Pocket ID und Tinyauth erhalten OpenID-Connect-Zertifikat

Hinweis: Dieser Beitrag enthält Affiliate-Links (mit * gekennzeichnet). Kaufst du über einen dieser Links, erhalte ich eine kleine Provision — für dich ändert sich der Preis nicht.

Ritterschlag für zwei Lieblinge der Self-Hosting-Szene: Pocket ID und Tinyauth dürfen sich ab sofort OpenID Connect Certified™ nennen. Die offizielle Zertifizierung der OpenID Foundation bestätigt, dass beide Projekte den Standard sauber und vollständig implementieren — ein Gütesiegel, das sonst eher Enterprise-Schwergewichte wie Keycloak oder Okta tragen.

DARUM ist das Siegel mehr als Deko

OpenID Connect ist das Protokoll hinter dem „Mit X anmelden“-Knopf — und im Homelab der Schlüssel zu Single Sign-On: einmal anmelden, alle Dienste nutzen. Die Zertifizierung bedeutet, dass ein Projekt die offiziellen Konformitäts-Tests der OpenID Foundation bestanden hat. In der Praxis heißt das: weniger Kompatibilitäts-Überraschungen, wenn du Dienste wie Grafana, Portainer, Immich oder Jellyfin anbindest — und mehr Vertrauen, dass sicherheitskritische Details wie Token-Validierung korrekt umgesetzt sind.

Pocket ID: Passkeys statt Passwörter

Pocket ID ist der radikalere der beiden Kandidaten: Der schlanke Identity-Provider kennt ausschließlich Passkeys — Passwörter gibt es schlicht nicht. Angemeldet wird per Fingerabdruck, Gesichtserkennung oder Hardware-Schlüssel. Dazu kommen LDAP-Sync, Benutzergruppen, Audit-Logs und eine REST-API. Wir hatten Pocket ID bereits im Mai vorgestellt — seitdem ist das Projekt rasant gewachsen.

Wer Passkeys mit maximaler Sicherheit nutzen will, kombiniert sie mit einem Hardware-Schlüssel wie dem YubiKey 5 NFC*: Der speichert deine Passkeys physisch getrennt vom Rechner — selbst ein kompromittiertes System kommt dann nicht an deine Identität.

Tinyauth: SSO aus fünf Umgebungsvariablen

Tinyauth verfolgt die Gegenphilosophie: so klein wie irgend möglich. Der Auth-Server konfiguriert sich komplett über Umgebungsvariablen — kein Dashboard, keine Config-Dateien, keine Datenbank-Pflicht. Externe OAuth-Provider und LDAP-Backends werden trotzdem unterstützt. Perfekt für alle, die ihrem Reverse Proxy (Traefik, Caddy, Nginx) einfach einen Login-Schutz vorschalten wollen, ohne gleich einen Keycloak zu betreiben.

EXTRA-TIPP: Welcher passt zu dir?

Faustregel: Willst du einen vollwertigen Identity-Provider mit Nutzerverwaltung und passwortlosem Login für viele Apps — nimm Pocket ID. Willst du schnell und minimalistisch ein paar Dienste hinter einen Login klemmen — nimm Tinyauth. Beide lassen sich sogar kombinieren: Tinyauth kann Pocket ID als OAuth-Provider nutzen.

FAZIT: Self-Hosting wird erwachsen

Dass zwei junge Community-Projekte die gleiche Zertifizierung stemmen wie kommerzielle Identity-Plattformen, sagt viel über den Reifegrad der Self-Hosting-Szene. Passwort-Formulare im Homelab sind 2026 endgültig Nostalgie — und mit dem offiziellen Siegel gibt es jetzt noch einen Grund weniger, am alten Zustand festzuhalten.

Häufige Fragen

Was bringt mir die OpenID-Connect-Zertifizierung konkret?

Die Zertifizierung bestätigt, dass ein Projekt die offiziellen Konformitäts-Tests der OpenID Foundation bestanden hat. Für dich heißt das: standardkonformes Verhalten bei Login-Flows, Token-Handling und Sicherheits-Details — und damit deutlich weniger Kompatibilitätsprobleme, wenn du Anwendungen wie Grafana, Immich, Portainer oder Nextcloud per SSO anbindest.

Worin unterscheiden sich Pocket ID und Tinyauth?

Pocket ID ist ein vollwertiger Identity-Provider mit Weboberfläche, Nutzerverwaltung, Gruppen, LDAP-Sync und Passkey-only-Anmeldung — Passwörter existieren dort gar nicht. Tinyauth ist ein bewusst minimalistischer Auth-Server, der sich komplett über Umgebungsvariablen konfiguriert und vor allem als Login-Schutz hinter Reverse Proxies glänzt. Beide sind quelloffen und leichtgewichtig.

Brauche ich für Passkeys zwingend einen Hardware-Schlüssel?

Nein. Passkeys funktionieren auch mit dem Fingerabdruck-Sensor deines Laptops, Face ID oder dem Smartphone als Authenticator. Ein Hardware-Schlüssel wie ein YubiKey bietet aber zusätzliche Sicherheit, weil der private Schlüssel das Gerät nie verlässt und unabhängig vom Betriebssystem funktioniert — praktisch auch als Backup, falls das Handy verloren geht.

Wie steige ich am einfachsten ins Homelab-SSO ein?

Starte mit einem unkritischen Dienst: Setze Pocket ID oder Tinyauth per Docker Compose auf, binde testweise eine App wie Grafana oder Portainer über OpenID Connect an und erweitere dann Schritt für Schritt. Wichtig: HTTPS ist Pflicht (Passkeys funktionieren nur über TLS), und ein Backup der Identity-Provider-Daten gehört von Anfang an dazu.

Quellen: Self-Host Weekly · Pocket ID · Tinyauth

RITTERSCHLAG fürs Homelab! Deine Lieblings-Logins tragen jetzt ein offizielles Siegel — Passwörter adé