authentik

Cada sistema interno com login próprio é mais uma senha para o usuário lembrar e mais uma conta para desligar quando alguém sai da empresa. O authentik é um provedor de identidade (IdP) que centraliza esse acesso com single sign-on. Ele foi pensado para hospedagem própria, de um laboratório caseiro a um cluster de produção.

Para que serve

• Dar login único a aplicações que falam SAML2 ou OAuth2/OIDC.
• Atender sistemas mais antigos por LDAP ou RADIUS e provisionar contas por SCIM.
• Colocar autenticação na frente de uma aplicação que não tem login próprio, usando o proxy de aplicação.
• Exigir MFA no acesso, com suporte a WebAuthn (passkeys) e regras de acesso condicional.
• Cuidar de cadastro e autoatendimento do usuário, como a troca de senha.

Como começar

A documentação indica Docker Compose para testes e ambientes pequenos, e o Helm chart do Kubernetes para instalações maiores. O mínimo é 2 núcleos de CPU e 2 GB de RAM. No Compose, baixe o arquivo, gere a senha do banco e a chave secreta, e suba os contêineres:

wget https://docs.goauthentik.io/compose.yml
echo "PG_PASS=$(openssl rand -base64 36 | tr -d '\n')" >> .env
echo "AUTHENTIK_SECRET_KEY=$(openssl rand -base64 60 | tr -d '\n')" >> .env
docker compose pull
docker compose up -d

Depois acesse a porta 9000 do servidor e defina a senha do usuário akadmin. Há também modelo para AWS CloudFormation e instalação em um clique no DigitalOcean Marketplace.

Licença e custo

O núcleo do authentik é MIT, então você roda, altera e redistribui sem pagar. A pasta authentik/enterprise segue uma licença Enterprise própria, e os textos do site estão em CC BY-SA 4.0. A edição Open Source é gratuita, com suporte só da comunidade no Discord. O plano Enterprise custa US$ 5 por usuário interno por mês, e o Enterprise Plus parte de US$ 20 mil por ano. A empresa não oferece versão hospedada.

Quando vale a pena

É uma escolha natural para quem quer SSO e MFA sob seu controle, sem depender de Okta, Auth0 ou Entra ID. Se a equipe não tem quem mantenha o servidor no ar, um serviço gerenciado sai mais barato em horas. O Keycloak segue a mesma linha de hospedagem própria.