Identität, die Sie selbst hosten. Für Menschen und für Agenten.
Identität, die Sie selbst hosten. Für Menschen und für Agenten.
Identität, die Sie selbst hosten. Für Menschen und für Agenten.
Ein vollständiger OpenID-Provider auf .NET 10: Passkeys zuerst, OAuth 2.1 ganz ohne Legacy-Grants, menschliche Freigabe für das, was ein Agent in Ihrem Namen tut — und fertige Anmeldeseiten in Ihrem Branding.
UnbegrenztNutzer — Preis pro Installation
0Implicit, Hybrid oder ROPC
RFC 9700auditiert mit ausführbaren Tests
AGENTEN-FREIGABE
Rechnung 2026-0842 an Contoso bezahlen — 1.090,00 €
Genehmigen
Ablehnen
Mit einem Passkey anmelden
oder
E-Mail oder Benutzername
ada@example.com
Weiter
Stattdessen mit einem Link anmelden
Die echten Seiten — in Ihrem Branding, oder abgeschaltet.
Identität, die Sie selbst hosten. Für Menschen und für Agenten.
Identität, die Sie selbst hosten. Für Menschen und für Agenten.
Identität, die Sie selbst hosten. Für Menschen und für Agenten.
Ein vollständiger OpenID-Provider auf .NET 10: Passkeys zuerst, OAuth 2.1 ganz ohne Legacy-Grants, menschliche Freigabe für das, was ein Agent in Ihrem Namen tut — und fertige Anmeldeseiten in Ihrem Branding.
UnbegrenztNutzer — Preis pro Installation
0Implicit, Hybrid oder ROPC
RFC 9700auditiert mit ausführbaren Tests
AGENTEN-FREIGABE
Rechnung 2026-0842 an Contoso bezahlen — 1.090,00 €
Genehmigen
Ablehnen
Mit einem Passkey anmelden
oder
E-Mail oder Benutzername
ada@example.com
Weiter
Stattdessen mit einem Link anmelden
Die echten Seiten — in Ihrem Branding, oder abgeschaltet.
WAS DRIN ISTBereit für AgentenKI-Agenten sind vollwertige Clients — und die Entscheidung bleibt beim Menschen.CIBARFC 9396RFC 8693RFC 7591 · 9728Passwortlos zuerstPasskeys als primärer Nachweis. Passwörter werden unterstützt, nie verlangt.OTPOAuth 2.1 als BasisSicher per Voreinstellung, nicht per Konfiguration. Kein Legacy-Grant — nicht einmal hinter einem Flag.RFC 8628RFC 8705Feingranulare AutorisierungBefugnisse können nur enger werden, nie weiter — und eine Anfrage, die sie erweitert, wird abgelehnt, nicht zurechtgestutzt.RFC 7644Bereit für AgentenKI-Agenten sind vollwertige Clients — und die Entscheidung bleibt beim Menschen.CIBARFC 9396RFC 8693RFC 7591 · 9728Passwortlos zuerstPasskeys als primärer Nachweis. Passwörter werden unterstützt, nie verlangt.OTPOAuth 2.1 als BasisSicher per Voreinstellung, nicht per Konfiguration. Kein Legacy-Grant — nicht einmal hinter einem Flag.RFC 8628RFC 8705Feingranulare AutorisierungBefugnisse können nur enger werden, nie weiter — und eine Anfrage, die sie erweitert, wird abgelehnt, nicht zurechtgestutzt.RFC 7644
Vier Säulen. Keine davon nachträglich angebaut.
Vier Säulen. Keine davon nachträglich angebaut.
Vier Säulen. Keine davon nachträglich angebaut.
Alles Folgende ist bereits ausgeliefert und durch Integrationstests abgedeckt. Was noch Roadmap ist oder die kommerzielle Lizenz braucht, ist gekennzeichnet.
Asynchrone menschliche Freigabe, Binding Message vorab
COMMERCIAL
Absicht pro Transaktion statt dauerhaftem Zugriff
COMMERCIAL
Delegation „im Namen von“, mit act-Kette im Token
COMMERCIAL
Dynamische Registrierung und Ressourcen-Metadaten — bereit für MCP-Server
COMMERCIAL
Passkeys mit verpflichtender Verifizierung — AAL2 mit einer Geste
WebAuthn
Magic Link, E-Mail-Code und SMS-Code
COMMERCIAL
Authenticator-App und Wiederherstellungscodes, Step-up über die Flow-Engine
RFC 6238
Argon2id-Passwörter und Wiederherstellung per Self-Service
RFC 9106
PKCE verpflichtend, nur S256 — plain wird abgelehnt
RFC 7636
Rotierende Refresh-Tokens — Wiederverwendung widerruft die ganze Familie
RFC 9700
Device Flow für Fernseher und CLIs
COMMERCIAL
Zertifikatsgebundene Tokens (mTLS) für FAPI 2.0
COMMERCIAL
Statement-Berechtigungen und Rollen, ins Token ausgewertet
resource:action
Organisationen, Einladungen und SCIM — ein Token spricht für genau eine
COMMERCIAL
SSO pro Organisation, über verifizierte Domains geroutet
COMMERCIAL
Beziehungen nach Zanzibar-Art (OpenFGA / Ory Keto)
ROADMAP
Asynchrone menschliche Freigabe, Binding Message vorab
COMMERCIAL
Absicht pro Transaktion statt dauerhaftem Zugriff
COMMERCIAL
Delegation „im Namen von“, mit act-Kette im Token
COMMERCIAL
Dynamische Registrierung und Ressourcen-Metadaten — bereit für MCP-Server
COMMERCIAL
Passkeys mit verpflichtender Verifizierung — AAL2 mit einer Geste
WebAuthn
Magic Link, E-Mail-Code und SMS-Code
COMMERCIAL
Authenticator-App und Wiederherstellungscodes, Step-up über die Flow-Engine
RFC 6238
Argon2id-Passwörter und Wiederherstellung per Self-Service
RFC 9106
PKCE verpflichtend, nur S256 — plain wird abgelehnt
RFC 7636
Rotierende Refresh-Tokens — Wiederverwendung widerruft die ganze Familie
RFC 9700
Device Flow für Fernseher und CLIs
COMMERCIAL
Zertifikatsgebundene Tokens (mTLS) für FAPI 2.0
COMMERCIAL
Statement-Berechtigungen und Rollen, ins Token ausgewertet
resource:action
Organisationen, Einladungen und SCIM — ein Token spricht für genau eine
COMMERCIAL
SSO pro Organisation, über verifizierte Domains geroutet
COMMERCIAL
Beziehungen nach Zanzibar-Art (OpenFGA / Ory Keto)
ROADMAP
STANDARDS UND KONFORMITÄT
Externe Zertifizierung statt Feature-Zählung.
Externe Zertifizierung statt Feature-Zählung.
Externe Zertifizierung statt Feature-Zählung.
Jede Abweichung von einem Standard bekommt ein ADR. Jedes serverseitige MUST hat einen Test, der es beweist.
PROTOKOLL
OpenID Connect
Core 1.0
PKCE · S256
RFC 7636
Pushed requests
RFC 9126
Dynamic registration
RFC 7591/7592
Token exchange
RFC 8693
Rich authorization
RFC 9396
Device authorization
RFC 8628
Backchannel (CIBA)
poll
ANMELDEDATEN UND SIGNALE
Passkeys
WebAuthn L2
TOTP
RFC 6238
Argon2id
OWASP params
Security events
RFC 8417
Shared Signals · CAEP
RFC 8935
Problem details
RFC 9457
UNTERNEHMEN
SCIM 2.0 · Users
RFC 7644
Resource metadata
RFC 9728
Mutual-TLS tokensRFC 8705
COMMERCIAL
SSO pro Organisation
COMMERCIAL
Signierte Webhooks
HMAC t,v1
AUDITS
OAuth Security BCP
AUDITIERT
OWASP ASVS 5.0 · V6 V7
AUDITIERT
OpenID-Zertifizierung
SUITE AUSSTEHEND
FAPI 2.0 Security Profile
SUITE AUSSTEHEND
Jeder Befund der Gap-Analyse ist behoben oder entschieden; offen ist nur noch der Lauf der offiziellen Suites.
PROTOKOLL
OpenID Connect
Core 1.0
PKCE · S256
RFC 7636
Pushed requests
RFC 9126
Dynamic registration
RFC 7591/7592
Token exchange
RFC 8693
Rich authorization
RFC 9396
Device authorization
RFC 8628
Backchannel (CIBA)
poll
ANMELDEDATEN UND SIGNALE
Passkeys
WebAuthn L2
TOTP
RFC 6238
Argon2id
OWASP params
Security events
RFC 8417
Shared Signals · CAEP
RFC 8935
Problem details
RFC 9457
UNTERNEHMEN
SCIM 2.0 · Users
RFC 7644
Resource metadata
RFC 9728
Mutual-TLS tokensRFC 8705
COMMERCIAL
SSO pro Organisation
COMMERCIAL
Signierte Webhooks
HMAC t,v1
AUDITS
OAuth Security BCP
AUDITIERT
OWASP ASVS 5.0 · V6 V7
AUDITIERT
OpenID-Zertifizierung
SUITE AUSSTEHEND
FAPI 2.0 Security Profile
SUITE AUSSTEHEND
Jeder Befund der Gap-Analyse ist behoben oder entschieden; offen ist nur noch der Lauf der offiziellen Suites.
PROTOKOLL
OpenID Connect
Core 1.0
PKCE · S256
RFC 7636
Pushed requests
RFC 9126
Dynamic registration
RFC 7591/7592
Token exchange
RFC 8693
Rich authorization
RFC 9396
Device authorization
RFC 8628
Backchannel (CIBA)
poll
ANMELDEDATEN UND SIGNALE
Passkeys
WebAuthn L2
TOTP
RFC 6238
Argon2id
OWASP params
Security events
RFC 8417
Shared Signals · CAEP
RFC 8935
Problem details
RFC 9457
UNTERNEHMEN
SCIM 2.0 · Users
RFC 7644
Resource metadata
RFC 9728
Mutual-TLS tokensRFC 8705
COMMERCIAL
SSO pro Organisation
COMMERCIAL
Signierte Webhooks
HMAC t,v1
AUDITS
OAuth Security BCP
AUDITIERT
OWASP ASVS 5.0 · V6 V7
AUDITIERT
OpenID-Zertifizierung
SUITE AUSSTEHEND
FAPI 2.0 Security Profile
SUITE AUSSTEHEND
Jeder Befund der Gap-Analyse ist behoben oder entschieden; offen ist nur noch der Lauf der offiziellen Suites.
PROTOKOLL
OpenID Connect
Core 1.0
PKCE · S256
RFC 7636
Pushed requests
RFC 9126
Dynamic registration
RFC 7591/7592
Token exchange
RFC 8693
Rich authorization
RFC 9396
Device authorization
RFC 8628
Backchannel (CIBA)
poll
ANMELDEDATEN UND SIGNALE
Passkeys
WebAuthn L2
TOTP
RFC 6238
Argon2id
OWASP params
Security events
RFC 8417
Shared Signals · CAEP
RFC 8935
Problem details
RFC 9457
UNTERNEHMEN
SCIM 2.0 · Users
RFC 7644
Resource metadata
RFC 9728
Mutual-TLS tokensRFC 8705
COMMERCIAL
SSO pro Organisation
COMMERCIAL
Signierte Webhooks
HMAC t,v1
AUDITS
OAuth Security BCP
AUDITIERT
OWASP ASVS 5.0 · V6 V7
AUDITIERT
OpenID-Zertifizierung
SUITE AUSSTEHEND
FAPI 2.0 Security Profile
SUITE AUSSTEHEND
Jeder Befund der Gap-Analyse ist behoben oder entschieden; offen ist nur noch der Lauf der offiziellen Suites.
QUICK START
Startklar mit zwei Befehlen.
Startklar mit zwei Befehlen.
Startklar mit zwei Befehlen.
Mit Zugang zum Feed: kein Lizenzschlüssel außerhalb der Produktion. Migrationen laufen von selbst, und ein Entwicklungs-M2M-Client wird angelegt.
localhost:5180/scalar— API-Referenz
samples/…WebPages.Sample— die Seiten in Ihrem Branding, ohne Datenbank
zsh — equantic-auth
# 1. PostgreSQL
$ docker compose up -d# 2. Die API — wendet Migrationen an, legt den Dev-Client an
$ dotnet run --project samples/eQuantic.Auth.Api.Sample# 3. Fertig
$ curl localhost:5180/.well-known/openid-configuration{ "issuer": "http://localhost:5180/", "code_challenge_methods_supported": ["S256"], … }QUICK START
Startklar mit zwei Befehlen.
Startklar mit zwei Befehlen.
Startklar mit zwei Befehlen.
Mit Zugang zum Feed: kein Lizenzschlüssel außerhalb der Produktion. Migrationen laufen von selbst, und ein Entwicklungs-M2M-Client wird angelegt.
localhost:5180/scalar— API-Referenz
samples/…WebPages.Sample— die Seiten in Ihrem Branding, ohne Datenbank
zsh — equantic-auth
# 1. PostgreSQL
$ docker compose up -d# 2. Die API — wendet Migrationen an, legt den Dev-Client an
$ dotnet run --project samples/eQuantic.Auth.Api.Sample# 3. Fertig
$ curl localhost:5180/.well-known/openid-configuration{ "issuer": "http://localhost:5180/", "code_challenge_methods_supported": ["S256"], … }VERGLEICH
eQuantic.AuthNach der öffentlichen Dokumentation der jeweiligen Anbieter, Stand September 2026. Marken gehören ihren Inhabern.
Wo es hingehört.
Wo es hingehört.
Wo es hingehört.
Einen Identitätsanbieter zu wählen heißt zu wählen, wo er läuft, wer die Daten hält und was den Preis wachsen lässt.
eQuantic.AuthKeycloak
Duende IdentityServer
Auth0
Zitadel
BEREITSTELLUNG
Server, den Sie hosten
Server, den Sie hosten
Framework in Ihrer ASP.NET-Core-App
Verwaltetes SaaS
Selbst gehostet oder in deren Cloud
RUNTIME
.NET 10
Java · Quarkus
.NET
—
Go
ANMELDESEITEN
Fertig, in Ihrem Branding, optional
FreeMarker-Themes
Selbst gebaut, aus Vorlagen
Universal Login
Gehostetes Login
LIZENZ
Kostenloser Core · jährliche kommerzielle Module
Apache 2.0
Kommerziell, kostenlose Edition für kleine Unternehmen
Abonnement
AGPL-3.0
DER PREIS WÄCHST MIT
Produktivinstallationen — nie mit Nutzern
Kostenlos; Support separat kostenpflichtig
Edition und Unternehmensgröße
Monatlich aktiven Nutzern
Nutzung, in deren Cloud
WO IHRE NUTZER LIEGEN
In Ihrer Infrastruktur
In Ihrer Infrastruktur
In Ihrer Infrastruktur
In der Cloud des Anbieters
Wo Sie wollen
PREISEJährliche Abrechnung · Karte oder Rechnung · Schlüssel sofortJährliche Abrechnung · Karte oder Rechnung · Schlüssel sofort
Der Core ist kostenlos. Die Module sind lizenziert.
Der Core ist kostenlos. Die Module sind lizenziert.
Der Core ist kostenlos. Die Module sind lizenziert.
Der Core ist für jede Nutzung kostenlos, auch kommerziell. Die kommerzielle Lizenz fügt die Module hinzu, pro Produktivinstallation — Nutzer werden nie gezählt.
CommunityKostenlosDer Core, für jede NutzungAlles, was eine Anmeldung braucht, auch für Ihr Unternehmen. In der Produktion läuft er mit einem kostenlosen Community-Schlüssel.
OpenID Connect und OAuth 2.1, Konten und Sitzungen
Passkeys, Authenticator-App und Wiederherstellungscodes
Rollen und Berechtigungen, Audit-Log und die eqa-CLI
Fertige Bildschirme mit Ihrem Namen und Logo
Alle Module außerhalb der Produktion freigeschaltet
Zugang anfragen
Commercial
KOMMERZIELLE MODULE
1.390 €
pro Produktivinstallation und JahrAlles aus Community, dazu die Module, die Ihr Schlüssel freischaltet.Beispielpreis
KI-Agenten: Device Flow, CIBA, Token Exchange, dynamische Registrierung
Anmeldung ohne Passwort: Magic Link, Code per E-Mail und per SMS
Organisationen, Einladungen, SSO pro Organisation und SCIM
Webhooks und Hooks, White-Label, Risikosignale, mTLS und FAPI 2.0
Support mit SLA — Antwort innerhalb eines Werktags
Demnächst: mandantenfähige Realms und Branding pro Organisation
Lizenz kaufen
CommunityKostenlosDer Core, für jede NutzungAlles, was eine Anmeldung braucht, auch für Ihr Unternehmen. In der Produktion läuft er mit einem kostenlosen Community-Schlüssel.
OpenID Connect und OAuth 2.1, Konten und Sitzungen
Passkeys, Authenticator-App und Wiederherstellungscodes
Rollen und Berechtigungen, Audit-Log und die eqa-CLI
Fertige Bildschirme mit Ihrem Namen und Logo
Alle Module außerhalb der Produktion freigeschaltet
Zugang anfragen
Commercial
KOMMERZIELLE MODULE
1.390 €
pro Produktivinstallation und JahrAlles aus Community, dazu die Module, die Ihr Schlüssel freischaltet.Beispielpreis
KI-Agenten: Device Flow, CIBA, Token Exchange, dynamische Registrierung
Anmeldung ohne Passwort: Magic Link, Code per E-Mail und per SMS
Organisationen, Einladungen, SSO pro Organisation und SCIM
Webhooks und Hooks, White-Label, Risikosignale, mTLS und FAPI 2.0
Support mit SLA — Antwort innerhalb eines Werktags
Demnächst: mandantenfähige Realms und Branding pro Organisation
Lizenz kaufen
Was ist eine Installation? Ein Produktiv-Issuer. Replikate hinter demselben Issuer zählen als eine; Entwicklung, Staging und CI zählen nicht.
LIZENZIERUNG
Direkte Fragen, kurze Antworten.
Direkte Fragen, kurze Antworten.
Direkte Fragen, kurze Antworten.
Der Core, für jede Nutzung, auch kommerziell: OpenID Connect und OAuth 2.1, Konten und Sitzungen, Passkeys, Authenticator-App und Wiederherstellungscodes, Rollen und Berechtigungen, das Audit-Log und die fertigen Bildschirme mit Ihrem Namen und Logo.
