En İyi 5 Açık Kaynak Kimlik ve Erişim Yönetimi (IAM) Sağlayıcısı 2025

IAM sağlayıcısı nedir?#

Kimlik ve Erişim Yönetimi (IAM) sağlayıcısı, kaynaklara güvenli ve kontrollü erişimi sağlayan bir sistemdir. Dört temel bileşeni birleştirir:

• Kimlik Doğrulama: Kullanıcı kimliklerinin doğrulanması (örn. şifreler, biyometri, sosyal giriş).
• Yetkilendirme: Rol veya politikalar temelinde izinlerin verilmesi.
• Kullanıcı Yönetimi: Sağlama, rol ve denetimlerin yönetimi.
• Organizasyon Yönetimi: Ekiplerin, izinlerin ve çoklu kiracılığın yapılandırılması. IAM araçları, güvenlik politikalarını uygulamak, ihlalleri önlemek ve SOC 2, GDPR, HIPAA gibi uyumluluk standartlarına uymak için gereklidir.

Açık kaynaklı bir IAM çözümü seçerken anahtar kriterler#

Temel gereksinimler şunlardır:

1. Entegre edilebilir SDK'lar & dağıtım esnekliği: Teknoloji yığınıyla uyumluluk (örn. diller, framework'ler, veritabanları) ve popüler dağıtım seçenekleri (örn. npm paketleri, Docker konteynerleri, GitPod entegrasyonu veya tek tıkla barındırma) sağlanmalı. Bu, kurulum süresini kısaltır ve pazara çıkışı hızlandırır.

2. İşbirliği için protokol desteği: 3. taraf uygulama ve kimlik sağlayıcılarla (Google, Apple, Azure AD, vb.) entegrasyon için OAuth 2.0, OpenID Connect (OIDC), SAML ve LDAP desteklenmeli. Açık standartlar tedarikçi bağımlılığını azaltır ve federasyon kimliği iş akışlarını basitleştirir.

3. İşletmeye hazır modüler özellikler: Mevcut ihtiyaçlara yanıt verip ileride ölçeklenebilecek modüler bileşenler sunan bir çözüm seç:

   • Kimlik Doğrulama: Şifre, şifresiz, sosyal giriş, SSO, biyometri ve M2M doğrulama.
   • Yetkilendirme: RBAC, ABAC ve API koruması.
   • Yönetim: Kullanıcı yaşam döngüsü araçları, denetim logları, web kancaları ve uyumluluk raporlaması.
   • Güvenlik: MFA, şifreleme, şifre politikası, kaba kuvvet koruması, bot algılama ve kara liste. Güvenlik uygulamaları şeffaf olan projeleri tercih et (SOC2 / GDPR uyumu).

4. Kullanıcı Deneyimi (UX) optimizasyonu : Geliştirme eforunu azaltmak için önceden hazırlanmış kimlik akışlarına (sisteme giriş, kayıt, şifre sıfırlama) sahip çözümleri önceliklendir. Son kullanıcı akışlarının sezgisel, mobil dostu ve özelleştirilebilir olması dönüşüm oranını artırır.

5. Özelleştirme ve genişletilebilirlik: API'ler ve web kancaları, kimlik doğrulama akışlarının, UI temalarının ve politika mantıklarının özelleştirilmesine izin vermeli. "Kara kutu" çözümlerden kaç: tercihin şeffaf, topluluk odaklı kod olsun.

Uzun vadeli başarı için bazı farklılaştırıcılar:

1. Geliştirici Deneyimi (DX): Kapsamlı dokümantasyon, kod örnekleri, alanlar (örn. Postman koleksiyonları, CLI araçları) ve düşük kodlu yönetim panelleri kurulumu kolaylaştırır ve hata oranını azaltır.

2. Topluluk & kurumsal destek: Canlı bir topluluk (Discord, GitHub) ile hızlı çözüm ve bilgi paylaşımı mümkündür. Kurumsal destek seçenekleri (SLA'lar, özel mühendisler) kritik projelerde güvenilirlik sağlar.

3. Ölçeklenebilirlik: Sıfır-gün güvenlik açıkları ve yeni standartlar için (örn. FIDO2) düzenli güncellemeler. Hibrit dağıtım opsiyonları (Açık Kaynak + Bulut) ölçeklenmeyi kolaylaştırır ve operasyonel yükü azaltır.

Bunlar açık kaynak projeler için biraz sıkı görünse de halihazırda bu kriterleri karşılayan servisler mevcut, gel şimdi göz atalım.

En iyi 5 açık kaynak IAM sağlayıcı#

1. Logto: Geliştirici odaklı IAM; kimlik doğrulama, yetkilendirme, kullanıcı yönetimi ve çoklu kiracılık — hepsi bir arada. Çerçeve bağımsız, OIDC/OAuth/SAML destekli ve tamamen ücretsiz açık kaynak.
2. Keycloak: Kuruma uygun, SAML/OAuth/LDAP protokol ustası, detaylı erişim kontrolü ve self-hosting ihtiyacı olan organizasyonlar için tasarlandı.
3. NextAuth: Next.js geliştiricileri için özel olarak hazırlanmış hafif kimlik doğrulama kütüphanesi; sosyal girişleri, şifresiz kimlik doğrulamayı ve oturum yönetimini kolaylaştırır.
4. Casdoor: Web UI'lı, öncelikli arayüz odaklı IAM ve Tek Oturum Açma (SSO) platformu; OAuth 2.0, OIDC, SAML, CAS, LDAP ve SCIM desteğiyle.
5. SuperTokens: OAuth 2.0 tabanlı kimlik doğrulama çözümü; açık kaynak esnekliği ile ticari ölçeklenebilirliği birleştirir.

#1 Logto#

Logto, modern uygulamalar ve SaaS ürünleri için açık kaynaklı bir Auth0, Cognito ve Firebase Auth alternatifi olup; OIDC, OAuth 2.0 ve SAML açık standartlarını destekler.

Anasayfa | GitHub Repo | Dokümantasyon | Discord topluluğu

Logto OSS'nin başlıca özellikleri#

1. Protokoller: OIDC, OAuth 2.0, SAML 2.0
2. Resmi SDK'lar:
   • Resmi SDK'lar: Android, Angular, Capacitor JS, Chrome Extensions, .NET Core, Expo, Express, Flutter, FlutterFlow, Go, Java Spring Boot, Next.js (hem Page hem App Router), Auth.js (NextAuth), Nuxt, Passport.js, PHP, Python, React, Ruby, SvelteKit, iOS, Vanilla JS, Vue, Webflow, WordPress, Hasura ve Supabase.
   • Özel entegrasyon: Geleneksel web uygulamaları, SPA'lar, mobil uygulamalar, M2M, OAuth uygulamaları ve SAML uygulamaları.
3. Kimlik Doğrulama yöntemleri: Şifre, e-posta ve SMS şifresiz, sosyal giriş, kurumsal SSO, MFA (doğrulayıcı TOTP / anahtarlar / yedek kodlar), kişisel erişim tokenleri, Google One Tap, davetiye, hesap birleştirme ve OAuth yetkilendirme akışları.
4. Yetkilendirme: API koruması, kullanıcılar/M2M için RBAC, organizasyon düzeyinde RBAC, JWT/opak token doğrulaması ve özel token iddiaları.
5. Çoklu kiracılık: Organizasyon şablonları, üye davetleri, organizasyon başına MFA, anında sağlama (JIT), her kiracı için özelleştirilmiş giriş deneyimi.
6. Kullanıcı Yönetimi: Kullanıcı taklidi, kullanıcı oluşturma ve davet, kullanıcı askıya alma, denetim logları ve kullanıcı geçişi.
7. Kullanıcı deneyimi: Kutudan çıkan, tamamen özelleştirilebilir kimlik doğrulama akışları sunar, federasyon kimlik yönetimi ile birleşik çoklu uygulama oturumu açma deneyimi sağlar.
8. Sağlayıcı entegrasyonu:
   • Sosyal Sağlayıcılar: Google, Facebook, Microsoft, Apple, GitHub, X.com, LinkedIn, Slack, Amazon, Discord, Line, WeChat, Kakao vb. OIDC veya OAuth 2.0 ile tamamen özelleştirilebilir.
   • Kurumsal Sağlayıcılar: Microsoft Azure AD, Google Workspace, Okta, vb. OIDC veya SAML ile tamamen özelleştirilebilir.
   • E-posta sağlayıcılar: AWS, Mailgun, Postmark, SendGrid, vb. SMTP veya HTTP çağrısı ile yapılandırılabilir.
   • SMS sağlayıcılar: Twilio, SMS Aero, GatewayAPI, Vonage, Aliyun ve Tencent.

Logto OSS'nin artıları#

• %100 Ücretsiz Açık Kaynak: Tüm çekirdek özellikler (SSO, RBAC, Organizasyonlar vb. dahil) ücretsiz; temel şeylerde ödeme duvarı yok.
• Kurumsal düzeyde güvenlik: SOC2 hazır mimari, MFA, SSO, API koruma, çoklu kiracı izolasyonu, kaba kuvvet koruması ve denetim logları.
• Kimlik sağlayıcı ol: Logto ile servisini bir kimlik sağlayıcıya dönüştürebilir, birden fazla uygulama, platform ve cihazda sorunsuz entegrasyon sağlayabilirsin. Evrensel tek oturum açma ve federasyon kimlik yönetimi için OIDC, OAuth 2.0 ve SAML 2.0 destekli.
• Dış ekosistem entegrasyonu: Logto; M2M kimlik doğrulama, kişisel erişim token'ları, kullanıcı taklidi (token değişimi), üçüncü parti uygulamalara OAuth yetkilendirme ve üçüncü parti kimlik sağlayıcılarına özelleştirilebilir bağlantı ile ürün büyümeni destekler.
• Geliştirici dostu: İyi yapılandırılmış API'ler, SDK'lar, dökümanlar ve sezgisel yönetim paneli.
• Ölçeklenebilir dağıtım: Logto ücretsiz açık kaynaklı, Logto Cloud ise yönetilen hizmetlerle uzun vadeli destek ve finansal güvence sunar.
• Aktif topluluk: Yanıt veren Discord topluluğu ve proaktif çekirdek ekip; hızlı sorun çözümü ve sürekli yeni özellikler.
• Hafif ve Modern: Modern tasarım ilkeleriyle geliştirildi, hız ve verimlilik için optimize; bireysel geliştirici, girişim ve kurumsal firmalara uygun.

Logto OSS'nin eksileri#

• Yönlendirme tabanlı kimlik doğrulama: OIDC tabanlı olduğu için kimlik sağlayıcıya yönlendirme gerekir. Buna alternatif olarak Logto, gömülü doğrudan giriş bileşenleri sunar (Sosyal, SSO vb.).
• Kısıtlı B2E özellikler: LDAP/Active Directory eşitlemesi ve ultra-ince ayrıntılı yetkilendirme henüz yerleşik değil.
• Büyümekte olan ekosistem: Daha eski çözümlere göre topluluk daha küçük, ancak hızlı gelişiyor ve katkılar artıyor.

#2 Keycloak#

Keycloak, SAML, OAuth ve LDAP konusunda güçlü desteğe sahip, kendi barındırmaya öncelik veren ve detaylı erişim kontrolü isteyen kurumlar için kurumsal seviyede IAM çözümüdür.

Anasayfa | GitHub Repo | Dokümantasyon | Slack topluluğu

Keycloak özellikleri#

1. Protokoller: OIDC, OAuth 2.0, SAML 2.0, LDAP
2. Resmi SDK'lar: Java, JavaScript, Node.js, C#, Python, Android, iOS, Apache HTTP Server
3. Kimlik doğrulama yöntemleri: Tek Oturum Açma (SSO), Çok Faktörlü Kimlik Doğrulama (MFA), Sosyal giriş, Kerberos.
4. Kullanıcı deneyimi: Kutudan çıkan oturum açma arayüzleri, hesap yönetim paneli ve özelleştirilebilir HTML, CSS, Javascript.
5. İnce ayrıntılı yetkilendirme: Rol, öznitelik veya diğer kriterlere dayalı erişim kontrolü.
6. Dizin eşitleme: Var olan kurumsal dizinlerden (LDAP/Active Directory) eşitleme.
7. Eklenti mimarisi: Özel eklentiler ve entegrasyonlar.

Keycloak'ın artıları#

• Kurumsal kapsamlı özellik seti: SSO, MFA, kimlik aracılığı, kullanıcı federasyonu ve birden fazla protokol desteği (OAuth 2.0, OpenID Connect, SAML) gibi.
• Özelleştirilebilir arayüz ve yönetim ayarları: Temalandırılabilir ve genişletilebilir varsayılan giriş arayüzü ve yönetim paneli.
• Entegrasyon ve genişletilebilirlik: LDAP/AD ve sosyal giriş gibi harici kimlik sağlayıcılarıyla kolayca entegre edilir, eklentiyle özelleştirme imkânı.
• Aktif topluluk ve sürekli geliştirme: Düzenli güncellemeler, aktif topluluk desteği, Red Hat desteği ile iyileştirme ve güvenlik yamaları.

Keycloak'ın eksileri#

• Zor öğrenme eğrisi: Domain, istemci ve kimlik doğrulama akışlarını kurmak zor, özellikle IAM deneyimi az olan ekipler için.
• Özelleştirme zorlukları: Esnekliğiyle birlikte, UI özelleştirmesi için FreeMarker şablonları veya özel SPI'larda çalışmak yorucu olabilir.
• Yüksek bakım: Sık gelen büyük sürüm değişiklikleri, sunucu ve istemci kütüphaneleri arasında sıkı koordinasyon gerektirir.
• Kaynak tüketimi fazla: Yüksek erişilebilirlik ya da konteyner tabanlı kullanımda ciddi CPU/RAM ve performans ayarı gerekir.
• Dökümantasyon eksikleri: Temel konular iyi kapsanmış olsa da ileri seviye ve uç senaryolar için detaylı veya güncel kaynak sıkıntısı var.

#3 Auth.js/NextAuth.js#

NextAuth.js, Next.js için tasarlanmış hafif bir kimlik doğrulama kütüphanesi olup; sosyal girişler, şifresiz doğrulama ve oturum yönetimi için basit bir kurulum sunar.

Anasayfa | GitHub Repo | Dokümantasyon | Discord topluluğu

NextAuth.js özellikleri#

1. Protokoller: OAuth 2.0, OIDC
2. Çatılar: Next.js, Node.js ve sunucusuz platformlar (örn. Vercel, AWS Lambda)
3. Kimlik doğrulama yöntemleri: Sosyal giriş, sihirli linkler, kullanıcı adı/şifre, WebAuthn (Anahtar).
4. Kimlik doğrulama deneyimi: Varsayılan giriş, çıkış, hata ve doğrulama sayfaları; tamamen özelleştirilebilir, markaya uygun deneyim için üzerine yazılabilir.
5. Oturum yönetimi: JSON Web Token (JWT) tabanlı stateless oturumlar ve veritabanı destekli oturumlar desteği.

NextAuth.js'nin artıları#

• Next.js ile kusursuz bütünleşme: Özellikle Next.js için geliştirilmiştir; sunucu tarafı render (SSR), statik site üretimi (SSG) ve API rotalarıyla sorunsuz çalışır. Geliştiriciler useSession gibi hook'lar ve SessionProvider gibi komponentlerle oturum durumunu kolayca yönetebilirler.
• Özelleştirilebilir kimlik doğrulama akışı: Giriş, JWT işlemleri ve oturum yönetimi için yerleşik callback'ler, geliştiricilere tam kontrol sağlar.
• Aktif topluluk ve ekosistem: Sağlam bir geliştirici topluluğu; örnekler, dokümanlar ve tartışmalar ile sorunların çözümünü ve fonksiyonların genişletilmesini kolaylaştırır.

NextAuth.js'nin eksileri#

• Kısıtlı IAM özellikleri: SAML, SSO, MFA, çoklu kiracılık ve B2B/B2E için gerekli birçok özellik eksik. Sadece kimlik doğrulamaya odaklı, dahili yetkilendirme veya kullanıcı yönetimi yok.
• Tutarsız ve zayıf dokümantasyon: Dokümantasyon dağınık, güncel değil ve yeni sürümlere veya app directory yapısına geçişte kullanıcıları zorluyor.
• Kararlılık ve hata sorunları: Oturum yönetimi, yenileme token hataları ve tahmin edilemeyen davranışlar görülebiliyor; bazen geçici çözüm veya alternatif gerekiyor.
• Yüksek öğrenme eğrisi: API ve yapılandırmalar yeni başlayanlara karmaşık gelebilir. Sık gelen kırıcı değişiklikler (örn. NextAuth.js v5 beta) entegrasyon zorluğunu artırır.

#4 Casdoor#

Casdoor, UI öncelikli bir Kimlik Erişim Yönetimi (IAM) / Tek Oturum Açma (SSO) platformudur, web UI ile OAuth 2.0, OIDC, SAML, CAS, LDAP, SCIM, WebAuthn, TOTP, MFA, RADIUS, Google Workspace, Active Directory ve Kerberos desteği sağlar.

Anasayfa | GitHub Repo | Dokümantasyon | Discord topluluğu

Casdoor özellikleri#

1. Protokoller: OAuth 2.0, OIDC, SAML, CAS, LDAP, SCIM
2. Resmi SDK'lar: Android, iOS, React Native, Flutter, Firebase, Unity Games, uni-app, Electro, .Net Desktop, C/C++, Javascript, sadece frontend, React, Next.js, Nuxt, Vue, Angular, Flutter, ASP.NET, Firebase, Go, Java, Node.js, Python, PHP, .NET, Rust, Dart, Ruby.
3. Kimlik Doğrulama yöntemleri: Kimlik bilgileri, E-posta/SMS doğrulama kodu, Sosyal giriş (OAuth/SAML)
4. Kimlik yönetimi: Kullanıcılar, roller, izinler ve çoklu kiracılık ile merkezi yönetim paneli, loglar.
5. Özelleştirilebilir arayüz & akışlar: Hazır şablonlar ve giriş, kayıt veya doğrulama yöntemlerinin özelleştirilmesini sağlar.
6. Erişim kontrolü: RBAC desteği; ileri düzey izin yönetimi için Casbin gibi çözümlerle entegre olabiliyor.
7. Çoklu kiracılık: Tek bir sistemde birden fazla organizasyon/projenin yönetilmesine olanak tanır.

Casdoor'un artıları#

• Esnek entegrasyon: Casdoor’un zengin API, SDK ve Kimlik Sağlayıcı desteği ile farklı platformlara ve servislere kolayca entegre edilir.
• Çoklu kiracılık & federasyon: Yerleşik çoklu kiracı ve kimlik aracılı özelliği ile alt şirket/klient yöneten organizasyonlara uygun.
• Açık kaynak & aktif topluluk: Casnode, QQ grupları gibi alanlarda tartışmalar; topluluk desteği ve düzenli güncellemeler.

Casdoor'un eksileri#

• Güvenlik endişeleri: SQL injection (CVE-2022-24124) ve rastgele dosya okuma gibi açıklar görülmüştür; sıkı güvenlik ayarı ve güncelleme gereklidir.
• Eskiyen arayüz tasarımı: Hazır arayüz modern kimlik doğrulama çözümlerine göre demode; iyi bir deneyim için genellikle özelleştirme gerekir.
• Kısıtlı kurumsal destek: Zengin olsa da bazı gelişmiş kurumsal fonksiyonlar eksik veya olgunlaşmamış, ek özelleştirme gerekebilir.
• Zor öğrenme eğrisi: İleri düzey özelleştirme için Golang ve React.js bilgisi gerekir; Swagger API dokümanı var, ama karmaşık senaryolar için ayrıntılı rehber az.

#5 Supertokens#

Açık kaynak şeffaflığıyla kurumsal ölçeklenebilirliği birleştiren, şifresiz, MFA ve oturum yönetimiyle modern uygulama mimarileri için optimize geliştirici odaklı kimlik doğrulama çözümü.

Anasayfa | GitHub Repo | Dokümantasyon | Discord topluluğu

Supertokens özellikleri#

1. Protokoller:  OAuth 2.0
2. Framework ve bulut entegrasyonları:
   • Framework'ler: Next.js App Router, Next.js Pages Router, NestJS, GraphQL, RedwoodJS, Capacitor.
   • Bulut Platformları: AWS Lambda, Netlify, Vercel, Hasura, Supabase.
3. Kimlik doğrulama yöntemleri:
   • Ücretsiz: Şifre, e-posta/SMS şifresiz, sosyal giriş.
   • Ücretli: Çoklu kiracılık, kurumsal SSO (SAML), MFA (TOTP/E-posta OTP/SMS OTP), hesap birleştirme.
4. Hazır UI bileşenleri ve özelleştirilebilir akışlar: Giriş, kayıt, şifre kurtarma için kullanıma hazır UI bileşenleri sunar; kimlik doğrulama akışları geliştirici tarafından özelleştirilebilir.
5. Çoklu kiracılık desteği (Ücretli): Birden fazla organizasyon veya uygulamanın; SAML ile kurumsal SSO, izole kullanıcı verileri, her kiracıya özel giriş yöntemiyle yönetilmesine imkân tanır.
6. Risk değerlendirme (Ücretli): Giriş denemelerini analiz edip risk puanı atayan Saldırı Koruma Paketi; ek güvenlik önlemleri (örn. MFA) zorunlu kılabilir.

Supertokens'ın artıları#

1. Net UI yaklaşımı: Supertokens, SDK ve kimlik doğrulama yöntemlerini Hazır UI ve Özel UI olarak kategorize eder; entegrasyon süreci net ve esnektir.
2. Hafif & kimlik doğrulama odaklı: Yalnızca kimlik doğrulamayı hedefler, bu sayede hafif ve etkilidir. Açık kaynak sürüm önemli temel özellikleri içerir; girişimler ve küçük ekipler için maliyet avantajı sağlar.
3. Aktif gelişim: Yeni özellik ve iyileştirmeleriyle düzenli güncellenir, aktif bir GitHub topluluğu vardır.

Supertokens'ın eksileri#

1. Açık kaynak özellik sınırlamaları: Hesap birleştirme, çoklu kiracılık, fazladan yönetici ve MFA, saldırı koruma paketi gibi ileri düzey fonksiyonlar için ücretli plan gerekir.
2. Kısıtlı kurumsal entegrasyon: SAML uygulama entegrasyonu yok; eski kurumsal sistemlerle uyumluluğu azaltabilir.
3. Dar kapsam: Temelde kimlik doğrulamaya odaklanır; sadece temel yönetim paneli, ileri seviye yetkilendirme, kiracı yönetimi ve kurumsal özellikler eksik.
4. Daha küçük ekosistem: Diğer IAM çözümlerine göre daha az üçüncü parti eklenti ve entegrasyon; küçük topluluk uzun vadede destek ve genişletilebilirliği etkileyebilir.

Sonuç#

Açık kaynak IAM çözümleri farklı türlerdedir:

• Kapsamlı ve genişletilebilir: örn. Logto, Keycloak ve Casdoor; kimlik doğrulama, yetkilendirme ve kullanıcı yönetimi için geniş işlevsellik.
• Sadece kimlik doğrulama / yetkilendirme: örn. Supertokens; yalnızca kimlik doğrulamaya odaklı.
• Hafif, çatıya özgü: örn. NextAuth.js; belirli framework’ler için tasarlanmış.

Seçim yaparken proje büyüklüğünü, özel gereksinimlerini ve gelecekteki ölçeklenebilirliği düşün.

Logto, tamamen ücretsiz ve zengin özellikli açık kaynak çözüm olarak öne çıkıyor; uzun vadeli istikrarı, aktif topluluğu ve standart protokollerin tam desteği ile öne çıkıyor. Tam kapsamlı kimlik doğrulama, yetkilendirme ve kullanıcı yönetim paketiyle son derece genişletilebilir. Kurumsal düzeyde uyumluluk ve güvenilirlik arayanlar için, Logto'nun uygun maliyetli Bulut sürümü özel destek ile kesintisiz geçiş sağlar.