Qué es

Okta es el proveedor independiente de identidad para la fuerza laboral: single sign-on, MFA, un directorio central de usuarios, aprovisionamiento hacia apps SaaS y revisiones de acceso, vendido a más de 20,000 clientes. Para un equipo de operaciones es lo que decide quién puede abrir Salesforce, Ashby o Ironclad, y qué pasa con ese acceso el día que alguien se va.

Lo que cambió en 2026 es que Okta ahora trata a los agentes de IA como identidades en el mismo directorio que los empleados. Lo entrega en dos capas, y los compradores las confunden:

Agent SSO: disponible de forma general desde el 24 de agosto de 2026 e incluido en los planes base de Okta SSO sin costo adicional. Un agente compatible con Cross App Access (XAA) se registra en Universal Directory con un responsable humano y, en lugar de una API key almacenada, recibe tokens de corta duración emitidos bajo las mismas políticas que la persona para la que trabaja. Cross App Access es una extensión de OAuth cuyo diseño lideró Okta; hoy es la extensión oficial Enterprise-Managed Authorization de MCP. Entre los socios de lanzamiento están Anthropic (Claude), Slack, Notion, Linear, Glean, Granola, Asana, Atlassian, Figma, Canva, Datadog y Supabase.
Okta for AI Agents: una suscripción aparte y de pago, disponible de forma general desde el 30 de abril de 2026. Añade el descubrimiento de shadow agents mediante señales del navegador, del endpoint y de la red, cobertura para agentes que no hablan XAA, un Agent Gateway con un servidor MCP virtual que registra cada llamada de un agente a un recurso, resguardo y rotación de credenciales de agentes, certificaciones de acceso y Universal Logout for AI Agents: un interruptor de emergencia que revoca los tokens de un agente en todas partes.

Okta también cerró la adquisición de Permiso Security, una empresa de detección de amenazas de identidad, el 26 de agosto de 2026 (10-Q de Okta). Espera que su detección aparezca dentro de Identity Threat Protection en las próximas versiones; no compres basándote en ese roadmap.

La pregunta que responde

«¿Gobernamos el acceso de nuestros agentes de operaciones a través de Okta, o necesitamos un gateway MCP aparte o una capa de seguridad para agentes?». La respuesta depende de qué agentes operas. Si los agentes que importan son Claude, Glean o agentes nativos de Slack que llegan a apps preparadas para XAA, Agent SSO cubre el registro, el acceso de corta duración y la baja con la licencia que ya pagas: la gobernanza más barata que vas a encontrar. Si el riesgo es la cola larga —flujos de n8n que guardan un token de Salesforce, servidores MCP que alguien instaló en una laptop, agentes construidos internamente—, necesitas Okta for AI Agents o un gateway dedicado como Runlayer u Obot. Agent SSO no ve a los agentes que nunca le piden un token a Okta.

Precios en la práctica

Okta publica precios de lista por usuario para sus suites Workforce, con facturación anual y un mínimo de contrato anual de $1,500:

Starter — $6/usuario/mes: SSO, MFA, Universal Directory, 5 Workflows.
Core Essentials — $14/usuario/mes.
Essentials — $17/usuario/mes: añade Adaptive MFA, Lifecycle Management, Access Governance, Privileged Access para 2 administradores y 50 Workflows.
Professional y Enterprise — solo por cotización: añaden Identity Threat Protection, Identity Security Posture Management, Device Access, API Access Management y más.

Con 200 empleados, Starter cuesta $14,400 al año a precio de lista y Essentials $40,800. Okta for AI Agents es un complemento solo por cotización sin precio publicado, e Identity Governance se vende por separado. La factura que sorprende a los líderes de operaciones es la de las apps SaaS: el aprovisionamiento SCIM y el SSO suelen estar bloqueados detrás del plan enterprise del proveedor, así que el costo real de «ponerlo detrás de Okta» incluye la mejora de plan del otro lado. Cotiza ambos antes de prometerlo.

Ideal para

El líder de IT o de seguridad en una empresa de 200 a 5,000 personas con un parque SaaS mixto —Google Workspace o Microsoft 365 más Salesforce, Slack, un ATS y un CLM— que quiere un solo lugar que decida qué personas y qué agentes pueden llegar a cada app. El caso concreto donde Okta gana: un equipo de RevOps o Legal Ops que despliega Claude y Glean sobre Slack, Notion y Linear, donde Agent SSO le da a cada agente un responsable y un token revocable sin comprar otra herramienta.

No es para

Una empresa solo Microsoft donde Entra ID ya está licenciado en Microsoft 365 E3 o E5: pagar otra vez por directorio y SSO es difícil de justificar. Tampoco es para un equipo de menos de unas 25 personas: el piso de $1,500 y las mejoras de plan en las apps SaaS pesan más de lo que costaría un gestor de contraseñas con SSO.

Frente a las alternativas

Microsoft Entra ID: incluido en Microsoft 365, así que la mayoría de las empresas ya lo tiene. La identidad de agentes pasa por Entra Agent ID y Microsoft Agent 365 a $15 por usuario al mes. Elige Entra cuando la mayoría de tus agentes viven en Copilot Studio, Foundry o el tenant de Microsoft; elige Okta cuando los agentes que importan actúan sobre SaaS que no es de Microsoft.
Ping Identity: el otro gran proveedor independiente de identidad para la fuerza laboral, fusionado con ForgeRock bajo Thoma Bravo, más fuerte en entornos híbridos y on-premises. Elígelo cuando las apps legacy y la federación personalizada dominan la lista de requisitos.
Rippling AI Governance: el entrante que más rápido se mueve: un gateway MCP, identidad de agentes y detección de shadow AI, lanzado en agosto de 2026 sobre un HRIS. Elígelo cuando Rippling ya es tu sistema de registro y el acceso debe seguir el estatus laboral sin un proveedor de identidad aparte.
Runlayer, Obot, Composio, Arcade: gateways y capas de tool-auth que se ubican junto a Okta, no en su lugar. Se federan con Okta para la identidad; elige uno cuando la brecha es la inspección del tráfico MCP o el acceso de escritura de los agentes a cientos de apps, no quién es el agente.
Zenity o WitnessAI: elígelos cuando la preocupación es qué hacen los agentes y copilotos con los datos en tiempo de ejecución, algo que un proveedor de identidad no inspecciona.

Puntos de atención

Agent SSO solo cubre a los agentes que piden acceso. Registra agentes compatibles con XAA; una automatización que guarda una API key estática es invisible para él. Protección: haz un inventario de las credenciales de agentes en tus diez apps SaaS principales antes de declarar cobertura, y presupuesta Okta for AI Agents o un gateway para todo lo que no esté en la lista de socios de XAA.
Okta está en la ruta de cada inicio de sesión, lo que lo convierte en un objetivo. Su brecha del sistema de soporte de octubre de 2023 expuso datos de sesión de clientes. Protección: exige MFA resistente al phishing para los administradores de Okta, envía el Okta System Log a tu SIEM y mantén una cuenta de administrador break-glass documentada fuera del SSO.
El precio de lista es solo la mitad de la cotización. SCIM y SSO del lado de las apps SaaS, Identity Governance y el complemento de AI Agents son líneas separadas. Protección: consigue el precio de cada complemento en la misma cotización y pon un tope al aumento en la renovación en la orden de compra.
Roadmap que viene de adquisiciones. La detección de Permiso todavía no es un SKU de Okta con nombre propio. Protección: evalúa solo lo que está disponible de forma general hoy, y escribe en el contrato cualquier función prometida con una fecha.

Lecturas relacionadas: los servidores MCP explicados y el stack de portal interno de operaciones.

Editar esta página en GitHub