O que é Ory?

Ory (site, documentação) é um conjunto de ferramentas de gerenciamento de identidade e acesso (IAM) de código aberto para aplicações cloud-native. Ele fornece autenticação, autorização e gerenciamento de identidade como cinco serviços implantáveis independentemente:

  • Ory Kratos: Registro de usuários, login, sessões, MFA e recuperação de senha
  • Ory Hydra: Servidor OAuth 2.0 e OpenID Connect para emissão de tokens
  • Ory Keto: Permissões granulares usando o modelo Zanzibar do Google
  • Ory Oathkeeper: Proxy reverso ciente de identidade para redes Zero Trust
  • Ory Polis: Ponte SSO empresarial para integração SAML 2.0 e SCIM 2.0

Todos os componentes são licenciados sob Apache 2.0, escritos em Go e podem ser auto-hospedados.

Ory não é um produto SaaS que te prende. Não é uma biblioteca que você integra na sua aplicação. É um conjunto de serviços prontos para produção que você executa junto com sua aplicação — auto-hospedado, gerenciado ou ambos.

O problema que Ory resolve

Ory terceiriza a tarefa complexa e crítica de segurança de desenvolver e manter autenticação e autorização internamente. Isso inclui conformidade com padrões de segurança atuais como OAuth 2.0 e OIDC, proteção contra ataques e a provisão de uma camada de identidade unificada que evita silos de dados entre diferentes aplicações.

Em outras palavras: Ory permite que sua equipe pare de escrever código de autenticação e comece a entregar funcionalidades do produto.

A alternativa — construir autenticação você mesmo — significa assumir cada decisão de segurança perpetuamente. Configuração do Argon2. Comparações seguras em tempo. Ciclo de vida do token CSRF. Expiração do token de recuperação. Rotação de sessão após escalada de privilégios. Esses são problemas solucionáveis, mas não são seus problemas para resolver. São problemas do Ory.

O ecossistema Ory: cinco componentes principais

Ory é um conjunto de componentes IAM cloud-native construídos sobre uma arquitetura de microsserviços. Ele separa identidade, autenticação e autorização em serviços dedicados que podem ser usados independentemente ou juntos.

Ory Kratos — Gerenciamento de identidade

Kratos lida com tudo relacionado a quem o usuário é e como ele prova isso:

  • Registro e login de usuários
  • Gerenciamento de sessões
  • Recuperação de senha e verificação de e-mail
  • Autenticação multifator (TOTP, WebAuthn, passkeys)
  • Login social (Google, GitHub, Apple via OIDC)
  • Configurações de conta

Kratos é headless. Não possui interface de usuário embutida. Ele expõe uma API REST que sua aplicação chama para conduzir fluxos de autenticação. Sua página de login é uma página normal da sua aplicação; o Kratos lida com a lógica de segurança por trás dela. Isso dá a você controle total sobre a marca e a experiência do usuário sem comprometer a segurança.

Ory Hydra — OAuth2 e OpenID Connect

Hydra é um servidor OAuth 2.0 e OpenID Connect certificado. Ele lida com:

  • Emissão de tokens de acesso, tokens de atualização e tokens de ID
  • Fluxos de código de autorização, credenciais de cliente e autorização de dispositivo
  • Introspecção e revogação de tokens
  • Autenticação máquina-a-máquina e serviço-a-serviço

Se você precisa que sua aplicação atue como um provedor OAuth2, permitindo que usuários concedam acesso a aplicativos de terceiros, ou habilitando autenticação serviço-a-serviço, Hydra é o componente que você procura. Ele é escrito em Go e projetado para escalabilidade horizontal stateless.

Ory Keto — Permissões granulares

Keto implementa o modelo de permissão Zanzibar do Google, o mesmo sistema que gerencia as permissões de compartilhamento do Google Drive. Ele lida com:

  • Controle de acesso baseado em relacionamentos (ReBAC)
  • Avaliação de políticas em escala
  • Herança e propagação de permissões ("Alice pode editar este documento?")

A maioria das aplicações começa com controle de acesso baseado em papéis simples e eventualmente precisa de algo mais matizado. Keto oferece um caminho para isso sem reescrever sua camada de autenticação.

Ory Oathkeeper — Proxy ciente de identidade

Oathkeeper é um proxy reverso e API de decisão de controle de acesso que valida a identidade em cada requisição HTTP recebida antes que ela chegue aos seus serviços:

  • Valida tokens OAuth2, cookies de sessão, chaves de API e mTLS
  • Reescreve cabeçalhos de requisição com claims de identidade (ex.: X-User-Id)
  • Habilita redes Zero Trust para serviços HTTP
  • Funciona com Nginx, Traefik e controladores de ingresso Kubernetes

Pense nele como um módulo PAM para tráfego HTTP: toda requisição é autenticada e autorizada no portão, antes que seu código de aplicação a veja.

Ory Polis — Ponte SSO empresarial

Polis preenche a lacuna entre protocolos de identidade empresarial legados e OAuth2/OIDC modernos:

  • Traduz fluxos SAML 2.0 ↔ OpenID Connect
  • Suporta SCIM 2.0 para provisionamento e desprovisionamento automático de usuários
  • Permite que clientes empresariais usem seu IdP existente (Okta, ADFS, Ping) com aplicações baseadas em Ory

Observe que Polis faz parte da Licença Empresarial Ory, não disponível no nível gratuito de código aberto.

Como os componentes funcionam juntos

Você não precisa usar todos eles. Esse é o objetivo do design modular.

Uma pilha inicial típica:

Browser
│
▼
Your App (Node.js / Go / Python / anything)
│
├── Calls Kratos for login, registration, sessions
│
└── Calls Hydra for OAuth2 tokens (if needed)
│
└── Oathkeeper validates tokens at the API gateway
│
└── Keto checks fine-grained permissions

Uma pequena equipe construindo um aplicativo SaaS pode começar apenas com Kratos. Uma equipe de plataforma construindo ferramentas internas pode adicionar Hydra para autenticação máquina-a-máquina. Uma empresa com permissões multi-inquilino complexas eventualmente adiciona Keto. Uma empresa integrando clientes empresariais com IdPs SAML adiciona Polis.

Cada serviço é executável independentemente, escalável independentemente e substituível independentemente.

Quem usa Ory em produção?

O exemplo mais proeminente: OpenAI.

"OpenAI substituiu seu sistema de login legado pelo Ory Hydra para escalar a identidade para 900 milhões de usuários ativos semanais, com zero downtime e controle total de IAM", reporta a publicação online Newstack.

Inicialmente, o rápido crescimento de usuários da OpenAI sobrecarregou sua solução CIAM anterior. Eles migraram para um Ory Hydra auto-hospedado apoiado por um banco de dados escalável para emitir e gerenciar tokens para usuários do ChatGPT.

De acordo com o estudo de caso oficial, Ory forneceu observabilidade profunda e resiliência para "logins por segundo sem precedentes", e crucialmente deu à OpenAI propriedade de seus processos de identidade sem vendor lock-in.

Além da OpenAI, Ory atende dezenas de milhares de projetos ativos em seus ambientes de código aberto, autogerenciados e gerenciados em nuvem — cobrindo bilhões de identidades e trilhões de transações.

Três maneiras de implantar Ory

1. Código aberto (auto-hospedado, gratuito)

Todos os quatro componentes principais de código aberto (Kratos, Hydra, Keto, Oathkeeper) são licenciados sob Apache 2.0 e disponíveis no GitHub. Você os executa em sua própria infraestrutura (bare metal, VMs, Docker, Kubernetes) com controle total sobre dados, configuração e cadência de atualizações.

Melhor para: Equipes com capacidade de DevOps, requisitos de conformidade ou sensibilidade a custos em escala.

2. Licença Empresarial Ory (OEL)

Auto-hospedado, com suporte comercial: SLAs, garantias de patches de segurança, um registro Docker privado com builds verificados e acesso direto a engenheiros da Ory. Adiciona componentes exclusivos para empresas, incluindo Ory Polis (SAML, SCIM) e federação B2B avançada.

Melhor para: Equipes empresariais que precisam de auto-hospedagem para soberania de dados, mas querem contratos de suporte de nível de produção.

3. Ory Network (nuvem gerenciada)

Uma versão SaaS totalmente gerenciada e distribuída globalmente da pilha Ory.

Nota sobre preços: Verifique as taxas atuais em ory.com/pricing antes de tomar decisões, pois os preços mudam com frequência.

Melhor para: Equipes que querem se mover rápido sem gerenciar infraestrutura, ou aquelas começando antes de decidir se vão auto-hospedar.

A principal vantagem do Ory Network: mudar para auto-hospedado depois requer apenas uma alteração de URL na sua configuração. O código da sua aplicação não muda.

Como Ory se compara a Auth0, Keycloak e Firebase

Quem deve (e não deve) usar Ory

Ory é uma boa escolha se você:

  • Está construindo uma aplicação voltada ao cliente que precisa escalar além de dezenas de milhares de usuários
  • Quer propriedade total dos seus dados de usuário e infraestrutura de identidade
  • Tem capacidade de engenharia para integrar serviços baseados em API
  • Precisa auto-hospedar para conformidade, residência de dados ou requisitos de GDPR
  • Está cansado dos preços do Auth0 que crescem com seu número de usuários
  • Está construindo agentes de IA ou fluxos máquina-a-máquina que precisam de identidade

Ory pode não ser a escolha certa se você:

  • Precisa de algo funcionando em menos de uma hora com configuração zero (Auth0 ou Firebase são mais rápidos para começar)
  • Tem operadores não técnicos que precisam gerenciar identidades via interface (Keycloak tem um console de administração melhor)
  • Precisa de SAML 2.0 no nível gratuito (Keycloak cobre isso; Ory requer a Licença Empresarial)
  • Está executando um pequeno projeto pessoal onde escala não é uma preocupação

Próximos passos

Auth0 tem sido uma das plataformas de identidade mais populares por anos. É polida, bem documentada e pode levar a maioria das aplicações do zero a um fluxo de login funcional em muito pouco tempo.

Mas à medida que as aplicações crescem, muitas equipes começam a procurar alternativas que ofereçam custos mais baixos a longo prazo, opções de auto-hospedagem, componentes de código aberto e maior controle sobre os dados do usuário.

Se você quiser experimentar Ory, está com sorte. Leia o seguinte guia para migrar do Auth0 para Ory:

Conclusão

Ory existe porque autenticação é um problema resolvido que a maioria das equipes continua resolvendo, mal, sob pressão de tempo. Ele oferece uma pilha de identidade pronta para produção que roda na escala da OpenAI, construída sobre padrões abertos, sem vendor lock-in, que você pode inspecionar linha por linha.

Claro, Ory tem uma curva de aprendizado íngreme. Mas o retorno vale a pena.

Veja também: Auth0 Alternative, Authentication, open source identity management, Ory, ory hydra, ory keto, ory kratos, ory oathkeeper, ory polis.