Inicio de sesión único entre dos apps sin proveedor de identidad: el ticket de un minuto

Dos herramientas internas en dominios distintos, sin cookie compartida y sin ganas de montar un proveedor de identidad para un puñado de usuarios. Un ticket firmado que vive sesenta segundos y sirve una sola vez reemplazó al segundo login. El flujo, el código y las cuatro respuestas que medimos en producción.