Ultima verifica:
Dopo aver auto-ospitato più di tre app, il login separato a ciascuna smette di essere divertente. Lo single sign-on risolve questo problema e nel 2026 la lista di soluzioni self-hosted si riduce a due nomi: Keycloak, il veterano supportato da Red Hat e consolidato negli enti, e Authentik, il challenger in Python su cui si basano ora la maggior parte delle guide SSO per homelab.
Entrambi parlano fluentemente OIDC e SAML. Le differenze si trovano nel modello operativo, nella curva di apprendimento e in una caratteristica che è estremamente importante per gli self-hosters: cosa fare con app che non supportano alcun login nativo.
TL;DR: Quale Devi Scegliere?
Scegli Authentik se proteggi uno stack self-hosted: auth forward integrato per app senza OIDC, flussi visuali e configurazione completabile in una serata.
Scegli Keycloak se gestisci l’identità per un’organizzazione: testato su larga scala, multi-tenancy di primo livello, servizi di autorizzazione fini e l’ecosistema che ogni documento di integrazione aziendale afferma di supportare.
Keycloak vs Authentik in Sintesi
| Keycloak | Authentik | |
|---|---|---|
| Supportato da | Red Hat / CNCF | Authentik Security (open core) |
| Stack | Java (Quarkus) | Python + Go, Postgres + Redis |
| Protocolli | OIDC, OAuth2, SAML, federazione LDAP | OIDC, OAuth2, SAML, LDAP, SCIM, RADIUS |
| Auth forwarding / proxy | Tramite oauth2-proxy esterno | Integrato |
| UX amministratore | Potente, impegnativo | Moderno, flussi guidati |
| Multi-tenancy | Realm, eccellente | Più leggero (tenant/marchi) |
| RAM tipico | 0.7-1.5 GB | 1-1.5 GB (tutti i container) |
| Limite di scala | Molto alto | Elevato |
Dove vince Keycloak
Profondità e credibilità. I Realm garantiscono vera isolazione tra tenant, i servizi di autorizzazione modellano permessi molto dettagliati che pochi strumenti cercano di replicare, e il brokering di identità federano ogni IdP upstream che incontrerai nel mondo reale. È l’implementazione di riferimento contro cui le aziende testano; se un’app commerciale documenta SSO, probabilmente documenta anche Keycloak. In termini operativi, si tratta di un servizio JVM singolo più un database, preferito da alcuni admin rispetto a una stack multi-container.
Il prezzo è cognitivo: client, mapper, scope e flussi formano un modello da imparare davvero prima che diventi prevedibile.
Dove vince Authentik
Ideale per il mondo self-hosted. Il provider proxy integrato è il vero elemento distintivo: auth forwarding via Traefik o Nginx mette SSO più MFA davanti ad app senza login nativo, senza componenti extra necessari. Flussi di iscrizione e recupero sono visivi, l’interfaccia si spiega da sola, e i blueprint rendono tutta la configurazione riproducibile in YAML - perfetto per un homelab GitOps.
È più giovane e i suoi limiti open-core (livelli di supporto enterprise) a volte generano lamentela, ma il core è rimasto davvero capace anche per gli utenti gratuiti.
Requisiti VPS a Confronto
| Specifiche | Keycloak | Authentik |
|---|---|---|
| RAM minima | 2 GB | 2 GB |
| RAM raccomandata | 4 GB | 4 GB |
| Storage | 10-20 GB | 10-20 GB |
| CPU | 2 vCPU | 2 vCPU |
| Database | Postgres | Postgres (+ Redis) |
Un fornitore di identità è il servizio di cui il downtime ti escluse da tutto il resto, quindi l’affidabilità è più importante del prezzo. Hetzner, a partire da 5.49 EUR al mese, è la nostra scelta: uptime affidabile, snapshot prima degli upgrade e NVMe per mantenere Postgres reattivo. Contabo da 5.99 EUR offre molta RAM a poco prezzo se la stessa macchina ospita anche il reverse proxy e alcune app protette. Gli stack US vanno bene su DigitalOcean a partire da 6 USD. Le schede di dimensionamento dettagliato sono nelle guide miglior VPS per Keycloak e miglior VPS per Authentik; la classifica completa è nel nostro confronto VPS.
Verdetto
Per uno stack applicativo self-hosted, Authentik è il vincitore pragmatico: risolve il vero problema dell’homelab - un login davanti a tutto, incluse app semplici - con il minimo sforzo. Keycloak resta la scelta giusta quando i requisiti sembrano una job description: realm multi-tenant, federazioni complesse, politiche di autorizzazione o un auditor che chiede cosa usano le aziende.
In ogni caso, eseguilo dietro HTTPS fin dal primo giorno, attiva MFA sull’account amministratore prima di configurare altro, e crea snapshot prima di ogni upgrade. Lo SSO concentra il rischio proprio come concentra la comodità.
Frequently asked questions
Quale è più facile da configurare per un homelab, Keycloak o Authentik?
Authentik, chiaramente. La sua configurazione con docker-compose, flussi guidati e assistenti applicativi permette di ottenere un SSO funzionante con auth forwarding in una serata. Il modello di realm, client e mapper di Keycloak è più potente ma presuppone un vocabolario di gestione identità, e proteggere app senza supporto nativo OIDC richiede un componente proxy extra che Authentik fornisce già integrato.
Authentik può proteggere app che non hanno alcun sistema di login?
Sì - questa è la sua caratteristica vincente per gli self-hoster. Il provider proxy integrato di Authentik fa auth forwarding con Traefik o Nginx, ponendo un muro di login davanti a qualsiasi web app prima che le richieste arrivino. Sonarr, Uptime Kuma o anche una dashboard semplice ottengono SSO senza supportare direttamente alcun protocollo. Con Keycloak si ricostruisce lo stesso pattern usando un componente separato come oauth2-proxy.
Quanta RAM serve a Keycloak e Authentik su un VPS?
Keycloak su Quarkus si stabilizza tipicamente tra 700 MB e 1,5 GB di heap per deploy di piccole dimensioni. Il server di Authentik, i worker, Postgres e Redis insieme si attestano in una fascia simile di 1 a 1,5 GB. In pratica, entrambi richiedono almeno un piano da 2 GB e sono confortevoli con 4 GB. Nessuno dei due è raccomandato sulla fascia di VPS più piccola se la affidabilità del login è importante, e lo è.