Keycloak

Cada sistema novo tende a reinventar tela de login, recuperação de senha e controle de acesso. O Keycloak tira esse trabalho do código da aplicação: ele é um servidor de gestão de identidade e acesso, open source, que centraliza a autenticação e oferece login único para vários sistemas. Hoje é um projeto em incubação na Cloud Native Computing Foundation.

Para que serve

• Dar login único (SSO) a vários sistemas internos, com logout que encerra a sessão em todos.
• Conectar usuários que já estão num LDAP ou Active Directory, sem migrar a base.
• Aceitar login por outros provedores via OpenID Connect ou SAML 2.0, ou por redes sociais, configurado no console de administração.
• Exigir segundo fator de autenticação; o guia sobre MFA explica por que isso pesa.
• Definir permissões finas, além do controle por papéis.

O usuário também ganha um console próprio para trocar senha, configurar o segundo fator e ver as sessões abertas.

Como começar

O guia oficial de Docker sobe o servidor em modo de desenvolvimento com um admin provisório:

docker run -p 127.0.0.1:8080:8080 -e KC_BOOTSTRAP_ADMIN_USERNAME=admin -e KC_BOOTSTRAP_ADMIN_PASSWORD=admin quay.io/keycloak/keycloak:26.8.0 start-dev

O console fica em localhost:8080. Sem Docker, baixe a distribuição no site, descompacte e rode bin/kc.sh start-dev. Para produção, a própria documentação lista o que muda: um banco como PostgreSQL, SSL com certificado seu e a troca da senha admin do exemplo.

Licença e custo

A licença é Apache-2.0. O Keycloak pode ser usado e modificado, até dentro de software vendido, sem remover os avisos de licença. O README e o site não citam plano pago; o custo real é a infraestrutura e o tempo de quem opera o servidor.

Quando vale a pena

Empresas com vários sistemas próprios que precisam do mesmo login, e com equipe capaz de manter um serviço crítico no ar com atualização e backup, formam o público típico do Keycloak. Para uma aplicação única com poucos usuários, ele pode ser peso demais. Alternativas conhecidas são o Authentik, também open source, e serviços gerenciados como Auth0 e Microsoft Entra ID.