Faut-il un nom de domaine pour Keycloak ?

Oui. Keycloak signe ses jetons et construit ses redirections OIDC et SAML sur son adresse HTTPS publique : il doit répondre sur un nom stable. Inutile d'en acheter un : chaque VPS ServOrbit dispose d'un sous-domaine gratuit (keycloak.{dns_slug}.servorbit-dns.com) avec un certificat HTTPS. Vous pouvez aussi utiliser un sous-domaine de l'un de vos domaines.

Où trouver le mot de passe administrateur ?

Il est affiché dans votre espace client, sur la fiche de l'application installée ; l'identifiant est admin. Il ouvre la console d'administration du realm master. Keycloak le signale comme compte temporaire : créez votre propre administrateur, puis désactivez celui-ci.

Combien de RAM faut-il prévoir ?

Keycloak tourne sur la JVM : comptez environ 600 Mo au repos avec sa base PostgreSQL. Un VPS de 2 Go suffit pour démarrer ; passez à 4 Go si plusieurs realms reçoivent du trafic ou si d'autres applications partagent le serveur.

Comment sauvegarder et mettre à jour Keycloak ?

Comptes, realms, clients et sessions persistantes vivent dans la base PostgreSQL, stockée dans le volume keycloak-pgdata : sauvegardez-la avec pg_dump avant chaque mise à jour. Pour monter de version, changez le tag de l'image Keycloak dans le docker-compose.yml de l'application, puis lancez docker compose pull et docker compose up -d ; Keycloak migre son schéma au démarrage.

Renforcer la sécurité des infrastructures.

Keycloak

Keycloak — le SSO d'entreprise open source sur votre VPS : OIDC, SAML 2.0, realms, fédération LDAP et MFA, sans licence par utilisateur.

2 Go minimum RAM 2 vCPU Port 8105 En validation

En validation

L'installation automatique de cette solution est prête et passe actuellement nos tests sur serveur réel. La commande ouvrira dès que la validation sera terminée.

Code source

Stack technique

DockerKeycloakPostgreSQL 17

RAM minimum2 Go minimum

CPU minimum2 vCPU

Port par défaut8105

OS compatiblesDistributions Linux au choix

Keycloak est le fournisseur d'identité open source (licence Apache 2.0) porté par Red Hat et la Cloud Native Computing Foundation. Il centralise la connexion de vos applications : un seul compte, une seule page de connexion, et des jetons OpenID Connect ou des assertions SAML 2.0 que vos applications vérifient sans gérer elles-mêmes les mots de passe. Les realms isolent chaque client ou chaque environnement, la fédération relie un annuaire LDAP ou Active Directory existant, et le brokering ouvre la connexion via Google, GitHub, Microsoft ou un autre fournisseur OIDC.

L'héberger sur votre VPS garde les comptes de vos utilisateurs, leurs sessions et vos journaux d'audit sur un serveur que vous administrez, sans facturation par utilisateur actif. Keycloak s'adresse aux équipes qui développent en Java, Spring Boot, Node.js, PHP ou .NET et veulent un SSO standard, ainsi qu'aux entreprises qui doivent prouver où vivent leurs données d'identité.

Fonctionnalités clés

OpenID Connect, OAuth 2.0 et SAML 2.0 — un seul serveur pour vos applications web, mobiles, API et outils internes.

Realms — des espaces d'identité isolés, chacun avec ses utilisateurs, ses clients, ses rôles et sa page de connexion.

Fédération d'annuaires — branchez un LDAP ou un Active Directory existant sans migrer les comptes.

Connexion via un fournisseur externe — Google, GitHub, Microsoft ou tout fournisseur OIDC ou SAML.

Authentification forte — OTP, WebAuthn et passkeys, politiques de mot de passe, détection des attaques par force brute.

Rôles, groupes et autorisations fines — des droits portés dans le jeton, que vos applications lisent sans requête supplémentaire.

Quand utiliser cette solution ?

1

Un SSO pour tous vos outils internes

Vos équipes se connectent une seule fois et accèdent à Grafana, Gitea, Nextcloud ou vos applications métier. Un départ se traite en désactivant un seul compte, et non dans chaque outil.

2

L'authentification de votre application SaaS

Votre application Spring Boot, Node.js ou Laravel délègue la connexion, l'inscription, la réinitialisation du mot de passe et la MFA à Keycloak, et ne vérifie plus qu'un jeton OIDC.

3

Un realm par client

Une agence ou un éditeur isole chaque client dans son realm, avec sa propre page de connexion à ses couleurs et, si besoin, la fédération de son annuaire Active Directory.

Déployer Keycloak sur votre VPS

Guide optimisé pour les VPS Cloud ServOrbit.

01

Créer le VPS et choisir l'adresse

Commandez un VPS Ubuntu 24.04 avec 2 Go de RAM au minimum, 4 Go si plusieurs realms reçoivent du trafic. Keycloak exige un domaine : il signe ses jetons et construit ses redirections OIDC et SAML sur son adresse HTTPS publique. Il s'ouvre sur un sous-domaine de l'un de vos domaines, ou sur le sous-domaine gratuit du VPS (keycloak.{dns_slug}.servorbit-dns.com), HTTPS compris. Inutile d'acheter un nom de domaine.

02

Installer Keycloak depuis le Marketplace

Dans votre espace client, sélectionnez Keycloak, choisissez l'adresse et cliquez sur Installer. Le script déploie Keycloak et sa base PostgreSQL dans Docker, conserve les données dans un volume dédié et configure le reverse proxy nginx en HTTPS.

03

Se connecter la première fois

Ouvrez https://votre-domaine/admin et connectez-vous avec l'identifiant admin et le mot de passe affiché dans votre espace client (bouton « Révéler »). Ce compte du realm master est un administrateur temporaire : créez aussitôt votre propre compte administrateur avec le rôle admin, puis désactivez le compte admin d'origine.

04

Créer un realm pour vos applications

Gardez le realm master pour l'administration seule. Créez un realm dédié (« Create realm »), réglez sa politique de mot de passe, activez la détection des attaques par force brute et, si besoin, la MFA par OTP ou passkey.

05

Brancher votre première application

Dans le realm, ajoutez un client OpenID Connect, déclarez les URL de redirection de votre application et récupérez son secret. L'adresse de découverte à renseigner dans l'application est https://votre-domaine/realms/<votre-realm>/.well-known/openid-configuration.

Questions fréquentes

Keycloak est le plus complet et le plus répandu en entreprise : SAML 2.0, fédération LDAP et Active Directory, realms, autorisations fines, et une intégration native avec Spring Boot et la plupart des frameworks. Authentik et ZITADEL sont plus légers et plus simples à prendre en main. Choisissez Keycloak si vous devez parler SAML, fédérer un annuaire existant ou suivre un standard déjà adopté par vos clients.

Solutions complémentaires

Cybersecurity & Bastion

Keycloak n'est pas encore commandable.