%22%3E%0A%3Cg%20clip-path%3D%22url(%23clip1_3355_192)%22%3E%0A%3Cpath%20d%3D%22M32%200H0V32H32V0Z%22%20fill%3D%22url(%23paint0_linear_3355_192)%22%2F%3E%0A%3Cpath%20fill-rule%3D%22evenodd%22%20clip-rule%3D%22evenodd%22%20d%3D%22M20.2506%2022.5213L18.5839%2021.1879L19.4173%2020.1466L20.5159%2021.0253L22.7786%2017.6306L23.8893%2018.3706L21.2226%2022.3706C21.1173%2022.5253%2020.9533%2022.6306%2020.7706%2022.6599C20.7346%2022.6639%2020.7013%2022.6666%2020.6666%2022.6666C20.5173%2022.6666%2020.3706%2022.6159%2020.2506%2022.5213ZM7.99992%2015.9999H10.6666V14.6666H7.99992V15.9999ZM8.00125%2013.3333H12.0013V11.9999H8.00125V13.3333ZM24.0013%209.33325V8.66659C24.0013%208.29859%2023.7026%207.99992%2023.3346%207.99992H14.0013C13.6319%207.99992%2013.3346%208.29859%2013.3346%208.66659V9.33325H6.66659V7.46659C6.66659%207.04125%206.93059%206.66659%207.22925%206.66659H24.7706C25.0706%206.66659%2025.3346%207.04125%2025.3346%207.46659V9.33325H24.0013ZM20.8333%2015.9999C23.3159%2015.9999%2025.3346%2018.0946%2025.3346%2020.6666C25.3346%2023.2399%2023.3159%2025.3333%2020.8333%2025.3333C18.3519%2025.3333%2016.3333%2023.2399%2016.3333%2020.6666C16.3333%2018.0946%2018.3519%2015.9999%2020.8333%2015.9999ZM26.6666%2015.9999V7.46659C26.6666%206.29059%2025.8159%205.33325%2024.7706%205.33325H7.22925C6.18392%205.33325%205.33325%206.29059%205.33325%207.46659V19.1999C5.33325%2020.3773%206.18392%2021.3333%207.22925%2021.3333H15.0653C15.3933%2024.3253%2017.8386%2026.6666%2020.8333%2026.6666C24.0506%2026.6666%2026.6666%2023.9759%2026.6666%2020.6666C26.6666%2017.3586%2024.0506%2014.6666%2020.8333%2014.6666C17.8386%2014.6666%2015.3933%2017.0093%2015.0653%2019.9999H7.22925C6.93059%2019.9999%206.66659%2019.6266%206.66659%2019.1999V10.6666H13.3346V15.9999H14.6679V10.6666V9.33325H22.6666V10.6666V13.3333H24.0013V10.6666H25.3346V15.9999H26.6666Z%22%20fill%3D%22white%22%2F%3E%0A%3C%2Fg%3E%0A%3C%2Fg%3E%0A%3Cdefs%3E%0A%3ClinearGradient%20id%3D%22paint0_linear_3355_192%22%20x1%3D%220%22%20y1%3D%2232%22%20x2%3D%2232%22%20y2%3D%220%22%20gradientUnits%3D%22userSpaceOnUse%22%3E%0A%3Cstop%20stop-color%3D%22%23BD0816%22%2F%3E%0A%3Cstop%20offset%3D%221%22%20stop-color%3D%22%23FF5252%22%2F%3E%0A%3C%2FlinearGradient%3E%0A%3CclipPath%20id%3D%22clip0_3355_192%22%3E%0A%3Crect%20width%3D%2232%22%20height%3D%2232%22%20fill%3D%22white%22%2F%3E%0A%3C%2FclipPath%3E%0A%3CclipPath%20id%3D%22clip1_3355_192%22%3E%0A%3Crect%20width%3D%2232%22%20height%3D%2232%22%20fill%3D%22white%22%2F%3E%0A%3C%2FclipPath%3E%0A%3C%2Fdefs%3E%0A%3C%2Fsvg%3E)
Amazon Cognito
Servicio de identidad de AWS que gestiona registro, inicio de sesión, autenticación multifactor, recuperación de contraseña y federación con proveedores de identidad sociales o corporativos para aplicaciones web y móviles.
¿Qué hace Amazon Cognito?
Qué hace Amazon Cognito
Amazon Cognito es el servicio de identidad de AWS. Ofrece user pools para registrar y autenticar usuarios mediante correo, teléfono, inicios de sesión sociales (Google, Facebook, Apple, SAML, OIDC), autenticación multifactor y recuperación de contraseña, además de identity pools que conceden credenciales temporales de AWS para que la aplicación llame a APIs de AWS en nombre del usuario.
Datos y cookies tratados
Cognito trata atributos de cuenta (correo, teléfono, claims personalizados), contraseñas, secretos MFA, tokens OAuth y OIDC, direcciones IP, huellas de dispositivo (con seguridad avanzada activada) y actividad de inicio de sesión. La UI alojada instala cookies de origen en el dominio de autenticación (token XSRF, cookie de sesión) y la aplicación cliente suele guardar tokens de ID, acceso y refresh en cookies o en el almacenamiento del navegador.
Implicaciones bajo RGPD y ePrivacy
Las cookies y tokens que mantienen la sesión son estrictamente necesarios al amparo del artículo 5(3) de la directiva ePrivacy y no requieren consentimiento previo. AWS actúa como encargado mediante el AWS Data Processing Addendum, que incorpora Cláusulas Contractuales Tipo y se acoge al Marco UE EE.UU. de Privacidad de Datos. Las funciones de seguridad avanzada (autenticación adaptativa, comprobación de credenciales comprometidas) realizan perfilado basado en riesgo y deben describirse en la política de privacidad.
Requisitos de consentimiento
No se requiere consentimiento para autenticar al usuario con Cognito. Sí se requiere cuando el flujo de login carga widgets de federación social que instalan cookies de tracking (Google, Facebook, Apple), y debe informar al usuario de que iniciar sesión con un proveedor social comparte identificadores con dicho proveedor.
Transferencias de datos y regiones UE
Los user pools e identity pools guardan los datos en la región AWS que elija. Para minimizar transferencias despliegue en eu west 1 (Irlanda), eu central 1 (Fráncfort), eu west 3 (París), eu south 1 (Milán), eu north 1 (Estocolmo) o eu west 2 (Londres). Metadatos administrativos, soporte y telemetría operativa pueden seguir siendo tratados por AWS en EE.UU. con CCT y Marco UE EE.UU.
Pasos prácticos de cumplimiento
Firme el DPA de AWS, elija una región UE, imponga política de contraseñas fuertes y MFA, configure vida útil razonable de tokens, restrinja acciones administrativas con roles IAM, registre CloudTrail y eventos de Cognito, documente flujos de derechos del interesado (exportación, supresión vía AdminDeleteUser) y realice una EIPD cuando active seguridad avanzada o tratamiento de identidad a gran escala.
Amazon Cognito y el RGPD
- Base jurídica
- Article 6(1)(b) GDPR (contract performance) for user authentication and account management; Article 6(1)(f) GDPR (legitimate interest) for security and fraud prevention. Consent is only required for optional social or marketing federation that triggers third party tracking.
- Nivel de riesgo
- medium
- Normativa aplicable
- GDPR, ePrivacy Directive, German TTDSG, French CNIL guidance on identity providers, Spanish LOPDGDD
Evaluación de impacto (EIPD)
Una EIPD es recomendable cuando Cognito se utiliza para autenticación a gran escala, cuando trata categorías especiales (salud, identidad pública), cuando federa varios proveedores de identidad o cuando las funciones de seguridad avanzada perfilan dispositivos e IPs de los usuarios.
Texto de ejemplo para su banner
Utilizamos Amazon Cognito (Amazon Web Services) para gestionar cuentas de usuario, inicio de sesión y autenticación. Las cookies y tokens de autenticación son estrictamente necesarios para mantener su sesión. Si decide iniciar sesión con un proveedor externo (Google, Facebook, Apple), dicho proveedor puede recibir sus identificadores según sus propias condiciones.
Lo que Amazon Cognito instala y contacta
- Método de seguimiento
- OAuth 2.0 / OpenID Connect authentication tokens (JWT), session cookies, identity tokens, optional federation cookies
- Ubicación de los servidores
- Configurable AWS region (EU regions available: eu-west-1 Ireland, eu-central-1 Frankfurt, eu-west-3 Paris, eu-south-1 Milan, eu-north-1 Stockholm, eu-west-2 London)
- Transferencia de datos fuera de la UE
- Amazon Cognito is operated by Amazon Web Services, Inc., a US based company. Customer data stays in the AWS region you select, but administrative metadata, support requests and operational telemetry can be processed in the United States. AWS provides Standard Contractual Clauses and is self certified under the EU US Data Privacy Framework.
Cookies instaladas (7)
| Nombre | Tipo | Duración | Finalidad |
|---|---|---|---|
| XSRF-TOKEN | http | Session | CSRF protection for the Cognito Hosted UI login forms. |
| cognito-fl | http | Session | Flag cookie used by the Hosted UI to track multi step login flows. |
| csrf-state | http | 10 minutes | Stores the state parameter used during OAuth and federation flows to prevent replay attacks. |
| CognitoIdentityServiceProvider.<clientId>.<sub>.idToken | http | 1 hour (configurable) | Stores the OpenID Connect ID token issued to the authenticated user. |
| CognitoIdentityServiceProvider.<clientId>.<sub>.accessToken | http | 1 hour (configurable) | Stores the OAuth 2.0 access token used to call protected APIs. |
| CognitoIdentityServiceProvider.<clientId>.<sub>.refreshToken | http | 30 days (configurable, up to 10 years) | Allows the client to obtain new access and ID tokens without re authentication. |
| CognitoIdentityServiceProvider.<clientId>.LastAuthUser | http | Persistent | Stores the username of the last user signed in on this device. |
Dominios de terceros contactados (5)
auth.<region>.amazoncognito.comcognito-idp.<region>.amazonaws.comcognito-identity.<region>.amazonaws.comamazoncognito.comamazonaws.com
Preguntas frecuentes sobre Amazon Cognito
¿No encuentra su pregunta? Escríbanos, respondemos rápido.
¿Qué cookies instala Amazon Cognito?
La UI alojada instala XSRF-TOKEN, csrf-state y una cookie de flujo en su propio dominio auth.<región>.amazoncognito.com. Tras la autenticación la aplicación cliente guarda tokens de ID, acceso y refresh, normalmente como cookies CognitoIdentityServiceProvider.* o entradas de almacenamiento del navegador.
¿Necesito consentimiento para usar Cognito?
No para la autenticación en sí: las cookies de sesión y los tokens son estrictamente necesarios. Sí para cualquier botón de inicio social que cargue SDK de Google, Facebook o Apple con sus propias cookies de tracking, y sí si la seguridad avanzada construye un perfil de comportamiento más allá de lo necesario para la seguridad.
¿Cuál es la base legal para tratar los datos de identidad?
El artículo 6(1)(b) del RGPD (ejecución del contrato) cubre la creación de cuenta, el login y la gestión de contraseñas. El artículo 6(1)(f) (interés legítimo) cubre la prevención del fraude, la mitigación de abusos y los registros de seguridad. El artículo 6(1)(a) (consentimiento) es necesario para la federación opcional que expone datos a terceros.
¿Cognito transfiere datos a Estados Unidos?
Los datos del cliente permanecen en la región AWS elegida. Los metadatos administrativos, el soporte y la telemetría pueden tratarse en EE.UU. por personal de AWS bajo Cláusulas Contractuales Tipo y el Marco UE EE.UU. de Privacidad de Datos, conforme al DPA de AWS.
¿Necesito una EIPD?
Una EIPD es recomendable (y puede ser obligatoria conforme al artículo 35 del RGPD) para tratamiento de identidad a gran escala, identidad del sector público, sectores sensibles (salud, finanzas) o cuando se activan autenticación adaptativa y perfilado basado en riesgo.
¿Cómo implemento Cognito de forma conforme?
Elija una región UE de AWS, firme el DPA, exija MFA, limite la vida útil de los tokens, gestione los accesos de administración con roles IAM, registre eventos con CloudTrail, ofrezca flujos para derechos del interesado (exportación y AdminDeleteUser) y limite los atributos de usuario recogidos al mínimo imprescindible.
¿Cuáles son las alternativas?
Otros proveedores de identidad incluyen Auth0, Okta Customer Identity, Microsoft Entra External ID, Keycloak (autoalojado), FusionAuth, Ory Hydra/Kratos, Clerk, WorkOS y Supabase Auth. Cada uno presenta su propio perfil de residencia de datos, precio e integración.
¿Cómo actualizo la política de cookies?
Ejecute un escaneo centrado en las páginas de autenticación y callback, liste las cookies estrictamente necesarias de Cognito (XSRF-TOKEN, csrf-state, almacenamiento de tokens), aclare que son de origen en su dominio de auth y documente las cookies de terceros para login social que se carguen tras una acción del usuario.
Haga que su sitio cumpla la normativa hoy mismo.
Gratis hasta 25.000 sesiones al mes. Sin tarjeta de crédito, sin compromiso.