Comparativa · Autenticación multifactor de Microsoft Entra
Notakey frente a Microsoft Entra MFA para VPN, RADIUS e inicios de sesión on-premise
Para organizaciones con Microsoft 365 que se preguntan si Entra ID y Microsoft Authenticator ya cubren la VPN, el firewall, los servidores Linux y el Escritorio remoto, o si merece la pena añadir un servidor de autenticación on-premise independiente.
En resumen
Si todas las identidades ya están en Entra ID y lo que protege son los inicios de sesión en la nube de Microsoft, Entra MFA con Microsoft Authenticator es la elección evidente: viene incluido con el tenant, admite passkeys y coincidencia de números, y las directivas de Conditional Access son difíciles de igualar.
El panorama cambia con las VPN y los sistemas on-premise. Los dispositivos RADIUS solo llegan a Entra MFA a través de la extensión de NPS, que requiere un servidor NPS de Windows, usuarios sincronizados con Entra, una licencia P1, P2 o Enterprise Mobility + Security y salida a internet hacia Microsoft, y que no admite la coincidencia de números. Notakey es un appliance que responde a RADIUS por sí mismo, usa directamente el Active Directory on-premise, decide la aprobación en su propio servidor (solo la entrega de la notificación push pasa por los servicios de Apple y Google) y añade la firma de transacciones.
Datos de los proveedores comprobados el 13 de octubre de 2026. Los precios son los de tarifa publicados por cada proveedor en esa fecha y pueden cambiar sin previo aviso.
Aspecto
Notakey
Autenticación multifactor de Microsoft Entra
- Dónde se toma la decisión
- NotakeyEn su appliance, on-premise o alojado por Notakey. La notificación push se entrega a través de los servicios de Apple y Google, y el teléfono necesita conexión a internet para recibirla; la aprobación en sí la verifica su servidor.
- Autenticación multifactor de Microsoft EntraEn la nube de Microsoft. La extensión de NPS de su servidor NPS se comunica con Entra por TCP 443, así que el servidor NPS necesita salida a internet hacia Microsoft.
- Licencias (de tarifa, por usuario y mes)
- NotakeyNube: primeros 6 usuarios gratis, después 2,50 €. On-premise: primeros 10 usuarios gratis, después 0,80 €.
- Autenticación multifactor de Microsoft EntraEntra ID Free (incluido con Microsoft 365 y Azure) admite MFA para los inicios de sesión en la nube. La extensión de NPS para RADIUS requiere Entra ID P1 ($7) o P2 ($10), con facturación anual, o Enterprise Mobility + Security; las licencias por consumo, por usuario o por autenticación, no son compatibles con ella.
- VPN y firewall por RADIUS
- NotakeyEl auth-proxy integrado en el appliance se sitúa delante de cualquier servidor RADIUS, incluido Microsoft NPS sin extensión alguna, o del plugin RADIUS del propio appliance.
- Autenticación multifactor de Microsoft EntraLa extensión de NPS en un servidor NPS de Windows unido al dominio; los usuarios deben sincronizarse con Entra mediante Entra Connect; el servidor NPS no puede hacer de proxy hacia otro servidor RADIUS. Microsoft recomienda un tiempo de espera de la VPN de al menos 60 segundos.
- Frente al push-bombing por RADIUS
- NotakeyLa tarjeta de aprobación muestra el servicio, el nombre de usuario y, cuando se facilita, la IP de origen; el usuario deniega un inicio de sesión que no ha iniciado.
- Autenticación multifactor de Microsoft EntraLa coincidencia de números no se admite a través de NPS. Si se impone en todo el tenant, a los usuarios de RADIUS se les pide en su lugar un código TOTP de Authenticator; si no tienen registrado un método TOTP, ven un simple Aprobar/Denegar.
- Origen de los usuarios
- NotakeyActive Directory on-premise o LDAP directamente, un origen RADIUS o usuarios creados en el panel de Notakey. No hace falta sincronizar con un tenant en la nube.
- Autenticación multifactor de Microsoft EntraEntra ID. Los usuarios del AD on-premise deben sincronizarse con Entra; la extensión los identifica por defecto por su UPN.
- Inicio de sesión en Windows
- NotakeyWindows Credential Provider para inicios de sesión locales y por Escritorio remoto con AD on-premise, opcionalmente solo sin contraseña.
- Autenticación multifactor de Microsoft EntraWindows Hello for Business en dispositivos unidos a Entra o en unión híbrida; Remote Desktop Gateway puede usar la extensión de NPS.
- Firma de transacciones
- NotakeySí: en el teléfono se firma una descripción legible del pago, el pedido o el cambio, con vinculación dinámica conforme a PSD2.
- Autenticación multifactor de Microsoft EntraNo es una función; Authenticator aprueba inicios de sesión.
- Factores resistentes al phishing y directivas
- NotakeySin passkeys ni llaves FIDO2; sin equivalente a Conditional Access y sin comprobaciones de cumplimiento del dispositivo.
- Autenticación multifactor de Microsoft EntraPasskeys en Microsoft Authenticator, llaves de seguridad FIDO2 y autenticación basada en certificados; Conditional Access con P1 y directivas basadas en el riesgo con P2.
- SSH en Linux, MikroTik, aplicaciones web heredadas
- NotakeyIntegraciones documentadas: pam_radius para SSH y sudo, scripts de RouterOS y RADIUS para MikroTik, y un proxy inverso SAML para aplicaciones web heredadas.
- Autenticación multifactor de Microsoft EntraTodo lo que hable RADIUS puede pasar por la extensión de NPS, con los límites indicados arriba.
Cuándo elegir Entra MFA
- Sus usuarios y dispositivos ya están en Entra ID y lo que protege es Microsoft 365, Azure y aplicaciones SaaS federadas con Entra.
- Necesita Conditional Access, cumplimiento del dispositivo o directivas de inicio de sesión basadas en el riesgo.
- Las passkeys o las llaves FIDO2 son un requisito para los administradores.
- Ya dispone de licencias P1 o P2 y utiliza NPS, de modo que la vía RADIUS solo le cuesta la extensión.
Cuándo elegir Notakey
- Las identidades se quedan en el Active Directory on-premise, o quiere que la aprobación se decida en su propio servidor y no en un tenant en la nube.
- Lo que hay que proteger son VPN y firewalls con RADIUS, MikroTik, servidores Linux, el Escritorio remoto y aplicaciones web heredadas.
- Quiere que el usuario vea qué está aprobando en cada inicio de sesión en la VPN, sin recurrir a códigos TOTP.
- Necesita firmar transacciones, o un proveedor de la UE y datos on-premise por motivos de auditoría.
Lo que Notakey no hace
- No sustituye a Entra ID como proveedor de identidades para Microsoft 365.
- Sin directivas de Conditional Access ni de cumplimiento del dispositivo.
- Sin passkeys ni llaves FIDO2.
- Sin segundo factor por llamada telefónica ni por SMS.
Preguntas frecuentes
- ¿Puede Notakey usar nuestro servidor Microsoft NPS actual?
- Sí, sin ninguna extensión. El auth-proxy de Notakey se sitúa delante de NPS, deja que este compruebe la contraseña contra Active Directory y después consulta al teléfono del usuario. NPS conserva sus directivas.
- ¿Funciona Entra MFA para una VPN sin licencia P1?
- No a través de la extensión de NPS: Microsoft indica que requiere Entra ID P1, P2 o Enterprise Mobility + Security. Entra ID Free cubre el MFA de los inicios de sesión en la nube, no el de los dispositivos RADIUS.
- ¿Por qué la extensión de NPS pide un código en lugar de usar la coincidencia de números?
- NPS no admite la coincidencia de números. Cuando se impone para todos los usuarios, la extensión pide en su lugar un código TOTP de Microsoft Authenticator; los usuarios sin un método TOTP registrado siguen recibiendo un simple Aprobar/Denegar. Notakey tampoco utiliza la coincidencia de números: su tarjeta de aprobación muestra el contexto del inicio de sesión.
Fuentes
- Microsoft: extensión de NPS para la autenticación multifactor de Microsoft Entra
- Precios de Microsoft Entra
- Microsoft: métodos de autenticación en Microsoft Entra ID
- Microsoft: Remote Desktop Gateway con la extensión de NPS
- Microsoft: Windows Hello for Business
- Precios de Notakey
Los nombres de producto son marcas comerciales de sus respectivos titulares y se utilizan únicamente para identificar los productos comparados.