Keycloak

Keycloak est devenu le standard open source pour l'authentification, le SSO (Single Sign-On) et la gestion d'identités d'entreprise. Issu de Red Hat, désormais sous l'égide de la CNCF, il couvre OAuth2, OpenID Connect, SAML 2.0, la fédération LDAP/Active Directory et le multi-tenant. Pour une PME qui doit centraliser ses accès (applications internes, portails clients, partenaires B2B), c'est l'alternative crédible et souveraine aux solutions propriétaires (Auth0, Okta) sans la facturation à l'utilisateur.

• →Auth0 / OktaSaaS sans maintenance, bon choix sous 100-200 utilisateurs actifs ou si vous voulez zéro infra à gérer
• →ClerkExcellente UX d'auth pour applications modernes (Next.js, React), SaaS plus jeune mais très polish
• →AuthentikAlternative open source plus moderne et plus légère que Keycloak, bon choix si vous démarrez et n'avez pas besoin de SAML legacy
• →NextAuth / Auth.jsAuth applicative légère pour une seule application : Keycloak serait sur-dimensionné

1. 01

   Déploiement en conteneur (Docker, Kubernetes) avec base PostgreSQL externalisée

2. 02

   Realm dédié par projet ou par tenant : isolation propre des configurations

3. 03

   Configuration des providers (OIDC pour le web, SAML pour les apps legacy, LDAP pour la fédération)

4. 04

   Themes personnalisés pour la marque cliente sur les pages de login

5. 05

   Sauvegardes automatisées du realm + monitoring (Prometheus / Grafana) : Keycloak est critique, surveillance non négociable

• Keycloak ou Auth0/Okta : comment choisir ?

  Keycloak si vous voulez la maîtrise (données, coût plat, personnalisation profonde) et avez une équipe technique pour l'opérer. Auth0/Okta si vous voulez du SaaS sans maintenance et que le coût utilisateur reste acceptable. Le point de bascule économique se situe vers 100-200 utilisateurs actifs : en dessous Auth0 reste compétitif (souvent gratuit), au-dessus Keycloak self-hosted devient nettement plus économique.
• Combien coûte un déploiement Keycloak ?

  Pour un déploiement initial avec 1-2 realms, 3-5 applications connectées, fédération LDAP simple : comptez 2 à 5 jours selon la complexité. Pour une intégration plus large (multi-tenant, themes custom, SAML legacy), 5 à 10 jours. L'hébergement est modeste : un VPS à 15-40 €/mois suffit largement pour des milliers d'utilisateurs.
• Keycloak est-il vraiment maintenu à long terme ?

  Oui. Projet initialement Red Hat, transféré à la CNCF en 2023 (Cloud Native Computing Foundation) : gouvernance neutre, communauté très active, releases régulières. Red Hat continue de financer le développement via son offre commerciale (Red Hat build of Keycloak), mais le projet open source est indépendant et pérenne. Adoption massive chez les grandes entreprises et le secteur public.
• Quelles applications peuvent se connecter à Keycloak ?

  À peu près toutes les applications modernes. Côté web : Next.js, Symfony, Laravel, FastAPI, n'importe quel framework supportant OIDC ou OAuth2 (la quasi-totalité). Côté legacy : SAML 2.0 couvre la plupart des apps d'entreprise anciennes. Pour les apps mobiles, le flow OAuth2 PKCE est natif. Les SDKs officiels existent pour Java, JavaScript, Python, .NET, et les principales plateformes.
• Et la sécurité de Keycloak lui-même ?

  Keycloak est l'une des cibles d'attaque les plus surveillées du domaine : sa sécurité est très scrutée. Les bonnes pratiques essentielles : version maintenue (pas de version EOL), accès admin restreint au réseau interne, TLS partout, audit log activé, sauvegardes chiffrées. Bien déployé, c'est plus sûr qu'une auth maison ; mal déployé, ça devient une cible critique. C'est exactement le sujet de la rigueur opérationnelle.