Gestion des identités et des accès open source

Ajoutez l'authentification aux applications et sécurisez les services avec un minimum d'effort. Plus besoin de gérer le stockage des utilisateurs ni l'authentification des utilisateurs.

Keycloak fournit la fédération d'utilisateurs, une authentification forte, la gestion des utilisateurs, une autorisation fine, et bien plus encore.

Aide et documentation

• Documentation
• Liste de diffusion des utilisateurs - Liste de diffusion pour l'aide et les questions générales sur Keycloak
• Rejoignez #keycloak pour les questions générales, ou #keycloak-dev sur Slack pour les discussions de conception et de développement, en créant un compte sur https://slack.cncf.io/.

Signaler des vulnérabilités de sécurité

Si vous avez découvert une vulnérabilité de sécurité, veuillez consulter les instructions sur la manière de la signaler correctement.

Signaler un problème

Si vous pensez avoir découvert un défaut dans Keycloak, veuillez ouvrir un ticket. N'oubliez pas de fournir un bon résumé, une description ainsi que les étapes pour reproduire le problème.

Premiers pas

Pour exécuter Keycloak, téléchargez la distribution depuis notre site web. Décompressez et exécutez :

bin/kc.[sh|bat] start-dev

Vous pouvez également utiliser l'image Docker en exécutant :

docker run quay.io/keycloak/keycloak start-dev

Pour plus de détails, consultez la documentation Keycloak.

Compiler depuis les sources

Pour compiler depuis les sources, consultez le guide compilation et travail avec la base de code.

Tests

Pour exécuter les tests, consultez le guide exécution des tests.

Écrire des tests

Pour écrire des tests, consultez le guide écriture de tests.

Contribuer

Avant de contribuer à Keycloak, veuillez lire nos directives de contribution. La participation au projet Keycloak est régie par le Code de conduite de la CNCF.

Rejoindre une réunion communautaire est un excellent moyen de s'impliquer et d'aider à façonner l'avenir de Keycloak.

Code de conduite

Nous nous engageons à offrir un environnement sûr, accueillant et constructif à tous les contributeurs et utilisateurs de Keycloak. Pour protéger cet espace, nous appliquons activement notre Code de conduite. Si vous souhaitez signaler un incident ou faire appel d'une décision de modération, veuillez envoyer un e-mail à [email protected].

Autres projets Keycloak

• Keycloak - Serveur Keycloak et adaptateurs Java
• Keycloak Client - Bibliothèques clientes Keycloak
• Keycloak QuickStarts - QuickStarts pour démarrer avec Keycloak
• Keycloak Node.js Connect - Adaptateur Node.js pour Keycloak

Licence

• Apache License, Version 2.0

Lab Docker Keycloak CVE-2026-18963

Ce lab démarre la version vulnérable de Keycloak 26.7.1 sur localhost et initialise un realm minimal pour reproduire le flux de la CVE.

Documents d'investigation

• Analyse du workflow : cause racine au niveau du code source, séquence de requêtes affectée, comparaison des correctifs et remédiation.
• Preuves et matrice de tests : critères d'acceptation pour les builds vulnérables et corrigés.

Démarrage

docker compose up -d keycloak-vuln
docker compose up --abort-on-container-exit keycloak-lab-init

Keycloak sera exposé à l'adresse :

• http://127.0.0.1:18080
• console d'administration : admin / admin

Objets de laboratoire préchargés :

• realm : lab
• client : poc
• URI de redirection : http://localhost/cb
• utilisateur : victim
• mot de passe : OldPassw0rd!

Arrêt

docker compose down

Notes

• Ce fichier compose exécute intentionnellement uniquement la version vulnérable.
• Le conteneur d'initialisation est suffisamment idempotent pour des tests locaux répétés ; il ignore le realm/client/utilisateur existant et réinitialise le mot de passe de la victime.
• La reproduction à l'exécution n'a pas été effectuée dans l'environnement de revue actuel car Docker n'était pas disponible. Ne considérez pas l'analyse statique du code source comme un résultat de prise de contrôle réel tant que la matrice de preuves n'a pas été exécutée sur un laboratoire isolé.