(Nautilus · Inicio de sesión y usuarios)
Registro, inicio de sesión, recuperación de contraseña, verificación del correo y doble factor, como llamadas a la API. Tú dibujas las pantallas; Nautilus gestiona lo que hay detrás: sesiones, diez proveedores de inicio de sesión, webhooks firmados y un panel para tus usuarios. Es el Ory Kratos que podrías alojar tú mismo, sin la configuración de Docker, la base de datos ni las actualizaciones.
curl -X PATCH https://api.vernesoft.com/v1/gate/identities/id_12345/metadata \
-H "Authorization: Bearer vrn_gate_•••" \
-H "Content-Type: application/json" \
-d '{"role":"admin","subscription_tier":"pro"}'(Construirlo o alojarlo)
Correo y contraseña parece un día de trabajo. Luego llegan la recuperación por correo, la verificación, un segundo factor, el inicio de sesión con Google y GitHub y una forma de terminar una sesión que ya emitiste. Escribir todo eso es un coste. Alojar un servidor de identidad general como Keycloak es otro: el servicio, su base de datos, las actualizaciones y alguien en tu equipo que lo entienda cuando falla.
Construirlo o alojarlo tú
Con Nautilus
(Características principales)
(01)
GitHub, Google, GitLab, Microsoft, Discord, Facebook, LinkedIn, Slack, Twitch y Spotify. Activa cada uno por cuenta; Nautilus guarda las aplicaciones OAuth, así que no registras nada en los proveedores. Los claims llegan mapeados a una única forma de usuario.
(02)
Códigos de app autenticadora con códigos de respaldo, activados por cuenta. Cuando los exiges, la pasarela rechaza una sesión que se saltó el segundo paso. O prescinde de la contraseña: un código de un solo uso por correo, válido 15 minutos.
(03)
Lista las sesiones activas de un usuario con la dirección IP y el user agent de cada dispositivo, cuando Kratos pudo detectarlos. Termina una sesión, o todas las sesiones de una identidad, con una sola llamada.
(04)
Guarda en el usuario el nombre de su plan, una empresa o un indicador de incorporación. Un PATCH fusiona lo que envías y deja el resto intacto. El usuario puede leerlo, así que nada de secretos, y Nautilus no aplica lo que pongas ahí.
(05)
Registros, inicios de sesión, cambios de contraseña, verificación del correo, desactivación y eliminación llegan a tu endpoint, firmados con el esquema de Svix. Las entregas fallidas reciben hasta ocho intentos en unas 28 horas, y cada intento queda registrado y se puede reenviar desde el panel.
(06)
La recuperación de contraseña, la verificación del correo y los cambios de ajustes funcionan como flujos cortos de API: inicia uno, envía el código o el nuevo valor. Tú pintas el formulario; Nautilus envía el correo y comprueba la respuesta.
(Un solo producto)
Los webhooks, las tareas cron y el inicio de sesión con Telegram están detrás de la misma cuenta y el mismo panel. En la práctica, eso significa que los eventos de inicio de sesión llegan a tu servidor por la misma entrega firmada que cualquier otro webhook, y que cada clave de API está limitada a una tarea, así que la clave que tiene tu servicio de inicio de sesión no puede programar tareas ni enviar webhooks.
(Experiencia de desarrollador)
Las pestañas muestran la misma petición en curl y en los SDK de Node, Python, PHP y Rust. El tenant sale de la clave de API, así que nunca pasas un id de cuenta.
curl -X PATCH https://api.vernesoft.com/v1/gate/identities/id_12345 \
-H "Authorization: Bearer $VERNE_GATE_KEY" \
-H "Content-Type: application/json" \
-d '[
{ "op": "replace", "path": "/traits/locale", "value": "fr" }
]'(FAQ)
No. Keycloak es un servidor de identidad general con SAML, federación LDAP, páginas de inicio de sesión personalizables y consola de administración. Nautilus hace un trabajo más estrecho: inicio de sesión y cuentas de usuario para los clientes de un producto SaaS, detrás de una API HTTP sin pantallas propias. Si necesitas SAML o inicio de sesión único para clientes empresariales, quédate con Keycloak. Si lo usas para el inicio de sesión con contraseña, Google y GitHub, la recuperación y el doble factor, esta es la parte que puedes dejar de alojar. Las organizaciones, los roles y los miembros están disponibles por la API; el panel aún no tiene pantalla para ellos, y los roles no viajan en los tokens, así que tu backend los lee de la API.
Sí, las pantallas. Nautilus devuelve cada paso como respuesta de API y tu código envía lo que escribió el usuario, así que los formularios se ven como el resto de tu producto. Lo que dejas de construir es todo lo que hay detrás: almacenamiento de contraseñas, correos de recuperación y verificación, sesiones, inicios de sesión con proveedores. Si quieres una página de inicio de sesión alojada y personalizable, Keycloak la tiene y esto no.
Cada entrega lleva las cabeceras svix-id, svix-timestamp y svix-signature: una firma HMAC-SHA256 sobre el id, la marca de tiempo y el cuerpo en bruto. Compruébala con la biblioteca oficial de código abierto de Svix, que existe para Node, Python, Go, Rust, PHP, Java, Ruby, C# y Kotlin, en lugar de escribir la comprobación tú mismo. Las entregas fallidas se reintentan y se pueden reenviar desde el panel.
3.000 solicitudes al mes son gratis, sin tarjeta. Crear, leer, actualizar y eliminar usuarios cuentan en ese total; los flujos de inicio de sesión, registro y recuperación no. Starter cuesta 19 € por 50.000 solicitudes, Pro 79 € por 300.000, y ambos pueden añadir packs de 10.000 por 3 €. El plan gratuito no tiene packs. La lista actual está en la página de precios.
Ory Kratos, el servidor de identidad de código abierto, como un único despliegue compartido para todas las cuentas. El panel, las claves de API, los webhooks y la comprobación que mantiene a los usuarios de una cuenta lejos de los de otra son nuestros, por encima. El precio de compartirlo: el esquema de usuario está fijado a un correo, un idioma y tu campo JSON, y no puedes cambiar la configuración propia de Kratos. El motor es abierto: si esto se te queda corto, el mismo software corre en tus propios servidores.
En bases de datos de nuestros propios servidores en Francia, en OVHcloud: identidades, sesiones y tus metadatos personalizados.
(Empieza hoy)
Registro, inicio de sesión, recuperación y doble factor para tus clientes, desde una sola API HTTP. Crea una cuenta y las primeras 3.000 solicitudes de cada mes son gratis.
Lo que conservas
La autenticación es donde suele empezar el lock-in, porque quien posee el registro de usuario acaba moldeando el modelo de datos a su alrededor. Nautilus no te pide eso. Quién puede iniciar sesión vive aquí; los registros de tus clientes, los pedidos y todo lo demás se quedan en el Postgres, MySQL o Mongo que ya usas. No hay un esquema nuestro al que tus tablas tengan que ajustarse y nada que migrar.
Por debajo está Ory Kratos, de código abierto y sin modificar. Nosotros nos encargamos del servidor y de las actualizaciones, y mantenemos ese despliegue deliberadamente aburrido, pero el motor es uno que podrías ejecutar tú mismo. Un proveedor de autenticación que se puede dejar es otra propuesta distinta de uno que no se puede dejar, y por eso nombramos el motor en lugar de esconderlo.
Corre en nuestros propios servidores en Francia, que es la primera pregunta que hacen muchos compradores europeos. El plan gratuito son 3.000 solicitudes al mes, y los flujos de inicio de sesión, registro y recuperación no cuentan en ellas, así que una tarde basta para saber si esto encaja con la pila que ya tienes.