Pomerium

Identitet

Pomerium är en identitets- och kontextmedveten omvänd proxy för zero trust-åtkomst till interna applikationer och tjänster. Istället för VPN verifieras identitet, enhetstillstånd och förfrågningskontext för varje anrop, och webbåtkomsten är clientless.

Öppen källkodGo

Betyg 65 Preliminär (källbaserad)

Läs bedömningen
API · Officiellt

Pomerium bygger på interna gRPC-tjänster och har ett hanterings-API i den kommersiella Enterprise-konsolen; öppen källkod saknar ett allmänt REST-API.

Pomerium Enterprise management-API · Pomerium

Källa: https://www.pomerium.com/docs/internals/management-api-enterprise

Kontrollerat:

Öppna dokumentation

MCP · Ej hittat

Sökte MCP-registret, npm, PyPI och GitHub: hittade bara Pomeriums egna exempel på hur MCP-servrar skyddas med Pomerium, inte någon MCP-server för Pomerium.

Ingen MCP-server för Pomerium · -

Källa: https://registry.modelcontextprotocol.io/v0/servers?search=pomerium

Kontrollerat:

Öppna dokumentation

Jämför med alternativ Källor
Grafana-panelen Nordljus drift med ledigt diskutrymme på fil-02, svarstid för API:et och nyckeltalen uptime 30 dagar, säkerhetskopior senaste dygnet och larm senaste veckan
1 / 5 Driftpanelen för Nordljus AB öppnas utan egen inloggning – Pomerium har redan identifierat användaren

Bedömning

Så bedömer vi

Totalbetyg

65

Preliminär (källbaserad)

Bedömningsprofil
Identitetsmedveten zero trust-åtkomst till interna tjänster utan VPN, med SSO och policybaserad styrning.
Bedömningsdatum
Modellversion
3.0.0

  1. Öppenhet och kontroll

    Apache-2.0 verifierad i repots LICENSE och full självhosträtt, men Enterprise/Zero ligger utanför den öppna kärnan som kommersiella produkter.

  2. Funktionell passform

    Täcker SSO- och policystyrd exponering av interna tjänster väl, men kräver befintlig identitetsleverantör och certifikathantering.

  3. Dataflytt och interoperabilitet

    API-referens finns officiellt dokumenterad men protokolldetaljer (REST/gRPC) var ej specificerade i kontrollen; policykonfiguration är portabel YAML.

  4. Mognad och trygghet

    Aktivt projekt sedan 2019 med officiell dokumentation och prissättningsmodell; kortare historik än äldre nätverksprodukter.

  5. Framtidskraft

    Policy-as-code och dokumenterat API ger god automation.

  6. Drift och införande

    Icke-trivial installation: identitetsleverantör, TLS-certifikat och kontrollplanskonfiguration krävs enligt underlaget.

  7. Kostnadsbild

    Öppna kärnan är gratis att självhosta; Zero (hanterad kontrollplan) och Enterprise har prismodeller som inte är detaljerade i underlaget.

  8. Svensk användbarhet

    Ingen svensk lokalisering, dokumentation eller svensk support belagd; engelskspråkig infrastrukturprodukt.

Om Pomerium

Pomerium är en öppen identitets- och kontextmedveten omvänd proxy byggd kring BeyondCorp- och zero trust-principerna. Den skyddar interna applikationer, servrar och arbetslaster genom att kontinuerligt verifiera användarens identitet, enhetstillstånd och förfrågningskontext innan åtkomst ges – istället för att ge bred nätverksåtkomst via VPN eller tunnlar.

För webbappar är åtkomsten clientless: användarna når interna tjänster i webbläsaren utan VPN-klient. För TCP- och UDP-tjänster finns Pomerium CLI och Desktop. Policyer centraliseras och verktyget medföljer Kubernetes Ingress Controller, Terraform-provider samt SDK:er för Go och JavaScript. Driftmodellerna är två: Pomerium Core, den självförvaltade servern där ni äger konfiguration, identitetsleverantörsintegration, TLS, DNS och skalning, och Pomerium Zero, en hanterad kontrollplan som kopplas till Core-kluster och sköter onboarding, certifikat och API.

Pomerium licensieras under Apache 2.0 och är skrivet i Go. Räkna med att det är ett åtkomstlager ovanpå er befintliga miljö: ni behöver en identitetsleverantör, TLS-certifikat och DNS-uppsättning i ordning. Policyer och routes konfigureras via konfiguration och kod snarare än pek-och-klick, och clientless gäller webbappar – övriga tjänster kräver Pomeriums klienter.

Användning

Passar för

  • Ge clientless-åtkomst till interna webbappar i webbläsaren utan VPN
  • Skydda TCP- och UDP-tjänster med identitetsbaserade policyer via Pomerium CLI/Desktop
  • Hantera åtkomstpolicy som infrastrukturkod med Terraform-provider och Kubernetes Ingress
  • Införa zero trust-principer med per-förfrågan-autentisering och auktorisering

Passar mindre bra för

  • Om ni saknar identitetsleverantör, TLS- och DNS-uppsättning – Pomerium är ett lager ovanpå, inte en komplett identitetsplattform
  • Om ni behöver nätverksnivååtkomst till hela subnät utan per-applikationspolicy – traditionell VPN kan vara enklare
  • Som identitetsleverantör eller MFA-lösning i sig – Pomerium integrerar mot en extern IdP

Styrkor och begränsningar

Styrkor

  • Clientless-åtkomst till interna webbappar: ingen VPN-klient och ingen bred nätverksrättighet
  • Granulär enforcement: varje förfrågan autentiseras och auktoriseras utifrån identitet, enhet och kontext
  • Apache 2.0-licens, skrivet i Go, med IaC-verktyg (Terraform, Kubernetes) och SDK:er
  • Flexibla driftmodeller: självförvaltad Core, med valfri hanterad Zero-kontrollplan

Begränsningar

  • Förutsätter färdig IdP, TLS och DNS – det är ett åtkomstlager, inte en identitetsplattform
  • Clientless gäller webbappar; TCP/UDP-tjänster kräver Pomerium-klienter (CLI/Desktop)
  • Konfiguration sker via config- och policy-kod; det finns ingen GUI-driven administration i den självförvaltade Core-utgåvan

Skärmbilder

5 skärmbilder. Välj en bild för att visa den i full storlek. Svep i sidled för fler.

  • Grafana-panelen Nordljus drift med ledigt diskutrymme på fil-02, svarstid för API:et och nyckeltalen uptime 30 dagar, säkerhetskopior senaste dygnet och larm senaste veckan
    Driftpanelen för Nordljus AB öppnas utan egen inloggning – Pomerium har redan identifierat användaren
  • Pomeriums användarvy med sessions-id, e-postadressen anna.lindqvist@example.com, namnet Anna Lindqvist, grupperna IT-drift och Systemförvaltning, utfärdare och utgångstid
    Pomeriums sessionsvy visar identitetsanspråken som identitetsleverantören lämnade: e-post, namn, grupper och giltighetstid
  • Pomeriums ruttvy med HTTP Routes: driftpanel och rubriker som brickor, medan internportalen som kräver ledningsgruppstillhörighet inte listas
    Rutterna användaren har åtkomst till – internportalen för ledningsgruppen finns inte med i listan
  • Grafanas användarlista med kontot anna.lindqvist@example.com, rollen Admin i organisationen och senaste inloggning, skapat automatiskt från identitetsrubriken
    Grafana har skapat kontot från Pomeriums identitetsrubrik – ingen separat användaradministration behövs i appen
  • Pomeriums nekandesida med texten 403 Forbidden, uppmaningen att kontakta administratören med förfrågnings-id, samt länkarna Home, Docs och Support
    Internportalen är bara öppen för ledningsgruppen – Pomerium nekar och visar förfrågnings-id i stället för att släppa in

Tekniska resurser

Alternativ

Keycloak

Identitet · Identitets- och åtkomsthantering (IAM / single sign-on)

Keycloak är en självhostad plattform för identitets- och åtkomsthantering, med enkel inloggning via öppna standarder som OpenID Connect, OAuth 2.0 och SAML.

Öppen källkodJavaScriptTypeScript
Startår
2014
Licens
Apache License 2.0
Öppen källkod
Ja
API
REST API · Annan

Betyg

90

Preliminär (källbaserad)

Läs bedömningen

Projektdata

37 695GitHub-stjärnor
Visa alla fakta och bedömningarVisa alla fakta
Startår
2014
Licens
Apache License 2.0Öppen källkod (OSI-godkänd licens) · Verifierad i repots LICENSE.txt (github.com/keycloak/keycloak/blob/main/LICENSE.txt). · Licensmodeller
Öppen källkod
Ja
Plattformar
Linux · Windows · macOS
API
REST API · Annan Verifierat
MCP
Ej tillämpligt
Export
Finns Realm-konfiguration kan importeras och exporteras (kc.sh samt administrations-API). Ej verifierat
Språk
Gränssnitt: Svenska · Dokumentation: Engelska · Support: Engelska
Öppenhet och kontroll Gäller: Apache-2.0 (OSI-godkänd), Red Hat-förvaltad, egen drift och öppna standardprotokoll.
Funktionell passform Gäller: Komplett IAM med OIDC/OAuth2/SAML — täcker standard-SSO-behovet utan större luckor.
Dataflytt och interoperabilitet Gäller: Standardprotokoll (OIDC/OAuth2/SAML) ger fullständig interoperabilitet och inga leverantörslås.
Mognad och trygghet Gäller: Sedan 2014, Red Hat-styrt, regelbundna releaser och etablerad säkerhetshantering.
Framtidskraft Gäller: Väldokumenterat Admin REST-API för automation; MCP-rollen är auktorisationsserver (experimentell), inte en MCP-server — agentintegration via API.
Drift och införande Gäller: Komplext i drift och kräver IAM-kompetens; hanterbart för rätt organisation men inte trivialt.
Kostnadsbild Gäller: Fri Apache-2.0-licens; kostnaden är drift och kompetens — transparent.
Svensk användbarhet Gäller: Delvis svensk översättning via communityn; dokumentation och support är engelskspråkiga — partiell svensk anpassning.

Kostnad: .

Faktakontrollerad

Vaultwarden

Identitet · Lösenordshantering

Lättviktig Bitwarden-kompatibel server som ger teamet ett eget lösenordsvalv med engångskoder, delning och samma klienter som Bitwarden.

Öppen källkodPostgreSQLRustSQLite
Startår
2018
Licens
AGPL-3.0 (GNU Affero General Public License v3.0)
Öppen källkod
Ja
API
REST API
MCP
MCP-server, Tredjepart

Betyg

86

Praktiskt granskad

Läs bedömningen

Projektdata

70 217GitHub-stjärnor
Visa alla fakta och bedömningarVisa alla fakta
Startår
2018
Licens
AGPL-3.0 (GNU Affero General Public License v3.0)Öppen källkod (OSI-godkänd licens) · Hela servern ligger under AGPL-3.0 i ett enda repo, utan låsta kataloger eller enterprise-modul. Licensens nätverksklausul gäller den som ändrar koden och erbjuder den som tjänst; den som bara driftar valvet berörs inte. · Licensmodeller
Öppen källkod
Ja
Plattformar
Linux · containers
API
REST API Uppgivet
MCP
MCP-server, Tredjepart
Export
Finns Valvet exporteras som JSON eller CSV ur webbvalven, krypterat eller i klartext, och importen tar samma format samt exportfiler från andra lösenordshanterare. Bilagor och pågående Send-delningar ingår inte i den vanliga exporten; hela databasen kan dock flyttas eftersom den ligger i SQLite eller en extern databas på den egna servern. Uppgivet
Språk
Gränssnitt: Svenska · Dokumentation: Engelska · Support: Engelska
Öppenhet och kontroll Gäller: Hela servern ligger under AGPL-3.0 i ett enda repo utan låsta kataloger eller enterprise-modul: källkoden får läsas, ändras och köras själv, och det finns ingen utgåva med fler funktioner bakom ett avtal. Licensens nätverksklausul gäller den som ändrar koden och erbjuder den som tjänst – den rör inte den som bara driftar valvet. Det finns ingen leverantörsbindning i drift eller format: valvet kan läsas med SQLite-verktyg och flyttas till en annan kompatibel server.
Funktionell passform Gäller: I labbet skapades tre konton och ett valv med 21 poster i fem mappar: inloggningar, säker anteckning, ett betalkort, egna fält, engångskoder och flera webbadresser per post. Webbvalven visade engångskoden som rullande sexsiffrig kod, Send skickade fem hemligheter med utgångsdatum och rapportvyn listade svaga, återanvända och osäkra inloggningar. Det täcker användningsfallet väl. Avdraget gäller delningen: en inbjudan till en kollega kräver fungerande e-postutskick, och mobilapparnas pushnotiser går via Bitwardens relay-tjänst om man inte avstår från dem.
Dataflytt och interoperabilitet Gäller: Valvet exporteras som JSON eller CSV ur webbvalven, och importen tar samma format samt exportfiler från andra lösenordshanterare – flytten till eller från Bitwarden och andra kompatibla servrar är därmed en fil, inte en migrering. Hela databasen ligger dessutom i SQLite, MySQL eller Postgres på den egna servern. Avdraget gäller att den vanliga exporten inte är heltäckande: bilagor och pågående Send-delningar följer inte med, och den krypterade exporten kräver samma huvudlösenord.
Mognad och trygghet Gäller: Projektet började som bitwarden_rs i februari 2018 och bytte namn till Vaultwarden 2021. I november 2026 hade repot cirka 70 000 stjärnor, senaste push samma dag och ett tätt utgåveflöde – 1.37.5 kom 1 november 2026 med säkerhetsrättningar och säkerhetsrådgivningar publicerade. Det finns en skriven disclosure-policy i SECURITY.md och en omfattande wiki. Det som håller kvar vid fyra i stället för fem är förvaltningen: projektet leds av en liten krets maintainers utan organisation bakom sig, och web-valven är en modifierad Bitwarden-klient som släpar efter upstream.
Framtidskraft Gäller: Servern implementerar samma REST-API som Bitwardens egna klienter använder, vilket är den mest använda integrationsytan i praktiken: officiella CLI:t loggar in mot den, skapar poster och sköter organisationer, och i labbet seedades hela valvet med det. API:t täcker poster, mappar, samlingar, Sends och administration, och det finns tredjeparts-MCP-servrar som lägger ett verktygslager ovanpå CLI:t. Avdraget gäller att MCP-stödet är communityägt och litet, att det inte finns webhooks och att arkitekturen är en omimplementation som måste följa Bitwardens protokoll när det ändras.
Drift och införande Gäller: Driftsättningen är en container och en datakatalog. I labbet gick hela vägen från tom katalog till inloggat valv på några minuter: compose-filen, ett admin-token och sedan registrering i webbvalven. Uppgradering är att byta image och starta om, säkerhetskopia är att kopiera datakatalogen eller göra en databasdump, och konfigurationen sker med miljövariabler som är dokumenterade i wikin. Den enda friktionen är sådant som gäller varje självhostad tjänst: reverse proxy med TLS och e-postutskick om inbjudningar ska fungera.
Kostnadsbild Gäller: Det finns ingen licensavgift, ingen avgift per användare och ingen betalutgåva – hela produkten är densamma för alla. Kostnaden är en liten server eller container, och i labbet räckte en delad vCPU och några hundra megabyte minne. Avdraget gäller supportposten: det finns ingen kommersiell support att köpa, så den som behöver avtal eller garanterad svarstid får räkna in egen tid eller en tredje part i totalkostnaden.
Svensk användbarhet Gäller: Webbvalven är på svenska i labbet – inloggning, valvlista, mappar, Send, rapporter och inställningar visades med svenska etiketter, eftersom gränssnittet ärver Bitwardens språkfiler. Adminpanelen på /admin är däremot engelsk, wikin och supportforumet är engelskspråkiga och det finns ingen svensk dokumentation eller svensk support. Svensk lokal relevans är därmed belagd genom gränssnittet, men inte mer än så.

Kostnad: .

Faktakontrollerad

Källor

  1. pomerium.com
  2. Pomerium-dokumentation
  3. pomerium/pomerium (GitHub)
  4. Pomerium README
  5. Pomerium-releases (GitHub)
  6. Pomerium LICENSE