Keycloak dans les PME : utilisation, avantages, effort

Keycloak est une solution open source mature pour l’authentification centralisée (Single Sign-On) et la gestion des accès sous licence Apache-2.0. Elle est portée par Red Hat ; depuis 2023, elle est un projet de la Cloud Native Computing Foundation. Dans les PME, Keycloak convient particulièrement aux entreprises avec de nombreux utilisateurs, plusieurs sites, des accès partenaires ou clients et des droits complexes. L’effort de mise en place est plus élevé que pour des solutions plus légères.

Cas d’usage typiques dans les PME

• SSO des collaborateurs : une seule connexion pour Nextcloud, les outils d’IA, les applications web ERP et les logiciels métiers.
• Plusieurs sites ou sociétés : des espaces séparés (« realms ») avec leurs propres règles au sein d’un même système.
• Portails partenaires et clients : des accès pour les externes, séparés des comptes internes.
• Connexion des annuaires existants : Active Directory ou LDAP restent la source, Keycloak prend en charge l’authentification moderne.
• Applications propres : Les portails web et les applications utilisent Keycloak pour l’authentification et les droits.

Avantages

• Licence entièrement libre :Apache 2.0, pas de niveau Enterprise avec des fonctions verrouillées.
• Étendue des fonctionnalités :droits granulaires, authentification forte, fédération avec d’autres fournisseurs d’identité.
• Standards :OpenID Connect, OAuth 2.0, SAML – large compatibilité.
• Stabilité :grand organisme, grande communauté, longue expérience dans l’exploitation.
• Support possible : assistance commerciale via Red Hat ou des prestataires spécialisés.
• Indépendance : exploitation en Allemagne, aucune dépendance à un fournisseur cloud – voir Éviter le vendor lock-in.

À quel effort vous devez vous attendre

• Planification : réfléchir soigneusement aux rôles, groupes, domaines et connexions.
• Mise en place : plus complexe qu’avec Authentik ; une expérience en gestion des identités est utile.
• Exploitation : mises à jour régulières, surveillance, sauvegarde des données, haute disponibilité pour de nombreux utilisateurs.
• Savoir-faire : en interne ou via un prestataire, quelqu’un doit bien connaître Keycloak.

Pour les environnements plus petits, c’est souvent plus que nécessaire – dans ce cas, il vaut la peine de se tourner vers Authentik. La comparaison directe montre Keycloak vs. Authentik.

Sécurité et protection des données

• Keycloak est la clé centrale pour tous les systèmes – la sécurisation, les mises à jour et la surveillance sont prioritaires.
• Authentification à deux facteurs pour tous, au minimum pour les administrateurs.
• Exploitation en Allemagne, stockage séparé et protégé des journaux.
• Ne transmettre aux applications que les informations nécessaires (minimisation des données).

Introduction dans les PME

1. Inventaire : applications, répertoires, groupes d’utilisateurs, accès externes.
2. Image cible : domaines, rôles, règles d’inscription, obligation de double authentification.
3. Pilote avec un service et deux à trois applications.
4. Déploiement progressif, formation des administrateurs.
5. Concept d’exploitation : mises à jour, surveillance, accès d’urgence, documentation.

bettersorted mise pour ses clientes et clients sur des composants ouverts et transparents – exploités sur des serveurs en Allemagne et regroupés dans le automaisa Hub. Nous conseillons de manière neutre vis-à-vis des fabricants, sommes un conseiller enregistré auprès du BAFA et un coach INQA autorisé. Le Conseil et mise en place accompagnée peuvent être obtenus via le INQA-Coaching avec un financement de 80 % ; la voie appropriée est indiquée par le Vérification des aides. Pour un premier entretien sans engagement : Contact.

Exemple : portail revendeurs et SSO des collaborateurs

Un scénario illustratif : un constructeur de machines avec 300 collaborateurs exploite un portail pour les revendeurs et les partenaires de service. Keycloak met à disposition deux espaces distincts : les collaborateurs se connectent via l’Active Directory existant, les partenaires via leurs propres comptes avec authentification à deux facteurs. Tous utilisent les mêmes applications web, mais ne voient que ce qui leur est autorisé.

Planifier l’exploitation de manière réaliste

• Deux instances pour la redondance en cas de nombreux utilisateurs
• Mises à jour régulières avec test dans un environnement de test
• Surveillance des échecs de connexion et des accès inhabituels
• Configuration documentée, afin que le savoir ne dépende pas d’une seule personne

Coûts et subvention

Pour l’introduction de Keycloak, aucun coût de licence n’est à prévoir avec les outils open source. Des coûts sont liés à Mise en place (planification, installation, connexion, tests), Exploitation (serveur ou hébergement en Allemagne, mises à jour, surveillance, sauvegarde des données) et Accompagnement (formation, règles, interlocuteurs). Nous ne communiquons pas de prix fixes, car le périmètre et la situation de départ varient fortement.

Sont éligibles à la subvention : le conseil et l’introduction accompagnée: le coaching INQA prend en charge 80 % des coûts de coaching à l’échelle nationale (jusqu’à 11 520 €, bons jusqu’au 30.06.2028) ; une analyse préalable est subventionnée par la subvention BAFA pour le conseil avec 80 % dans les nouveaux Länder, à Lüneburg et à Trèves, sinon 50 % – pour les demandes jusqu’au 31.12.2026.

Questions fréquemment posées

Qu’est-ce que Keycloak ?

Une solution open source pour l’authentification centralisée et la gestion des accès (Identity and Access Management), sous licence Apache-2.0, soutenue par Red Hat et la Cloud Native Computing Foundation.

Keycloak convient-il aux PME ?

Oui, surtout en cas de nombreux utilisateurs, de plusieurs sites, d’accès externes ou de droits complexes. Pour des environnements très petits, une solution plus légère peut suffire.

Combien coûte Keycloak ?

Le logiciel est gratuit. Des coûts sont liés aux serveurs, à la mise en place, à l’exploitation et, en option, à une assistance commerciale.

Keycloak peut-il se connecter à Active Directory ?

Oui. Keycloak peut utiliser des annuaires existants comme Active Directory ou LDAP comme source d’utilisateurs et y superposer une authentification moderne.

État : octobre 2026. Les modèles, versions et licences évoluent rapidement – avant de prendre une décision, vérifiez la licence actuelle auprès du fournisseur.