Héberger Logto sur un VPS : l'authentification chez vous

Ce qu'est Logto — et ce qu'il n'est pas

Prérequis

Comment Logto fonctionne en production

Ce que Logto apporte dès l'installation

• Des jetons conformes OIDC/OAuth 2.0 — des JWT signés que n'importe quelle bibliothèque standard (passport.js, python-jose, go-oidc) vérifie sans code spécifique.
• Des connecteurs de connexion sociale — activez Google, GitHub, Apple, Microsoft, Discord et une trentaine d'autres fournisseurs depuis la console, en un clic ; chacun demande une déclaration OAuth de quelques minutes côté fournisseur.
• L'authentification sans mot de passe — liens magiques par courriel ou codes à usage unique par SMS (Twilio, SendGrid, Mailgun), sans maintenir un service de notification séparé.
• La double authentification — TOTP (Google Authenticator, Authy), clés matérielles WebAuthn/FIDO2 et codes de secours, imposés par politique depuis la console.
• Le contrôle d'accès par rôles — définissez rôles et permissions dans la console, recevez-les comme revendications scope du JWT, et appliquez-les dans votre API en une ligne d'intergiciel.
• Des SDK pour plus de 20 cadres — React, Next.js, Vue, Angular, React Native, Flutter, Python, FastAPI, Go, PHP, Laravel, .NET, Java, Spring Boot et d'autres.

Déploiement Docker Compose pas à pas

1. 01

   Créer le répertoire et le fichier Compose

   Connectez-vous en SSH à votre VPS, puis créez le répertoire de travail :

   mkdir -p /opt/logto && cd /opt/logto

   Créez le fichier docker-compose.yml avec le contenu suivant. Remplacez auth.votre-domaine.com par votre propre domaine :

   version: '3.9'
   services:
     db:
       image: postgres:17-alpine
       restart: unless-stopped
       environment:
         POSTGRES_DB: logto
         POSTGRES_USER: logto
         POSTGRES_PASSWORD: ${DB_PASSWORD}
       volumes:
         - logto_db:/var/lib/postgresql/data
     logto:
       image: svhd/logto:latest
       restart: unless-stopped
       depends_on:
         - db
       ports:
         - '127.0.0.1:3001:3001'
         - '127.0.0.1:3002:3002'
       environment:
         DB_URL: postgresql://logto:${DB_PASSWORD}@db:5432/logto
         ENDPOINT: https://auth.votre-domaine.com
         ADMIN_ENDPOINT: https://auth.votre-domaine.com:3002
         SECRET_VAULT_KEK: ${SECRET_VAULT_KEK}
   volumes:
     logto_db:

2. 02

   Générer les secrets et créer le fichier .env

   Générez un mot de passe de base de données et une clé AES-256 solides :

   DB_PASSWORD=$(openssl rand -hex 32)
   SECRET_VAULT_KEK=$(openssl rand -hex 32)
   printf "DB_PASSWORD=%s\nSECRET_VAULT_KEK=%s\n" "$DB_PASSWORD" "$SECRET_VAULT_KEK" > .env
   chmod 600 .env

   Vérifiez que .env contient bien deux lignes non vides avant de continuer.

3. 03

   Configurer nginx en proxy inverse

   Créez le vhost /etc/nginx/sites-available/logto :

   server {
       listen 443 ssl;
       server_name auth.votre-domaine.com;
       ssl_certificate /etc/letsencrypt/live/auth.votre-domaine.com/fullchain.pem;
       ssl_certificate_key /etc/letsencrypt/live/auth.votre-domaine.com/privkey.pem;
   
       location / {
           proxy_pass http://127.0.0.1:3001;
           proxy_set_header Host $host;
           proxy_set_header X-Real-IP $remote_addr;
           proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
           proxy_set_header X-Forwarded-Proto https;
       }
   }

   Activez le site et rechargez nginx :

   ln -s /etc/nginx/sites-available/logto /etc/nginx/sites-enabled/
   nginx -t && systemctl reload nginx

4. 04

   Démarrer la pile et vérifier

   Lancez les deux conteneurs :

   docker compose up -d

   Suivez les logs pendant 60 secondes pour confirmer que PostgreSQL est prêt et que Logto a terminé ses migrations :

   docker compose logs -f --tail=50

   Vous devez voir la ligne App is running at https://auth.votre-domaine.com — c'est le signal que le service est opérationnel.

5. 05

   Vérifier le document de découverte OIDC

   Depuis votre poste local, vérifiez que le point d'accès OIDC répond :

   curl -s https://auth.votre-domaine.com/.well-known/openid-configuration | python3 -m json.tool | head -10

   La réponse doit contenir issuer, authorization_endpoint et jwks_uri. Si la commande renvoie une erreur 502, Logto n'a pas encore terminé ses migrations — attendez 30 secondes et réessayez.

6. 06

   Configurer les sauvegardes automatiques

   Ajoutez une tâche cron pour exporter la base de données quotidiennement :

   crontab -e
   # Ajouter la ligne suivante :
   0 3 * * * docker exec $(docker compose -f /opt/logto/docker-compose.yml ps -q db) pg_dump -U logto logto | gzip > /var/backups/logto_$(date +\%Y\%m\%d).sql.gz

   Pour des sauvegardes automatisées, dédupliquées et chiffrées vers S3 ou Backblaze B2, montez le volume logto_db dans une instance Backrest disponible dans le catalogue ServOrbit.

Se connecter la première fois

1. 07

   Ouvrir le tunnel SSH vers la console d'administration

   La console d'administration écoute sur le port 3002, lié à la boucle locale pour des raisons de sécurité. Depuis votre poste, ouvrez un tunnel :

   ssh -L 3002:127.0.0.1:3002 root@ip-de-votre-vps

   Gardez ce terminal ouvert pendant toute votre session d'administration.

2. 08

   Créer le compte administrateur

   Ouvrez http://localhost:3002 dans votre navigateur. L'assistant de première connexion s'affiche — il n'existe aucun identifiant par défaut. Saisissez une adresse courriel et un mot de passe robuste, puis cliquez sur Create account. Ces identifiants seront les vôtres pour administrer Logto ; conservez-les dans un gestionnaire de mots de passe.

3. 09

   Explorer le tableau de bord

   Après la création du compte, vous accédez au tableau de bord Logto. Depuis ici vous pouvez : consulter le journal d'audit, gérer les utilisateurs, configurer les connecteurs sociaux et créer des Applications — c'est l'entité Logto qui représente un de vos projets.

4. 10

   Créer votre première Application

   Dans la console : Applications → Create application. Choisissez le type correspondant à votre projet (Traditional Web, Single Page App, Native, ou Machine-to-machine). Donnez-lui un nom, puis renseignez l'Redirect URI — c'est l'URL vers laquelle Logto redirige après une connexion réussie (par exemple https://mon-app.com/api/logto/sign-in-callback pour une application Next.js). Logto génère alors un App ID et un App Secret que vous utiliserez dans votre SDK.

Intégrer Logto dans une application Next.js

Activer la connexion Google

Logto, Authentik, Authelia, Keycloak — lequel choisir ?

Faites défiler le tableau

Pour un produit SaaS en construction, Logto est le point de départ naturel. Keycloak convient aux organisations qui ont déjà un annuaire d'entreprise à intégrer. Authelia et Authentik répondent à des besoins d'infrastructure plutôt qu'applicatifs.

Dépannage fréquent

Stratégie de sauvegarde