Laboratorio de federación de identidades
Elige entre OIDC y SAML para cada escenario y después revisa aserciones SAML y tokens de OIDC marcando cada uno defectuoso.
Abrir la herramienta →La herramienta interactiva se abre en inglés.
La federación falla de dos maneras: eliges el protocolo equivocado o aceptas la aserción equivocada. Este laboratorio en el navegador trabaja ambas. Primero eliges OIDC o SAML 2.0 para cada escenario, con las decisiones reales: SPA, móvil, microservicios, inicio de sesión en dispositivos y con redes sociales (OIDC) frente a SSO empresarial, heredado y con socios que solo hablan SAML. Después revisas aserciones SAML y tokens de identidad (ID tokens) de OIDC ya decodificados: aceptas los válidos y nombras el defecto de los malos. Los defectos se reparten por la cola: caducado (NotOnOrAfter / exp vencido), audiencia incorrecta, destinatario o redirect incorrecto, sin firmar (incluida la firma solo de la respuesta), firma inválida, repetido y emisor incorrecto o que imita a otro. Se te califica por el ajuste del protocolo y por la tasa de detección frente a los falsos positivos: rechazar una aserción válida conlleva una penalización adicional, porque un gateway que da falsas alarmas rompe inicios de sesión reales. Cada decisión temporal se juzga contra un instante de recepción fijo y, tras la calificación, cada elemento muestra el error de configuración, la corrección y por qué el veredicto correcto lo es. Es un laboratorio Pro: con una cuenta gratuita tienes 3 usos y después necesitas Pro.
- Para cada escenario, elige el protocolo de federación correcto: OIDC o SAML 2.0.
- Revisa cada aserción SAML o token de OIDC decodificado frente a lo que espera el proveedor de servicio.
- Márcalo como Válido o nombra el defecto concreto.
- Lee la calificación: ajuste del protocolo, tasa de detección y falsos positivos, con la corrección de cada caso.
Preguntas frecuentes
¿Qué es el laboratorio de federación?
Un ejercicio en el navegador en dos partes. Primero eliges el protocolo de federación correcto (OIDC o SAML 2.0) para una serie de situaciones reales: una SPA de consumo con una API, una aplicación heredada en local que solo habla SAML, el inicio de sesión en una smart TV, el acceso con redes sociales, un socio gubernamental. Después revisas aserciones SAML y tokens de identidad de OIDC decodificados: comparas los claims con lo que espera el proveedor de servicio y marcas cada uno como Válido o nombras el defecto concreto. Se te puntúa por la frecuencia con la que eliges el protocolo correcto y por cuántas aserciones malas detectas frente a cuántas buenas rechazas por error.
¿Qué defectos de aserción cubre?
Caducada (el NotOnOrAfter o el exp ya ha pasado en el momento de la recepción), audiencia incorrecta (un token emitido para otro SP o client_id), destinatario incorrecto (un Recipient de SubjectConfirmationData o un redirect_uri que no es tu ACS), sin firmar (alg: none, o solo está firmada la SAML Response exterior y no la aserción), firma inválida (presente pero no se verifica con el JWKS del emisor), repetida (un ID de aserción o de token ya consumido) y emisor incorrecto (un IdP que imita a otro o malicioso, incluido uno cuya firma se verifica con su propia clave). Entre ellas se intercalan aserciones válidas como trampas.
¿Cuándo elijo OIDC y cuándo SAML?
Si la aplicación o el socio solo admiten un protocolo, usa ese: la parte que confía dicta la elección. Para proyectos nuevos de consumo, SPA, móvil, microservicios y API (incluidos el inicio de sesión con código de dispositivo y con redes sociales), OIDC es la respuesta correcta porque es una capa de identidad sobre OAuth 2.0 y emite tanto un id_token para la autenticación como tokens de acceso con scopes para la autorización de API, con descubrimiento y rotación de claves por JWKS. SAML 2.0 es la respuesta correcta para el SSO empresarial y de empleados en aplicaciones que solo hablan SAML, y para la federación basada en metadatos con socios fijos o gubernamentales. El laboratorio te hace aplicarlo escenario a escenario.
¿Analiza tokens reales?
No. No se sube nada, no se analiza ningún XML ni JWT y no hay criptografía en la página. Las aserciones son instantáneas realistas de campos decodificados, redactadas e incluidas con la página, y cada decisión temporal se toma contra un único instante de recepción fijo, así que la cola es determinista y nunca queda desfasada. Funciona por completo en tu navegador: no hay que instalar nada ni se envía nada.
¿Para quién es?
Para ingenieros de IAM, de plataforma y de seguridad de aplicaciones que integran SSO, analistas que revisan configuraciones de federación y cualquiera que prepare una entrevista de seguridad o de identidad y quiera entender de verdad por qué hay que rechazar una aserción caducada, con alg:none o repetida, por qué una firma que se verifica contra el IdP equivocado sigue siendo un fallo de confianza, y por qué el inicio de sesión social y móvil es OIDC mientras que un socio fijo que solo habla SAML no lo es.
¿Es gratis?
No, es un laboratorio Pro. Con una cuenta gratuita tienes 3 usos de prueba; después necesitas Pro.