Puedes crear tu propio sistema de autenticación en un día. Ese es el engaño.
Docenas de equipos B2B nos contaron la misma historia. Empieza como una simple página de inicio de sesión. Luego el tráfico real lo atraviesa y silenciosamente se convierte en la infraestructura de identidad: la base sobre la que se apoya todo tu producto.
Parecía una función. Pero dejó tras de sí todo un modelo de identidad.
Toda autenticación casera comienza como unas pocas líneas de código. El problema llega después del lanzamiento, cuando cada pequeña decisión se solidifica silenciosamente en el modelo que todo tu producto asume como cierto.
Día uno: cuarenta líneas de código
Correo electrónico, contraseña, encripta, guarda, compara al iniciar sesión. Limpio y hecho.
Día doscientos: un modelo de identidad silencioso
Quién cuenta como usuario. A qué organización pertenece. Qué sesión sigue siendo fiable. Cómo se retira el acceso.
Año cinco: una base que no puedes tocar
Cambiar la página de inicio de sesión en papel significó reconstruir la base de identidad en código.
La autenticación casera funciona bien — hasta que el negocio cambia
Inicia sesión para la gente durante años sin incidentes. Luego un cambio de negocio convierte “suficiente” en “un obstáculo” de la noche a la mañana. Estas tres situaciones llegan a casi todos los productos que crecen.
Los clientes empresariales empiezan a pedir SSO
El primer gran contrato aterriza y compras quiere SSO a través de su propio Entra o Google Workspace. Luego tanto SAML como OIDC, porque el siguiente cliente usa otra cosa. La configuración de identidad de cada cliente es diferente, y casi nada del trabajo se puede reutilizar.
- Protocolos, mapeos de campos y rotación de certificados diferentes por cliente
- El SSO no se construye una sola vez. Lo reconstruyes para cada cliente empresarial que firmas
- Se convierte en trabajo manual que solo un ingeniero comprende de principio a fin
La identidad que empezó dispersa ahora tiene que ser una sola
Dividida por organización, por producto, heredada tras adquisiciones. “Unificar la identidad” suena como una función; en código significa redefinir lo que cuenta como un usuario y una organización.
- ¿Puede un correo pertenecer a varias organizaciones? ¿Cómo migras usuarios históricos?
- Nueve productos de adquisiciones significa nueve sistemas de autenticación corriendo en paralelo
- Revoca a una persona en todos a la vez y audítalo en un solo lugar
Agentes de IA y CLIs empiezan a actuar en nombre del usuario
Ya no son solo personas en un navegador. Agentes, servidores MCP y líneas de comandos actúan en nombre de algún usuario. Y tu autenticación solo sabe cómo iniciar sesión una persona en una página.
- ¿A quién se le emite el token, con qué alcance y para qué audiencia?
- Concede acceso solo a una herramienta o a un fragmento de datos, luego revócalo después
- El acceso de MCP y CLI depende de OAuth, no de un formulario de inicio de sesión
El verdadero coste no es construirlo. Es mantenerlo durante años.
La primera versión es barata: unos pocos ingenieros, unas semanas, y listo. Luego lo alimentas cada año con tiempo de ingeniería que podría haberse dedicado a tu producto principal.
La factura solo cambió de formato
Nunca recibirás una factura que diga “autenticación”.
Descansa silenciosamente en una o dos personas
El contexto crítico vive en la cabeza de alguien, no en la documentación.
¿Dónde quieres a tus ingenieros?
Ningún cliente te paga más porque escribiste tu propio servidor OAuth.
Si no lo construyes, ¿cómo eliges?
La mayoría de los sistemas de autenticación maduros ya incluyen las funciones: SSO, MFA, organizaciones, inicio de sesión unificado, acceso de agentes. La verdadera diferencia es si puedes salirte. No escalés tus propias líneas de código solo para quedar atado a las de otro.
Protocolos estándar, no una pila inventada
Una puerta por la que realmente puedes pasar
La facturación no rastrea tu tabla de usuarios
Tus datos nunca están bloqueados
Probablemente la autenticación no es el centro de tu negocio. Trátala así.
Logto es open source, autoalojable y también disponible como servicio gestionado en la nube. Inicio de sesión, MFA, SSO y RBAC funcionan de serie con OIDC estándar. La facturación sigue los tokens, y el día que quieras irte, la puerta sigue abierta.