Authentik : gestion centralisée des utilisateurs

L’essentiel en bref

Authentik offre une connexion pour Nextcloud, KI-Chat, Paperless-ngx, n8n.
Avec page d’accueil, authentification à deux facteurs et libre-service.
Noyau sous Licence MIT, les fonctionnalités d’entreprise sont payantes.
Comme clé centrale protéger particulièrement bien.

Authentik est une solution open source pour l’authentification centralisée et la gestion des utilisateurs. Elle relie des outils comme Nextcloud, Open WebUI, Paperless-ngx et n8n à un login commun, propose Connexion à deux facteurs et une page d’accueil, sur laquelle les collaborateurs trouvent toutes les applications autorisées. Authentik se met en place relativement rapidement et convient particulièrement aux PME sans grande équipe informatique.

Ce qu’Authentik apporte au quotidien

Un compte par personne : les utilisateurs sont créés une seule fois et affectés à des groupes.
Une seule connexion pour tous les outils : via les standards OpenID Connect et SAML.
Page d’accueil : Toutes les applications autorisées en un coup d’œil – pratique pour les nouveaux collaborateurs.
Deux facteurs : Application d’authentification, clé de sécurité ou passkeys.
Protection pour les applications sans SSO propre : Un proxy intégré impose une connexion avant les applications qui ne disposent pas elles-mêmes d’une authentification centralisée.
Libre-service : Réinitialiser le mot de passe ou configurer un second facteur sans solliciter l’IT.
Concevoir les processus : Les parcours de connexion et d’inscription peuvent être adaptés visuellement.

L’équipe travaille sur des ordinateurs au bureau

Un scénario typique

Un service de soins avec 40 collaborateurs utilise Nextcloud pour les fichiers, Open WebUI comme assistant IA interne et Paperless-ngx pour la gestion. Avec Authentik, chaque personne se connecte une seule fois. Le groupe « Verwaltung » voit Paperless-ngx, le groupe « Pflege » uniquement Nextcloud et l’assistant IA. Lorsqu’une personne quitte le service, la direction désactive un seul compte. Cet exemple est illustratif.

Licence et coûts

Le cœur d’Authentik est sous la licence MIT et peut être utilisé gratuitement. Certaines fonctions supplémentaires – par exemple certaines connexions aux annuaires Microsoft et Google, la journalisation avancée ou les fonctions d’accès à distance – font partie de la version Enterprise payante. Pour les scénarios typiques des PME, la version gratuite suffit généralement.

Protection des données et sécurité

Exploitation en Allemagne : sur un serveur propre ou chez un hébergeur allemand.
Point de protection central : Comme toutes les connexions passent par Authentik, le système doit être particulièrement bien protégé, mis à jour et sauvegardé.
Journaux :Les inscriptions et les modifications sont consignées – utile en cas d’incidents de sécurité.
Minimisation des données : Ne transmettre aux applications que les informations dont elles ont réellement besoin.

Introduction en cinq étapes

Planifier les groupes : Définir les services et les rôles.
Configurer Authentik : Serveur en Allemagne, deux facteurs obligatoires.
Connecter la première application : par exemple Nextcloud, tester avec une équipe pilote.
Autres applications connecter les unes après les autres.
Adapter les processus : Entrée et sortie, changement de rôle, accès d’urgence.

La question de savoir si Authentik ou Keycloak convient mieux est répondue par Keycloak vs. Authentik.

Pour les personnes intéressées par la technique

Authentik se compose d’un serveur, d’un worker et de PostgreSQL et s’exécute en tant que conteneur.
Blueprints permettent la configuration en tant que code – utile pour une mise en place reproductible.
Pour les applications sans SSO, le Outpost/Proxy est placé en amont de l’application.

bettersorted mise sur des composants ouverts et consultables pour ses clientes et clients – hébergés sur des serveurs en Allemagne et regroupés dans le automaisa Hub. Nous conseillons de manière neutre vis-à-vis des fabricants, sommes conseillers enregistrés auprès du BAFA et coachs INQA autorisés. Le conseil et l’introduction accompagnéepeuvent être subventionnés à hauteur de 80 % via le INQA-Coaching ; le contrôle des aides indique la voie appropriée. Pour un premier entretien sans engagement : Contact.

Planifier judicieusement les groupes et les rôles

Par service : Administration, vente, technique, soins …
Par fonction : direction, administration, apprentis, externes.
Après application : qui peut utiliser quel outil.
Rôles spéciaux : accès d’urgence, délégués à la protection des données, auditeurs.

Gardez le modèle aussi simple que possible – chaque groupe supplémentaire doit être maintenu.

Erreurs fréquentes

Comptes administrateur sans second facteur.
Aucune sauvegarde de la base de données Authentik.
Mises à jour reportées – particulièrement risqué pour un service d’authentification central.
Aucune documentation indiquant quelle application est connectée et comment.

Coûts et subvention

Pour la mise en place d’Authentik, aucun coût de licence n’est à prévoir avec des outils open source. Des coûts sont liés à Mise en place (planification, installation, connexion, tests), Exploitation (serveur ou hébergement en Allemagne, mises à jour, surveillance, sauvegarde des données) et Accompagnement (formation, règles, interlocuteurs). Nous ne communiquons pas de prix fixes, car l’étendue et la situation de départ varient fortement.

Est éligible à la subvention la conseil et l’introduction accompagnée: le INQA-Coaching prend en charge 80 % des coûts de coaching à l’échelle nationale (jusqu’à 11.520 €, bons jusqu’au 30.06.2028) ; une analyse préalable est subventionnée par la subvention de conseil BAFA avec 80 % dans les nouveaux Länder, à Lüneburg et à Trèves, sinon 50 % – pour les demandes jusqu’au 31.12.2026.

Questions fréquemment posées

Qu’est-ce qu’Authentik ?

Une solution open source pour l’authentification centralisée (Single Sign-On) et la gestion des utilisateurs, qui permet d’utiliser de nombreux outils via une connexion commune.

Authentik est-il gratuit ?

Le cœur est gratuit sous licence MIT. Certaines fonctions Enterprise sont payantes ; pour les scénarios PME typiques, la version gratuite suffit généralement.

Quels programmes peuvent être connectés à Authentik ?

Toutes les applications qui prennent en charge OpenID Connect, SAML ou LDAP – notamment Nextcloud, Open WebUI, Paperless-ngx et n8n. Les applications sans SSO peuvent être protégées via le proxy intégré.

Que se passe-t-il si Authentik tombe en panne ?

Dans ce cas, la connexion aux outils reliés est perturbée. C’est pourquoi la supervision, la sauvegarde des données et un accès d’urgence font partie de l’exploitation.

État : octobre 2026. Les modèles, versions et licences évoluent rapidement – vérifiez la licence actuelle auprès du fournisseur avant de prendre une décision.