Gerenciamento de Identidade e Acesso de Código Aberto

Adicione autenticação a aplicações e proteja serviços com o mínimo de esforço. Não é necessário lidar com o armazenamento ou a autenticação de usuários.

O Keycloak oferece federação de usuários, autenticação forte, gerenciamento de usuários, autorização granular e muito mais.

Ajuda e Documentação

• Documentação
• Lista de Discussão de Usuários - Lista de discussão para ajuda e perguntas gerais sobre o Keycloak
• Participe do #keycloak para perguntas gerais, ou do #keycloak-dev no Slack para discussões de design e desenvolvimento, criando uma conta em https://slack.cncf.io/.

Relatando Vulnerabilidades de Segurança

Se você encontrou uma vulnerabilidade de segurança, consulte as instruções sobre como relatá-la corretamente.

Relatando um problema

Se você acredita ter descoberto um defeito no Keycloak, abra um issue. Lembre-se de fornecer um bom resumo, uma descrição e os passos para reproduzir o problema.

Primeiros passos

Para executar o Keycloak, baixe a distribuição do nosso site. Descompacte e execute:

bin/kc.[sh|bat] start-dev

Como alternativa, você pode usar a imagem Docker executando:

docker run quay.io/keycloak/keycloak start-dev

Para mais detalhes, consulte a Documentação do Keycloak.

Compilando a partir do código-fonte

Para compilar a partir do código-fonte, consulte o guia de compilação e trabalho com a base de código.

Testes

Para executar os testes, consulte o guia de execução de testes.

Escrevendo Testes

Para escrever testes, consulte o guia de escrita de testes.

Contribuindo

Antes de contribuir com o Keycloak, leia nossas diretrizes de contribuição. A participação no projeto Keycloak é regida pelo Código de Conduta da CNCF.

Participar de uma reunião da comunidade é uma ótima maneira de se envolver e ajudar a moldar o futuro do Keycloak.

Código de Conduta

Estamos comprometidos em proporcionar um ambiente seguro, acolhedor e construtivo para todos os contribuidores e usuários do Keycloak. Para proteger esse espaço, aplicamos ativamente nosso Código de Conduta. Se você deseja relatar um incidente ou recorrer de uma decisão de moderação, envie um e-mail para [email protected].

Outros Projetos Keycloak

• Keycloak - Servidor Keycloak e adaptadores Java
• Keycloak Client - Bibliotecas cliente do Keycloak
• Keycloak QuickStarts - QuickStarts para começar a usar o Keycloak
• Keycloak Node.js Connect - Adaptador Node.js para o Keycloak

Licença

• Apache License, Version 2.0

Laboratório Docker do Keycloak CVE-2026-18963

Este laboratório inicia a versão vulnerável do Keycloak 26.7.1 no localhost e prepara um realm mínimo para reproduzir o fluxo da CVE.

Documentos de investigação

• Análise do fluxo de trabalho: causa raiz no nível do código-fonte, sequência de requisições afetada, comparação de patches e remediação.
• Evidências e matriz de testes: critérios de aceitação para builds vulneráveis e corrigidos.

Iniciar

docker compose up -d keycloak-vuln
docker compose up --abort-on-container-exit keycloak-lab-init

O Keycloak será exposto em:

• http://127.0.0.1:18080
• console de administração: admin / admin

Objetos de laboratório pré-configurados:

• realm: lab
• client: poc
• redirect URI: http://localhost/cb
• user: victim
• password: OldPassw0rd!

Parar

docker compose down

Notas

• Este arquivo compose executa intencionalmente apenas a versão vulnerável.
• O container de inicialização é suficientemente idempotente para testes locais repetidos; ele ignora realm/client/usuário existentes e redefine a senha da vítima.
• A reprodução em tempo de execução não foi executada no ambiente de revisão atual porque o Docker não estava disponível. Não trate a análise estática do código-fonte como um resultado de takeover ao vivo até que a matriz de evidências tenha sido executada em um laboratório isolado.