- Configuración precisa de las URLs de host y cookies para evitar bucles de redirección en despliegues de identidad.
- Importancia de la compatibilidad entre las cabeceras del proxy inverso y las versiones actualizadas del servidor de autenticación.
- Diferencias críticas entre el uso de outposts integrados y despliegues manuales en entornos de múltiples dominios.
Seguro que te ha pasado: configuras tu servidor de identidad con todas las ganas, pero al intentar entrar en una aplicación, el navegador se queda dando vueltas o te suelta un error de redirección incorrecta que te deja descolocado. Este problema es más común de lo que parece en entornos de auto-alojamiento, especialmente cuando mezclamos contenedores, proxies inversos y dominios distintos, convirtiendo lo que debería ser un acceso sencillo en un auténtico quebradero de cabeza.
Cuando Authentik no te devuelve a la aplicación después de validar quién eres, generalmente no es un fallo del software en sí, sino un desajuste en la comunicación entre el servidor, el outpost y el navegador. Desde cookies que no llegan a su destino hasta rutas de callback que apuntan al sitio equivocado, existen varios puntos donde la cadena se rompe y el usuario acaba atrapado en un bucle infinito o frente a una página de error 404. Vamos allá con Authentik no redirige correctamente después de iniciar sesión: cómo solucionarlo.
El enigma de los Outposts: Integrados frente a Manuales
Uno de los escenarios más complejos ocurre cuando queremos gestionar varios dominios con un solo servidor de Authentik. Si utilizas el outpost integrado, el sistema suele manejar las rutas de forma automática y sin dramas. Sin embargo, al desplegar un outpost manual mediante Docker para mantener una separación estricta de dominios, es muy fácil que el flujo de autenticación se pierda.
El fallo típico es que, tras el login, el navegador intente navegar hacia una URL de callback que apunta al servidor central en lugar de al outpost específico del dominio. Si ves que la URL contiene /outpost.goauthentik.io/callback pero te da un error 404, es muy probable que el tráfico esté llegando al servidor principal y este no sepa qué hacer con esa petición porque el outpost que debe procesarla está en otro contenedor separado.
Para solucionar esto, es vital revisar la configuración del proxy inverso (como Nginx). Debes asegurarte de que las rutas que comienzan por /outpost.goauthentik.io estén redirigidas correctamente hacia el contenedor del outpost manual y no hacia el servidor de Authentik. Un error común es olvidar configurar el proxy_pass hacia el puerto 9000 del outpost concreto, lo que provoca que la respuesta sea vacía o inexistente.
Bucles de Redirección y el Problema de las Cookies
Cuando el navegador te dice que la página no redirige adecuadamente, básicamente te está avisando de que ha entrado en un bucle infinito. En el mundo de Authentik, esto suele pasar porque el sistema cree que no has iniciado sesión, te manda al login, te autenticas, te devuelve a la app, pero la app no reconoce la sesión y te manda de nuevo al login.
La clave aquí suele estar en el dominio de la cookie. Si proteges servicios en diferentes subdominios, la cookie de sesión debe estar configurada para el dominio raíz (por ejemplo, .midominio.com, empezando con un punto). Si la cookie está restringida a un subdominio específico, el resto de las aplicaciones no podrán leerla y el ciclo de redirecciones empezará a repetirse hasta que el navegador se rinda.
También es fundamental que la variable AUTHENTIK_HOST y la configuración de la marca (brand) coincidan exactamente con el dominio real. Si hay una discrepancia entre lo que el servidor cree que es su dirección y la URL que ve el usuario, las redirecciones generadas serán erróneas y el acceso fallará estrepitosamente.
Conflictos con Proxies Inversos y Traefik
Si utilizas Traefik para el forward auth, debes prestar mucha atención a las versiones. Recientemente, se han producido cambios en las cabeceras de seguridad que han roto muchas instalaciones. Específicamente, el soporte para la cabecera X-Original-Uri fue eliminado en versiones recientes en favor de X-Original-Url.
Si después de actualizar Authentik notas que el login ha dejado de funcionar, no es que hayas roto nada, es que el plugin de forward auth está enviando una cabecera que el servidor ya no acepta. La solución es simple: actualizar el plugin de Traefik para que utilice el estándar actual. Además, es recomendable limpiar cualquier cabecera X-Authentik-* que venga del cliente para evitar que alguien malintencionado pueda suplantar identidades enviando cabeceras falsas.
Diagnóstico General y Errores de Tiempo de Espera
A veces el problema no es una redirección, sino que la aplicación (como Portainer o al intentar conectar Authentik con Jellyfin) no puede comunicarse con Authentik para recuperar el token OAuth. Si en los logs ves errores de context deadline exceeded, lo más probable es que tengas un problema de red interno en Docker. Los contenedores podrían estar intentando resolver el dominio externo a través de un DNS que no llega al servidor interno, provocando un tiempo de espera agotado.
Para descartar problemas básicos, siempre es buena idea empezar por lo más simple: borrar la caché y las cookies del navegador. En ocasiones, datos corruptos de sesiones antiguas interfieren con el flujo actual. Si usas servicios como Cloudflare, verifica que el modo de cifrado SSL esté en Completo o Estricto; el modo Flexible suele provocar bucles de redirección HTTP/HTTPS que son un dolor de cabeza.
Tener un sistema de identidad robusto requiere que el servidor, el proxy y el cliente hablen exactamente el mismo idioma. Ajustando el dominio de las cookies, actualizando las cabeceras del proxy y asegurando que los outposts manuales tengan sus propias rutas bien definidas en el servidor web, se eliminan la gran mayoría de los fallos de acceso y redirecciones circulares.
Apasionado de la tecnología desde pequeñito. Me encanta estar a la última en el sector y sobre todo, comunicarlo. Por eso me dedico a la comunicación en webs de tecnología y videojuegos desde hace ya muchos años. Podrás encontrarme escribiendo sobre Android, Windows, MacOS, iOS, Nintendo o cualquier otro tema relacionado que se te pase por la cabeza.