L’authentification pour décrocher les grands comptes.

Signet est le système de connexion de votre application. Vos grandes entreprises clientes utilisent leur propre authentification unique (SSO). Leurs agents d’IA y accèdent quand leur fournisseur d’identité le permet, et votre tarif reste fixe.

Commencer gratuitement Lire la documentation (en anglais)

Hobby coûte 0 $ US, sans carte de crédit, et votre instance est prête environ une minute après la confirmation de votre courriel. Team coûte 299 $ US par mois, à prix fixe, avec des connexions SSO illimitées.

Signet fonctionne avec le client better-auth standard. Vous utilisez déjà better-auth? Gardez votre client et changez une seule URL.

.env.local
BETTER_AUTH_URL=https://yourapp.comSIGNET_URL=https://yourapp.signetauth.dev/api/auth
bun add better-authou npm i better-auth

Démarrage rapide (en anglais) pour Next.js React React Router Express Vue Svelte

Essayez. Vous êtes Pied Piper; Hooli, Raviga et Aviato sont vos grandes entreprises clientes, toutes fictives. Cliquez sur une ligne, puis appuyez sur J K pour vous déplacer et sur R pour révoquer.Essayez. Vous êtes Pied Piper; Hooli, Raviga et Aviato sont vos grandes entreprises clientes, toutes fictives. Touchez une ligne pour voir les actions possibles.

piedpiper piedpiper.signetauth.dev
Données fictives
Forfait

Testé de bout en bout avec de vrais systèmes d’identité

Microsoft Entra IDSAML, OIDC et SCIM avec un locataire actif

OktaUn cycle complet de connexion SAML, 16 août 2026

Proxmox VEUn groupe de trois nœuds se connectant par un même domaine d’authentification
HeadscaleUn parc Linux autohébergé, sans modification du code de Signet
better-authLe client standard, dirigé vers une seule URL

Conçu pour la vente qui bloque à l’examen de sécurité.

Votre première grande entreprise cliente vous envoie un tableur rempli de questions. Ces trois questions décident si la vente se conclut ce trimestre ou l’an prochain.

Prenez-vous en charge le SSO avec notre fournisseur d’identité?

Oui, par SAML et OIDC, avec autant de connexions que vous avez de clients. Team coûte 299 $ US par mois, peu importe le nombre ajouté.

Connexions SSO d’entreprise
6

Signet Team299 $ US

Clerk Pro, prix catalogue au 25 oct. 2026

Limites

Le prix catalogue de Clerk est plus bas jusqu’à 4 connexions; à partir de la 5e, Team coûte moins cher. Page des tarifs de Clerk, consultée le 25 octobre 2026 : Pro coûte 25 $ US par mois avec une connexion, puis 75 $ US par mois pour chaque connexion supplémentaire, jusqu’à 15. La comparaison complète. Testé avec Microsoft Entra ID et Okta; le SSO ne peut pas encore être imposé comme seul mode de connexion pour un domaine.

En combien de temps une personne qui part perd-elle son accès?

Quand votre client retire une personne de son fournisseur d’identité, SCIM la retire de cette organisation et met fin à ses sessions et à ses jetons OAuth. Une réinitialisation du mot de passe met fin à toutes les sessions par défaut, dans la même transaction de base de données, pour qu’un témoin volé ne reste pas valide après la réinitialisation.

Entra ID de Raviga retire jonas@raviga.example par SCIM
Signet retire Jonas Weber de Raviga et met fin à ses sessions et à ses jetons OAuth
Milo Ruiz réinitialise son mot de passe
Signet met fin aux deux sessions de Milo dans la même transaction
Limites

La création et le retrait d’accès par SCIM sont éprouvés avec un locataire Microsoft Entra actif. Le compte lui-même est conservé, par choix; son accès à cette organisation prend fin.

Pouvons-nous repartir avec nos données?

Oui. Vos utilisateurs et vos sessions sont dans une base de données qui vous est réservée, PostgreSQL à partir du forfait Team. Pour partir, utilisez pg_dump et pg_restore.

$ pg_dump -Fc -f signet.dump "$SIGNET_DB"
$ pg_restore -d "$NEW_DB" signet.dump
# start Signet with the same main secret
Limites

Le secret principal de l’instance est conservé hors de la base de données et reste nécessaire à la restauration. Héberger Signet vous-même exige une licence Scale. La base SQLite chiffrée de Hobby demande une étape de plus, décrite dans le guide d’exportation (en anglais). Sur le service hébergé, vous nous le demandez et nous vous remettons le fichier d’export.

Leur prochaine question : comment nos agents se connectent-ils?

Vos grandes entreprises clientes mettent des agents d’IA au travail et veulent aussi leur donner accès à votre produit. Elles veulent que leur propre fournisseur d’identité décide quels agents peuvent entrer, plutôt qu’un écran de consentement par agent.

Avec Signet, leur fournisseur d’identité signe une décision qui désigne l’agent, la personne pour qui il agit et votre API. Signet la respecte. Le jeton délivré dure au plus une heure, fonctionne seulement avec l’API que cette décision désigne et ne porte que les autorisations approuvées. Vous pouvez révoquer tout jeton immédiatement.

Un agent qui publie ses propres métadonnées peut aussi connecter une personne sans étape d’inscription, et une organisation peut exiger que chacun de ces agents soit adopté avant de connecter qui que ce soit.

Autorisations enregistrées pour le client OAuth de l’agent Agent de déploiement de Hooli
deploys:readdeploys:writebilling:readmembers:write
Le fournisseur d’identité de Hooli décide L’agent de déploiement peut appeler api.piedpiper.example pour Ada Chen, en lecture seule
Votre instance Signet délivre sig_at_9fQk2LwPzR…
deploys:readdeploys:writebilling:readmembers:write
Une API, expire dans 41 minutes
Limites

Les décisions du fournisseur d’identité sont éprouvées avec le service d’essai public Cross-App Access d’Okta (20 août 2026), pas encore avec un locataire appartenant à un client. Elles fonctionnent sur les instances hébergées Team et Business; une version autohébergée exige que le SSO d’entreprise soit inclus à la compilation. La personne pour qui l’agent agit doit déjà avoir un compte dans cette organisation. L’adoption obligatoire est désactivée par défaut et il n’y a pas de liste de blocage pour l’ensemble de l’instance.

De l’inscription à un utilisateur connecté.

Dès que votre instance Hobby est prête, deux requêtes créent un utilisateur et relisent sa session. Ce sont les appels qu’envoie votre client better-auth : pour chaque vérification du profil de compatibilité (better-auth 1.6.23), le client ne peut pas distinguer Signet de better-auth.

Votre premier utilisateur, depuis le terminal.

Les réponses sont réelles, obtenues du moteur Signet avec les réglages de Hobby le 28 octobre 2026, et abrégées. Utilisez l’adresse de votre instance et votre propre courriel.

Terminal
curl -c jar.txt -X POST https://yourapp.signetauth.dev/api/auth/sign-up/email \
  -H 'Content-Type: application/json' \
  -d '{"email":"ada@signetauth.com","password":"plum-river-quartz-71","name":"Ada"}'
{"token":"sig_sess_B7V2…","user":{…,"email":"ada@signetauth.com",
 "emailVerified":false,"id":"4HnWJPAM…",…,"name":"Ada",…}}

curl -b jar.txt https://yourapp.signetauth.dev/api/auth/get-session
{"session":{…,"token":"sig_sess_B7V2…",…,"userId":"4HnWJPAM…"},
 "user":{…,"email":"ada@signetauth.com",…}}

Les refus liés au forfait ou à la configuration indiquent la suite.

Quand le forfait ou la configuration d’une instance bloque une requête, l’erreur indique la cause et la solution, dans des termes qu’une personne peut suivre et qu’un agent peut appliquer. Un mauvais mot de passe, une adresse inconnue et un compte verrouillé reçoivent la même réponse : un refus ne révèle donc pas quels comptes existent. Voici la réponse d’une instance Hobby quand on tente d’ajouter le SSO d’entreprise.

HTTP 403 d’une instance Hobby
{  "code": "PLAN_FORBIDS_SSO",  "message": "Enterprise SSO is not    part of this instance's plan    (hobby). It starts on Team —    https://signetauth.com/pricing."}

Des attestations plutôt que des adjectifs.

Chaque instance Signet fournit sa propre attestation de certification, avec la date d’enregistrement de chaque ligne. Quand nous n’avons pas mesuré quelque chose, l’attestation le dit au lieu de deviner.

Treize parcours d’authentification et cinq parcours d’autorisation sont exécutés dans un vrai navigateur, avec des captures d’écran. Les quatre parcours que l’outil de test omet (clés d’accès, connexion par un compte de réseau social, SSO et connexion avec Ethereum) sont nommés, avec la raison. Le SSO est testé séparément, avec de vrais fournisseurs d’identité.

Une nouvelle exécution le 17 septembre 2026 a révélé des écarts que nous sommes encore en train de résoudre. La plupart viennent d’un changement volontaire de l’emplacement où Signet expose SCIM. L’attestation conserve sa date d’enregistrement jusqu’à leur résolution.

Comment la compatibilité est mesurée

/certificationFournie par l’instance, sans requête externe
Profil de compatibilité
Signet compatibility profile v1, avec better-auth 1.6.23Enregistré le 22 juillet 2026.
Écart de certification
0Pour chaque vérification du profil, un client ne peut pas distinguer Signet de better-auth. Le profil couvre ce que ses vérifications mettent à l’épreuve, sans plus.
Validation de bout en bout
14 / 14Enregistré le 22 juillet 2026.
Limites de fonctionnement
Non publiéesAucune mesure sous charge pour l’instant; nous n’avançons donc aucun chiffre de capacité.
Demandez son attestation à notre propre instance
curl -s https://kapable-dev.signetauth.dev/certification.json \
  | jq .certification_gap
{
  "value": "0",
  "provenance": "recorded",
  "as_of": "2026-07-22"
}

Une sécurité que vous pouvez vérifier.

Chaque ligne ci-dessous décrit un élément testé sur le vrai produit et consigné. Ce que nous n’avons pas encore est aussi indiqué.

Les identifiants au porteur sont hachés au repos

Les sessions, les clés d’API et les jetons OAuth sont stockés sous forme d’empreintes, plutôt que tels quels. Les codes à usage unique envoyés par courriel et les jetons des fournisseurs de connexion par réseau social font exception.

Un jeton divulgué peut être repéré

Les nouveaux identifiants portent des préfixes comme sig_sess_ et sig_ak_, ce qui permet à la détection de secrets de GitHub, à TruffleHog et à gitleaks d’en repérer dans une révision du dépôt.

Les réinitialisations ferment toutes les sessions

Par défaut, une réinitialisation du mot de passe met fin à toutes les sessions de la personne, dans la même transaction de base de données.

Les données hébergées sont chiffrées au repos

Le volume de la base de données, ses sauvegardes et les fichiers d’export nocturnes. Cela protège un disque détaché ou une sauvegarde copiée. Cela ne protège pas contre une personne qui contrôle l’hôte en cours d’exécution.

L’effacement est appliqué

Effacez une personne et tout jeton d’accès, code ou jeton de renouvellement qu’elle détient encore est refusé.

Les versions autohébergées sont traçables

Chaque version sous licence porte une marque qui identifie son titulaire, et la licence est vérifiée hors ligne au démarrage.

Pas encore obtenus

Un rapport d’audit ou une certification par un tiers, et un rapport de test d’intrusion réalisé par un tiers. Nous exécutons notre propre suite de tests d’attaque chaque nuit et la présentons comme telle. Ce que nous ne déclarons pas les énumère, avec leur date.

La page Sécurité Le dossier fournisseur pour votre examen de sécurité

Des modifications datées.

Chaque modification qu’un client pourrait remarquer est décrite et datée le jour de son intégration au moteur.

Le journal complet des modifications (en anglais)

Connectez un fournisseur d’identité d’entreprise par son nom, et testez la connexion d’un seul bouton La page de connexion indique quand une deuxième étape est nécessaire, au lieu de recommencer Une personne peut confirmer sa connexion existante avec sa clé d’accès Un produit sur un autre hôte peut offrir « Se connecter avec une clé d’accès » Les sessions liées à une organisation sont déconnectées ensemble L’hôte Signet est surveillé, avec un courriel d’alerte avant qu’un client remarque un problème

Des prix qui ne suivent pas le nombre d’utilisateurs.

Il n’y a ni palier par utilisateur, ni frais de dépassement, ni compteur d’utilisation. Votre facture reste donc la même quand vous gagnez un client.

Hobby

0 $ US

Pour un projet personnel ou vos premiers utilisateurs, avant qu’on vous demande le SSO.

  • Courriel et mot de passe, clés d’accès, liens de connexion, codes, authentification à deux facteurs et connexion par réseau social
  • Équipes et invitations, utilisateurs illimités
  • Jusqu’à cinq jetons d’agent actifs à la fois, chacun valide une heure au plus
  • Une instance par entreprise
Commencer avec Hobby

Team

299 $ USpar mois

Pour le trimestre où votre première grande entreprise cliente vous demande le SSO.

  • Connexions SSO d’entreprise illimitées
  • Utilisateurs illimités
  • Jetons machine et agents actifs en continu
  • Une instance de production, soutien par courriel
  • Essai de 30 jours, carte requise, facturation à la fin de l’essai
Commencer avec Team

Business

999 $ USpar mois

Pour les équipes qui ont besoin d’une instance de préproduction et d’un accord de niveau de service pour le soutien.

  • Tout le forfait Team
  • Instances de production et de préproduction
  • Soutien prioritaire, avec l’accord de niveau de service précisé au contrat
  • Essai de 30 jours, carte requise, facturation à la fin de l’essai
Commencer avec Business

Scale

15 000 $ USpar an

Pour héberger Signet sur votre propre matériel.

  • Une licence par déploiement en production, aux conditions standard
  • Une version marquée à votre nom, licence vérifiée hors ligne
  • La livraison en environnement isolé, le dépôt fiduciaire du code source ou le soutien par une personne désignée font l’objet d’un devis Enterprise
Parlons-en

Le service Signet hébergé fonctionne aux États-Unis. Les entreprises canadiennes ayant une adresse de facturation et un numéro d’entreprise canadiens peuvent payer 299 $ CA et 999 $ CA. Tous les détails de chaque forfait.

Votre prochain client vous parlera du SSO, puis de ses agents.

Ayez les deux réponses avant de recevoir son tableur.

Commencer gratuitement Parlons-en