Alternativas europeas a Keycloak

Las alternativas europeas a Keycloak incluyen ZITADEL (Suiza), Univention Nubus (Alemania), cidaas (Alemania), Nevis (Suiza) y Curity (Suecia). Keycloak es un servidor de gestión de identidades y accesos de código abierto para el inicio de sesión único con OpenID Connect y SAML. Red Hat, que pertenece a IBM, es su principal mantenedor, y el proyecto forma parte de la Cloud Native Computing Foundation como proyecto en incubación desde abril de 2023. Es gratuito con licencia Apache 2.0, así que el coste de la licencia rara vez es el motivo para cambiar. Las cinco opciones aparecen en la página de categoría de IAM e inicio de sesión único.

Por qué los equipos se alejan de Keycloak

Esfuerzo operativo. Keycloak es una aplicación Java sobre Quarkus. El equipo lo ejecuta con una base de datos y, para alta disponibilidad, con una caché en clúster, y realiza cada actualización por su cuenta.
Soporte. El proyecto ofrece ayuda de la comunidad. El soporte comercial llega a través de la distribución propia de Keycloak de Red Hat o de socios.
Personalización. Los flujos de inicio de sesión y las integraciones más allá de la configuración se construyen con temas y extensiones de Java, lo que exige conocimientos de Java.
Elección de proveedor. El proyecto Keycloak no ofrece un servicio alojado propio. Las organizaciones que quieran una empresa europea como socio contractual o un servicio gestionado tienen que buscar en otra parte.

Cómo se comparan las opciones europeas

ZITADEL: el más parecido en espíritu, de código abierto con licencia AGPL y disponible como servicio en la nube o autoalojado. Más joven y pequeño que Keycloak, con una empresa matriz estadounidense, como señala la ficha.
Univention Nubus: código abierto de Bremen, un directorio de usuarios y dispositivos con inicio de sesión único, muy sólido en entornos donde se sustituye Active Directory. Funciona sobre Kubernetes o como máquina virtual y no está pensado para millones de clientes que se registran por su cuenta.
cidaas: una plataforma comercial alemana en la nube para la identidad de clientes y de empleados, con gestión del consentimiento. El proveedor la opera, pero el código es cerrado.
Nevis: una plataforma comercial suiza centrada en bancos y aseguradoras, para uso en la nube o en un entorno propio.
Curity: un servidor de identidad sueco centrado en OAuth y OpenID Connect para APIs, comercial y dirigido a equipos técnicos.

Antes de cambiar

Haz una lista de los realms, clientes y proveedores de identidad en uso, y comprueba que la alternativa admite los mismos protocolos. Averigua si puede importar hashes de contraseñas; si no, los usuarios tendrán que restablecer sus contraseñas. Pon ambos sistemas en marcha en paralelo antes de nada. Si el equipo puede operarlo, Keycloak sigue siendo una opción sólida en un servidor en Europa. Un cambio compensa cuando el problema real es el esfuerzo operativo o la falta de soporte.