Alternative à Auth0 : où partir et comment migrer sans perdre un compte

Pourquoi partir sur Clerk. Clerk fournit les écrans de connexion, d'inscription et de profil sous forme de composants prêts à poser dans une app React ou Next.js. Là où Auth0 te renvoie vers sa page de connexion universelle, Clerk s'affiche dans ton interface. Le plan Hobby est gratuit jusqu'à 50 000 utilisateurs retenus par mois et par application, contre 25 000 utilisateurs actifs chez Auth0 (deux unités différentes).

Pour qui. Les équipes produit sur React ou Next.js, en B2C comme en SaaS B2B, qui veulent des organisations et des rôles sans écrire de back-office.

Pour qui ce n'est pas fait. Une app qui n'est pas en JavaScript côté interface, ou un grand compte qui exige d'héberger lui-même ses identités.

Sa limite. Clerk ne compte pas les mêmes utilisateurs qu'Auth0. Un MRU (monthly retained user) est un utilisateur revenu au moins un jour après son inscription : un inscrit qui ne revient jamais ne coûte rien, mais tes chiffres Auth0 et Clerk ne se comparent pas ligne à ligne. Côté B2B, une seule connexion SSO entreprise est incluse, puis 75 $ par mois chacune, et une organisation plafonne à 20 membres sans l'option B2B à 100 $ par mois.

Comment migrer. Clerk publie un outil d'import open source qui lit un fichier JSON ou CSV, avec un champ password_hasher pour garder les mots de passe existants. Il accepte aussi une migration progressive (« trickle ») : chaque utilisateur bascule à sa prochaine connexion. Prévois un point : les sessions ouvertes sautent au basculement, tout le monde se reconnecte une fois.

Pourquoi partir sur Supabase Auth. Si ton app tourne déjà sur Supabase, l'authentification est incluse dans le même abonnement : 50 000 utilisateurs actifs par mois en gratuit, 100 000 dans le plan Pro à 25 $ par mois et par organisation, puis 0,00325 $ par utilisateur actif supplémentaire. À 200 000 utilisateurs actifs, le surplus ajoute environ 325 $ par mois. Aucun palier « Contact us » au milieu.

Pour qui. Les équipes qui veulent leurs utilisateurs dans la même base Postgres que leurs données, avec des règles d'accès par ligne (Row Level Security) écrites en SQL.

Pour qui ce n'est pas fait. Un SaaS B2B qui s'appuie sur les Organizations d'Auth0 : Supabase Auth n'a pas d'équivalent, tu recodes la notion d'équipe toi-même.

Sa limite. Le MFA se limite au TOTP (application d'authentification) dans le guide de migration, et un projet gratuit inactif est mis en pause au bout de 7 jours. Pour une app de production, compte le plan Pro dès le départ. Le SAML est inclus pour 50 utilisateurs actifs, puis facturé 0,015 $ chacun.

Comment migrer. Supabase publie un guide dédié à Auth0. Il importe les hachages bcrypt et Argon2, donc tes utilisateurs gardent leur mot de passe, à condition d'obtenir l'export des hachages auprès du support Auth0. Les facteurs MFA sont à réenrôler, et les connexions SAML se relient avec l'aide du support Supabase. Le détail est dans notre avis sur Supabase, et si Supabase ne te convient pas, vois ses alternatives.

Pourquoi partir sur WorkOS. Le premier motif de départ chez les SaaS B2B, c'est la facture du SSO entreprise. WorkOS sépare les deux : AuthKit, sa brique de connexion, est gratuit jusqu'à 1 million d'utilisateurs actifs par mois. Tu ne paies que les connexions entreprise (SSO et synchronisation d'annuaire), 125 $ par mois chacune de la 1re à la 15e, puis 100 $ de la 16e à la 30e.

Pour qui. Un SaaS qui signe des clients équipés d'Okta, Entra ID ou Google Workspace, et dont chaque contrat exige du SAML ou du SCIM.

Pour qui ce n'est pas fait. Une app grand public : ce que WorkOS facture bien, tu ne t'en serviras pas.

Sa limite. Chaque client entreprise ajoute une ligne fixe à ta facture. Avec 20 clients en SSO, compte autour de 2 375 $ par mois (15 × 125 $ + 5 × 100 $). C'est souvent moins cher qu'Auth0 B2B, mais refacture ce coût dans ton plan Entreprise.

Comment migrer. Le plus délicat n'est pas l'import des comptes : c'est la reconfiguration du SSO avec chaque client, qui doit changer l'URL de rappel ou les métadonnées SAML de son côté. Préviens tes clients entreprise un mois avant et fixe un créneau avec chacun.

Pourquoi partir sur Firebase. Firebase Authentication laisse 50 000 utilisateurs actifs par mois gratuits, sur le plan Spark comme sur le plan Blaze. Pour une app mobile grand public, c'est l'écart le plus simple à expliquer : un retour d'expérience lu sur Hacker News parle d'une facture « deux ordres de grandeur » plus basse après le passage d'Auth0 à Firebase.

Pour qui. Les apps iOS et Android, et les équipes qui utilisent déjà Firestore, Cloud Functions ou Google Cloud.

Pour qui ce n'est pas fait. Un SaaS B2B qui a besoin d'organisations, de rôles et de SSO par client : Firebase ne les fournit pas tels quels.

Sa limite. Le SAML et l'OIDC ne sont gratuits que pour 50 utilisateurs actifs par mois ; au-delà, la tarification d'Identity Platform sur Google Cloud s'applique. Et tu dépends de Google pour l'hébergement, ce qui pèse dans une analyse RGPD.

Comment migrer. Vérifie dans la documentation d'import Firebase que l'algorithme de tes hachages Auth0 est pris en charge avant de lancer quoi que ce soit, et fais un essai sur une dizaine de comptes. Si tu quittes aussi Firebase un jour, notre guide pour quitter Firebase détaille le chemin inverse.

Pourquoi partir sur Cognito. Le prix au MAU le plus bas de cette page parmi les services facturés au MAU seul, sans abonnement : en offre Lite, 10 000 utilisateurs actifs gratuits, puis 0,0055 $ chacun, puis 0,0046 $ au palier suivant. Un développeur sur Hacker News raconte être passé d'Auth0 à Cognito quand ses connexions entreprise ont fait passer la note de gratuit à 15 000 $ par an.

Pour qui. Les équipes déjà sur AWS (Lambda, API Gateway, IAM), à l'aise avec la console et l'infrastructure en code.

Pour qui ce n'est pas fait. Une équipe qui veut des écrans de connexion soignés sans y passer du temps : la personnalisation de Cognito est plus limitée que chez Auth0 ou Clerk.

Sa limite. Trois offres qui ne se ressemblent pas : Lite, Essentials (10 000 gratuits puis 0,015 $) et Plus (0,020 $ sans gratuit). Le SAML et l'OIDC sont gratuits pour 50 utilisateurs, puis 0,015 $. Les pools créés avant la refonte tarifaire de fin 2024 gardent 50 000 MAU gratuits : ne supprime pas un vieux pool sans le savoir.

Comment migrer. Cognito a un déclencheur Lambda « Migrate user » : à la première connexion, ta fonction vérifie le mot de passe auprès d'Auth0 et crée le compte dans Cognito. Personne ne réinitialise rien, mais Auth0 doit rester ouvert pendant toute la fenêtre. Un utilisateur qui passe par « mot de passe oublié » repart, lui, en réinitialisation. Pour automatiser autour, il existe un nœud AWS Cognito dans n8n.

Pourquoi partir sur Keycloak. Plus aucune facture au MAU. Keycloak est un serveur d'identité open source sous licence Apache 2.0, avec plus de 37 000 étoiles sur GitHub : SSO, SAML, OIDC, fédération d'annuaires LDAP, MFA, tout est dans la boîte. Les SaaS qui facturent chaque connexion entreprise 100 $ par mois s'en vont souvent là.

Pour qui. Une équipe avec des compétences d'exploitation (Kubernetes, base de données, sauvegardes), ou une organisation qui doit garder ses identités chez elle.

Pour qui ce n'est pas fait. Une startup de trois développeurs sans personne pour l'astreinte : la licence est gratuite, l'exploitation ne l'est pas.

Sa limite. Les mises à jour. Les prestataires qui proposent Keycloak en service managé comptent environ quatre versions mineures par an, et chaque montée de version se prépare. Une panne de ton serveur d'identité bloque toutes les connexions de ton produit.

Comment migrer. Keycloak importe des utilisateurs en JSON, et un fournisseur de stockage personnalisé (SPI) peut vérifier les anciens mots de passe à la volée. C'est plus de code qu'avec Clerk ou Cognito : compte quelques jours de développement Java.

Pourquoi partir sur Cloud-IAM. Tu veux Keycloak sans t'occuper des serveurs, et des données qui restent en France. Cloud-IAM, éditeur français, héberge des instances Keycloak gérées chez Outscale ou Scaleway, avec les qualifications SecNumCloud 3.2 et HDS sur Outscale. C'est la seule offre de cette page qui affiche ses prix en euros.

Pour qui. Le secteur public, la santé, la finance, et toute entreprise dont les clients posent la question « où sont hébergées les identités ? » dans leurs appels d'offres.

Pour qui ce n'est pas fait. Une app grand public à des centaines de milliers d'inscrits : la facturation suit le nombre de comptes, pas les utilisateurs actifs.

Sa limite. Le prix au-delà des paliers dépend du nombre de comptes, et la grille détaillée n'est pas publique. Demande un devis sur ton volume réel avant de comparer avec Auth0.

Comment migrer. C'est du Keycloak : même chemin d'import que la fiche précédente, avec en plus le support de l'éditeur. Un freemium à 100 utilisateurs sert à valider ta configuration avant de payer.

Pourquoi partir sur ZITADEL. ZITADEL, éditeur suisse, a été pensé pour le B2B multi-tenant : chaque client a son espace, ses fournisseurs d'identité et ses administrateurs. Tu peux l'auto-héberger ou prendre le cloud, avec une résidence des données au choix en Europe, aux États-Unis, en Suisse ou en Australie. Le plan Pro coûte 100 $ par mois pour 25 000 utilisateurs actifs quotidiens.

Pour qui. Un SaaS B2B qui veut le modèle d'organisations d'Auth0 sans sa facture par connexion, et garder la porte ouverte à l'auto-hébergement.

Pour qui ce n'est pas fait. Une équipe qui veut modifier le code et le garder fermé : depuis la version 3, le cœur est sous licence AGPL 3.0, avec une licence commerciale possible.

Sa limite. L'unité de facturation : ZITADEL compte des utilisateurs actifs quotidiens (DAU), pas mensuels. Une app où tout le monde se connecte chaque jour consomme vite son forfait. Le gratuit s'arrête à 100 DAU et 3 fournisseurs d'identité.

Comment migrer. Avant de signer, demande à l'éditeur la procédure d'import des hachages bcrypt exportés d'Auth0, et fais l'essai sur une poignée de comptes dans le plan gratuit.