Что именно бы вы выбрали для oauth? Keycloak, authentik или что-то иное?

Если выбирать между Keycloak и authentik, я бы сначала смотрел не на “лучше”, а на размер задачи. Keycloak — мощный enterprise IdP, но он тяжелее в эксплуатации. Authentik проще для небольших и средних self-hosted сценариев, приятнее в UI и часто быстрее доводится до рабочего состояния. Но у Keycloak сильнее экосистема, документация и предсказуемость для корпоративных интеграций.

Я бы выбрал Keycloak, если нужны: много клиентов, сложные realms, SAML, строгие enterprise-процессы, интеграции с Java/корпоративным стеком, роли/группы/мапперы, поддержка больших команд. Но надо быть готовым к администрированию, обновлениям, бэкапам, настройке тем, reverse proxy и миграциям.

Authentik я бы выбрал для self-hosted инфраструктуры, внутренних сервисов, homelab, малого бизнеса, SSO для Grafana, GitLab, Outline, Nextcloud, Proxmox и подобных сервисов. Он обычно быстрее понятен администратору, удобен для проксирования приложений и выглядит менее “тяжелым”.

Если нужен только OAuth/OIDC для одного своего приложения, возможно, не нужен ни Keycloak, ни authentik. Иногда достаточно managed-провайдера: Auth0, Zitadel, Logto, FusionAuth, Supabase Auth, Clerk. Для проекта, где важнее продукт, а не сопровождение IdP, managed-вариант экономит много времени.

Практический выбор:

• 1-5 внутренних сервисов и хочется быстро — authentik;
• корпоративная среда, SAML/OIDC, много клиентов — Keycloak;
• один SaaS-продукт и нет желания администрировать — managed auth;
• нужен open-source, но попроще Keycloak — смотрите Zitadel или Logto.

Главное — не ставить IdP “на всякий случай”. Авторизация становится центральной точкой отказа. Нужны бэкапы БД, резервный admin-доступ, документация по восстановлению, HTTPS, нормальный reverse proxy и тест обновлений. Большинство “наплакались с Keycloak” начинается не из-за плохого Keycloak, а из-за того, что его поставили как обычный плагин, без плана эксплуатации.