Keycloak v26.7.4 : 6 CVEs — migrer vers Authelia ou ZITADEL

Keycloak v26.7.4 — pourquoi 6 CVEs en une semaine changent la donne

Ce que chaque CVE aurait pu permettre — résumé non technique

• CVE-2026-79651 (CVSS 7.5 — haute) : Keycloak accepte des balises de locale arbitraires sur les endpoints de thème sans les limiter ni les invalider. Un attaquant envoie en boucle des locale uniques depuis le réseau public ; chaque requête alloue de la mémoire sans jamais la libérer. Résultat : crash du processus par épuisement mémoire, sans le moindre compte utilisateur.
• CVE-2026-18212 (CVSS 7.5 — haute) : les helpers SAML Redirect DEFLATE font fuiter l'état natif de la bibliothèque zlib. Une requête SAML malformée suffit à provoquer une corruption mémoire qui peut aller jusqu'au crash du serveur ou à une fuite de données de session.
• CVE-2026-74909 (CVSS 8.1 — haute) : un point-virgule encodé en pourcentage (%3B) contourne le nettoyage des paramètres matrix dans le PathMatcher. Résultat : un attaquant peut accéder à une ressource protégée par une politique plus stricte en utilisant la version moins restrictive de la même route.
• CVE-2026-90997 (CVSS 7.4 — haute) : sur les déploiements MySQL ou MariaDB, le nombre de lignes par défaut retourné par le moteur de stockage rend les contrôles anti-replay inefficaces. Un artefact d'authentification déjà utilisé peut être réutilisé.
• CVE-2026-17526 (CVSS 7.2 — haute) : le rôle impersonation peut usurper l'identité d'un administrateur de realm. Un opérateur avec des permissions restreintes peut élever ses droits jusqu'à l'administration complète.
• CVE-2026-19607 (CVSS 5.3 — moyenne) : une collision de nom d'utilisateur dans le flux de fédération d'identité (broker) verrouille le compte légitime. L'utilisateur légitime est éjecté de son propre compte sans action de sa part.

Keycloak vs Authelia vs ZITADEL — choisir selon votre contexte VPS

Faites défiler le tableau

Authelia — SSO léger pour moins de 10 applications

Migrer de Keycloak vers Authelia — export OIDC, configuration, tests

1. 01

   Exporter la configuration OIDC de Keycloak

   Dans la console d'administration Keycloak, naviguez vers Realm Settings → Export. Cochez « Export clients » et « Export groups ». Téléchargez le JSON produit — il contient la liste de vos clients OIDC avec leurs redirect URIs et leurs scopes. Ce fichier sert de référence pour reconfigurer chaque application dans Authelia, pas à importer directement.

2. 02

   Installer Authelia en Docker Compose

   Créez un fichier docker-compose.yml minimal :

   services:
authelia:
image: authelia/authelia:latest
volumes:
- ./config:/config
ports:
- 9091:9091
restart: unless-stopped

   Créez le répertoire config/ et placez-y configuration.yml. La documentation officielle fournit un squelette complet à https://www.authelia.com/configuration/prologue/introduction/.

3. 03

   Configurer les clients OIDC dans Authelia

   Pour chaque application migrée depuis Keycloak, ajoutez une entrée dans la section identity_providers.oidc.clients du fichier configuration.yml :

   identity_providers:
oidc:
clients:
- id: mon-app
secret: '$pbkdf2-sha512$...'
redirect_uris:
- https://mon-app.exemple.com/oauth/callback
scopes: [openid, email, profile]

   Le secret se génère avec authelia crypto hash generate pbkdf2 --variant sha512. Consultez le JSON exporté de Keycloak pour retrouver les redirect URIs de chaque client.

4. 04

   Configurer le reverse proxy pour qu'il interroge Authelia

   Authelia fonctionne comme un middleware de validation. Dans nginx, ajoutez un bloc auth_request :

   location /authelia {
internal;
proxy_pass http://authelia:9091/api/authz/forward-auth;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
}

   location / {
auth_request /authelia;
proxy_pass http://mon-app:3000;
}

   Pour les applications qui utilisent OIDC nativement, pointez l'issuer vers https://auth.votre-domaine.com.

5. 05

   Tester chaque application avant de couper Keycloak

   Pour chaque application migrée, vérifiez trois flux : connexion initiale (redirection vers Authelia → authentification → retour vers l'app), logout (invalidation du cookie Authelia et de la session app), et second facteur si activé (TOTP ou WebAuthn). Ne coupez Keycloak que lorsque tous les flux de toutes les applications sont validés sur Authelia. Maintenez Keycloak en mode stop (conteneur arrêté mais non supprimé) pendant 30 jours pour pouvoir revenir en arrière.

ZITADEL — IdP API-first pour équipes de développement

Migrer de Keycloak vers ZITADEL — procédure sur VPS

1. 06

   Déployer ZITADEL avec Docker Compose

   ZITADEL fournit un fichier docker-compose.yml officiel dans son dépôt GitHub (répertoire e2e/). La configuration minimale requiert PostgreSQL (ou CockroachDB) et une variable ZITADEL_MASTERKEY de 32 caractères :

   ZITADEL_MASTERKEY=$(openssl rand -base64 32)

   Consultez la documentation officielle à https://zitadel.com/docs/self-hosting/deploy/compose pour le fichier complet et les variables d'environnement requises.

2. 07

   Créer les applications OIDC dans ZITADEL

   Dans la console ZITADEL (https://votre-instance:8080), créez une Organisation, puis un Projet. Dans ce projet, créez une Application de type « Web » ou « User Agent » selon votre cas.

   ZITADEL génère un Client ID et un Client Secret. Configurez les Redirect URIs en vous appuyant sur le JSON exporté de Keycloak. Le Discovery endpoint est disponible à https://votre-instance:8080/.well-known/openid-configuration.

3. 08

   Migrer les utilisateurs depuis Keycloak

   Keycloak permet d'exporter les utilisateurs d'un realm en JSON depuis la console (Realm Settings → Export → cocher « Export users »). Les mots de passe hashés ne sont pas directement importables dans ZITADEL — les algorithmes de hash diffèrent.

   Deux approches : (1) import des métadonnées utilisateur via l'API ZITADEL (POST /management/v1/users/human/_import) avec forçage de réinitialisation de mot de passe à la première connexion, ou (2) migration progressive via la connexion sociale/OIDC (ZITADEL consomme Keycloak comme IdP externe le temps de la transition). L'approche (2) évite de demander à tous les utilisateurs de réinitialiser leur mot de passe le même jour.

4. 09

   Configurer vos applications pour pointer vers ZITADEL

   Mettez à jour les variables d'environnement de chaque application :

   OIDC_ISSUER=https://votre-instance:8080
OIDC_CLIENT_ID=<client-id-zitadel>
OIDC_CLIENT_SECRET=<client-secret-zitadel>

   Le Discovery endpoint permet à la plupart des bibliothèques OIDC de se configurer automatiquement. Testez chaque application avec un compte de test avant de basculer la production.

5. 10

   Valider les flux SSO et désactiver Keycloak

   Vérifiez connexion, logout, rafraîchissement de token et second facteur sur chaque application. Sur ZITADEL, l'onglet « Sessions » de la console vous permet de voir en temps réel les sessions actives et de les invalider si besoin.

   Conservez le conteneur Keycloak arrêté (non supprimé) pendant 30 jours. Supprimez-le après cette période de rétention.

Erreurs courantes lors de la migration SSO

Après la migration — tester l'authentification de chaque application