authentik — единый вход и портал для всех сервисов
authentik одной командой: единый вход по OIDC и SAML, LDAP, вход в сервисы без своего логина через прокси, MFA, портал приложений. PostgreSQL, HTTPS, бэкапы.
Ubuntu
Debian
DockerВнутренних сервисов становится больше, и у каждого свой пароль, а у некоторых его нет вовсе — например, у панели, которую «просто закрыли по IP».
authentik — сервер единого входа с порталом приложений: пользователь входит один раз (с MFA) и видит плитки всех доступных ему сервисов. Подключает приложения по OpenID Connect, SAML и LDAP, а сервисы без своего логина закрывает прокси-авторизацией. Сценарии входа, регистрации и восстановления пароля собираются в интерфейсе.
Что получаете
- authentik 2026.8.4 — последняя стабильная версия: server, worker и PostgreSQL 16, как в официальной сборке.
- Без доступа к docker.sock — в официальном примере worker получает сокет Docker (это права root на сервере); у нас нет.
- Администратор akadmin создаётся при первом запуске, пароль — в итоге установки и в
rs authentik admin. - Свой адрес с HTTPS — сертификат Let's Encrypt выпускается и продлевается сам.
- Бэкапы одной командой — дамп базы, загруженные файлы и секретный ключ; хранятся последние 14.
- Доступ только с ваших IP — например, только офис и VPN.
Кому подойдёт
- Небольшим командам: один вход с MFA во все внутренние сервисы и портал со ссылками на них.
- Тем, у кого есть сервисы без авторизации: authentik закроет их своим логином через прокси.
- Домашним серверам: единый вход в Grafana, Immich, вики и остальное.
Как установить
- Подготовьте сервер с Ubuntu или Debian. Направьте A-запись домена, например
auth.example.com, на IP сервера. - Скопируйте команду из блока «Скачать» — он появится после входа. В команде ваш личный токен, он действует 12 часов.
- Выполните её на сервере и ответьте на вопросы:
Language / Язык (en / ru) [en]: ru
Версия authentik (последняя стабильная: 2026.8.4) [2026.8.4]:
Каталог установки (данные, настройки, бэкапы) [/opt/authentik]:
Режим: public — свой домен с HTTPS (Let's Encrypt), local — порт на этом сервере для вашего прокси (public / local) [local]: public
Домен (A-запись должна указывать на этот сервер): auth.example.com
Email для Let's Encrypt: admin@example.com
Пускать только с этих IP/подсетей:
Email администратора (akadmin): admin@example.com
- Войдите на
https://auth.example.comкакakadminс паролем из итога установки. - Смените пароль и включите MFA: Settings → MFA Devices (приложение-аутентификатор или ключ).
- Подключите первое приложение: Admin interface → Applications → Create with provider — OAuth2/OpenID для сервисов с SSO, Proxy — для сервисов без логина.
Системные требования
Требования из официальной документации authentik:
| Минимум | С запасом | |
|---|---|---|
| ОС | Ubuntu 22.04 / 24.04, Debian 12+ | Ubuntu 24.04 |
| Процессор | 2 ядра, amd64 или arm64 | 4 ядра |
| Память | 2 ГБ | 4 ГБ |
| Диск | 10 ГБ | 20 ГБ SSD |
Минимум проверяет установщик. Первый запуск с миграциями базы — несколько минут.
- Права root (
sudo). Docker поставится сам. - Для режима с доменом: A-запись на сервер и свободные порты 80 и 443.
- Доступ к Docker Hub. Если он заблокирован, добавьте зеркало:
RS_REGISTRY_MIRROR=https://mirror.gcr.io.
Управление после установки
rs authentik status адрес, версия и доступное обновление, бэкапы
rs authentik admin показать вход akadmin
rs authentik backup бэкап в /opt/authentik/backups (хранятся 14)
rs authentik upgrade [версия] бэкап → новая версия
rs authentik access "203.0.113.10" пускать только эти IP (off — снять)
rs authentik stop | start остановить / запустить
rs authentik down удалить контейнеры, данные остаются
rs authentik purge полное удаление по шагам, бэкапы не трогаются
Повторный запуск установки безопасен: данные, ключи и версия сохраняются. Все команды и частые ошибки — в вики.
Вопросы
Сколько стоит? Установка сейчас бесплатная. authentik — открытый проект под лицензией MIT; часть функций (enterprise) — по отдельной подписке, для единого входа они не нужны.
authentik или Keycloak? authentik проще настраивать, у него есть портал приложений и прокси-авторизация для сервисов без логина. Keycloak — стандарт для своих приложений и больших внедрений. Для внутренних сервисов команды обычно удобнее authentik.
Как закрыть сервис без своего логина? Создайте приложение с провайдером Proxy (режим Forward auth) и подключите проверку в своём прокси — в документации authentik есть готовые примеры для nginx, Caddy и Traefik.
Официальные ресурсы
Материалы доступны после входа и подтверждения email.