Comptes et sessions des SaaS et plateformes B2B
Zitadel est un serveur de gestion des identités et des accès (IAM) écrit en Go. Les applications lui délèguent la connexion de leurs utilisateurs par OpenID Connect ou SAML, et il garde les comptes, les rôles et les sessions. Le projet vise les produits SaaS et les plateformes B2B qui accueillent plusieurs entreprises clientes. Zitadel s'installe chez soi ou s'utilise via Zitadel Cloud, qui fait tourner le même code.
Le comparatif des outils de SSO auto-hébergés situe Zitadel et sa licence face aux autres fournisseurs d'identité.
Les clients attribuent eux-mêmes les rôles de vos projets
- Deux niveaux de multi-tenancy : une instance (un domaine, un émetteur de jetons) contient des organisations aux utilisateurs et aux données séparés, chacune avec ses fournisseurs d'identité, sa politique de mot de passe, ses règles de MFA et sa page de connexion à ses couleurs. D'autres instances, dites virtuelles, se créent par l'API système, pour le cas où vos clients ont eux-mêmes des clients qui veulent leur propre domaine.
- Des rôles distribués par les clients : une organisation partenaire peut attribuer les rôles d'un de vos projets à ses propres utilisateurs, sans passer par vous.
- OIDC, SAML et SCIM : fournisseur OpenID Connect certifié, SAML 2.0, serveur SCIM 2.0 pour le provisioning, device authorization et échange de jetons. Les utilisateurs peuvent aussi se connecter via un annuaire LDAP, un fournisseur d'entreprise ou un compte social.
- MFA : passkeys FIDO2/WebAuthn, clés U2F, codes TOTP, codes à usage unique par e-mail ou par SMS.
- Un événement par modification : chaque changement est écrit comme un événement immuable, consultable dans la console et par l'API, ou envoyé à un SIEM par webhooks.
AGPL depuis la v3 et PostgreSQL obligatoire
Zitadel est sous AGPL depuis la v3, et non plus sous Apache 2.0. Le dépôt était sous Apache 2.0 jusqu'à la branche 2.x, qui garde cette licence. Annoncé le 13 mars 2025, le passage à l'AGPL-3.0-only est entré avec la v3.0.0 du 2 mai 2025 : les pages qui présentent encore Zitadel sous Apache 2.0 décrivent l'état d'avant. Les définitions proto et la documentation restent sous Apache 2.0, l'interface de connexion et les paquets client sont sous MIT. La FAQ de licence de l'éditeur juge en général permis de distribuer Zitadel sans le modifier. Pour garder ses modifications privées, l'éditeur propose une licence commerciale. Keycloak, auquel le README de Zitadel se compare dans un tableau, est resté sous Apache 2.0.
PostgreSQL est obligatoire, et la v4 se déploie en conteneurs. Zitadel exige PostgreSQL 14 à 18, CockroachDB n'étant plus pris en charge depuis la v3. La pile Docker Compose officielle fait tourner l'API en Go et l'interface de connexion en Next.js, deux services derrière Traefik ou tout reverse proxy qui transmet le HTTP/2. Redis est optionnel. La documentation destine Compose à l'essai et au homelab, la production au chart Helm pour Kubernetes, et prévient que son guide d'installation du binaire Linux ne fonctionne pas avec la v4. Pour mettre une page de connexion devant quelques applications auto-hébergées, VoidAuth se contente d'un seul service et accepte SQLite.
La base et le hachage des mots de passe pèsent plus que Zitadel. La documentation compte environ 512 Mo de RAM et moins d'un cœur pour Zitadel, mais 4 cœurs disponibles pour les pics de hachage des mots de passe. La base consomme environ un cœur et 4 Go de RAM par tranche de 100 requêtes par seconde. Le guide Compose demande une machine d'au moins 2 Go de RAM ; pour la haute disponibilité, la documentation recommande trois nœuds de 4 cœurs et 16 Go.
L'offre cloud se distingue par des quotas, pas par le code. Selon la page consacrée à l'auto-hébergement, l'édition communautaire sous AGPL contient toutes les fonctions de base. L'offre gratuite du cloud s'arrête à 100 utilisateurs actifs par jour, une instance, trois fournisseurs d'identité externes et un jour d'historique d'audit. L'offre Pro part de 100 dollars par mois, avec 25 000 utilisateurs actifs par jour et deux semaines d'historique. Les données sont hébergées, au choix, dans l'UE, aux États-Unis, en Suisse ou en Australie. L'offre Enterprise, en cloud ou chez soi, ajoute la licence commerciale, un interlocuteur technique dédié, un engagement de disponibilité et des « add-ons commerciaux » que la page ne détaille pas.
Onze versions mineures en 2026, et une refonte en alpha. La v4.19.4 date du 1er octobre 2026. Onze versions mineures sont sorties entre la v4.9.0 du 6 janvier et la v4.19.0 du 23 septembre, et la branche 3.4 reçoit encore des correctifs (v3.4.15 le 14 août 2026). Une nouvelle génération, qui reconstruit le stockage et l'API, est en alpha dans un dépôt séparé, zitadel/nextgen, pour servir de base à une future version majeure.