Nextcloud, la supervision, le wiki interne, le gestionnaire de tickets, le NAS, le VPN : chaque application auto-hébergée a son propre compte, son propre mot de passe et rarement une double authentification. Quand un salarié part, il faut penser à le supprimer partout. Authentik, fournisseur d’identité open source, centralise tout cela : une seule connexion, protégée par une authentification forte, pour toutes vos applications. Voici comment le déployer et y raccorder vos services.
L’essentiel en 30 secondes
- Authentik est un fournisseur d’identité (IdP) open source, auto-hébergeable, qui gère connexion unique (SSO), double authentification et cycle de vie des comptes.
- Il parle les protocoles standards : OpenID Connect / OAuth2, SAML, LDAP, RADIUS, SCIM.
- Son proxy d’authentification protège même les applications qui ne gèrent aucun SSO.
- Il accepte les passkeys et clés FIDO2, résistantes au phishing.
- Rythme de sortie trimestriel depuis 2026 ; certaines fonctions avancées relèvent de l’édition Enterprise payante.
Pourquoi centraliser l’authentification
- Sécurité : une politique de mot de passe et de double authentification unique, appliquée partout.
- Départs maîtrisés : désactiver un compte dans Authentik coupe l’accès à toutes les applications raccordées. Voir notre procédure de départ d’un salarié.
- Traçabilité : un journal unique des connexions et des échecs.
- Confort : une seule connexion par jour pour l’utilisateur.
Installer Authentik avec Docker Compose
Sur un serveur Linux (2 cœurs et 2 à 4 Go de RAM suffisent pour une PME) :
mkdir authentik && cd authentik
wget https://goauthentik.io/docker-compose.yml
echo "PG_PASS=$(openssl rand -base64 36 | tr -d '\n')" >> .env
echo "AUTHENTIK_SECRET_KEY=$(openssl rand -base64 60 | tr -d '\n')" >> .env
docker compose pull
docker compose up -dRendez-vous ensuite sur https://serveur:9443/if/flow/initial-setup/ pour créer l’administrateur. Placez Authentik derrière un proxy inverse avec un vrai certificat, sous un nom comme auth.entreprise.fr, et configurez l’envoi d’e-mails (réinitialisation de mot de passe, invitations).
Les briques à comprendre
| Brique | Rôle |
|---|---|
| Application | Le service à protéger, tel qu’il apparaît dans le portail utilisateur |
| Fournisseur (provider) | Le protocole utilisé avec l’application : OIDC, SAML, LDAP, proxy… |
| Flux (flow) et étapes (stages) | Le parcours de connexion : identifiant, mot de passe, double authentification, consentement |
| Politiques (policies) | Qui peut accéder à quoi, à quelles conditions (groupe, réseau, heure) |
| Sources | Annuaires externes à synchroniser : Active Directory, Entra ID, Google |
| Avant-postes (outposts) | Composants déployés près des applications pour le proxy, LDAP ou RADIUS |
Raccorder ses applications
Applications compatibles OpenID Connect
C’est le cas idéal : Nextcloud, GitLab, Grafana, Portainer, Beszel, la plupart des outils modernes. Créez un fournisseur OAuth2/OpenID, notez l’identifiant client, le secret et l’URL de découverte (https://auth.entreprise.fr/application/o/nom-app/.well-known/openid-configuration), puis renseignez-les dans l’application. La documentation d’Authentik propose des guides d’intégration pour des centaines de logiciels.
Applications SAML
Fréquentes dans les logiciels métiers et services SaaS : échange de métadonnées XML entre Authentik et l’application.
Applications sans SSO
Le fournisseur proxy se place devant l’application (ou s’intègre à Traefik, Nginx ou Caddy en « forward auth ») et n’autorise l’accès qu’aux utilisateurs authentifiés. Idéal pour une interface d’administration ou un outil ancien.
Équipements réseau et anciens logiciels
L’avant-poste LDAP expose les comptes Authentik à des applications qui ne savent faire que du LDAP ; l’avant-poste RADIUS sert pour le Wi-Fi d’entreprise ou certains VPN.
Activer une authentification forte
- Ajoutez une étape de validation multifacteur au flux de connexion par défaut.
- Proposez en priorité les passkeys et clés FIDO2 (WebAuthn), puis les applications TOTP en secours. Voir notre guide sur les passkeys et FIDO2.
- Rendez l’enrôlement obligatoire à la première connexion.
- Définissez une procédure de récupération en cas de perte de clé, avec vérification d’identité.
Sécuriser Authentik lui-même
Authentik devient la clé de voûte de vos accès : sa compromission ouvrirait toutes les portes.
- Comptes administrateurs peu nombreux, protégés par clé FIDO2.
- Interface d’administration accessible uniquement depuis le réseau interne ou un VPN.
- Mises à jour régulières (une version majeure par trimestre, des correctifs de sécurité entre les deux).
- Sauvegarde de la base PostgreSQL et de la clé secrète, avec test de restauration.
- Journaux transmis à votre outil de détection, par exemple Wazuh.
Questions fréquentes
Authentik ou Keycloak ?
Les deux sont solides. Keycloak est très répandu dans les grandes organisations ; Authentik est souvent jugé plus simple à prendre en main, avec son proxy intégré et ses flux visuels, ce qui convient bien aux PME.
Peut-on le connecter à Microsoft 365 ?
Authentik peut utiliser Entra ID comme source d’identités, ce qui permet de se connecter aux applications auto-hébergées avec son compte Microsoft. Le sens inverse, fédérer Microsoft 365 sur Authentik, est plus contraignant et rarement pertinent pour une PME.
L’édition gratuite suffit-elle ?
Pour le SSO, la double authentification et le proxy, oui. L’édition Enterprise ajoute des fonctions comme la revue périodique des accès, WS-Federation ou des connecteurs de gestion des appareils.
Que se passe-t-il si Authentik est indisponible ?
Les utilisateurs ne peuvent plus se connecter aux applications raccordées. Prévoyez la supervision, des sauvegardes et un compte local de secours dans les applications critiques.
Sources
- authentik, documentation officielle.
- authentik, annonce de la version 2026.2 (février 2026).
- OpenID Foundation, fonctionnement d’OpenID Connect.
Besoin d’un accompagnement ?
MPCÂBLE Solutions Informatiques (MPCSI) accompagne particuliers, entreprises, associations et collectivités depuis Gaudiès, en Ariège : sur site en Occitanie, principalement dans un rayon de 40 km (Pamiers, Foix, Mirepoix, Saverdun, Castelnaudary), et à distance partout en France. Nous mettons en place l’authentification centralisée dans le cadre de notre infogérance. Demandez un devis gratuit ou appelez le 05 32 42 99 98.
