Gestión de identidades y accesos de código abierto

Añade autenticación a las aplicaciones y protege los servicios con el mínimo esfuerzo. No es necesario ocuparse del almacenamiento ni de la autenticación de los usuarios.

Keycloak proporciona federación de usuarios, autenticación fuerte, gestión de usuarios, autorización detallada y mucho más.

Ayuda y documentación

• Documentación
• Lista de correo de usuarios - Lista de correo para ayuda y preguntas generales sobre Keycloak
• Únete a #keycloak para preguntas generales, o a #keycloak-dev en Slack para debates sobre diseño y desarrollo, creando una cuenta en https://slack.cncf.io/.

Notificación de vulnerabilidades de seguridad

Si has encontrado una vulnerabilidad de seguridad, consulta las instrucciones sobre cómo notificarla correctamente.

Notificación de un problema

Si crees que has descubierto un defecto en Keycloak, abre un issue. Recuerda proporcionar un buen resumen, una descripción, así como los pasos para reproducir el problema.

Primeros pasos

Para ejecutar Keycloak, descarga la distribución desde nuestro sitio web. Descomprímela y ejecuta:

bin/kc.[sh|bat] start-dev

Como alternativa, puedes usar la imagen de Docker ejecutando:

docker run quay.io/keycloak/keycloak start-dev

Para más detalles, consulta la documentación de Keycloak.

Compilación desde el código fuente

Para compilar desde el código fuente, consulta la guía de compilación y trabajo con el código base.

Pruebas

Para ejecutar las pruebas, consulta la guía de ejecución de pruebas.

Escritura de pruebas

Para escribir pruebas, consulta la guía de escritura de pruebas.

Contribuir

Antes de contribuir a Keycloak, lee nuestras directrices de contribución. La participación en el proyecto Keycloak se rige por el Código de Conducta de la CNCF.

Unirse a una reunión de la comunidad es una excelente manera de involucrarse y ayudar a dar forma al futuro de Keycloak.

Código de Conducta

Nos comprometemos a proporcionar un entorno seguro, acogedor y constructivo para todos los colaboradores y usuarios de Keycloak. Para proteger este espacio, aplicamos activamente nuestro Código de Conducta. Si deseas informar de un incidente o apelar una decisión de moderación, envía un correo electrónico a [email protected].

Otros proyectos de Keycloak

• Keycloak - Servidor Keycloak y adaptadores Java
• Keycloak Client - Bibliotecas cliente de Keycloak
• Keycloak QuickStarts - QuickStarts para comenzar con Keycloak
• Keycloak Node.js Connect - Adaptador Node.js para Keycloak

Licencia

• Apache License, Version 2.0

Laboratorio Docker de Keycloak CVE-2026-18963

Este laboratorio inicia la versión vulnerable de Keycloak 26.7.1 en localhost y aprovisiona un realm mínimo para reproducir el flujo de la CVE.

Documentos de investigación

• Análisis del flujo de trabajo: causa raíz a nivel de código fuente, secuencia de solicitudes afectada, comparación de parches y remediación.
• Evidencias y matriz de pruebas: criterios de aceptación para compilaciones vulnerables y corregidas.

Inicio

docker compose up -d keycloak-vuln
docker compose up --abort-on-container-exit keycloak-lab-init

Keycloak estará expuesto en:

• http://127.0.0.1:18080
• consola de administración: admin / admin

Objetos de laboratorio precargados:

• realm: lab
• cliente: poc
• URI de redirección: http://localhost/cb
• usuario: victim
• contraseña: OldPassw0rd!

Detener

docker compose down

Notas

• Este archivo compose ejecuta intencionalmente solo la versión vulnerable.
• El contenedor de inicialización es lo suficientemente idempotente para pruebas locales repetidas; omite el realm/cliente/usuario existente y restablece la contraseña de la víctima.
• La reproducción en tiempo de ejecución no se ejecutó en el entorno de revisión actual porque Docker no estaba disponible. No trate el análisis estático del código fuente como un resultado de toma de control en vivo hasta que la matriz de evidencia se haya ejecutado en un laboratorio aislado.