Valutazione in Mondo Aperto

Confronto di 10 strumenti MFA open source

con

aggiornato il 4 ago. 2026

Abbiamo confrontato 10 strumenti MFA gratuiti e open source in base ai loro protocolli di autenticazione, metodi MFA, opzioni di distribuzione e rilasci più recenti.

Loading Chart

Quando si avvia un'implementazione di autenticazione a più fattori (MFA) open source gratuita, considerare:

Soluzioni MFA di livello enterprise: Keycloak, Authelia, Authentik, Zitadel e Kanidm forniscono una gestione completa di identità e accessi (IAM) con supporto per più protocolli di autenticazione.
Strumenti MFA leggeri: Hanko, LLDAP, FreeIPA, privacyIDEA e Rauthy sono più semplici da configurare e più adatti a configurazioni più piccole o self-hosted.

Strumento

Focus

Keycloak

IAM pronto per l'enterprise

Authelia

2FA self-hosted e SSO per configurazioni più piccole

Authentik

IAM per configurazioni piccole e medie

Caratteristiche delle soluzioni MFA open source

Strumento	Architettura multi-tenancy	Impersonificazione del token	Autenticazione biometrica	Supporto chiave Google Titan
Keycloak	✅	✅	Limitato (tramite estensioni)	✅
Authelia	❌	Limitato (tramite estensioni)	❌	❌
Authentik	✅	✅	Limitato (tramite estensioni)	✅
Zitadel	✅	✅	Limitato (tramite estensioni)	❌
Kanidm	❌	✅	Limitato (tramite estensioni)	❌
Hanko	❌	❌	✅	❌
LLDAP	❌	❌	❌	❌
privacyIDEA	✅	❌	✅	❌
FreeIPA	❌	❌	❌	❌
Rauthy	❌	❌	❌	❌

Architettura multi-tenancy: Consente più gruppi di utenti indipendenti (tenant) con dati e configurazioni isolate.
Impersonificazione del token: Consente la delega sicura del token o l'impersonificazione di un utente/applicazione per azioni autorizzate.
Autenticazione biometrica: Offre fattori biometrici come le impronte digitali.
Chiave di sicurezza Google Titan: Un dispositivo di autenticazione hardware che fornisce 2FA resistente al phishing o login passwordless.

Tutti gli strumenti (tranne LDAP) supportano token hardware (ad esempio YubiKey) e il protocollo di autenticazione passwordless FIDO2 / WebAuthN. FIDO2 non utilizza segreti condivisi, come le password; riduce al minimo le vulnerabilità associate alle violazioni dei dati.

Funzionalità enterprise

Strumento	OpenTelemetry	Sessioni personalizzate	Funzionalità self-service
Keycloak	✅	✅	✅
Authelia	❌	✅	✅
Authentik	❌	✅	✅
Zitadel	✅	✅	✅
Kanidm	✅	❌	✅
Hanko	❌	❌	✅
LLDAP	❌	❌	❌
privacyIDEA	❌	❌	✅
FreeIPA	❌	❌	✅
Rauthy	❌	❌	❌

OpenTelemetry: Standard open source e insieme di tecnologie per l'acquisizione e l'esportazione di metriche, tracce e log.
Sessioni personalizzate: Consente un controllo granulare sui comportamenti delle sessioni, come:
- Come e quando viene attivato MFA (ad esempio, al login, per azioni sensibili).
- Il tipo di metodi MFA supportati (ad esempio, TOTP, WebAuthn, SMS)
Funzionalità self-service:
- Reimpostazione della password
- Registrazione dell'utente

Supporto alla gestione degli accessi privilegiati (PAM)

Strumento	Supporto PAM	Spiegazione
Keycloak	⚠️ tramite integrazioni	Moduli PAM OAuth2 per Linux
Authelia	❌	Solo web, nessun supporto per il login di sistema
Authentik	❌	Solo web, nessun supporto per il login di sistema
Zitadel	❌	Supporta solo OAuth2/OIDC per le app.
Kanidm	✅	Modulo pam_kanidm per Linux.
Hanko	❌	Solo web, nessun supporto per il login di sistema
LLDAP	⚠️ tramite integrazioni	Modulo pam_ldap per Solaris e Linux
privacyIDEA	✅	Modulo privacyidea-pam
FreeIPA	✅	Supporto PAM nativo completo per Linux
Rauthy	❌	Solo web, nessun supporto per il login di sistema

Gli strumenti con PAM consentono di gestire i diritti di accesso degli utenti privilegiati.

Capacità di auto-audit

Strumento	Auto-audit	Spiegazione
Keycloak	✅	Registra azioni amministrative, login, uso dei token, modifiche ai ruoli
Authelia	✅	Registra flussi e politiche di autenticazione; configurato tramite YAML con supporto Grafana/Prometheus
Authentik	✅	Traccia login amministrativi e token; UI con supporto Grafana/Prometheus
Zitadel	✅	Traccia login, token, eventi
Kanidm	✅	Log CLI tramite journal/JSON
Hanko	⚠️ Limitato	Utilizza i log di sistema
LLDAP	⚠️ Limitato	Utilizza i log di sistema
privacyIDEA	✅	Registra token, modifiche amministrative, autenticazioni
FreeIPA	✅	Log tramite auditd, sssd, Kerberos
Rauthy	✅	Il sistema di eventi integrato registra eventi di autenticazione, azioni amministrative ed eventi di sicurezza; streaming in tempo reale all'interfaccia di amministrazione con avvisi Email, Matrix e Slack

Le capacità di auto-audit migliorano la tracciabilità dei log, che è fondamentale per gli strumenti MFA (autenticazione a più fattori). Aiutano a tracciare attività non autorizzate o sospette, come l'attivazione/disattivazione di MFA, tentativi di login falliti e l'uso di OTP.

Soluzioni MFA di livello enterprise

Keycloak, Authelia, Authentik, Zitadel e Kanidm offrono ampie capacità MFA. Questi strumenti MFA gratuiti offrono:

Diversi metodi MFA: TOTP (password monouso basata sul tempo), WebAuthn, SMS, OIDC (OpenID Connect), Email, Push, autenticazione biometrica e MFA basata su approvazione.
Diversi protocolli di autenticazione: OAuth2, OIDC (OpenID Connect), SAML, LDAP e RADIUS.
Maggiore personalizzazione: RBAC granulare e connessioni SSO social personalizzate (OIDC/OAuth2) sulle politiche MFA.

Keycloak

Keycloak è una piattaforma IAM open source che copre SSO, identity brokering, social login e RBAC, e supporta SAML, OAuth2, OIDC e LDAP nativamente.

Keycloak supporta più backend di database, inclusi PostgreSQL, MySQL, MariaDB, Oracle e Microsoft SQL Server.¹
I rilasci recenti hanno aggiunto l'automazione del flusso di lavoro per le attività amministrative del realm, JWT Authorization Grants come alternativa consigliata allo scambio di token da esterno a interno, l'autenticazione dell'account di servizio Kubernetes per i client e il pieno supporto OpenTelemetry per metriche e logging.²

Keycloak è più complesso da installare e configurare rispetto a Authelia o Authentik. L'interfaccia di amministrazione predefinita copre un'ampia superficie che può essere difficile da navigare per i team concentrati su un insieme ristretto di casi d'uso.

Authelia

Authelia è un server di autenticazione e autorizzazione open source che fornisce 2FA e SSO per applicazioni web tramite un proxy inverso. Piuttosto che fungere da piattaforma di identità autonoma, funziona come un compagno per proxy come nginx, Traefik, Caddy e HAProxy, posizionandosi davanti alle applicazioni e gestendo le decisioni di autenticazione. La configurazione è gestita interamente tramite un file YAML, il che rende semplice il controllo di versione e l'audit ma richiede familiarità con lo schema di configurazione.

Architettura e consumo di risorse

L'immagine del container è inferiore a 20 MB e in genere utilizza meno di 30 MB di RAM, rendendola una delle opzioni più leggere in questo elenco. Authelia ha ottenuto la certificazione OpenID Connect 1.0 e può fungere da provider OIDC per le applicazioni a valle.³

Aggiornamenti recenti

La versione 4.39 ha aggiunto passkey/login passwordless tramite WebAuthn, Device Code Flow per scenari di accesso su TV e schermo condiviso, criteri di rete per le politiche di autorizzazione OIDC e il supporto RFC8176 Authentication Method Reference per comunicare il livello di autenticazione a terze parti.⁴

Caratteristiche principali

FIDO2 WebAuthn con chiavi hardware come YubiKey, TOTP con app di autenticazione compatibili, notifiche push mobili tramite Duo, login passwordless tramite passkey, controllo degli accessi basato su criteri e supporto Kubernetes tramite Helm chart.

Limitazioni

Authelia non ha multi-tenancy, nessun supporto PAM e nessuna UI di gestione utenti integrata; gli account utente sono gestiti tramite backend LDAP o un file YAML statico.
I team che necessitano di un portale utente self-service o di gestione dei dispositivi dovrebbero valutare Authentik o Kanidm.

Authentik

Authentik è una piattaforma IAM self-hosted che copre SSO, LDAP, OAuth2/OpenID Connect, SAML, SCIM e forward authentication. Rispetto a Keycloak, richiede una configurazione iniziale inferiore per i team senza esperienza dedicata nell'infrastruttura di identità.

Aggiornamenti recenti

La versione 2025.12 ha aggiunto la gestione dei dispositivi endpoint per Windows, macOS e Linux tramite l'agente Authentik, WebAuthn Conditional UI, una revisione completa di RBAC con gruppi multi-genitore e autorizzazioni ereditate dai ruoli e la gestione centralizzata dei file con supporto S3.⁵

La versione 2026.2 ha aggiunto un provider WS-Federation per SharePoint e applicazioni Windows native, un connettore di flotta per segnali dispositivo endpoint e accesso condizionale, supporto PAM Linux per il login locale del dispositivo e la generazione di certificati ED25519/ED448.⁶

Sicurezza

Authentik mantiene un programma annuale di penetration testing e un processo formale di divulgazione CVE. Tre CVE sono state pubblicate a febbraio 2026, inclusa una critica, corretta nelle versioni 2025.8.6, 2025.10.4 e 2025.12.4. I team che eseguono istanze self-hosted dovrebbero mantenere gli aggiornamenti.⁷

Limitazioni

Authentik funziona solo con PostgreSQL.⁸
PostgreSQL rimane una dipendenza fissa, il che aggiunge un sovraccarico operativo per le distribuzioni personali su singolo host.
Authentik inoltre non ha supporto nativo per OpenTelemetry.

ZITADEL

ZITADEL è una piattaforma di infrastruttura di identità self-hosted costruita attorno al multi-tenancy. Supporta OpenID Connect, OAuth2, SAML 2, LDAP, passkeys/FIDO2, OTP e SCIM 2.0.

Aggiornamenti recenti

Login V2 è l'impostazione predefinita per i nuovi clienti. Actions V2 ha sostituito il sistema di estensione V1 incorporato con webhook guidati dagli eventi che vengono eseguiti al di fuori del processo principale, supportando estensioni poliglotte e scalabilità disaccoppiata.⁹
Il supporto CockroachDB è stato rimosso. PostgreSQL è l'unico database supportato dalla versione 3 in poi.¹⁰

Limitazioni

L'amministrazione richiede familiarità con il modello tenant multi-livello di ZITADEL, che aggiunge complessità di configurazione per le distribuzioni a organizzazione singola. La roadmap 2026 indica che il team sta lavorando per semplificare questo modello e unificare la console di gestione.¹¹

Kanidm

Kanidm è una piattaforma di gestione delle identità self-hosted scritta in Rust.

A differenza di LDAP, che fornisce solo servizi di directory, Kanidm include nativamente OAuth2, OIDC, RADIUS, gestione delle chiavi SSH e integrazione PAM Linux senza richiedere componenti esterni.
L'amministrazione è principalmente basata su CLI; l'interfaccia web copre il self-service utente e parte della gestione degli account, ma non tutte le attività amministrative.

L'interfaccia web è stata riscritta con supporto per temi. La versione 1.10.0 ha rimosso OpenSSL come dipendenza e sostituito tutti i percorsi crittografici con RustCrypto e Rustls tramite aws-lc-rs. Ha inoltre aggiunto il recupero dell'account opzionale tramite verifica email e RFC8693 Token Exchange per account di servizio che emettono token OIDC/OAuth2.¹²

Limitazioni

Il modello di amministrazione CLI-first richiede dimestichezza con gli strumenti a riga di comando. I benchmark interni di Kanidm con 3.000 utenti e 1.500 gruppi riportano una ricerca circa 3 volte più veloce e operazioni di scrittura 5 volte più veloci rispetto a FreeIPA, anche se i risultati variano in base al carico di lavoro.¹³

Lascia che il nostro team automatizzi uno dei tuoi processi aziendali con agenti IA, gratuitamente.

Automatizza un processo

Strumenti MFA leggeri

Hanko, LDAP, FreeIPA, privacyIDEA e Rauthy coprono ambiti più ristretti rispetto a piattaforme IAM complete come Keycloak o Authentik. Il supporto dei protocolli, le opzioni di personalizzazione e la complessità di distribuzione variano significativamente, quindi l'etichetta di categoria "leggero" copre un'ampia gamma.

Hanko

Hanko è un servizio di autenticazione open source incentrato sul login passwordless. Supporta passkey, TOTP, chiavi di sicurezza, OAuth SSO (Apple, Google, GitHub) e SAML SSO personalizzato. Include la gestione delle sessioni lato server e la revoca remota delle sessioni.

Non supporta connessioni social OIDC/OAuth2 personalizzate, impersonificazione dell'utente, sessioni privilegiate/step-up, notifiche di sicurezza via email o metadati utente personalizzati. I team che richiedono queste capacità necessitano di una piattaforma più completa.

Non perderti i nostri benchmark e approfondimenti basati sui dati. Il pulsante apre Google; selezionare AIMultiple conferma che desideri vedere AIMultiple più spesso nei risultati di ricerca di Google.

Aggiungi come fonte preferita

LLDAP

LLDAP è un server LDAP leggero. Espone un'interfaccia LDAP standard e un'interfaccia web per la gestione di base di utenti e gruppi, inclusa la reimpostazione della password tramite email. Non fornisce protocolli di autenticazione come OAuth2 o OIDC, che richiedono un componente separato (Keycloak, Authelia, ecc.) posizionato davanti.

Per impostazione predefinita, i dati utente sono archiviati in SQLite. Sono supportati anche MySQL/MariaDB e PostgreSQL. LLDAP è utilizzato principalmente in ambienti self-hosted dove le applicazioni richiedono LDAP per le ricerche utente, ma l'operatore desidera evitare il sovraccarico operativo di OpenLDAP.

privacyIDEA

privacyIDEA è un sistema di gestione MFA, non un provider di identità completo. Gestisce i secondi fattori a livello centrale: TOTP, HOTP, OCRA, mOTP, YubiKey (HOTP/TOTP/AES), FIDO U2F, FIDO2/WebAuthn, push token, SMS, email e chiavi SSH e li espone tramite un'API che i front-end di autenticazione (Keycloak, FreeIPA, Gluu, NGINX) consumano. Non gestisce direttamente i protocolli di autenticazione.

La versione 3.12 ha aggiunto resolver utente per Entra ID e Keycloak, che consentono agli amministratori di estrarre i dati utente direttamente da quelle directory e assegnare token in privacyIDEA senza un passaggio di sincronizzazione separato.¹⁴ Il supporto per passkey come tipo di token distinto è stato introdotto nella versione 3.11.¹⁵ La versione 3.13 ha esteso il supporto passkey in modo che gli utenti possano registrare una passkey su Windows e Linux durante il login per l'autenticazione offline su quel dispositivo, ha migliorato la gestione RADIUS per i push token e ha rilasciato l'interfaccia web ridisegnata come beta.¹⁶

Limitazioni

privacyIDEA non include Kerberos o altri protocolli di autenticazione nativamente.
I flussi di lavoro di automazione (registrazione, rotazione, onboarding, offboarding) sono configurabili ma richiedono un'integrazione API che va oltre ciò che una configurazione TOTP predefinita in Keycloak comporta.

FreeIPA

FreeIPA è un sistema di gestione delle identità per ambienti Linux e UNIX. Raggruppa una directory LDAP (389-ds), un KDC Kerberos, un server DNS, un'autorità di certificazione e le librerie Samba per l'integrazione con Active Directory in un'unica unità distribuibile con un'interfaccia web e una CLI.

Supporta token TOTP e OTP, oltre all'autenticazione FIDO2/passkey. FreeIPA è progettato per ambienti che richiedono l'autenticazione centralizzata degli host Linux, l'emissione di ticket Kerberos, la gestione delle politiche sudo e i servizi di directory utente.

Limitazioni

L'architettura in bundle significa che la distribuzione di FreeIPA comporta la configurazione di più sottosistemi.
Gli aggiornamenti e gli upgrade comportano più rischi rispetto agli strumenti a componente singolo perché le modifiche a qualsiasi servizio in bundle possono influenzare gli altri.
Non è una scelta pratica per ambienti che non utilizzano l'autenticazione basata su host Linux/UNIX.

Rauthy

Rauthy è un provider OpenID Connect e una soluzione di single sign-on. Supporta WebAuthn/FIDO2/passkey, TOTP e social login tramite provider di identità esterni (GitHub, Google, Microsoft e altri configurati come upstream OIDC generici). È progettato per un basso consumo di risorse e viene distribuito come singolo binario o immagine container.

Dalla versione 0.27, Rauthy include un modulo rauthy-pam-nss che abilita l'integrazione PAM Linux e NSS, supportando i login sulle workstation locali tramite passkey YubiKey e SSH protetto da MFA tramite password effimere.¹⁷

Limitazioni

Rauthy non include il supporto RADIUS né un server LDAP integrato. Funziona come provider OIDC contro cui altre applicazioni si autenticano; non sostituisce una directory utente completa.

FAQ

L'autenticazione a più fattori (MFA) richiede all'utente di fornire due o più fattori di verifica per accedere a una risorsa come un'applicazione, un account online o una VPN. È essenziale per avere una politica efficace di gestione delle identità e degli accessi (IAM). Invece di richiedere semplicemente nome utente e password, MFA richiede uno o più fattori di verifica, riducendo la probabilità di un attacco informatico riuscito.

MFA funziona richiedendo dati di verifica aggiuntivi (fattori). Le password monouso sono uno dei fattori MFA più comuni che gli utenti incontrano.
Gli OTP sono quei codici di 4-8 cifre che ricevi frequentemente via email, SMS o app mobile. Gli OTP generano un nuovo codice regolarmente o ogni volta che viene inviata una richiesta di autenticazione. Il codice viene generato utilizzando un valore seed assegnato all'utente al momento della prima registrazione, oltre a un altro fattore, che potrebbe essere qualsiasi cosa, da un contatore incrementale a un valore temporale.

Considera la tua password come la serratura di una porta d'ingresso. Se qualcuno scopre la tua password, è come se avesse trovato la chiave della serratura. Senza MFA, può entrare direttamente.

Tuttavia, MFA richiede agli utenti una verifica extra, come l'inserimento di un codice inviato al telefono o la scansione dell'impronta digitale.

Questo passaggio aggiuntivo rende molto più difficile per gli aggressori entrare. Anche se una terza parte ottiene un tipo di autenticazione (come la tua password), avrà comunque bisogno di un secondo o terzo fattore, che è più difficile da acquisire.

Letture aggiuntive

Cita questa ricerca

Scegli il formato adatto a dove pubblicherai. Incollare la versione con link nel tuo CMS preserva il backlink.

Cem Dilmegani and Sena Sezer (2026) - "Confronto di 10 strumenti MFA open source". Pubblicato online su AIMultiple.com. Consultato il 4 Agosto 2026, da: https://aimultiple.com/open-source-mfa [Risorsa online]

Dilmegani, C., & Sezer, S. (2026, 4 Agosto). Confronto di 10 strumenti MFA open source. AIMultiple. https://aimultiple.com/open-source-mfa

@misc{dilmegani2026,
  author = {Dilmegani, Cem and Sezer, Sena},
  title  = {{Confronto di 10 strumenti MFA open source}},
  year   = {2026},
  month  = aug,
  howpublished    = {\url{https://aimultiple.com/open-source-mfa}},
  note   = {AIMultiple. Consultato il 4 Agosto 2026}
}

Collegamenti di riferimento

FIPS 140-2 support - Keycloak

Keycloak 26.5.0 released - Keycloak

Keycloak

Authelia | Free Open-Source Software Modern IAM Solution

Release v4.39.0 · authelia/authelia · GitHub

authentik version 2025.12 is here! | authentik

Release 2026.2 | authentik

CVE-2026-25227 | authentik

Release 2025.10 | authentik

ZITADEL Changelog | ZITADEL

10.

Release Cycle | ZITADEL Docs

11.

ZITADEL - Identity Infrastructure, Simplified

12.

Release v1.10.0 · kanidm/kanidm · GitHub

13.

GitHub - kanidm/kanidm: Kanidm: A simple, secure, and fast identity management platform · GitHub

14.

privacyIDEA 3.12 is available – privacyID3A

15.

privacyIDEA 3.11 is available – privacyID3A

16.

NetKnights releases privacyIDEA 3.13 with enhanced passkey functionality and new web interface - NetKnights - IT-Sicherheit - Zwei-Faktor-Authentisierung - Verschlüsselung

NetKnights GmbH

17.

Introduction - Rauthy Documentation

Cem Dilmegani

Analista principale

Segui

Cem è l'analista principale di AIMultiple dal 2017. AIMultiple informa centinaia di migliaia di aziende (secondo SimilarWeb) compreso il 60% delle Fortune 500 ogni mese.

Il lavoro di Cem è stato citato da importanti pubblicazioni globali tra cui Business Insider, Forbes, Washington Post, aziende globali come Deloitte, HPE e ONG come il World Economic Forum e organizzazioni sovranazionali come la Commissione europea.

Nel corso della sua carriera, Cem ha lavorato come consulente tecnologico, acquirente di tecnologia e imprenditore tecnologico. Ha consigliato aziende sulle loro decisioni tecnologiche presso McKinsey & Company e Altman Solon per oltre un decennio. Ha anche pubblicato un rapporto McKinsey sulla digitalizzazione.

Ha guidato la strategia tecnologica e gli approvvigionamenti di una società di telecomunicazioni rispondendo direttamente al CEO. Ha anche guidato la crescita commerciale dell'azienda deep tech Hypatos che ha raggiunto un fatturato annuo ricorrente a 7 cifre e una valutazione a 9 cifre partendo da 0 in 2 anni. Il lavoro di Cem in Hypatos è stato trattato da importanti pubblicazioni tecnologiche come TechCrunch e Business Insider.

Cem interviene regolarmente a conferenze tecnologiche internazionali. Si è laureato in ingegneria informatica all'Università Bogazici e ha conseguito un MBA presso la Columbia Business School.

Visualizza il profilo completo

Ricercato da