Wie vertrauenswürdig ist Keycloak?
Der Wert stammt aus der transparenten Bewertungsmethode des Quelldatensatzes. Er ist eine strukturierte Orientierung, keine Sicherheitsgarantie und kein Ersatz für deine eigene Risikoprüfung.
Vier Bewertungsdimensionen
Positive Signale erhöhen, Vorbehalte reduzieren den WertPositive Signale
30 BelegeKeycloak dokumentiert private Schwachstellenmeldungen und strebt Bestätigung binnen sieben Geschäftstagen an.
Quelle prüfen ↗Die Policy deckt alle Keycloak-Komponenten ab und koordiniert Forschung über ein Security-Response-Team.
Quelle prüfen ↗Release 26.6.1 lieferte Fixes für SSRF- und User-Enumeration-CVEs.
Quelle prüfen ↗Die Red-Hat-build-Seite veröffentlicht aktuelle wichtige Security Advisories für unterstützte Keycloak-Builds.
Quelle prüfen ↗Die offizielle Container-Doku sagt, dass dem Image übliche Paketwerkzeuge fehlen, um die Angriffsoberfläche zu verringern.
Quelle prüfen ↗Das Produktions-Container-Beispiel startet Keycloak mit gesicherter HTTPS-Kommunikation.
Quelle prüfen ↗Unterstützte Features umfassen WebAuthn, Passkeys, DPoP, PAR, CIBA und feingranulare Admin-Rechte.
Quelle prüfen ↗Keycloak bietet bei Bedarf eine unterstützte Option für FIPS-140-2-Modus.
Quelle prüfen ↗Keycloak wird von CNCF als incubating Cloud-Native-Projekt geführt.
Quelle prüfen ↗Die CNCF-Projektankündigung nannte Hunderte Mitwirkende und mehr als 100 Releases.
Quelle prüfen ↗Das öffentliche Repository zeigt eine große Nutzer- und Contributor-Basis mit Tausenden Forks, Issues und Pull Requests.
Quelle prüfen ↗IBMs Übernahmeerklärung sagt, Red Hat behalte Unabhängigkeit und Neutralität innerhalb eines großen Enterprise-Mutterkonzerns.
Quelle prüfen ↗Red Hat veröffentlicht eine Lifecycle-Policy für Red Hat build of Keycloak mit Major- und Minor-Supportfenstern.
Quelle prüfen ↗Die Red-Hat-build-Seite verlinkt Release Notes, unterstützte Konfigurationen, Installation, Upgrade, Server- und Anwendungsdoku.
Quelle prüfen ↗Die offizielle Download-Seite bietet Keycloak 26.6.1 als aktuellen Server-Release an.
Quelle prüfen ↗Rolling Updates für Patch-Releases sind ab der 26.6-Linie standardmäßig aktiviert.
Quelle prüfen ↗Keycloak ist für High Availability und Multi-Node-Cluster mit verteilten Caches ausgelegt.
Quelle prüfen ↗Eingebaute Health-Endpunkte unterstützen Startup-, Liveness-, Readiness- und Gesamt-Health-Checks.
Quelle prüfen ↗Keycloak stellt bei Aktivierung OpenMetrics-kompatible Metriken auf einem Management-Endpunkt bereit.
Quelle prüfen ↗Aktuelle Releases fügten OpenTelemetry-Unterstützung für Metriken und Logging hinzu.
Quelle prüfen ↗Offizielle Auslieferung umfasst Server-Archive, Container-Images und einen Operator für Kubernetes und OpenShift.
Quelle prüfen ↗Red Hat sagt, jeder unterstützte Build werde über Plattform-, JVM- und Datenbank-Kombinationen getestet, verifiziert und supportet.
Quelle prüfen ↗Red Hat build of Keycloak bietet Support-Cases, Live-Chat sowie Telefon- und Email-Supportpfade.
Quelle prüfen ↗Die Apache-2.0-Lizenz gewährt kostenlose Copyright- und Patentrechte für Nutzung, Änderung und Weitergabe.
Quelle prüfen ↗Betreiber können per offiziellen Archiven, Container-Images oder Kubernetes- und OpenShift-Operator selbst hosten.
Quelle prüfen ↗Realm-Import und -Export nutzen JSON-Dateien über dokumentierte CLI-Kommandos.
Quelle prüfen ↗Die Download-Seite veröffentlicht Drittanbieter-Lizenz- und Quellcodeinformationen für Abhängigkeiten.
Quelle prüfen ↗Offizielle Downloads enthalten JavaScript-, Admin-, Authorization-, Policy-Enforcer- und Common-Client-Artefakte.
Quelle prüfen ↗Ein unterstützter Red-Hat-Build ist verfügbar, ohne die Upstream-Community-Edition zu entfernen.
Quelle prüfen ↗Unterstützte Standard-Features umfassen OpenID Connect, OAuth-nahe Flows, WebAuthn und Token-Exchange-Fähigkeiten.
Quelle prüfen ↗Vorbehalte
10 PunkteEin CVE vom März 2026 zeigte, dass Keycloak Redirects in Client-Konfigurationsanfragen folgen und interne Ressourcen erreichen konnte.
Quelle prüfen ↗Ein CVE vom Februar 2026 erlaubte unauthentifizierten SAMLRequest-Dekompressionsverkehr für Denial of Service.
Quelle prüfen ↗Ein CVE vom März 2026 zeigte, dass Organisation-Login-Fehlermeldungen vorhandene Benutzernamen verraten konnten.
Quelle prüfen ↗Red Hat meldete 2025 einen Consulting-GitLab-Einbruch mit kopierten Projektdaten, sagte aber, Produkte und Lieferkette seien nicht betroffen.
Quelle prüfen ↗Red Hats öffentliche SOC-2-Type-2-Seite nennt Red Hat Single Sign-On, aber nicht aktuelles Upstream-Keycloak oder Red Hat build of Keycloak.
Quelle prüfen ↗Ein Liquibase-Relicensing-Problem von 2025 bleibt ein offener Blocker, weil CNCF source-available Abhängigkeiten normalerweise nicht erlaubt.
Quelle prüfen ↗Offizielle Import-Export-Doku warnt, dass Exporte nur bei gestoppten Nodes konsistent sind und Sessions, Events, Workflow-State und widerrufene Tokens auslassen.
Quelle prüfen ↗Rolling Updates decken Patch-Releases ab 26.6.0 ab, während nicht unterstützte Rolling-Upgrades weiter das Stoppen von Keycloak erfordern.
Quelle prüfen ↗Die Upstream-Security-Policy erwartet regelmäßige Upgrades und verweist Nutzer mit Langzeitsupportbedarf auf Red Hat build of Keycloak.
Quelle prüfen ↗Red Hat sagte, dass Middleware-Engineering- und Produktteams in IBMs Data-Security-, IAM- und Runtimes-Organisation wechseln würden.
Quelle prüfen ↗So funktioniert die Methode
Die Basisklasse beginnt je nach Offenheit und Rechtsraum bei unterschiedlichen Ausgangswerten. Danach werden Sicherheit, Governance, Zuverlässigkeit sowie Vertrag und Portabilität bewertet. Neuere oder strukturelle Vorbehalte wiegen stärker; ältere Ereignisse verlieren stufenweise Gewicht. Abzüge sind grundsätzlich gedeckelt, bestimmte gravierende Ausnahmen können davon ausgenommen sein. Klassenobergrenzen verhindern, dass positive Zusatzpunkte grundlegende Jurisdiktions- oder Transparenzrisiken vollständig verdecken.
Wichtig: Der Score bewertet öffentlich belegte Eigenschaften. Er besagt nicht, dass ein Produkt fehlerfrei, rechtssicher oder für deinen konkreten Einsatzzweck geeignet ist.