Authentik: een checklist voor het harden van zelfgehoste identiteitsproviders

Authentik (goauthentik/authentik) is een open-source identiteitsprovider gebouwd voor self-hosting, met ondersteuning voor OIDC/OAuth2, SAML, LDAP en RADIUS vanuit een enkele Django-gebaseerde backend. Het wordt door de maintainers gepositioneerd als een vervanging voor commerciële identiteitsproviders zoals Okta, Auth0 of Entra ID voor teams die hun eigen SSO-laag willen draaien in plaats van er een te huren. Voor MSP's brengt die ruil echte controle — en echte operationele verantwoordelijkheid.

Wat het draaien van je eigen IdP verandert

Een gehoste identiteitsprovider zorgt zelf voor uptime, patching en break-glass-herstel. Een zelfgehoste legt dat allemaal bij de MSP. Authentik valt uiteen in een handvol samenwerkende services — een Django/Python-server die OAuth2-, OIDC- en SAML-flows afhandelt, plus de admin-interface en API — die eenvoudig te draaien is in Docker Compose voor kleine deployments of via een Helm-chart voor grotere, maar het betekent ook dat een storing of misconfiguratie in die stack elke downstream-applicatie kan buitensluiten die erop vertrouwt voor login.

Een hardening-checklist die de moeite waard is

• Forceer MFA op elk beheerdersaccount, niet alleen op eindgebruikerslogins.
• Onderhoud break-glass-accounts met een offline herstelpaden die niet afhankelijk is van de IdP zelf.
• Allowlist de relying parties (de applicaties) die mogen authenticeren tegen elke provider, in plaats van registratie open te laten.
• Versioneer en back-up de Authentik-configuratie apart van applicatiedata, zodat een slechte wijziging snel kan worden teruggedraaid.
• Monitor authenticatiefouten en admin-acties als productie-telemetrie, die dezelfde alerting-pipeline voedt als elke andere kritieke service.

Geen van dit is specifiek voor Authentik — het geldt voor elk zelfgehost identiteitsvlak — maar de groeiende adoptie van Authentik onder MSP's maakt het een redelijk voorbeeld om de checklist aan op te hangen. De praktische conclusie is dat "self-hosted" en "hardened" niet dezelfde claim zijn: de eerste is een deploymentkeuze, de tweede is een lijst operationele stappen die na de livegang gevolgd moet worden.

Bronnen: GitHub — goauthentik/authentik, authentik.io.