Beste Europese alternatieven voor Auth0

Waarom mensen Auth0 verlaten

Twee dingen die mensen over Auth0 herhalen, zijn het checken waard voordat je aan een migratie begint. Het eerste is dat het je gebruikers vastzet in Amerikaanse datacenters.

Dat klopt niet: een regio kies je bij het aanmaken van de tenant. EU en EU-2 staan in die lijst naast de VS, Canada, het VK, Australië en Japan, en de keuze komt terug in het tenantdomein.

Het tweede is dat het gratis abonnement karig is. Het dekt 25,000 maandelijks actieve gebruikers, zowel op de zakelijke als op de consumentenladder, en de zelf gehoste alternatieven op deze pagina kennen helemaal geen gebruikersplafond. Het gratis niveau is dus niet waar deze vergelijking om draait.

De reden waarom teams weggaan, is de vorm van de factuur. De kosten volgen het aantal maandelijks actieve gebruikers, dus de post beweegt mee met het verkeer en niet met de omzet, en het niveau waarin je terechtkomt, hangt af van wie je gebruikers zijn.

Bij 500 maandelijks actieve gebruikers kost Essentials $35 per maand voor een consumentenproduct en $150 voor een zakelijk product. Professional kost $240 tegenover $800. Elke extra enterprise-SSO-verbinding voegt $100 per maand toe, en de add-on voor AI-agents vermenigvuldigt de basisprijs met anderhalf.

Als je dit samen leest, is het patroon duidelijk. Auth0 is goedkoop zolang je gebruikers anonieme consumenten zijn, en duur zodra het bedrijven zijn wier IT-afdeling SAML wil. Precies dan begint je product echt geld te verdienen. De dienst is niet veranderd. De klant wel, en de prijs volgt.

• De factuur volgt de logins, niet de waarde Prijzen op basis van maandelijks actieve gebruikers betekenen dat een marketingcampagne, een seizoenspiek of een golf slapende accounts die wakker worden, allemaal op de factuur terechtkomen. Aan de dienst is die maand niets verbeterd. Teams die een identity-server zelf hosten, betalen voor een virtuele machine en een database, en honderdduizend logins kost net zoveel als duizend.
• Zakelijke klanten bedienen kost vier keer zoveel Bij dezelfde 500 maandelijks actieve gebruikers kost de zakelijke ladder $150 per maand, waar de consumentenvariant $35 kost, en $800 waar de consumentenvariant $240 kost. Bovenop dat kost elke extra enterprise-SSO-verbinding $100 per maand. Een extra zakelijke directory koppelen is bij elk alternatief hier een configuratiewijziging, en bij Auth0 een terugkerende kost.
• De regio zit in het domein Kies EU bij het aanmaken van de tenant, en het domein weerspiegelt dat, net als in het gedocumenteerde voorbeeld example-co.au.auth0.com. Op dag één is dat prima, maar later wordt het lastig, omdat elke applicatie, mobiele build en token-validator van de API is ingesteld om de issuer-URL te vertrouwen. Dataresidentie is hier geen instelling die je in een console omzet; het is onderdeel van de identifier.
• De overdracht rust op een politiek instrument Okta, Inc., in het eigen privacybeleid beschreven als inclusief dochteronderneming Auth0 LLC, zit op 100 First Street in San Francisco en certificeert onder het EU-U.S. Data Privacy Framework. Een kader is een afspraak tussen overheden, en de vorige twee regelingen voor dezelfde route zijn door het Hof van Justitie nietig verklaard. Het kiezen van de EU-regio haalt het Amerikaanse bedrijf niet uit de keten.

Wat je moet vervangen, niet alleen evenaren

Auth0 bestaat uit drie losse producten die aan elkaar zijn gekoppeld, en welk je werkelijk gebruikt, bepaalt of dit een week of een kwartaal wordt.

Het eerste is de gehoste inlogpagina: een scherm dat je nooit hebt geschreven, opgemaakt in een dashboard, dat aanmelden, wachtwoord resetten, social-loginknoppen en MFA-prompts afhandelt. Het tweede is de protocolserver eronder, die OAuth 2.0- en OpenID Connect-tokens uitgeeft die je API's valideren. Het derde is de uitbreidingslaag, waar Actions je eigen code binnen de inlogpijplijn uitvoeren, waardoor de identityprovider een plek wordt waar bedrijfslogica leeft.

Elke tool op deze pagina vervangt het tweede onderdeel goed. Het eerste is waar het werk zit, want de meeste alternatieven verwachten dat jij dat scherm bouwt. Het derde is de val: als er Actions zijn die tokens verrijken, een interne service aanroepen of logins vanaf bepaalde domeinen blokkeren, moet die code ergens anders heen, en geen enkel alternatief hier heeft een kant-en-klaar equivalent.

De alternatieven vergeleken

Hoe elk alternatief zich verhoudt tot Auth0

Wat er echt stukgaat als je overstapt

De issuer-URL is het ding dat breekt, en dan breekt het overal tegelijk. Elke applicatie, mobiele build, API-gateway en achtergrondtaak is ingesteld om tokens van je Auth0-domein te vertrouwen, en dat domein draagt de regio in zich.

Wijzigen is een gecoördineerde release over elke client die je uitbrengt, inclusief de mobiele versies op telefoons die je niet beheert. Daarom draaien teams beide providers een tijdlang parallel in plaats van op één datum over te schakelen.

Wachtwoorden en tweede factoren zijn het volgende probleem, en het zijn aparte problemen. Profielgegevens zijn redelijk netjes te exporteren als JSON of CSV, waarbij de CSV is beperkt tot 30 velden en het bestand na een dag wordt verwijderd.

Wachtwoord-hashes zitten niet in die export, dus de realistische route is verifiëren tegen de oude tenant bij de eerste login en daarna een nieuwe hash lokaal wegschrijven. TOTP-geheimen en geregistreerde beveiligingssleutels verhuizen helemaal niet, dus elke gebruiker die een tweede factor heeft ingesteld, moet die opnieuw instellen.

Dan is er nog de code die niemand meer weet geschreven te hebben. Actions die een token verrijken met een rol, een intern facturatiesysteem aanroepen of registraties vanaf consumentenmaildomeinen weigeren, zijn bedrijfsregels die in de inlogpijplijn leven en meestal niet gedocumenteerd zijn. Maak er een inventaris van voordat je je vastlegt, want die lijst bepaalt het verschil tussen twee weken en een kwartaal.

Als ik de EU-regio al kan kiezen, wat moet ik dan nog oplossen?

Vooral de kosten, en de richting waarin die bewegen. De EU-regio geeft antwoord op de vraag waar de gegevens worden bewaard, en doet dat goed genoeg dat een inkoopvragenlijst over de opslaglocatie tevreden is zonder dat je iets verandert. Het raakt het facturatiemodel niet, en dat is juist wat je deed kijken.

Het tweede dat overblijft, is de zakelijke keten. De contractpartij is een Californische vennootschap die vertrouwt op het EU-U.S. Data Privacy Framework, dus rechtmatige doorgifte hangt af van een afspraak tussen overheden in plaats van van een eigenschap van de software. Organisaties die zien dat twee van zulke afspraken omvielen, beschouwen dat meestal als een actueel risico in plaats van een opgelost vraagstuk.

Als het geld en de keten je allebei niet dwarszitten, is het eerlijke advies om te blijven, de EU-regio aan te zetten en het migratiebudget elders uit te geven.

Wat gebeurt er met de wachtwoorden van mijn gebruikers als ik verhuis?

Dit is de vraag die het projectplan bepaalt. De gedocumenteerde bulk-export levert profielgegevens in JSON of CSV, waarbij de CSV is beperkt tot 30 velden en het gegenereerde bestand na een dag wordt verwijderd. Wachtwoord-hashes maken geen deel uit van die export.

De standaardaanpak is een lazy migration: zet de nieuwe identity-server naast Auth0 neer. De eerste keer dat een gebruiker inlogt, verifieer je het wachtwoord tegen het oude systeem, schrijf je een nieuwe hash in het nieuwe systeem en vraag je het oude systeem niet langer naar dat account. Na een paar maanden is het restant klein genoeg om via e-mail te resetten.

Het alternatief is een verplichte reset voor iedereen op één datum. Dat werkt, maar het kost je een meetbaar deel van je gebruikersbestand. Kies bewust, want hier verliezen identiteitsmigraties stilletjes klanten.

Moet ik het inlogscherm zelf bouwen?

Met Ory en, in mindere mate, Keycloak: ja. Auth0 levert een gehoste pagina die al aanmelden, resetten, sociale providers en de MFA-prompt afdekt, en dat is echt het deel dat mensen onderschatten als ze functielijsten vergelijken.

Keycloak levert eigen inlogpagina's met een thema-systeem, dus het scherm bestaat al en je past het aan in plaats van het te schrijven. Zitadel heeft op dezelfde manier gehoste inlogflows met branding per organisatie. Ory doet dat bewust niet: Kratos levert de flows en verwacht dat je frontend ze rendert.

Reken dit in weken, niet in story points. Aanmelden, een vergeten wachtwoord, e-mailverificatie, MFA-registratie, MFA-uitdaging, accountkoppeling en de foutstatussen van elk daarvan zijn samen twee weken frontend-werk die niemand in het migratieplan heeft gezet.

Ondersteunen deze tools Actions en de inlogpijplijn?

Niet als een één-op-één vervanging, en wie iets anders beweert, verdoezelt het. Met Actions voer je JavaScript uit op vaste punten in de inlogpijplijn, in de runtime van Auth0, uitgerold vanuit het Auth0-dashboard.

Het antwoord van Keycloak zijn authenticator-SPI's en aangepaste providers: echte uitbreidingspunten, maar in Java, gecompileerd en uitgerold met de server in plaats van in een browser bewerkt. Het antwoord van Ory zijn webhooks die afgaan bij overgangen tussen flows, wat betekent dat je code in je eigen service draait. Zitadel volgt een vergelijkbaar pad met acties en event-triggers.

Functioneel bereik je hetzelfde resultaat. Operationeel heb je een snippet in een dashboard omgezet in een uitrolbaar artefact met een eigen pijplijn. Dat is betere techniek en meer werk.

Welke kies je

Als je Auth0-tenant de inlog van je eigen product is en je Auth0 waardeerde als ontwikkeltool en niet als IT-systeem, is Ory de eerlijke eerste keuze, ook al staat het op deze pagina op de tweede plek. Het voelt het meest vertrouwd, en het frontend-werk dat het vraagt, is de prijs van die vertrouwdheid.

Als het dure deel het hebben van zakelijke klanten is (organisaties, enterprise-verbindingen, een zakelijke directory per account), pakt Zitadel precies dat aan, zonder de prijssprong die je deed gaan lezen.

Als het bezwaar de maatstaf zelf is, maakt Keycloak daar een einde aan. Logins houden op een factureerbare gebeurtenis te zijn, federatie houdt op een abonnement te zijn, en je betaalt in plaats daarvan voor een server en voor de persoon die die beheert.

En als dat allemaal niet jouw situatie is, is de eerlijke conclusie om te blijven. Zet de EU-regio aan, neem de 25,000 gratis maandelijks actieve gebruikers mee en kijk opnieuw wanneer je eerste enterprise-klant om SAML vraagt.