Una persona llega a su plataforma con ganas de probarla, encuentra un formulario que pide nombre, correo, contraseña, confirmación de contraseña y un código enviado por correo, y se va. El registro es el momento en que más usuarios se pierden, y casi siempre por lo mismo: es otro trámite y otra contraseña que recordar.
El inicio de sesión con terceros resuelve ese problema. En lugar de crear una cuenta nueva, la persona entra con una que ya tiene, como Google, Microsoft o Apple, con uno o dos clics. Esta guía explica qué es, qué gana quien se registra, qué gana su empresa, qué proveedores conviene ofrecer y qué cuidar al integrarlo.
1. Qué es el inicio de sesión con terceros
Es el botón «Continuar con Google» o «Iniciar sesión con Microsoft» que aparece en muchas plataformas. Detrás hay dos estándares abiertos, OAuth 2.0 y OpenID Connect, que funcionan así:
- La persona pulsa el botón y su navegador la lleva a la página del proveedor, por ejemplo Google.
- Se identifica allí, con su contraseña y, si la tiene activada, con su verificación en dos pasos.
- El proveedor le pregunta si autoriza compartir ciertos datos con su plataforma, como su nombre y su correo.
- El proveedor devuelve a su plataforma una identidad verificada, firmada digitalmente, que confirma quién es la persona.
El punto clave es que su plataforma nunca ve la contraseña. Solo recibe la confirmación del proveedor de que esa persona es quien dice ser.
2. Qué gana quien se registra
- Un solo clic en lugar de un formulario. No hay datos que escribir ni correos de confirmación que esperar.
- Ninguna contraseña nueva que inventar, anotar u olvidar.
- La seguridad de un proveedor grande. Google, Microsoft y Apple invierten en verificación en dos pasos, detección de accesos sospechosos y alertas mucho más de lo que puede invertir una plataforma pequeña.
- Confianza. La persona se identifica en una página que conoce y no entrega su contraseña a un sitio que visita por primera vez.
3. Qué gana su empresa
- Más registros completados. Cada campo y cada paso del formulario es un punto donde alguien puede abandonar; con un clic, la persona llega más rápido a lo que vino a hacer.
- Menos soporte. Desaparecen las solicitudes de «olvidé mi contraseña» y las cuentas bloqueadas por intentos fallidos.
- Menos riesgo. Si su plataforma no guarda contraseñas, no hay contraseñas que se puedan filtrar.
- Menos cuentas falsas. Crear cuentas en masa es más difícil cuando cada una debe estar respaldada por una cuenta real de un proveedor.
- Perfiles más completos, con permiso. Con la autorización de la persona, el proveedor comparte datos como el nombre, el correo verificado o la foto de perfil, sin que ella tenga que escribirlos.
4. Qué proveedores ofrecer
La elección depende de quiénes son sus usuarios y desde dónde entran:
| Proveedor | Conviene cuando sus usuarios… |
|---|---|
| Son público general o usan Gmail y Google Workspace en su trabajo. | |
| Microsoft | Son empresas o instituciones que trabajan con Microsoft 365 y Outlook. |
| Apple | Usan iPhone o Mac. Si publica una app en la App Store que ofrece inicio con terceros, Apple exige además una opción equivalente que proteja la privacidad, como «Iniciar sesión con Apple». |
| GitHub | Son desarrolladores o equipos técnicos. |
| Steam, Discord o Xbox | Forman parte de una comunidad de videojuegos. |
Los botones también comunican a quién está dirigida la plataforma. Una herramienta para empresas que ofrece Microsoft se siente hecha para ese entorno, y una comunidad de videojuegos que ofrece Steam o Discord le habla directamente a su público. En plataformas de este tipo, con permiso de la persona, el proveedor puede compartir además datos propios de su mundo, como los juegos que tiene o sus logros.
Ofrecer al menos dos proveedores, y el correo como respaldo, evita dejar fuera a quien no tiene o no quiere usar una cuenta en particular.
5. Qué decidir antes de empezar
El inicio de sesión con terceros tiene concesiones que conviene decidir desde el principio:
- Dependencia del proveedor. Si el proveedor cambia sus condiciones o tiene una falla, el acceso a su plataforma se ve afectado. Ofrecer más de un proveedor reduce ese riesgo.
- Vinculación de cuentas. Hay que definir qué pasa cuando una persona que ya tiene cuenta con su correo entra después con Google usando ese mismo correo: si se unen las dos cuentas o se mantienen separadas.
- Privacidad. Pida solo los permisos que su plataforma necesita, explique en su política de privacidad qué datos recibe de cada proveedor y para qué los usa, y respete las leyes de protección de datos que apliquen, como la Ley 8968 en Costa Rica.
Errores comunes al integrarlo
La integración es sencilla de empezar y fácil de hacer mal. Estos son los errores que más conviene evitar:
- Confiar en el identificador que envía el navegador. La identidad de la persona debe leerse del documento que firma el proveedor después de autenticarla. Si su plataforma acepta un identificador enviado por el navegador, cualquiera podría hacerse pasar por otra persona.
- Dejar desprotegido el regreso a su plataforma. El paso en que el proveedor devuelve a la persona es el más delicado. Los estándares incluyen mecanismos para protegerlo (los parámetros
statey PKCE), y los tokens nunca deben viajar en la dirección de la página, donde quedan en el historial. - Mezclar direcciones en el mismo flujo. Para el navegador, dos direcciones que parecen iguales pueden ser sitios distintos; si el inicio y el regreso ocurren en direcciones diferentes, la sesión se pierde.
- No dejar elegir la cuenta. Muchas personas tienen una cuenta personal y una del trabajo. Pedir al proveedor que muestre el selector de cuentas evita que entren con la equivocada.
- Guardar los secretos en el código. Las claves que entrega el proveedor van en la configuración del servidor, nunca en el repositorio. Si una se filtra, se reemplaza de inmediato.
- Asociar una misma cuenta externa a dos usuarios. La base de datos debe impedir que la misma cuenta de Google quede vinculada a dos usuarios distintos.
- Hacer el trabajo pesado durante el inicio de sesión. Si al entrar hay que sincronizar información, como un historial o una biblioteca, conviene hacerlo en segundo plano y no mientras la persona espera a que cargue la página.
Cómo saber si funciona
Antes de activarlo, anote cómo está hoy el registro: cuántas personas que empiezan el formulario lo terminan, cuántas solicitudes de «olvidé mi contraseña» recibe al mes y cuántas cuentas falsas o duplicadas aparecen. Unas semanas después de ofrecer el inicio con terceros, compare esas mismas cifras y revise qué proveedor elige la mayoría: le dirá si los botones que ofrece son los que su público usa.
El inicio de sesión con terceros convierte el momento más delicado, el registro, en un clic de confianza, siempre que se construya con cuidado. Si quiere sumarlo a su plataforma, o conectarla con los sistemas que su empresa ya usa, conozca nuestro servicio de integraciones o el de software a la medida.