegida sin volver a introducir sus credenciales mientras su sesión siga siendo válida.

Añadir MFA a una aplicación que no lo ofrece

Muchas aplicaciones autoalojadas se conforman con una contraseña, cuando no se abren sin ninguna autenticación. Authelia impone el TOTP o una passkey en el nivel del proxy: nada que modificar en la aplicación, ninguna línea de código que escribir.

Un SSO autoalojado en todo su stack

Declare Authelia como proveedor OIDC y conecte después Nextcloud, Gitea, Mattermost y los demás. Una sola sesión de inicio abre el conjunto de sus aplicaciones, sobre una infraestructura que le pertenece.

Guía

Desplegar Authelia en su VPS

Contratar el VPS
Contrate un VPS ServOrbit de al menos 1 vCPU y 512 MB de RAM (1 GB resulta más cómodo), con Ubuntu 24.04. Un nombre de dominio apuntado a este VPS es imprescindible: la cookie de sesión de Authelia y las redirecciones de OpenID Connect se emiten para un dominio concreto, en HTTPS.
Apuntar su subdominio
Cree un registro A para el subdominio de su portal, por ejemplo auth.ejemplo.com, hacia la IP del VPS. No tiene nada más que instalar: en cuanto el dominio queda asociado a la aplicación, ServOrbit configura el vhost nginx y emite el certificado TLS, y después lo renueva.
Conectarse por primera vez
Abra la dirección de su portal: Authelia pide un identificador y una contraseña. Introduzca «admin» y la contraseña que se le ha facilitado (puede encontrarla en la sección Aplicaciones de su área de cliente) y registre de inmediato su aplicación de autenticación (TOTP) o su llave de acceso: es el segundo factor que protegerá después todo lo que coloque detrás de este portal.
Desplegar Authelia
En su área de cliente ServOrbit: Marketplace → Seguridad → Authelia → Desplegar. El aprovisionamiento levanta los dos contenedores (Authelia y Redis), genera todos los secretos, escribe la configuración inicial y crea la cuenta de administrador. El portal responde en https://<su-dominio> en unos minutos, sin número de puerto: el puerto 9091 solo se publica en el bucle local del servidor.
Conectar las aplicaciones que quiere proteger
Para cada aplicación que quiera proteger, añada la directiva de forward auth de Authelia en el vhost nginx, Caddy o Traefik que la sirve; la documentación de Authelia proporciona un fragmento listo para copiar para cada proxy. Las aplicaciones que hablan OpenID Connect de forma nativa no necesitan ninguna modificación del proxy: declárelas como clientes OIDC en configuration.yml y delegarán su inicio de sesión en el portal.
Añadir sus usuarios y endurecer la política
Las cuentas viven en /config/users.yml, con su contraseña en forma de hash; el comando authelia crypto hash generate bcrypt produce la huella que hay que pegar allí. La política predeterminada que se entrega es one_factor: añada sus propias reglas en la sección access_control de configuration.yml para exigir two_factor en las aplicaciones sensibles. Tenga en cuenta que la configuración inicial no utiliza ningún servidor de envío de correo: los mensajes que Authelia enviaría normalmente, como un restablecimiento de contraseña, se escriben en el archivo /data/notifications.txt mientras usted no haya indicado sus parámetros SMTP.

Preguntas frecuentes

Preguntas sobre Authelia

← Volver a Cybersecurity & Bastion Todas las aplicaciones

Authelia es una pasarela de autenticación y autorización de código abierto, con licencia Apache 2.0. Se sitúa delante de sus aplicaciones como punto de forward auth e impone en ellas MFA y control de acceso granular sin que estas se modifiquen. Authentik persigue otra cosa: es un proveedor de identidad completo, con directorio, SAML, pasarela LDAP y editor visual de flujos, pensado para centralizar el SSO de un conjunto de herramientas. Logto, otra cosa más: es una plataforma que usted integra en el código de su propia aplicación, mediante un SDK, para gestionar sus usuarios finales. Authelia es la opción más directa cuando el objetivo es proteger aplicaciones ya instaladas.

Sí, y la instalación le pide esa dirección antes de arrancar. La cookie de sesión se emite para un dominio concreto, y tanto las redirecciones de OpenID Connect como el certificado TLS exigen un nombre resoluble públicamente: Authelia no puede funcionar correctamente detrás de una dirección IP sin más. Por eso usted elige la dirección de acceso en el momento de instalar, entre dos opciones: un subdominio de uno de sus dominios, o el subdominio gratuito que viene con su VPS (authelia.<su-vps>.servorbit-dns.com); comprar un nombre de dominio no es un requisito previo. En ambos casos, ServOrbit configura el reverse proxy nginx y el certificado TLS, y el portal responde en https://<su-direccion>.

nginx, Caddy, Traefik, HAProxy, Envoy y Skipper son compatibles de primera mano, mediante el punto de entrada forward_auth o ext_authz de Authelia. La documentación del proyecto proporciona un fragmento de configuración listo para copiar para cada uno de ellos. En su VPS ServOrbit, es nginx quien sirve las aplicaciones.

Integrar el botón de despliegue

¿Mantiene un proyecto que utiliza Authelia? Este botón permite a sus lectores desplegarlo en un VPS con un clic, sin leer documentación de Docker.

Markdown

[![Deploy Authelia on ServOrbit](https://servorbit.com/brand/deploy/button.svg)](https://servorbit.com/vps-cloud?template=authelia&utm_source=deploy-badge&utm_medium=referral&utm_campaign=authelia)

HTML

<a href="https://servorbit.com/vps-cloud?template=authelia&utm_source=deploy-badge&utm_medium=referral&utm_campaign=authelia"><img src="https://servorbit.com/brand/deploy/button.svg" alt="Deploy Authelia on ServOrbit" height="40"></a>

El botón lleva al pedido de un VPS con la plantilla preseleccionada. La imagen se sirve desde servorbit.com: no tiene que alojar nada por su parte.

Soluciones complementarias

Cybersecurity & Bastion

¿Necesita ayuda?

Consulte nuestro centro de ayuda y nuestra FAQ, o contacte con nuestro equipo: llamada, WhatsApp o correo electrónico.

Escribir por WhatsApp

o escribirnos

Authelia

Acerca de Authelia

Listo al arrancar el VPS

Funcionalidades clave

¿Cuándo usar esta solución?

Proteger herramientas internas

Añadir MFA a una aplicación que no lo ofrece

Un SSO autoalojado en todo su stack

Desplegar Authelia en su VPS

Contratar el VPS

Apuntar su subdominio

Conectarse por primera vez

Desplegar Authelia

Conectar las aplicaciones que quiere proteger

Añadir sus usuarios y endurecer la política

Preguntas sobre Authelia

Integrar el botón de despliegue

Soluciones complementarias

Vaultwarden

WireGuard Server

Caddy

¿Necesita ayuda?