Le chiavi del nostro castello europeo: perché abbiamo scelto Authentik per PixelUnion (e Immich!)

Gestiamo PixelUnion – la tua alternativa europea a Google Photos incentrata sulla privacy. Crediamo che l’Europa possa contare su sé stessa e che la tecnologia costruita qui possa competere con quella statunitense.

In qualunque piattaforma seria c’è un servizio imprescindibile per la sicurezza: l’Identity Provider (IDP). Questa componente detiene l’identità degli utenti e le chiavi dei loro “castelli”. Per noi è un valore fondamentale che un’infrastruttura così critica rimanga in Europa.

Quindi: perché Authentik?

Il problema dell’identità in Immich

La nostra base è Immich. Progetto eccellente – ma gestisce solo utenti interni semplici (username + password) e non supporta la multi‑factor authentication (MFA).

Non è una mancanza, è una scelta consapevole. Il team Immich sa – come noi – che gestire un IDP è un mestiere specializzato per software e ingegneri di sicurezza dedicati. Loro si concentrano sul core di Immich.

Come piattaforma SaaS abbiamo però bisogno di sicurezza avanzata:

1. MFA: Supporto a passkey o token temporanei (codici monouso da app autenticatrice).
2. Flusso di invito: Gli utenti devono poter invitare familiari e amici da Immich. Flusso: aggiunta al tenant, e‑mail per creare l’account IDP, ritorno all’istanza.

Perché abbiamo dovuto costruirlo noi

Abbiamo cercato un IDP europeo che rispettasse i nostri criteri:

1. Europeo e affidabile
2. Sotto il nostro controllo di hosting
3. Sostenibile economicamente con migliaia di utenti esterni

Risultato: nessun fornitore spuntava tutte le caselle.

Restava una sola opzione realistica: auto‑hosting. Abbiamo valutato anche Keycloak, ma abbiamo scelto Authentik.

Authentik: open source, sicuro ed efficiente nei costi

Authentik ha soddisfatto subito requisiti di sicurezza, controllo e crescita futura.

1. Sicurezza & apertura

È veramente open source. Ci dà trasparenza e ci permette di dare priorità a controllo, personalizzazione e tutela dei dati. Supporta tutti i metodi MFA necessari e offre funzioni avanzate per il futuro.

2. Standard & flessibilità

Supporta SAML2, OAuth2, OpenID Connect (OIDC), LDAP e Radius. Le applicazioni non devono “conoscere Authentik”: basta aderire ai protocolli standard. Qualunque cosa parli OIDC funziona subito. Un punto centrale per l’autenticazione, altamente personalizzabile.

3. Costi

È gratuito e open source. Con la nostra scala, auto‑ospitarlo è molto più conveniente rispetto ai modelli a utente o autenticazione.

E adesso? Stiamo costruendo!

Siamo in fase di implementazione. Nei prossimi mesi migriamo utenti e piattaforma su Authentik. Priorità: beta testing approfondito e hardening con tecniche moderne.

Un’esperienza MFA fluida è cruciale. A causa del nostro flusso di invito servirà una piccola modifica al progetto open source Immich. La proporremo e vi aggiorneremo quando l’integrazione IDP sarà pronta.

Seguiteci mentre compiamo questo passo verso un’alternativa fotografica sicura e sovrana, made in Europe.