Authentik : une checklist de durcissement pour les fournisseurs d'identité auto-hébergés

Authentik (goauthentik/authentik) est un fournisseur d'identité open source conçu pour l'auto-hébergement, prenant en charge OIDC/OAuth2, SAML, LDAP et RADIUS depuis un unique backend basé sur Django. Ses mainteneurs le positionnent comme un remplacement des fournisseurs d'identité commerciaux tels que Okta, Auth0 ou Entra ID pour les équipes qui souhaitent exécuter leur propre couche SSO plutôt que de la louer. Pour les MSP, ce choix apporte un réel contrôle — et une réelle responsabilité opérationnelle.

Ce que l'exécution de son propre IdP change

Un fournisseur d'identité hébergé prend en charge sa propre disponibilité, ses correctifs et sa récupération d'urgence. Un IdP auto-hébergé reporte tout cela sur le MSP. Authentik se décompose en quelques services coopérants — un serveur Django/Python gérant les flux OAuth2, OIDC et SAML, ainsi que l'interface d'administration et l'API — qui est simple à exécuter dans Docker Compose pour les petits déploiements ou via un chart Helm pour les plus grands, mais cela signifie aussi qu'une panne ou une mauvaise configuration dans cette pile peut verrouiller toutes les applications en aval qui dépendent d'elle pour la connexion.

Une checklist de durcissement à suivre

• Appliquer la MFA sur chaque compte administrateur, et pas seulement sur les connexions des utilisateurs finaux.
• Maintenir des comptes break-glass avec un chemin de récupération hors ligne qui ne dépend pas de la disponibilité de l'IdP lui-même.
• Autoriser uniquement les relying parties (les applications) autorisées à s'authentifier auprès de chaque fournisseur, plutôt que de laisser l'enregistrement ouvert.
• Versionner et sauvegarder la configuration d'Authentik séparément des données applicatives, afin qu'un mauvais changement puisse être annulé rapidement.
• Surveiller les échecs d'authentification et les actions d'administration comme une télémétrie de production, en les alimentant dans le même pipeline d'alerte que tout autre service critique.

Rien de tout cela n'est spécifique à Authentik — cela s'applique à tout plan d'identité auto-hébergé — mais l'adoption croissante d'Authentik parmi les MSP en fait un exemple raisonnable pour illustrer la checklist. L'enseignement pratique est que « auto-hébergé » et « durci » ne sont pas la même chose : le premier est un choix de déploiement, le second est une liste d'étapes opérationnelles qui doivent être suivies une fois le déploiement en production.

Sources : GitHub — goauthentik/authentik, authentik.io.