Pourquoi déployer Keycloak sur votre VPS
Là où certains IdP visent la simplicité, Keycloak vise l'exhaustivité : isolation multi-tenant via les realms, fédération d'annuaires LDAP/Active Directory, brokering vers des fournisseurs externes (Google, GitHub, un autre OIDC), théming complet des pages de login et fine-grained authorization. Pour une agence qui gère plusieurs clients ou un SI avec des exigences de conformité, ce niveau de contrôle est décisif. Le self-hébergement sur VPS vous évite les coûts par utilisateur des offres IdP managées et garde l'intégralité de la base d'identités sous votre juridiction, un point critique pour des données sensibles que vous ne souhaitez pas confier à un tiers.
Les atouts d'un Keycloak auto-hébergé
- Réalms multiples pour isoler totalement plusieurs clients ou environnements sur une même instance.
- Support natif et complet d'OpenID Connect, OAuth2 et SAML 2.0.
- Fédération LDAP / Active Directory pour réutiliser un annuaire existant sans migration.
- Identity brokering : connexion via Google, GitHub ou tout IdP externe en quelques clics.
- Pages de login entièrement personnalisables (thèmes, langues, branding par realm).
- Politiques d'authentification fines : MFA conditionnel, durée de session, contraintes par rôle.
Prérequis pour ce déploiement
Keycloak tourne sur la JVM (Quarkus depuis la v17+) et reste plus gourmand qu'un IdP léger. Prévoyez un VPS avec 2 vCPU et 4 Go de RAM au minimum, idéalement 6 Go si vous attendez de la charge ou plusieurs realms actifs. Une base PostgreSQL externe est fortement recommandée en production (n'utilisez jamais la base H2 embarquée au-delà des tests). Docker et Docker Compose, un domaine dédié (sso.mondomaine.com) et un reverse proxy gérant le SSL complètent les prérequis, car Keycloak attend d'être informé qu'il est servi derrière un proxy HTTPS.
Déployer Keycloak avec PostgreSQL
Définir Keycloak et PostgreSQL dans Compose
Dans votre
docker-compose.yml, déclarez le servicepostgres(imagepostgres:16) et le servicekeycloak(imagequay.io/keycloak/keycloak). Reliez Keycloak à la base viaKC_DB=postgres,KC_DB_URL,KC_DB_USERNAMEetKC_DB_PASSWORD.Configurer le mode production et le proxy
Lancez avec la commande
start(et nonstart-dev). RenseignezKC_HOSTNAME=sso.mondomaine.cometKC_PROXY_HEADERS=xforwardedpour que Keycloak génère des URL correctes derrière le reverse proxy. Définissez l'admin initial viaKC_BOOTSTRAP_ADMIN_USERNAME/KC_BOOTSTRAP_ADMIN_PASSWORD.Démarrer et terminer le build
Exécutez
docker compose up -d. Au premier démarrage, Keycloak réalise un build Quarkus optimisé puis migre le schéma PostgreSQL. Suivezdocker compose logs -f keycloakjusqu'au message indiquant que le serveur écoute.Mettre en place le reverse proxy SSL
Routez
sso.mondomaine.comvers le port8080du conteneur Keycloak via Caddy, Traefik ou Nginx, avec un certificat Let's Encrypt. Veillez à transmettre les en-têtesX-Forwarded-*faute de quoi les redirections de login casseront.Créer un realm et un client
Connectez-vous à la console d'admin, créez un realm dédié (jamais le realm
masterpour vos apps), puis un client OIDC. Réglez leValid redirect URIsde votre application et récupérez leClient IDet le secret dans l'onglet Credentials.Brancher une application et tester le flow
Configurez votre app avec l'URL de découverte
https://sso.mondomaine.com/realms/mon-realm/.well-known/openid-configuration. Créez un utilisateur de test dans le realm, lancez un login et vérifiez l'émission du token dans les Sessions de la console.
Keycloak ou Authentik : que choisir ?
Faites défiler le tableau
| Critère | Keycloak | Authentik |
|---|---|---|
| Cas d'usage cible | SSO d'entreprise, multi-tenant, conformité | Self-hosting, homelab, agences |
| Protocoles | OIDC, OAuth2, SAML, LDAP | OIDC, OAuth2, SAML, LDAP, forward auth |
| Forward auth (proxy) | Non natif (via extensions) | Natif et central à l'outil |
| Empreinte ressources | Élevée (JVM, 4 Go+ RAM) | Modérée (2-4 Go RAM) |
| Multi-realm / tenants | Excellent (realms isolés) | Tenants supportés, moins poussés |
| Personnalisation des flows | Thèmes et SPI Java | Flows visuels par étapes |
| Courbe d'apprentissage | Raide, très complet | Plus accessible |
| Fédération d'annuaires | Mature (LDAP/AD) | Bonne (LDAP) |
En production, ne servez jamais Keycloak avec la base H2 embarquée et n'exposez pas le realm master au public : créez un realm dédié par application ou par client, et réservez master à l'administration. Pour durcir l'instance, désactivez l'enregistrement libre, activez le brute force detection dans Realm Settings > Security Defenses, et provisionnez tout via des fichiers d'import realm (--import-realm) afin de versionner votre configuration plutôt que de cliquer dans l'UI.
