QAuth

QAuth, açık kaynak bir OAuth 2.1 ve OpenID Connect kimlik sunucusudur. Uygulamalarınızın giriş ve yetkilendirme işini kendi sunucunuzda, Keycloak'tan daha hafif bir yapıyla yürütür.

Üç ufuk için tasarlandı: bugün yapay zekâ ajanlarının ve MCP sunucularının yetkilendirmesi; dijital kimlik cüzdanlarıyla federasyon; uzun vadede kuantum sonrası kriptografiye geçiş.

Neden?

Kimlik verisini kendi sunucusunda tutmak isteyen kurumların elinde ya ağır kurulumlar ya da bulut hizmetleri var. QAuth, veri egemenliği ve KVKK/GDPR gereksinimleri olan kurumlar için hafif, kendi kurulan bir seçenek.

Yapay zekâ ajanları kullanıcı adına servislere bağlanıyor. Bir ajanın kimin adına, hangi kapsamla ve ne kadar süre çalıştığı ayrı bir yetki modeli ister.

AB dijital kimlik cüzdanları (eIDAS 2.0) yaygınlaşıyor; kurumların bu cüzdanlarla girişe hazırlanması gerekiyor.

Neler sunuyor?

• OAuth 2.1 ve OpenID Connect

  Çalışıyor

  PKCE'li yetkilendirme kodu akışı, istemci kimlik bilgileri, jeton yenileme ve iptali, OpenID keşif belgesi ve JWKS.

• Ajan ve MCP yetkilendirmesi

  Çalışıyor

  MCP sunucuları için koruma katmanı, ajanlara özel istemci tipi, kullanıcı adına yetki devri (RFC 8693), salt okuma / yönetici / çalıştırma kapsamları, ajan başına denetim kaydı.

• Ortama duyarlı yetki

  Çalışıyor

  Geliştirme, test ve üretim ortamları için ayrı ve güvenli varsayılanlı politikalar.

• Geliştirici portalı

  Çalışıyor

  OAuth istemcilerinizi ve API anahtarlarınızı kendiniz yönetin; OpenAPI belgeleri her kurulumda hazır.

• Dijital kimlik cüzdanıyla giriş

  Hazır, varsayılan kapalı

  AB dijital kimlik cüzdanlarıyla (OID4VP, SD-JWT VC) giriş, uçtan uca çalışıyor.

• Kuantum sonrası imza

  Hazır, varsayılan kapalı

  ML-DSA-65 ile Ed25519'u birlikte kullanan hibrit JWT imzası.

• Son kullanıcı özellikleri

  Planlı

  Kayıt ve şifre sıfırlama sayfaları, iki aşamalı doğrulama (TOTP, passkey).

Proje nerede?

Kimlik sunucusu ve yapay zekâ ajanlarının yetkilendirmesi kendi sunucunuzda çalışıyor. Dijital kimlik cüzdanıyla giriş ve kuantum sonrası imza da hazır ama varsayılan olarak kapalı; bu işte açık kalan tek adım gerçek bir cüzdanla uyumluluk testi. Sırada son kullanıcı özellikleri var.

1. Faz 1 · Çekirdek kimlik sunucusu

   Tamamlandı

   Realm'ler, e-posta ve şifreyle giriş, OAuth 2.1, jeton yaşam döngüsü, e-posta doğrulama.

2. T1–T2 · Ajan yetkilendirmesi

   Tamamlandı

   MCP koruma katmanı, yetki devri, kapsam modları, adım adım yeniden doğrulama, denetim kaydı.

3. Faz 2 · Geliştirici portalı

   Kısmen tamam

   Kayıt, istemci ve API anahtarı yönetimi tamam; federasyon ayar arayüzü eksik.

4. Faz 4–5 · Cüzdan federasyonu ve kuantum sonrası imza

   Sürüyor

   İkisi de uygulandı ve varsayılan olarak kapalı. Açık kalan iş: gerçek bir cüzdanla uyumluluk testi.

5. Faz 6'dan öne alınan · Son kullanıcı özellikleri

   Sırada

   Kayıt ve şifre sıfırlama sayfaları, iki aşamalı doğrulama.

6. Faz 3 · Sertifika ve SDK'lar

   Planlandı

   OpenID Foundation sertifikası, Kubernetes manifestleri, JavaScript / React / Node.js SDK'ları.

7. Faz 3+ · Barındırılan hizmet

   Planlandı

   Kurulum gerektirmeyen, hizmet olarak kimlik doğrulama.

Kaynak: QAuth README, yol haritası

Nasıl katkı verilir?

QAuth'un kodu GitHub'da, Apache-2.0 lisansıyla açık. Katkı rehberi kurulumu ve kuralları anlatıyor; belgeler docs.qauth.dev'de.