jellyfin-plugin-sso
Plugin de autenticación para Jellyfin que implementa Single Sign-On (SSO) mediante OpenID Connect y SAML 2.0. Es una continuación del plugin archivado de 9p4, con enfoque en seguridad por defecto (fail-closed).
Ficha actualizada 22 sept 2026, 17:04 · upstream 22 sept 2026, 15:33 · release 5.0.0-JF12-stable
Qué es jellyfin-plugin-sso
Descripción editorial construida a partir del repositorio, su documentación y sus señales de mantenimiento.
Este plugin extiende la capacidad de autenticación de Jellyfin al permitir el uso de proveedores externos de identidad (IdP) mediante protocolos estándar como OpenID Connect y SAML 2.0. A diferencia del autenticador nativo o del plugin LDAP oficial, este enfoque centraliza la gestión de identidades en un proveedor externo, eliminando la necesidad de mantener contraseñas locales para la mayoría de los usuarios. El proyecto es una continuación directa del plugin archivado por su autor original (9p4), manteniendo compatibilidad con versiones anteriores mientras introduce mejoras de seguridad y soporte para Jellyfin 10.11 (.NET 9) y 12.0 (.NET 10).
- Centralizar la autenticación de usuarios en un proveedor externo (ej. Keycloak, Authelia, Google) sin mantener contraseñas locales.
- Aplicar políticas de acceso granular mapeando grupos o roles del IdP a permisos específicos de Jellyfin (bibliotecas, TV en vivo, administración).
- Implementar SSO sin contraseñas para usuarios finales, dejando solo un administrador 'break-glass' con credenciales locales.
- Integrar servidores de medios domésticos o empresariales con ecosistemas de identidad existentes (ej. Azure AD, Authentik).
- Migrar desde el plugin archivado 9p4 manteniendo la configuración existente tras actualizar a Jellyfin 12.
- Arquitectura fail-closed por defecto: rechaza autenticación ante firmas débiles, tokens inválidos o ventanas de tiempo expiradas.
- Soporte multi-proveedor simultáneo con validación estricta de `sub`/`NameID` y protección SSRF en avatares.
- Cifrado AES-256-GCM de secretos almacenados en disco y almacenamiento write-only para credenciales sensibles.
- Suite de pruebas xUnit que cubre rutas críticas de seguridad, con revisión adversarial en CI.
- Migración transparente desde el plugin archivado 9p4 sin pérdida de configuración.
- Configuración flexible vía UI, API o archivos montados (config as code) para despliegues automatizados.
- No es parte del catálogo oficial de Jellyfin; requiere instalación manual del repositorio en Plugins → Repositories.
- Algunos proveedores cloud (Google, Entra ID) no se prueban automáticamente en CI y requieren verificación manual.
- Requiere Jellyfin 10.11 o superior (.NET 9/10); no compatible con versiones anteriores.
- La configuración de proveedores complejos puede requerir conocimientos avanzados de SSO y protocolos.
- Sin soporte para autenticación LDAP nativa; debe usarse exclusivamente con IdP compatibles OIDC/SAML.
Perfil de infraestructura
Estimación inicial derivada del repositorio y de los servicios detectados.
Despliegue detectado
Qué señales reales de instalación hemos encontrado.
Instalar vía Dashboard → Plugins → Repositories, añadir URL del manifest (stable: releases, beta: pre-release), buscar 'Community SSO for Jellyfin' y activar. Reiniciar Jellyfin. Configurar proveedores en Dashboard → Plugins → SSO-Auth. Verificar compatibilidad de clientes en la Wiki. Para despliegues críticos, usar releases estables y seguir las guías de hardening (cifrado, límites de tasa, MFA passthrough). Consultar SECURITY.md para políticas de vulnerabilidades.
Stack y dependencias
Componentes inferidos a partir de manifests, configuración y documentación.
Puede sustituir a
Relaciones detectadas por el análisis del repositorio y su categoría.
Experiencia real de la comunidad
Ayuda a contrastar la estimación automática con instalaciones reales.
Todavía no hay datos comunitarios para este proyecto.