İçindekiler
- Hızlı Karşılaştırma
- Keycloak: Kurumsal düzeyde açık kaynak esneklik
- Ory Kratos: Modern ve geliştirici odaklı kimlik altyapısı
- Auth0: Hızlı entegrasyon ve kolay başlanabilirlik
- Stytch: Passkey ve mobil öncelikli passwordless
- Magic: Geliştirici dostu WebAuthn ve passwordless SDK'ları
- Hangisini Seçmelisin?
- Sıkça Sorulan Sorular
En güçlü kimlik doğrulama trendlerinden biri parolasız (passwordless) ve WebAuthn tabanlı çözümlerdir. Bu rehberde, ücretli planlara alternatif olarak kullanabileceğin ücretsiz ve açık kaynaklı çözümleri ele alıyoruz; hangi aracın hangi senaryoda daha uygun olduğuna odaklanıyoruz.
Öğrenci, serbest çalışan veya küçük işletme olarak güvenli ama maliyeti düşük bir kimlik doğrulama kurmak isteyebilirsin. Aşağıda hem self‑host edebileceğin açık kaynak projeleri hem de ücretsiz planda sınırlamalar olan bulut servislerini karşılaştırıyoruz, böylece projenin gereksinimine göre doğru seçimi yapabilirsin.
Hızlı Karşılaştırma
| Program | Platform | En iyi olduğu iş | Ücret |
|---|---|---|---|
| Keycloak | Self‑host / Docker / Kubernetes | Tam özellikli açık kaynak Kimlik & SSO | Açık kaynak, self‑host (ücretsiz) |
| Ory Kratos | Self‑host / Docker / Kubernetes | Modern developer‑friendly kimlik yönetimi | Açık kaynak, self‑host (ücretsiz) |
| Auth0 | Bulut / SDK'lar | Hızlı entegrasyon, zahmetsiz prototip | Ücretsiz planda sınırlamalar var |
| Stytch | Bulut / SDK'lar | Mobil ve passkey odaklı passwordless | Ücretsiz planda sınırlamalar var |
| Magic | Bulut / SDK'lar | Geliştirici dostu WebAuthn & passkeys | Ücretsiz planda sınırlamalar var |
Keycloak: Kurumsal düzeyde açık kaynak esneklik
Keycloak, açık kaynaklı kimlik ve erişim yönetimi (IAM) çözümüdür. Tek oturum açma (SSO), sosyal giriş, LDAP/AD entegrasyonu ve OAuth2/OpenID Connect desteğiyle bilinir; ayrıca WebAuthn desteği sayesinde parolasız ve FIDO tabanlı doğrulamaları yapılandırabilirsin. Self‑host edip altyapına tam kontrol istiyorsan Keycloak güçlü bir adaydır.
Özellikle altyapıda Docker veya Kubernetes kullanıyorsan Keycloak hazır entegrasyonlar ve geniş eklenti desteğiyle işe yarar. Yönetim konsolu ve realm/tenant yapısı sayesinde çoklu uygulama ve ekipler için merkezi kimlik politikasını uygulayabilirsin.
Artıları
- Tamamen açık kaynak ve self‑host edilebilir, maliyet kontrolü sağlar
- SSO, roller, izinler ve çoklu protokoller (OIDC, SAML) desteği
- WebAuthn entegrasyonu ile FIDO2/passkey kullanımına uygun
Eksileri
- Başlangıçta kurulumu ve konfigürasyonu karmaşık olabilir
- Yönetim ve ölçekleme için altyapı işletme gereksinimi var
Kimler için? Self‑host etmeyi planlayan, kapsamlı kimlik yönetimi ve SSO ihtiyacı olan orta‑büyük projeler için.
Ory Kratos: Modern ve geliştirici odaklı kimlik altyapısı
Ory Kratos, modern uygulamalar için tasarlanmış açık kaynak bir kimlik yönetimi motorudur. Kullanıcıyı kaynak olarak ele alır ve esnek akışlarla (registration, login, recovery) çalışır; WebAuthn ve FIDO2 gibi parolasız yöntemleri destekleyerek güçlü doğrulama senaryoları kurmana izin verir. Ory ekosistemi ayrıca Hydra ve Keto gibi yetkilendirme/izin bileşenleriyle bütünsel çözümler sunar.
Geliştirici deneyimine önem veren ekiplerde, Kratos’un API tabanlı yapısı ve kendi arayüzünü kolayca inşa etme imkanı tercih sebebidir. Self‑host senaryosunda Kubernetes konfigürasyonları ve örnek akışlar geliştiricilere hız sağlar.
Artıları
- Açık kaynak ve API‑first yaklaşımıyla özelleştirilebilir
- WebAuthn/FIDO2 desteği ve esnek kimlik akışları
- Ory ekosistemi ile yetkilendirme/izin çözümleriyle uyumlu
Eksileri
- Tam olarak üretime taşıma için altyapı ve operasyonel bilgi gerekli
- Bazı gelişmiş entegrasyonlar ek çaba gerektirebilir
Kimler için? Geliştirici merkezli, özelleştirilebilir ve self‑host edilebilen kimlik altyapısı arayan ekipler için.
Auth0: Hızlı entegrasyon ve kolay başlanabilirlik
Auth0, bulut tabanlı kimlik sağlayıcısıdır ve parola, e‑posta bağlantısı, SMS ve WebAuthn/passkey gibi parolasız yöntemleri destekler. SDK’ları ve geniş dil/platform desteği sayesinde prototipten üretime hızlı geçiş imkanı verir; kullanıcı yönetimi, kurallar ve entegrasyonlar işini kolaylaştırır.
Ücretsiz planı başlangıç için yeterli olabilir, ancak üretim ölçeğinde kullanım arttıkça ücretli plana geçme ihtiyacı doğabilir. Belgeler ve topluluk kaynakları yeni başlayanlar için büyük avantaj sağlar.
Artıları
- Hızlı entegrasyon, çok sayıda SDK ve örnek uygulama
- WebAuthn ve çeşitli passwordless seçeneklerini destekler
- Yönetilen hizmet olduğu için operasyonel yükü azaltır
Eksileri
- Ücretsiz planda sınırlamalar ve kullanım kotası olabilir
- Tam kontrol isteyenler için self‑host alternatifi yok
Kimler için? Hızlı şekilde parola‑sız giriş eklemek isteyen ekipler ve prototipler için.
Stytch: Passkey ve mobil öncelikli passwordless
Stytch, modern uygulamalarda passkey (WebAuthn) ve diğer passwordless akışları kolaylaştırmak için SDK ve API seti sunar. Mobil uygulamalara ve kullanıcı deneyimine odaklı özellikleriyle, passkey tabanlı girişleri ve magic link/sms gibi hibrit akışları kolayca entegre etmeye uygundur.
Geliştirici belgeleri ve örnek kodları, özellikle iOS/Android uygulamalarında passkey uygulamak isteyen ekipler için çekicidir. Ücretsiz plan başlangıç için yeterli kullanım sağlayabilir, ancak üretim trafiğinde yükselme olasılığı vardır.
Artıları
- Passkey/WebAuthn odaklı, mobil entegrasyonlar için güçlü SDK'lar
- Modern developer deneyimi ve iyi belgelenmiş API'lar
Eksileri
- Ücretsiz plan ölçeği sınırlı olabilir
- Self‑host seçeneği yok, tamamen bulut hizmeti
Kimler için? Mobil uygulama geliştirenler ve kullanıcı deneyimini önceliklendiren startuplar için.
Magic: Geliştirici dostu WebAuthn ve passwordless SDK'ları
Magic (magic.link), geliştiricilere e‑posta, passkey ve WebAuthn tabanlı parolasız kimlik doğrulama sağlayan bir hizmettir. Kolay kurulum, client‑side SDK’lar ve hızlı entegrasyon ile dikkat çeker; özellikle front‑end ağırlıklı projelerde zahmetsiz bir çözüm sunar.
Basit web uygulamalarından SPA ve serverless mimarilere kadar birden çok senaryoda çalışır. Ücretsiz plan küçük projeler veya denemeler için uygundur; ancak üretimde kullanım ile beraber ücretli plana geçme ihtimali olabilir.
Artıları
- Front‑end odaklı, kolayca entegre edilebilen SDK’lar
- WebAuthn ve e‑posta tabanlı magic linkleri destekler
Eksileri
- Ücretsiz planda trafik/aktif kullanıcı sınırlamaları olabilir
- Self‑host seçeneği bulunmuyor
Kimler için? Hızlıca parolasız giriş eklemek isteyen web geliştiricileri ve küçük projeler için.
Hangisini Seçmelisin?
- Kendi sunucunda tam kontrol istiyorsan: Keycloak veya Ory Kratos
- Geliştirici dostu, API tabanlı esneklik istiyorsan: Ory Kratos
- Hızlı entegrasyon ve yönetilen servis tercih ediyorsan: Auth0
- Mobil ve passkey odaklı uygulama geliştiriyorsan: Stytch
- Front‑end odaklı, hızlı prototip için: Magic
Sıkça Sorulan Sorular
WebAuthn ile gerçekten parola kullanmıyor muyuz?
WebAuthn/FIDO2 ekosisteminde kullanıcı cihazı (ör. güvenlik anahtarı veya platform authenticator) temel kimlik doğrulaması sağlar; bu sayede geleneksel parola yerine biyometri veya PIN ile güvenli doğrulama yapılır. Bazı senaryolarda hâlâ hesap kurtarma veya ek doğrulama mekanizmaları kullanılır.
Self‑host mu yoksa bulut hizmeti mi tercih etmeliyim?
Eğer veri üzerinde tam kontrol, uyumluluk veya özelleştirilmiş politika gerekiyorsa self‑host (Keycloak, Ory Kratos) daha uygundur. Operasyonel yükten kaçınmak ve hızlı entegrasyon istiyorsan yönetilen bulut hizmetleri (Auth0, Stytch, Magic) avantajlıdır.
Ücretsiz seçenekler güvenli mi?
Açık kaynak projeler (Keycloak, Ory Kratos) ve popüler bulut sağlayıcıların ücretsiz katmanları da güvenli olacak şekilde tasarlanır; ancak güvenlik sadece yazılımdan ibaret değil — doğru konfigürasyon, TLS, güncelleme ve altyapı yönetimi de kritik.
Passkeys ve WebAuthn arasındaki fark nedir?
Basitçe: WebAuthn bir tarayıcı‑veya platform düzeyinde API standardıdır; passkeys ise kullanıcının hesabını parola yerine yöneten daha kullanıcı dostu anahtar yönetimi yaklaşımına verilen isimlerdir. Birçok servis her iki kavramı da destekleyecek şekilde entegre olur.
Başlamak için en pratik yol nedir?
Hızlı prototip için Auth0, Stytch veya Magic ile başlamak genellikle en pratik yoldur; üretime geçerken ihtiyaçlara göre self‑host alternatiflerine (Keycloak, Ory Kratos) geçiş planlayabilirsin. Ayrıca sitedeki "Ücretsiz Kimlik & SSO Çözümleri" rehberine göz atmak yardımcı olur.
