Confronto 10 strumenti MFA open source

Abbiamo confrontato 10 gratuito e strumenti MFA open-source in base ai protocolli di autenticazione, ai metodi MFA, alle opzioni di distribuzione e alle versioni più recenti.

Quando avvii la tua gratuito e implementazione open source di autenticazione a più fattori (MFA), considera:

• Soluzioni MFA di livello enterprise: Keycloak, Authelia, Authentik, Zitadel e Kanidm offrono una gestione completa di identità e accessi (IAM) con supporto per più protocolli di autenticazione.
• Strumenti MFA leggeri: Hanko, LLDAP, FreeIPA, privacyIDEA e Rauthy sono più semplici da configurare e più adatti a configurazioni più piccole o self-hosted.

Caratteristiche delle soluzioni MFA open source

• Architettura multi-tenant: Consente più gruppi di utenti indipendenti (tenant) con dati e configurazioni isolati.
• Impersonazione token: Consente la delega sicura dei token o l'impersonazione di un utente/applicazione per azioni autorizzate.
• Autenticazione biometrica: Offre fattori biometrici come le impronte digitali.
• Google Titan Security Key: Dispositivo di autenticazione basato su hardware che fornisce 2FA o accesso passwordless resistente al phishing.

Tutti gli strumenti (eccetto LDAP) supportano token hardware (ad es. YubiKey) e il protocollo di autenticazione passwordless FIDO2 / WebAuthn. FIDO2 non utilizza segreti condivisi, come le password; riduce al minimo le vulnerabilità associate alle violazioni dei dati.

Funzionalità enterprise

• OpenTelemetry: Standard open-source e insieme di tecnologie per acquisire ed esportare metriche, tracce e log.
• Sessioni personalizzate: Consente un controllo granulare sul comportamento delle sessioni, ad esempio:
  • Come e quando viene attivata l'MFA (ad es. al login, per azioni sensibili).
  • Il tipo di metodi MFA supportati (ad es. TOTP, WebAuthn, SMS)
• Funzionalità self-service:
  • Reimpostazione della password
  • Registrazione degli utenti

Supporto alla gestione degli accessi privilegiati (PAM)

Gli strumenti con PAM consentono di gestire i diritti di accesso degli utenti privilegiati.

Funzionalità di auto-audit

Le funzionalità di auto-audit migliorano la tracciabilità dei log, fondamentale per gli strumenti MFA (autenticazione a più fattori). Aiutano a tracciare attività non autorizzate o sospette, come l'abilitazione/disabilitazione dell'MFA, i tentativi di accesso non riusciti e l'utilizzo di OTP.

Soluzioni MFA di livello enterprise

Keycloak, Authelia, Authentik, Zitadel e Kanidm offrono funzionalità MFA estese. Questi gratuito MFA strumenti offrono:

• Diversi metodi MFA: TOTP (password monouso a tempo), WebAuthn, SMS, OIDC (OpenID Connect), Email, Push, autenticazione biometrica, e MFA basata su approvazione.
• Diversi protocolli di autenticazione: OAuth2, OIDC (OpenID Connect), SAML, LDAP e RADIUS.
• Maggiore personalizzazione: RBAC granulare e connessioni SSO social personalizzate (OIDC/OAuth2) rispetto alle policy MFA.

Keycloak

Keycloak è una piattaforma IAM open-source che copre SSO, identity brokering, social login e RBAC e supporta SAML, OAuth2, OIDC e LDAP nativamente.

• Keycloak supporta diversi backend di database, tra cui PostgreSQL, MySQL, MariaDB, Oracle e Microsoft SQL Server.¹
• Le versioni recenti hanno aggiunto l'automazione dei flussi di lavoro per le attività amministrative del realm, i JWT Authorization Grants come alternativa consigliata allo scambio di token da esterno a interno, l'autenticazione tramite token degli account di servizio Kubernetes per i client e il supporto completo a OpenTelemetry per metriche e log.²

Keycloak è più complesso da installare e configurare rispetto a Authelia o Authentik. L'interfaccia di amministrazione predefinita copre un'ampia superficie che può essere difficile da navigare per i team focalizzati su un insieme ristretto di casi d'uso.

Authelia

Authelia è un server di autenticazione e autorizzazione open-source che fornisce 2FA e SSO per applicazioni web tramite un reverse proxy. Piuttosto che fungere da piattaforma di identità autonoma, funziona come complemento a proxy come nginx, Traefik, Caddy e HAProxy, posizionandosi davanti alle applicazioni e gestendo le decisioni di autenticazione. La configurazione è gestita interamente tramite un file YAML, il che la rende semplice da versionare e verificare, ma richiede familiarità con lo schema di configurazione.

Architettura e footprint delle risorse

L'immagine del container è inferiore a 20 MB e in genere utilizza meno di 30 MB di RAM, il che la rende una delle opzioni più leggere di questo elenco. Authelia ha ottenuto la certificazione OpenID Connect 1.0 e può fungere da provider OIDC per le applicazioni a valle.³

Aggiornamenti recenti

La versione 4.39 ha aggiunto login tramite passkey/passwordless via WebAuthn, Device Code Flow per scenari di accesso da TV e schermo condiviso, criteri di rete per le policy di autorizzazione OIDC e supporto RFC8176 Authentication Method Reference per comunicare il livello di autenticazione a terzi.⁴

Funzionalità principali

FIDO2 WebAuthn con chiavi hardware come YubiKey, TOTP con app authenticator compatibili, notifiche push mobile via Duo, login passwordless tramite passkey, controllo degli accessi basato su policy e supporto Kubernetes tramite Helm chart.

Limitazioni

• Authelia non dispone di multi-tenancy, né di supporto PAM e non ha un'interfaccia utente integrata per la gestione degli utenti; gli account utente sono gestiti tramite un backend LDAP o un file YAML statico.
• I team che necessitano di un portale utente self-service o di gestione dei dispositivi dovrebbero valutare invece Authentik o Kanidm.

Authentik

Authentik è una piattaforma IAM self-hosted che copre SSO, LDAP, OAuth2/OpenID Connect, SAML, SCIM e forward authentication. Rispetto a Keycloak, richiede meno configurazione iniziale per team senza esperienza dedicata nell'infrastruttura di identità.

Aggiornamenti recenti

La versione 2025.12 ha aggiunto la gestione dei dispositivi endpoint per Windows, macOS e Linux tramite l'agente Authentik, WebAuthn Conditional UI, una revisione completa del RBAC con gruppi multi-parent e autorizzazioni ereditate dai ruoli e la gestione centralizzata dei file con supporto S3.⁵

La versione 2026.2 ha aggiunto un provider WS-Federation per SharePoint e applicazioni native Windows, un connettore fleet per segnali dei dispositivi endpoint e accesso condizionale, supporto PAM Linux per l'accesso ai dispositivi locali e generazione di certificati ED25519/ED448.⁶

Sicurezza

Authentik mantiene un programma annuale di penetration test e un processo formale di divulgazione delle CVE. A febbraio 2026 sono state pubblicate tre CVE, tra cui una critica, corrette nelle versioni 2025.8.6, 2025.10.4 e 2025.12.4. I team con istanze self-hosted devono mantenere gli aggiornamenti.⁷

Limitazioni

• Authentik funziona solo su PostgreSQL.⁸
• PostgreSQL rimane una dipendenza rigida, il che aggiunge overhead operativo per le distribuzioni personali su singolo host.
• Authentik inoltre non dispone di supporto nativo a OpenTelemetry.

ZITADEL

ZITADEL è una piattaforma di infrastruttura di identità self-hosted basata sulla multi-tenancy. Supporta OpenID Connect, OAuth2, SAML 2, LDAP, passkey/FIDO2, OTP e SCIM 2.0.

Aggiornamenti recenti

• Login V2 è l'impostazione predefinita per i nuovi clienti. Actions V2 ha sostituito il sistema di estensione integrato V1 con webhook guidati dagli eventi eseguiti al di fuori del processo principale, il che supporta estensioni poliglotte e scalabilità disaccoppiata.⁹
• Il supporto a CockroachDB è stato rimosso. PostgreSQL è l'unico database supportato dalla versione 3 in poi.¹⁰

Limitazioni

L'amministrazione richiede familiarità con il modello tenant multi-livello di ZITADEL, che aggiunge complessità di configurazione per distribuzioni di una singola organizzazione. La roadmap 2026 indica che il team sta lavorando per semplificare questo modello e unificare la console di gestione.¹¹

Kanidm

Kanidm è una piattaforma di gestione delle identità self-hosted scritta in Rust.

• A differenza di LDAP, che fornisce servizi di directory, Kanidm include nativamente OAuth2, OIDC, RADIUS, gestione delle chiavi SSH e integrazione PAM Linux senza richiedere componenti esterni.
• L'amministrazione è principalmente basata su CLI; l'interfaccia web copre il self-service degli utenti e parte della gestione degli account, ma non tutte le attività amministrative.

L'interfaccia web è stata riscritta con supporto per i temi. La versione 1.10.0 ha rimosso OpenSSL come dipendenza e ha sostituito tutti i percorsi crittografici con RustCrypto e Rustls tramite aws-lc-rs. Ha inoltre aggiunto il recupero dell'account opzionale tramite verifica e-mail e RFC8693 Token Exchange per gli account di servizio che emettono token OIDC/OAuth2.¹²

Limitazioni

Il modello di amministrazione CLI-first richiede dimestichezza con gli strumenti a riga di comando. I benchmark interni di Kanidm con 3.000 utenti e 1.500 gruppi riportano ricerche circa 3x più veloci e operazioni di scrittura circa 5x più veloci rispetto a FreeIPA, anche se i risultati variano in base al carico di lavoro.¹³

Strumenti MFA leggeri

Hanko, LDAP, FreeIPA, privacyIDEA e Rauthy coprono ambiti più ristretti rispetto a piattaforme IAM complete come Keycloak o Authentik. Il supporto ai protocolli, le opzioni di personalizzazione e la complessità di distribuzione variano notevolmente, quindi l'etichetta "lightweight" copre un'ampia gamma.

Hanko

Hanko è un servizio di autenticazione open-source incentrato sull'accesso passwordless. Supporta passkey, TOTP, chiavi di sicurezza, SSO OAuth (Apple, Google, GitHub) e SSO SAML personalizzato. Include la gestione delle sessioni lato server e la revoca remota delle sessioni.

Non supporta connessioni social OIDC/OAuth2 personalizzate, impersonificazione degli utenti, sessioni privilegiate/step-up, notifiche di sicurezza via email o metadati utente personalizzati. I team che necessitano di tali capacità devono ricorrere a una piattaforma più completa.

Non perderti i nostri benchmark e approfondimenti basati sui dati. Il pulsante apre Google; selezionare AIMultiple conferma che desideri vedere AIMultiple più spesso nei risultati di ricerca di Google.

Aggiungi come fonte preferita

LLDAP

LLDAP è un server LDAP leggero. Espone un'interfaccia LDAP standard e un'interfaccia web per la gestione di base di utenti e gruppi, inclusa la reimpostazione delle password via e-mail. Non fornisce protocolli di autenticazione come OAuth2 o OIDC, che richiedono un componente separato (Keycloak, Authelia, ecc.) posto davanti ad esso.

Per impostazione predefinita, i dati utente sono archiviati in SQLite. Sono supportati anche MySQL/MariaDB e PostgreSQL. LLDAP viene utilizzato principalmente in ambienti self-hosted in cui le applicazioni richiedono LDAP per la ricerca degli utenti, ma l'operatore vuole evitare l'overhead operativo di OpenLDAP.

privacyIDEA

privacyIDEA è un sistema di gestione MFA, non un provider di identità completo. Gestisce centralmente i secondi fattori: TOTP, HOTP, OCRA, mOTP, YubiKey (HOTP/TOTP/AES), FIDO U2F, FIDO2/WebAuthn, token push, SMS, email e chiavi SSH e li espone tramite un'API che i front-end di autenticazione (Keycloak, FreeIPA, Gluu, NGINX) consumano. Non gestisce direttamente i protocolli di autenticazione.

La versione 3.12 ha aggiunto resolver utente per Entra ID e Keycloak, che consentono agli amministratori di estrarre i dati utente direttamente da quelle directory e assegnare token in privacyIDEA senza un passaggio di sincronizzazione separato.¹⁴ Il supporto delle passkey come tipo di token distinto è stato introdotto nella versione 3.11.¹⁵ La versione 3.13 ha ampliato il supporto delle passkey consentendo agli utenti di registrare una passkey su Windows e Linux durante il login per l'autenticazione offline su quel dispositivo, ha migliorato la gestione RADIUS per i token push e ha rilasciato la WebUI ridisegnata come beta.¹⁶

Limitazioni

• privacyIDEA non include nativamente Kerberos o altri protocolli di autenticazione.
• I flussi di lavoro di automazione (enrollment, rollover, onboarding, offboarding) sono configurabili ma richiedono un'integrazione API che va oltre quanto comporta una configurazione TOTP pronta all'uso in Keycloak.

FreeIPA

FreeIPA è un sistema di gestione delle identità per ambienti Linux e UNIX. Raccoglie una directory LDAP (389-ds), un KDC Kerberos, un server DNS, un'autorità di certificazione e le librerie Samba per l'integrazione con Active Directory in un'unica unità distribuibile con interfaccia web e CLI.

Supporta token TOTP e OTP, nonché l'autenticazione FIDO2/passkey. FreeIPA è progettato per ambienti che richiedono autenticazione centralizzata degli host Linux, emissione di ticket Kerberos, gestione delle policy sudo e servizi di directory utente.

Limitazioni

• L'architettura bundle implica che la distribuzione di FreeIPA comporti la configurazione di più sottosistemi.
• Aggiornamenti e upgrade comportano maggiori rischi rispetto agli strumenti a singolo componente perché le modifiche a qualsiasi servizio incluso possono influire sugli altri.
• Non è una scelta pratica per ambienti che non utilizzano l'autenticazione basata su host Linux/UNIX.

Rauthy

Rauthy è un provider OpenID Connect e una soluzione di single sign-on. Supporta WebAuthn/FIDO2/passkey, TOTP e social login tramite provider di identità esterni (GitHub, Google, Microsoft e altri configurati come upstream OIDC generici). È progettato per un basso consumo di risorse e viene distribuito come un singolo binario o immagine container.

Dalla versione 0.27, Rauthy include un modulo rauthy-pam-nss che consente l'integrazione con Linux PAM e NSS, supportando gli accessi alle workstation locali tramite passkey YubiKey e SSH protetto da MFA tramite password effimere.¹⁷

Limitazioni

Rauthy non include il supporto RADIUS né un server LDAP integrato. Funziona come provider OIDC a cui le altre applicazioni si autenticano; non sostituisce una directory utente completa.

FAQ

Ulteriori letture

• Le migliori 10 soluzioni di autenticazione a più fattori (MFA)
• Strumenti RBAC open source in base alle stelle di GitHub

Cita questa ricerca

Scegli il formato adatto a dove pubblicherai. Incollare la versione con link nel tuo CMS preserva il backlink.

@misc{dilmegani2026,
  author = {Dilmegani, Cem and PhD., Ezgi Arslan,},
  title  = {{Confronto 10 strumenti MFA open source}},
  year   = {2026},
  month  = sep,
  howpublished    = {\url{https://aimultiple.com/open-source-mfa}},
  note   = {AIMultiple. Consultato il 1 Settembre 2026}
}

Registro delle modifiche

5 aggiornamenti

1. 20263 Giu

   Aggiornate le sezioni sulle versioni recenti di Keycloak, ZITADEL, Kanidm e privacyIDEA con dettagli più recenti.

2. 23 Feb

   Aggiunta la Google Titan Security Key alla sezione Caratteristiche delle soluzioni MFA open source.

3. 20251 Mag

   Sostituita la descrizione di FreeIPA nella sezione "FreeIPA".

4. 18 Apr

   Aggiunto il supporto per il modulo di autenticazione plug-in (PAM) alla sezione Strumenti con supporto MFA esteso.

5. 17 Apr

   Aggiunto Hanko agli strumenti con supporto MFA leggero.

Collegamenti di riferimento

1.

FIPS 140-2 support - Keycloak

2.

Keycloak 26.5.0 released - Keycloak

Keycloak

3.

Authelia | Free Open-Source Software Modern IAM Solution

4.

Release v4.39.0 · authelia/authelia · GitHub

5.

authentik version 2025.12 is here! | authentik

6.

Release 2026.2 | authentik

7.

CVE-2026-25227 | authentik

8.

Release 2025.10 | authentik

9.

Migrate from v1 APIs to v2 APIs | ZITADEL Docs

10.

PostgreSQL Compatibility - CockroachDB

CockroachDB

11.

ZITADEL - Identity Infrastructure, Simplified

12.

Release v1.10.0 · kanidm/kanidm · GitHub

13.

GitHub - kanidm/kanidm: Kanidm: A simple, secure, and fast identity management platform · GitHub

14.

privacyIDEA 3.12 is available – privacyID3A

15.

privacyIDEA 3.11 is available – privacyID3A

16.

NetKnights releases privacyIDEA 3.13 with enhanced passkey functionality and new web interface - NetKnights - IT-Sicherheit - Zwei-Faktor-Authentisierung - Verschlüsselung

NetKnights GmbH

17.

Introduction - Rauthy Documentation

Cem Dilmegani

Analista principale

Segui

Cem è analista principale presso AIMultiple dal 2017.

Il lavoro di Cem presso AIMultiple è stato citato da importanti testate internazionali tra cui Business Insider, Forbes, Morning Brew e Washington Post, da aziende globali come Deloitte e HPE, da ONG come il World Economic Forum e da organizzazioni sovranazionali come la Commissione europea. [1], [2], [3], [4], [5]

Nel corso della sua carriera, Cem ha lavorato come consulente tecnologico, acquirente tecnologico e imprenditore tecnologico. Ha consigliato le aziende sulle loro decisioni tecnologiche presso McKinsey & Company e Altman Solon per più di un decennio. Ha inoltre pubblicato un report McKinsey sulla digitalizzazione.

Ha guidato la strategia tecnologica e gli approvvigionamenti di una società di telecomunicazioni rispondendo direttamente al CEO. Ha inoltre guidato la crescita commerciale dell'azienda deep tech Hypatos, che ha raggiunto ricavi ricorrenti annuali a 7 cifre e una valutazione a 9 cifre partendo da zero in 2 anni. Il lavoro di Cem in Hypatos è stato ripreso da importanti testate tecnologiche come TechCrunch e Business Insider.

Cem interviene regolarmente a conferenze tecnologiche internazionali. Si è laureato come ingegnere informatico presso l'Università di Bogazici e possiede un MBA della Columbia Business School.

Visualizza il profilo completo

Ricercato da

Ezgi Arslan, PhD.

Analista di settore

Segui

Ezgi ha conseguito un PhD in Economia aziendale con specializzazione in finanza e ricopre il ruolo di analista di settore presso AIMultiple. Conduce ricerche e approfondimenti all'intersezione tra tecnologia e business, con competenze che spaziano dalla sostenibilità alle indagini e all'analisi del sentiment, dalle applicazioni di agenti AI nella finanza all'ottimizzazione dei motori di risposta, dalla gestione dei firewall alle tecnologie di procurement.

Visualizza il profilo completo

Sii il primo a commentare

Il tuo indirizzo email non verrà pubblicato. Tutti i campi sono obbligatori. I commenti vengono lasciati nella loro lingua originale.

Nome

Indirizzo e-mail

Commento

0/450

Pubblica un commento