Better Auth Fournisseur OpenID Connect
Open-source, framework-agnostic authentication and authorization library for TypeScript. Embedded directly in your application and backed by your own database, with a plugin system covering 2FA, passkeys, organizations, SSO/SAML, SCIM, an OAuth 2.1 / OpenID Connect provider and MCP/agent auth. Core differentiator: it is a library, not a hosted service, so there is no vendor server, no per-user pricing and no redirect to a third-party domain. An optional paid Better Auth Infrastructure adds a dashboard, audit logs, security detections and managed email/SMS.
Fonctionnalités
Si vous souhaitez comparer les fonctionnalités OpenID Connect de différents fournisseurs, consultez le benchmark des fournisseurs OpenID Connect.
Vous cherchez les fonctionnalités (C)IAM de Better Auth comme MFA, SSO et gestion des utilisateurs ? Voir Better Auth sur le benchmark des fournisseurs d'identité (C)IAM.
Foire aux questions
Better Auth prend-il en charge Authorization Code grant type ?
Better Auth prend en charge Authorization Code grant type. Authorization code flow with mandatory S256 PKCE and the RFC 9207 iss response parameter. Only response_type "code" is supported. En savoir plus
Better Auth prend-il en charge Refresh Token grant type ?
Better Auth prend en charge Refresh Token grant type. Issued when the offline_access scope is granted. A new refresh token is issued on every refresh, with an optional reuse interval and token-family invalidation on replay. En savoir plus
Better Auth prend-il en charge Client Credentials grant type ?
Better Auth prend en charge Client Credentials grant type. Fail-closed: an administrator must explicitly allow client_credentials_scopes and approve the client privilege before a client can use the grant. En savoir plus
Better Auth prend-il en charge Implicit grant type ?
Better Auth ne prend pas en charge Implicit grant type. Only response_type "code" is supported; implicit and hybrid flows are not available. En savoir plus
Better Auth prend-il en charge Token Exchange grant type ?
Better Auth ne prend pas en charge Token Exchange grant type. Not part of the documented grant types. Custom grants can be added through the extension API. En savoir plus
Better Auth prend-il en charge Client Initiated BackChannel Authentication grant type ?
Better Auth ne prend pas en charge Client Initiated BackChannel Authentication grant type. The OAuth provider does not support CIBA as a grant type. En savoir plus
Better Auth prend-il en charge Device Authorization Grant grant type ?
Better Auth prend en charge Device Authorization Grant grant type. Available through the optional oauthDeviceAuthorization() plugin on top of the OAuth Provider. Issues scoped, audience-bound JWT access tokens. Public clients register with token_endpoint_auth_method "none". En savoir plus
Better Auth prend-il en charge JWT Bearer Token grant type ?
Better Auth ne prend pas en charge JWT Bearer Token grant type. Not part of the documented grant types. En savoir plus
Better Auth prend-il en charge SAML 2.0 Bearer Assertion grant type ?
Better Auth ne prend pas en charge SAML 2.0 Bearer Assertion grant type. Not part of the documented grant types. En savoir plus
Better Auth prend-il en charge Resource Owner Password Credentials grant type ?
Better Auth ne prend pas en charge Resource Owner Password Credentials grant type. The resource owner password credentials grant is not supported. En savoir plus
Better Auth prend-il en charge PKCE extension ?
Better Auth prend en charge PKCE extension. S256 is required for public clients; the plain method is rejected. Confidential clients created by an administrator can opt out with require_pkce: false. En savoir plus
Better Auth prend-il en charge PAR extension ?
Better Auth ne prend pas en charge PAR extension. Pushed Authorization Requests are not documented. En savoir plus
Better Auth prend-il en charge RAR extension ?
Better Auth ne prend pas en charge RAR extension. Rich Authorization Requests are not documented. En savoir plus
Better Auth prend-il en charge JAR extension ?
Better Auth ne prend pas en charge JAR extension. JWT-Secured Authorization Requests (request objects) are not documented. En savoir plus
Better Auth prend-il en charge Authorization Endpoint endpoint ?
Better Auth prend en charge Authorization Endpoint endpoint. Served at /oauth2/authorize. En savoir plus
Better Auth prend-il en charge Token Endpoint endpoint ?
Better Auth prend en charge Token Endpoint endpoint. Served at /oauth2/token. En savoir plus
Better Auth prend-il en charge UserInfo Endpoint endpoint ?
Better Auth prend en charge UserInfo Endpoint endpoint. Served at /oauth2/userinfo. Requires the openid scope. Claims follow granted scopes and the OIDC claims request parameter, and can be extended with customUserInfoClaims. En savoir plus
Better Auth prend-il en charge Token Revocation endpoint ?
Better Auth prend en charge Token Revocation endpoint. Opaque access tokens are deleted on revocation, and revoking a refresh token removes the access tokens it minted. JWT access tokens cannot be revoked server-side, so short lifetimes are recommended. En savoir plus
Better Auth prend-il en charge Token Introspection endpoint ?
Better Auth prend en charge Token Introspection endpoint. RFC 7662 at /oauth2/introspect. Callable by the client that obtained the token or by a linked resource server. Introspection authenticated with a bearer token or private_key_jwt is not yet implemented. En savoir plus
Better Auth prend-il en charge Device Authorization Endpoint endpoint ?
Better Auth prend en charge Device Authorization Endpoint endpoint. RFC 8628 device authorization via the optional oauthDeviceAuthorization() plugin. En savoir plus
Better Auth prend-il en charge OpenID Connect Discovery Endpoint endpoint ?
Better Auth prend en charge OpenID Connect Discovery Endpoint endpoint. Served at /.well-known/openid-configuration when the openid scope is enabled, with helper routes for frameworks that do not forward well-known paths. En savoir plus
Better Auth prend-il en charge OAuth 2.0 Authorization Server Metadata Endpoint endpoint ?
Better Auth prend en charge OAuth 2.0 Authorization Server Metadata Endpoint endpoint. RFC 8414 metadata served at /.well-known/oauth-authorization-server. En savoir plus
Better Auth prend-il en charge none méthode d'authentification du token endpoint ?
Better Auth prend en charge none méthode d'authentification du token endpoint. Public clients with token_endpoint_auth_method "none" (PKCE required). En savoir plus
Better Auth prend-il en charge client_secret_basic méthode d'authentification du token endpoint ?
Better Auth prend en charge client_secret_basic méthode d'authentification du token endpoint. Supported (default for confidential clients). En savoir plus
Better Auth prend-il en charge client_secret_post méthode d'authentification du token endpoint ?
Better Auth prend en charge client_secret_post méthode d'authentification du token endpoint. Supported. En savoir plus
Better Auth prend-il en charge client_secret_jwt méthode d'authentification du token endpoint ?
Better Auth ne prend pas en charge client_secret_jwt méthode d'authentification du token endpoint. Not listed among supported token endpoint authentication methods. En savoir plus
Better Auth prend-il en charge private_key_jwt méthode d'authentification du token endpoint ?
Better Auth prend en charge private_key_jwt méthode d'authentification du token endpoint. Supported with RS256/384/512, PS256/384/512, ES256/384/512 and EdDSA keys, registered inline (jwks) or by jwks_uri. En savoir plus
Better Auth prend-il en charge tls_client_auth méthode d'authentification du token endpoint ?
Better Auth ne prend pas en charge tls_client_auth méthode d'authentification du token endpoint. Mutual TLS client authentication is not supported. En savoir plus
Better Auth prend-il en charge consent prompt ?
Better Auth prend en charge consent prompt. Configurable consent page, skip_consent for trusted clients, and per-user consent management. En savoir plus
Better Auth prend-il en charge select_account prompt ?
Better Auth prend en charge select_account prompt. Configurable account-selection page via selectAccount.page and oauth2Continue. En savoir plus
Better Auth prend-il en charge create prompt ?
Better Auth prend en charge create prompt. prompt=create redirects to the configured sign-up page. En savoir plus
Better Auth prend-il en charge RP-initiated Logout fonctionnalité ?
Better Auth prend en charge RP-initiated Logout fonctionnalité. OpenID Connect RP-Initiated Logout at /oauth2/end-session for clients registered with enable_end_session. Honors id_token_hint and exactly-matched post_logout_redirect_uri. Back-channel logout is also supported when the JWT plugin is enabled. En savoir plus
Better Auth prend-il en charge Dynamic Client Registration Protocol fonctionnalité ?
Better Auth prend en charge Dynamic Client Registration Protocol fonctionnalité. RFC 7591 at /oauth2/register. Disabled by default; can be enabled for authenticated, unauthenticated or initial-access-token registration. Client ID Metadata Documents (CIMD) are recommended for MCP clients. En savoir plus
Better Auth prend-il en charge Dynamic Client Registration Management Protocol fonctionnalité ?
Better Auth ne prend pas en charge Dynamic Client Registration Management Protocol fonctionnalité. RFC 7592 registration management is not implemented. En savoir plus
Better Auth prend-il en charge Refresh Token Rotation fonctionnalité ?
Better Auth prend en charge Refresh Token Rotation fonctionnalité. A new refresh token is issued on every refresh request. Reusing a rotated token after the grace interval is treated as replay and invalidates the whole token family. En savoir plus
Better Auth prend-il en charge Délai de grâce pour la rotation des refresh tokens fonctionnalité ?
Better Auth prend en charge Délai de grâce pour la rotation des refresh tokens fonctionnalité. refreshTokenReuseInterval (seconds, default 0) lets a rotated token be reused briefly and return the same token response. The MCP plugin defaults it to 30 seconds. En savoir plus
Better Auth prend-il en charge OAuth 2.0 Demonstrating Proof of Possession (DPoP) fonctionnalité ?
Better Auth prend en charge OAuth 2.0 Demonstrating Proof of Possession (DPoP) fonctionnalité. RFC 9449 DPoP-bound access tokens, with advertised signing algorithms and per-resource dpopBoundAccessTokensRequired. Resource servers verify with verifyAccessTokenRequest. En savoir plus
Better Auth prend-il en charge FAPI 1.0 Security Profile - Part 1: Baseline fonctionnalité ?
Better Auth ne prend pas en charge FAPI 1.0 Security Profile - Part 1: Baseline fonctionnalité. Not documented. En savoir plus
Better Auth prend-il en charge FAPI 1.0 Security Profile - Part 2: Advanced fonctionnalité ?
Better Auth ne prend pas en charge FAPI 1.0 Security Profile - Part 2: Advanced fonctionnalité. Not documented. PAR, JAR, mTLS and JARM are not supported. En savoir plus
Better Auth prend-il en charge FAPI 2.0 Security Profile fonctionnalité ?
Better Auth ne prend pas en charge FAPI 2.0 Security Profile fonctionnalité. Not documented. PAR is not supported. En savoir plus
Better Auth prend-il en charge FAPI 2.0 Message Signing fonctionnalité ?
Better Auth ne prend pas en charge FAPI 2.0 Message Signing fonctionnalité. Not documented. En savoir plus
Better Auth prend-il en charge JARM fonctionnalité ?
Better Auth ne prend pas en charge JARM fonctionnalité. JWT Secured Authorization Response Mode is not documented. En savoir plus
Comparer avec d'autres fournisseurs
Remarque : Les données actuelles sont basées sur la documentation/l'expérience des fournisseurs et peuvent ne pas être exactes à 100 %.