Quando i servizi di casa diventano cinque o sei, ogni familiare si ritrova con altrettanti account e password da ricordare. Ancora più fastidioso è dover creare, modificare e disattivare utenti in ogni applicazione separatamente. Un sistema di single sign-on (SSO) risolve entrambi i problemi: un solo account per persona, un solo punto in cui attivare il secondo fattore, un solo posto dove togliere l'accesso. Due progetti molto usati in ambito domestico sono Authentik e Authelia.
Due modi di proteggere un servizio
Prima di scegliere lo strumento conviene capire i due meccanismi principali con cui un gestore di identità protegge le applicazioni.
OpenID Connect (OIDC)
L'applicazione sa parlare con un fornitore di identità. Quando l'utente clicca «accedi», viene rimandato alla pagina del gestore di identità, si autentica lì e torna all'applicazione con un token che ne attesta l'identità. È il metodo più pulito: l'applicazione conosce davvero l'utente e può assegnargli i permessi giusti. Molti servizi popolari in casa, come Nextcloud, Immich, Jellyfin tramite plugin, Forgejo e Paperless-ngx, supportano OIDC direttamente o tramite estensioni.
Forward auth
L'applicazione non sa nulla di SSO. È il reverse proxy che, prima di inoltrare ogni richiesta, chiede al gestore di identità se l'utente è autenticato. Se non lo è, lo manda alla pagina di accesso. È utile per proteggere servizi senza un sistema di login proprio, come pannelli di amministrazione o dashboard. Il limite è che l'applicazione, dietro, non distingue gli utenti, a meno che non legga le intestazioni che il proxy aggiunge.
Authentik e Authelia a confronto
I due progetti hanno filosofie diverse, e la scelta dipende soprattutto da quanto si vuole gestire.
| Aspetto | Authelia | Authentik |
|---|---|---|
| Configurazione | File YAML | Interfaccia web e flussi configurabili |
| Risorse | Molto leggero | Più componenti (server, worker, database, cache) |
| Forward auth | Punto di forza | Supportato tramite outpost |
| OIDC | Supportato | Supportato, insieme a SAML e LDAP |
| Gestione utenti | File o LDAP esterno | Integrata, con inviti e iscrizioni |
Authelia è ideale per chi preferisce una configurazione testuale, versionabile e minimale, e ha pochi utenti. Authentik è più adatto quando si vogliono gestire utenti e gruppi da un'interfaccia, offrire il recupero password via email o integrare servizi che parlano solo LDAP.
Una configurazione tipica in casa
Un'architettura semplice e robusta è questa:
- Il gestore di identità ha un proprio indirizzo, per esempio
auth.casa.esempio. - Le applicazioni che supportano OIDC vengono collegate direttamente, ciascuna con il proprio client e il proprio segreto.
- I servizi senza login vengono protetti con forward auth a livello di reverse proxy.
- I gruppi decidono chi vede cosa: per esempio «famiglia» accede a foto e calendari, «admin» anche ai pannelli tecnici.
Un consiglio pratico: collegare un'applicazione alla volta, verificando subito accesso, disconnessione e permessi, invece di migrare tutto in una sera.
Il secondo fattore, fatto una volta sola
Uno dei vantaggi più concreti dello SSO è che il secondo fattore si configura in un solo posto. Entrambi i progetti supportano codici temporanei (TOTP) e chiavi di sicurezza o passkey tramite WebAuthn. Si possono anche definire regole diverse per contesto: per esempio richiedere solo la password dalla rete di casa e il secondo fattore per gli accessi da fuori.
Non chiudersi fuori
Concentrare l'accesso in un unico servizio ha un rischio evidente: se il gestore di identità si rompe, non si entra più da nessuna parte. Alcune precauzioni:
- Account locali di emergenza: in ogni applicazione importante tengo un amministratore locale con password robusta, salvata nel gestore di password, da usare solo se lo SSO non funziona.
- Backup del gestore di identità: database e configurazione vanno inclusi nel backup come qualunque altro servizio critico.
- Codici di recupero: per il proprio account amministratore conviene registrare almeno due metodi di secondo fattore.
- Avvio indipendente: il gestore di identità non dovrebbe dipendere da servizi che a loro volta richiedono il login.
Quando non serve
Per una persona sola con tre servizi, lo SSO può essere più complicato del problema che risolve: un buon gestore di password e l'accesso limitato alla rete privata bastano. Il beneficio cresce con il numero di utenti e di servizi, e diventa evidente il giorno in cui un familiare cambia telefono o qualcuno deve perdere l'accesso a tutto con un solo clic.
In sintesi
- Lo SSO dà a ogni persona un solo account e un solo punto per il secondo fattore.
- OIDC integra davvero l'applicazione; il forward auth protegge anche servizi senza login.
- Authelia è leggero e testuale, Authentik più completo e gestibile da interfaccia.
- Conviene migrare un'applicazione alla volta, verificando i permessi.
- Account di emergenza e backup evitano di restare chiusi fuori.
