J’ai conçu Signet pour le jour où un gros client vous demande le SSO. Vous ajoutez son fournisseur d’identité dans les paramètres, et votre facture ne bouge pas. Chaque utilisateur, session et clé d’API est une ligne dans une base de données qui vous appartient.
Vous utilisez déjà better-auth? Gardez votre client et changez une URL.
baseURL: "https://old-vendor.example.com", baseURL: "https://auth.acme.com",
Herman Geldenhuys, GeldenTech Inc., Montréal. La console de Signet se connecte elle-même par Signet.
Tapez le nom de votre appli. Le passeport en est tiré, donc deux passeports ne sont jamais pareils.
Une personne se connecte avec une clé d’accès, un code par courriel ou, sur Team, l’authentification unique de son entreprise. Déchirez la session et sa ligne est supprimée pour de bon. Le journal d’audit garde qui l’a fait et quand.
Votre service de facturation et votre relais de webhooks portent des clés d’API. Elles durent jusqu’à ce que vous leur donniez une date de fin ou que vous les révoquiez, et la révocation tient en un appel.
Un agent agit pour une seule personne, dans une portée que vous fixez, par MCP. Son jeton expire de lui-même, même si personne ne pense à l’annuler. Un renouvellement est un nouveau jeton, que vous pouvez annuler lui aussi.
Dans une vraie instance, les trois sont des lignes dans votre propre base de données.
Tout cela fonctionne aujourd’hui. La page produit signale les quelques fonctionnalités que mes tests ne couvrent pas encore entièrement.
Chaque instance Signet sert sa propre page de connexion à /login, avec l’inscription et la réinitialisation du mot de passe à côté. Envoyez-y vos utilisateurs, ou gardez vos propres écrans et appelez la même API avec le client better-auth.
/login d’une vraie instance. La page s’affiche en anglais.Les fournisseurs d’identité remplacent leurs certificats de signature SAML toutes les quelques années. Dans le module SSO de better-auth, il n’existe aucune façon standard de le faire une fois que des personnes se sont connectées. Il faut supprimer la connexion et l’enregistrer de nouveau. Cela détache toutes les personnes qui s’y sont connectées. Si la vérification du domaine est active, la connexion reste bloquée jusqu’à ce que votre client publie un nouvel enregistrement DNS (ticket 11471, toujours ouvert au 10 oct. 2026).
Dans Signet, vous envoyez le nouveau certificat en un seul appel. L’adresse de retour reste la même. La connexion et ses membres restent, et rien ne change dans le DNS. La modification est inscrite au journal d’audit. Signet vérifie que le nouveau certificat est en cours de validité avant de l’accepter.
Signet remplace le certificat. Il ne fait jamais confiance à l’ancien et au nouveau en même temps. Les connexions par cette voie échouent donc entre le changement fait par votre client et votre appel. Faites l’appel tout de suite après son changement.
Gardez le client better-auth que vous livrez déjà et changez une URL. Les lignes d’utilisateurs, les empreintes de mots de passe et les sessions actives sont copiées : personne ne réinitialise son mot de passe. Si vous revenez en arrière, chaque session émise avant la bascule reste valide.
import { createAuthClient } from "better-auth/client" export const auth = createAuthClient({ baseURL: "https://old-vendor.example.com", baseURL: "https://auth.acme.com",})
C’est le client standard : bun add better-auth. Testé avec better-auth 1.6.23 le 22 juillet 2026.
Chaque client d’entreprise apporte sa propre connexion SSO. Le quinzième vous coûte ce qu’a coûté le premier, c’est-à-dire rien de plus.
WorkOS affiche le SSO à 125 $ US par connexion et par mois pour les 15 premières connexions (workos.com/pricing, vérifié le 4 octobre 2026).
Prix en vigueur depuis le 2026-08-07. Team fonctionne sur une base PostgreSQL qui vous est réservée. Hobby est gratuit et garde vos données dans SQLite chiffré.
Ces lignes restent à 0 $ US parce que Signet ne compte pas du tout les utilisateurs actifs.
Associez une entente de confidentialité, une licence ou un engagement sur les données personnelles à une application qui connecte les gens par Signet comme fournisseur OAuth. Signet montre le texte complet et ne laisse entrer la personne qu’une fois qu’elle l’a accepté.
Aussi conservés : l’application, l’adresse IP et le navigateur.
C’est une preuve, pas un avis juridique : je ne peux pas vous dire si un clic suffit pour votre entente.
Votre responsable de la sécurité les trouverait de toute façon, alors les voici d’emblée.
Si l’une d’elles écarte Signet, mieux vaut le savoir maintenant que six semaines après le début d’un examen. Le dossier fournisseur rassemble le reste sur une page : entité juridique, sous-traitants et comment partir.
Chaque instance, la vôtre comprise, publie ses propres résultats de tests à /certification. La page sécurité suit ce qui manque encore.
Avez-vous quelque chose à déclarer?
Nous déclarons :
En hébergé, vous le demandez et je vous remets le fichier. Sur vos propres serveurs, vous le faites vous-même. Hobby utilise SQLite chiffré, ce qui demande une étape de plus : le guide d’exportation (en anglais).
pg_dump --no-owner "$SIGNET_DATABASE_URL" > signet.sql
Inscrivez-vous et votre instance tourne en quelques minutes, sans appel. Vous voulez Signet sur vos propres serveurs? C’est une licence d’entreprise, et vous me parlerez directement.