Stack Auth – une alternative open source à Auth0/Clerk

• Une solution d’authentification utilisateur entièrement open source et pensée pour les développeurs. Sous licences MIT et AGPL
• Démarrage rapide, avec accès à toutes les fonctionnalités à mesure que le projet grandit
• Le service managé est optionnel, et les données utilisateur peuvent être exportées à tout moment pour un auto-hébergement gratuit
• Compatible avec le frontend Next.js et tout backend pouvant utiliser une API REST

Fonctionnalités

• <SignIn/> et <SignUp/> : composants d’authentification prenant en charge OAuth, les identifiants par mot de passe et les magic links. Prise en charge des modes sombre/clair
• API Next.js : basée sur les composants serveur, les hooks React et les route handlers
• Tableau de bord utilisateur : filtrage, analyse et modification des utilisateurs
• Paramètres du compte : mise à jour du profil, vérification de l’e-mail et changement de mot de passe
• Multi-tenant et prise en charge des équipes : gestion possible des clients B2B
• Contrôle d’accès basé sur les rôles : définition de graphes d’autorisations et attribution aux utilisateurs
• Connexions OAuth : gestion des jetons d’accès pour les API tierces, comme Outlook ou Google Calendar
• Usurpation d’identité utilisateur (Impersonation) : connexion à un compte utilisateur pour le débogage et le support
• Webhooks : notifications d’activité utilisateur. Basé sur Svix
• E-mails automatiques : envoi d’e-mails personnalisés lors de l’inscription, de la réinitialisation du mot de passe et de la vérification de l’e-mail
• Gestion des sessions utilisateur et des JWT : refresh tokens et access tokens, JWT et cookies
• Authentification M2M : utilisation de jetons d’accès de courte durée pour l’authentification machine à machine

Le résumé de GN⁺

• Stack Auth est une solution open source d’authentification utilisateur pensée pour les développeurs, offrant un démarrage rapide et de nombreuses fonctionnalités
• Compatible avec le frontend Next.js et les API REST, elle peut s’intégrer à une grande variété de backends
• Elle propose de nombreuses fonctions, comme la gestion des utilisateurs, le contrôle d’accès basé sur les rôles et les connexions OAuth, utiles à la croissance des projets
• Le projet continue d’évoluer grâce aux contributions de la communauté open source, et propose aussi une option d’auto-hébergement
• Parmi les produits offrant des fonctions similaires figurent Auth0 et Clerk

[GN⁺]

Avis sur Hacker News

• Des inquiétudes existent quant au fait que les outils open source soutenus par des VC servent à attirer des clients avant de basculer rapidement vers des fonctionnalités payantes
• Félicite StackAuth pour son lancement officiel et s’interroge sur les plans de prise en charge de frameworks « à l’ancienne » comme Django, Rails et Bootstrap
  • Il est mentionné qu’il est courant que les nouveaux projets utilisent des technologies récentes, mais que les utilisateurs de technologies existantes pourraient aussi fournir des retours importants
• Utilise un backend Golang, une base de données Postgres et une application React, et se demande si la configuration d’authentification de base est complexe
  • Se demande si OAuth ou SAML constituent le facteur différenciant, et si cela nécessite des dépendances et de l’administration supplémentaires
• Mentionne n’avoir jamais vraiment fait confiance au fait de confier l’authentification et l’autorisation à des services externes dans la plupart des projets
  • Félicite Stack Auth pour son lancement et remercie d’avoir proposé une meilleure alternative
• Demande une comparaison avec SuperTokens et s’interroge sur les différences entre les deux systèmes
• Mentionne que beaucoup de systèmes d’authentification ont été lancés récemment
• Pose des questions sur l’approche en matière de sécurité et souligne l’absence de mentions concernant les tests d’intrusion, les politiques de sécurité ou la manière de signaler des vulnérabilités
  • Reconnaît qu’il est difficile de bien implémenter l’UX de l’authentification et de l’autorisation, et insiste sur le fait qu’il y a aussi beaucoup de difficultés du point de vue de la sécurité
  • Mentionne que déléguer la responsabilité à un produit tiers revient à abandonner le contrôle
• En tant que petite équipe utilisant Next.js et Supabase, estime que Stack Auth pourrait être utile
  • Utilise actuellement Supabase Auth et Nango, et a besoin d’une bonne implémentation de référence pour la mise en place des organisations
  • Pense que Stack Auth pourrait résoudre certains problèmes, mais se demande s’il jouera le rôle de proxy pour les API OAuth
• Suggère de préparer sur la page d’accueil un tableau comparatif avec les produits concurrents
  • Met en avant les éléments différenciants par rapport à Auth0, Clerk, Supabase Auth et Auth.js/NextAuth
• Demande une comparaison avec Ory Kratos et s’interroge sur les différences entre les deux systèmes