Authentik: una checklist di hardening per identity provider self-hosted

Authentik (goauthentik/authentik) è un identity provider open source pensato per il self-hosting, che supporta OIDC/OAuth2, SAML, LDAP e RADIUS da un unico backend basato su Django. I suoi maintainer lo posizionano come sostituto di identity provider commerciali come Okta, Auth0 o Entra ID per i team che vogliono gestire un proprio livello SSO invece di affittarne uno. Per gli MSP, questo scambio porta un controllo reale — e una reale responsabilità operativa.

Cosa cambia quando gestisci il tuo IdP

Un identity provider hosted si occupa da solo di uptime, patching e recovery break-glass. Uno self-hosted scarica tutto questo sull'MSP. Authentik si scompone in una manciata di servizi cooperanti — un server Django/Python che gestisce i flussi OAuth2, OIDC e SAML, più l'interfaccia admin e le API — che è semplice da eseguire in Docker Compose per deployment piccoli o tramite un chart Helm per quelli più grandi, ma significa anche che un outage o una configurazione errata in quello stack può bloccare l'accesso a ogni applicazione a valle che dipende da esso per il login.

Una checklist di hardening che vale la pena seguire

• Applica l'MFA a ogni account amministratore, non solo ai login degli utenti finali.
• Mantieni account break-glass con un percorso di recovery offline che non dipenda dal fatto che l'IdP stesso sia attivo.
• Inserisci in allowlist le relying party (le applicazioni) autorizzate ad autenticarsi contro ciascun provider, invece di lasciare aperta la registrazione.
• Versiona e salva la configurazione di Authentik separatamente dai dati applicativi, così una modifica errata può essere annullata rapidamente.
• Monitora i fallimenti di autenticazione e le azioni admin come telemetria di produzione, alimentando la stessa pipeline di alerting di qualsiasi altro servizio critico.

Niente di tutto questo è specifico di Authentik — vale per qualsiasi piano identitario self-hosted — ma la crescente adozione di Authentik tra gli MSP lo rende un esempio ragionevole a cui appendere la checklist. Il punto pratico è che "self-hosted" e "hardened" non sono la stessa affermazione: la prima è una scelta di deployment, la seconda è una lista di passaggi operativi che va seguita dopo che il deployment è in produzione.

Fonti: GitHub — goauthentik/authentik, authentik.io.