Keycloak, c’est quoi?
Keycloak est un logiciel open source dédié à la gestion des identités et des accès (IAM) qui permet de gérer l’identité numérique des utilisateurs et leurs droits d’accès aux applications.
Concrètement, c’est un fournisseur d’identité : au lieu que chaque application gère ses propres comptes, mots de passe et règles d’accès, Keycloak centralise ces fonctions dans un composant dédié. Il devient ainsi le point de passage commun pour authentifier les utilisateurs — qu’il s’agisse de collaborateurs, de partenaires ou d’usagers d’un service en ligne. Il agit comme un “tiers de confiance” entre l’utilisateur et les applications.
À quoi ça sert ?
Dans un système d’information sans gestion centralisée de l'identification, chaque application doit gérer les identifiants des utilisateurs. Pour les utilisateurs cela entraîne une multiplication des identifiants avec parfois des règles de sécurité hétérogènes et donc complexité croissante. Pour les responsables des systèmes d'information, cela rend la tâche de sécurisation du SI d'autant plus difficile : Est-ce que toutes les applications déployées respectent (et implémentent correctement) les nouveaux standards de sécurité ? Comment gérer l'activation (et désactivation) des comptes sur l'ensemble des applications d'un SI ?
Keycloak permet d’éviter cette dispersion.
Il offre notamment :
- une authentification centralisée,
- le Single Sign-On (SSO) — un utilisateur se connecte une seule fois pour accéder à plusieurs services,
- la possibilité d’activer une authentification forte (par exemple avec un code supplémentaire),
- une gestion structurée des rôles et des droits d’accès.
Sur notre blog, nous avons par exemple détaillé l’intégration de TOTP (Time-based One-Time Password), un système de code temporaire généré par une application mobile, qui renforce significativement la sécurité des accès. Plus récemment, nous avons également exploré les mécanismes de Step-Up Authentication et de gestion des niveaux d’assurance (LOA), qui permettent d’adapter le niveau d’exigence en fonction de la sensibilité d’une action.
Ces exemples montrent que Keycloak ne se limite pas à vérifier un mot de passe : il permet non seulement d’orchestrer finement les conditions d’accès, mais aussi d’appliquer des règles de sécurité homogènes et de réagir plus rapidement en cas d’incident.
Comment ça fonctionne ?
Tout repose sur le principe de délégation.
Lorsqu’un utilisateur tente d’accéder à une application, celle-ci redirige la demande vers Keycloak. C’est ce dernier qui vérifie l’identité de la personne. Si l’authentification est valide, Keycloak émet un jeton sécurisé qui atteste de l’identité de l’utilisateur et précise ses droits. L’application peut alors autoriser ou refuser l’accès en fonction des informations contenues dans ce jeton.
Ce mécanisme s’appuie sur des standards ouverts comme OAuth2 et OIDC largement utilisés dans l’écosystème numérique, ce qui permet à Keycloak de s’intégrer aussi bien avec des applications modernes qu’avec des systèmes existants.
Pourquoi est-ce stratégique pour la sécurité ?
La sécurité d’un système d’information dépend en grande partie de la maîtrise des accès, cette thématique arrive d'ailleurs en tête de l'édition 2025 du Top 10 OWASP (classement qui regroupe les 10 risques les plus critiques liés aux problèmes de sécurité dans les applications web). En centralisant l’authentification, Keycloak permet d’éviter les implémentations hétérogènes et parfois faillibles. Les politiques de mot de passe, l’activation d’un second facteur, la gestion des comptes ou la traçabilité des connexions peuvent être définies de manière cohérente à l’échelle globale. Cela simplifie également les audits et améliore la capacité de réaction en cas de tentative d’intrusion ou de compromission d’un compte.
Et la souveraineté dans tout ça ?
Dans un contexte où la maîtrise des données et des infrastructures devient un enjeu majeur, la gestion des identités n’est pas neutre. Choisir une solution open source comme Keycloak permet de garder le contrôle sur l’hébergement des données d’authentification, les règles d’accès et l’évolution de la solution dans le temps.
L’organisation peut décider où et comment déployer la brique d’identité : en interne, dans un cloud maîtrisé ou dans un environnement répondant à des exigences spécifiques. Parce qu’il est open source, Keycloak peut être installé et maîtrisé directement par l’organisation qui l’utilise, sans dépendre d’un service propriétaire externe.
En résumé
Keycloak est un logiciel open source qui permet de centraliser l’authentification et la gestion des accès. Il simplifie l’expérience utilisateur, renforce la sécurité globale et contribue à la maîtrise technologique du système d’information. Keycloak est bien plus qu’un outil d’authentification. C’est un socle stratégique pour la sécurité et la souveraineté des systèmes d’information.