> Cómo Auth0 Lock autentica usuarios, qué cookies se establecen, cómo Okta procesa datos entre la UE y EE. UU. y cómo cumplir con el RGPD y el artículo 22.2 LSSI. > > Canonical: https://www.flowconsent.com/es/services/seguridad/auth0-lock Seguridad # Auth0 Lock Esencial · [Sitio oficial](https://auth0.com/docs/libraries/lock) Widget JavaScript embebido de Auth0 (propiedad de Okta) que muestra una interfaz configurable de registro, inicio de sesión y MFA y deposita cookies de sesión de autenticación. [Bloquear Auth0 Lock hasta el consentimiento](https://app.flowconsent.com/auth/sign-up?utm_source=flowconsent.com\&utm_medium=referral\&utm_campaign=security) · [Escanear mi sitio](https://www.flowconsent.com/es/scan) En resumen - Categoría [Seguridad](https://www.flowconsent.com/es/services/seguridad) - Consentimiento Esencial - Consentimiento previo Obligatorio - Cookies documentadas 6 - Dominios de terceros 6 - Servidores United States (Okta, Inc., headquartered in San Francisco). Auth0 tenants can be provisioned in the US (default), EU (Frankfurt and Dublin), AU (Sydney), or JP (Tokyo) regions on AWS. Tenant region pins user database, session and log data, but anomaly detection, support, and product telemetry are processed centrally by Okta in the US. Presentación ## ¿Qué hace Auth0 Lock? ## **Qué es Auth0 Lock** Auth0 Lock es el widget JavaScript embebido de Auth0, ahora propiedad de Okta, que muestra en un sitio o aplicación de una sola página una interfaz configurable de registro, inicio de sesión y MFA. Se conecta a un tenant Auth0 mediante OAuth 2.0 y OpenID Connect y delega en la plataforma Auth0 el almacenamiento de credenciales, la MFA, la detección de anomalías y la federación social. ## **Cookies y datos recogidos** Cuando se abre una sesión, Auth0 deposita varias cookies en el dominio del tenant (auth0, did, did\_compat, auth0\_compat) y, en el callback OAuth, posibles cookies de estado en el origen de la aplicación. El widget también recoge señales de huella de dispositivo, IP, user agent y geolocalización para alimentar la detección de anomalías y de bots. ## **Implicaciones del RGPD y ePrivacy** Las cookies estrictamente necesarias para prestar el servicio de inicio de sesión están exentas de consentimiento conforme al artículo 22.2 LSSI. La huella de dispositivo, el perfilado por detección de anomalías y cualquier identificador persistente más allá de la sesión sí requieren consentimiento. La política de cookies debe describir cada elemento. ## **Transferencias internacionales** Los tenants pueden ubicarse en EE. UU., UE, AU o JP, pero Okta Inc. sigue siendo encargado en EE. UU. para la detección de anomalías, la telemetría y el soporte global. Las transferencias se basan en cláusulas contractuales tipo, el Data Privacy Framework y normas corporativas vinculantes. Un tenant en la UE reduce los flujos sin eliminarlos. ## **Pasos prácticos de cumplimiento** Fije el tenant en la región UE para usuarios europeos, firme el DPA de Okta, habilite dominios personalizados para mantener cookies de primera parte, desactive la analítica de marketing opcional y documente attack protection y detección de anomalías en el registro de actividades. Cumplimiento ## Auth0 Lock y el RGPD Auth0 Lock está clasificado como «Esencial». En un sitio dirigido a visitantes europeos, solo debe cargarse después del consentimiento del visitante y debe figurar en su política de cookies. - Base jurídica Authentication cookies and the session needed to deliver the login service the user requested are strictly necessary and exempt from consent. However, optional features such as analytics, marketing redirects, social login persistent identifiers beyond the session, and persistent cross device tracking through device fingerprinting require either consent (Art. 6(1)(a) GDPR) or a documented legitimate interest balancing test (Art. 6(1)(f) GDPR). - Nivel de riesgo high - Normativa aplicable GDPR, ePrivacy Directive (Cookie Law), CCPA, HIPAA (with BAA), SOC 2 ### Evaluación de impacto (EIPD) Una EIPD es recomendable cuando Auth0 es la capa de identidad principal de un servicio masivo, cuando la MFA emplea datos biométricos o telemetría, o cuando el tenant está en EE. UU. y atiende a usuarios europeos. Evalúe el perfilado por detección de anomalías, la retención de logs y las conexiones sociales o empresariales adicionales. ### Texto de ejemplo para su banner > Usamos Auth0 Lock de Okta para gestionar el registro, el inicio de sesión y la autenticación multifactor. Las cookies de sesión estrictamente necesarias se establecen automáticamente. Con su consentimiento se procesan señales adicionales de huella de dispositivo para detectar actividad sospechosa. Cookies y rastreadores ## Lo que Auth0 Lock instala y contacta - Método de seguimiento Embeddable JavaScript widget (auth0-lock and the related Auth0.js / auth0-spa-js libraries) that renders a configurable login and signup UI on top of an Auth0 tenant. The widget orchestrates redirect or popup flows to Auth0 hosted endpoints, sets authentication cookies in the Auth0 tenant domain (auth0, did, did\_compat, auth0\_compat) when a session is established, may set a state cookie at the application origin during the OAuth callback, and forwards device fingerprinting and bot detection signals to Auth0 anomaly detection. - Ubicación de los servidores United States (Okta, Inc., headquartered in San Francisco). Auth0 tenants can be provisioned in the US (default), EU (Frankfurt and Dublin), AU (Sydney), or JP (Tokyo) regions on AWS. Tenant region pins user database, session and log data, but anomaly detection, support, and product telemetry are processed centrally by Okta in the US. - Transferencia de datos fuera de la UE Even with an EU tenant, Okta Inc. (the parent company in the United States) acts as a sub processor for anomaly detection, telemetry, support and the unified Customer Identity Cloud back office. Auth0 relies on Standard Contractual Clauses, the EU US Data Privacy Framework, and binding corporate rules. Some integrations (Auth0 Marketplace add ons, social connections) may add further transfers. ### Cookies instaladas (6) | Nombre | Tipo | Duración | Finalidad | | -------------------------------- | ------------ | ---------- | ----------------------------------------------------------------------------------------------- | | auth0 | HTTP cookie | Session | Stores the Auth0 single sign on session for the tenant domain after a successful login. | | did | HTTP cookie | 1 year | Device identifier used by Auth0 for attack protection, anomaly detection and bot detection. | | did\_compat | HTTP cookie | 1 year | Same device identifier issued without the SameSite attribute for legacy browser compatibility. | | auth0\_compat | HTTP cookie | Session | Legacy SSO session cookie used by older browsers that do not handle SameSite=None correctly. | | a0\_state | HTTP cookie | 10 minutes | Stores the OAuth state and nonce values during the authorization code callback to prevent CSRF. | | \_legacy\_auth0.is.authenticated | localStorage | Persistent | Used by auth0-spa-js to mark a returning user as authenticated for silent token renewal flows. | ### Dominios de terceros contactados (6) - `*.auth0.com` - `*.eu.auth0.com` - `*.us.auth0.com` - `cdn.auth0.com` - `cdn.eu.auth0.com` - `sentry.io` Preguntas ## Preguntas frecuentes sobre Auth0 Lock ¿No encuentra su pregunta? Escríbanos, respondemos rápido. [Escríbanos](https://www.flowconsent.com/es/demo) ### ¿Qué cookies establece Auth0 Lock? Auth0 deposita cookies de sesión en el dominio del tenant (auth0, did, did\_compat, auth0\_compat) y, en el callback OAuth, cookies de estado y nonce en el origen de la aplicación. Con dominios personalizados estas cookies se mantienen como primera parte. ### ¿Es necesario el consentimiento? Las cookies de sesión estrictamente necesarias para autenticar quedan exentas según el artículo 22.2 LSSI. La huella de dispositivo, el perfilado por detección de anomalías y los identificadores persistentes entre dispositivos requieren consentimiento. ### ¿Cuál es la base jurídica? La ejecución del contrato (art. 6(1)(b) RGPD) cubre el registro y el inicio de sesión. La detección de anomalías se basa en el interés legítimo (art. 6(1)(f) RGPD) y la analítica opcional requiere consentimiento (art. 6(1)(a) RGPD). ### ¿Hay transferencias a EE. UU.? Sí. Incluso con tenant UE, Okta Inc. en EE. UU. actúa como encargado para la detección de anomalías, la telemetría y el soporte. Las transferencias se amparan en cláusulas contractuales tipo, el Data Privacy Framework y normas corporativas vinculantes. ### ¿Debemos hacer una EIPD? Una EIPD es recomendable para servicios masivos, MFA biométrica y tenants en EE. UU. que sirven a usuarios europeos. Documente perfilado, retención de logs, attack protection y conexiones sociales o empresariales. ### ¿Cómo desplegar Auth0 Lock conforme? Elija la región UE, habilite dominios personalizados, firme el DPA de Okta, integre funciones no esenciales solo tras el consentimiento, configure la retención de logs y desactive la analítica de marketing opcional en el tenant. ### ¿Existen alternativas? Proveedores de identidad europeos: Keycloak (auto alojado, open source), Ory, FusionAuth (auto alojable), Frontegg, o servicios gestionados como Microsoft Entra External ID o Curity alojados en la UE. ### ¿Cómo actualizar la política de cookies? Añada una entrada para Auth0 Lock, enumere las cookies de sesión (auth0, did, did\_compat, auth0\_compat), finalidades (autenticación, attack protection, detección de anomalías), duraciones, transferencias a EE. UU. y enlace a la política y al DPA de Okta. Misma categoría ## Más servicios: Seguridad [Ver toda la categoría](https://www.flowconsent.com/es/services/seguridad) ### [ClickCease](https://www.flowconsent.com/es/services/seguridad/clickcease) [Esencial](https://www.flowconsent.com/es/services/seguridad/clickcease) · ### [ipbase](https://www.flowconsent.com/es/services/seguridad/ipbase) [Esencial](https://www.flowconsent.com/es/services/seguridad/ipbase) · ### [FraudLabs Pro](https://www.flowconsent.com/es/services/seguridad/fraudlabs-pro) [Esencial](https://www.flowconsent.com/es/services/seguridad/fraudlabs-pro) · ### [AntiBot.Cloud](https://www.flowconsent.com/es/services/seguridad/antibot-cloud) [Esencial](https://www.flowconsent.com/es/services/seguridad/antibot-cloud) · ### [IPinfo](https://www.flowconsent.com/es/services/seguridad/ipinfo) [Esencial](https://www.flowconsent.com/es/services/seguridad/ipinfo) · ### [JumpCloud](https://www.flowconsent.com/es/services/seguridad/jumpcloud) [Esencial](https://www.flowconsent.com/es/services/seguridad/jumpcloud) ## Haga que su sitio cumpla la normativa hoy mismo. Gratis hasta 25.000 sesiones al mes. Sin tarjeta de crédito, sin compromiso. [Crear mi banner](https://app.flowconsent.com/auth/sign-up?utm_source=flowconsent.com\&utm_medium=referral\&utm_campaign=general) · [Escanear mi sitio](https://www.flowconsent.com/es/scan)