Fournisseur d'identité qui parle SAML, LDAP et RADIUS
authentik est un fournisseur d'identité (IdP) auto-hébergé, écrit en Python : l'utilisateur s'y connecte une fois, et les applications qui lui font confiance le laissent entrer. Il parle OAuth2 et OpenID Connect, SAML, LDAP, RADIUS et SCIM. Une application qui ne gère aucun de ces protocoles peut se placer derrière son proxy d'authentification, et des machines Windows, macOS ou Linux s'ouvrent en RDP, VNC ou SSH depuis le navigateur. Les comptes sont stockés dans sa base PostgreSQL ; authentik peut aussi les importer d'un annuaire LDAP, Active Directory ou FreeIPA.
Le comparatif des outils de SSO auto-hébergés met authentik face aux autres fournisseurs d'identité et aux portails plus légers placés devant le reverse proxy.
Parcours de connexion en étapes, politiques en Python
- Des parcours de connexion construits étape par étape : un flow enchaîne des étapes (identification, mot de passe, second facteur, consentement...) et des politiques décident, par défaut juste avant chaque étape, si elle s'affiche. Quand les types de politiques fournis ne suffisent pas, une politique d'expression s'écrit en Python.
- Un proxy déjà dans le serveur : le conteneur serveur embarque un outpost qui sert le fournisseur Proxy sans rien déployer de plus. LDAP, RADIUS et l'accès distant passent par des outposts séparés.
- Six types de second facteur : WebAuthn et passkeys, TOTP, codes de secours, e-mail, SMS et Duo.
- Un filtrage géographique : une politique GeoIP autorise ou refuse une connexion selon le pays ou l'opérateur réseau (ASN), et repère les déplacements impossibles.
- Des comptes venus d'ailleurs : sources SAML, OAuth et OpenID Connect, Kerberos et LDAP, plus des connexions sociales comme Apple, GitHub, Google ou Telegram.
Cœur MIT, Enterprise payant, socket Docker monté par défaut
PostgreSQL est le seul service à fournir depuis la version 2025.10. Le fichier Compose officiel de la 2026.8.3 lance trois conteneurs : PostgreSQL, un serveur et un worker. La documentation demande au moins 2 cœurs et 2 Go de RAM. Redis a disparu en 2025.10 : cache, tâches et WebSocket sont passés dans PostgreSQL, et les notes de version annoncent en contrepartie environ 50 % de connexions en plus vers la base.
Le worker monte le socket Docker par défaut. Il s'en sert pour déployer lui-même les outposts. La documentation signale le risque et propose deux parades : un proxy de socket Docker, ou un déploiement manuel des outposts.
L'édition open source vise les homelabs et les usages simples. C'est la cible que lui donne la page tarifs. La documentation réserve Docker Compose aux tests et aux petites productions, et recommande au-delà Kubernetes avec le chart Helm, en gardant PostgreSQL hors du chart : la base que celui-ci installe est prévue pour la démonstration et les tests.
L'édition Enterprise est sous licence propriétaire, dans le même dépôt. Le cœur est sous MIT, mais le code du dossier authentik/enterprise/ ne sert en production qu'avec un abonnement : 5 dollars par utilisateur et par mois, facturés à l'année, et 0,02 dollar par utilisateur externe et par mois. Une clé de licence l'active sur les mêmes images. Cette édition réserve entre autres la gestion des accès privilégiés, la synchronisation vers Google Workspace et Entra ID, l'authentification par certificat client, RADIUS en EAP-TLS et le journal d'audit détaillé. La page tarifs promet qu'aucune fonction ne passera de l'open source à Enterprise.
Aucun support pour l'édition gratuite, aucune version hébergée. L'open source se contente de Discord et de GitHub ; le support sur ticket commence avec un abonnement Enterprise de plus de 1 000 dollars. L'éditeur ne propose authentik en service hébergé dans aucune de ses éditions.
Une version majeure tous les trois mois depuis février 2026. La 2026.2 est sortie le 24 février, la 2026.5 le 22 mai, la 2026.8 le 18 août. La dernière publiée est la 2026.8.3, du 17 septembre 2026, et la politique de sécurité ne suit que les branches 2026.5 et 2026.8. En Compose, chaque mise à jour passe par un nouveau compose.yml, qui fige le numéro de version.
Le projet se compare lui-même à Okta, ADFS, Entra ID, Keycloak et Authelia. Dans le tableau de sa page d'accueil, seuls Keycloak et Authelia sont, comme lui, cochés open source et auto-hébergeables. Ce tableau coche aussi pour authentik la gestion des accès privilégiés et les départs programmés d'utilisateurs, sans préciser que ces deux fonctions relèvent de l'édition Enterprise.