#oauth2proxy — Public Fediverse posts

New blog post: Grocy Behind Keycloak and oauth2-proxy - A Compact SSO Integration

My Grocy instance is meant to be available to family and friends without creating yet another password graveyard. That is why authentication runs through Keycloak, while oauth2-proxy and Nginx take care of the rest.

#Grocy #Keycloak #oauth2proxy #OpenIDConnect #SingleSignOn #Docker #Nginx #SelfHosting #Linux

Selected public direct replies may appear on the post in a privacy-conscious, minimised form.

https://blog.weindl.biz/en/2026/08/16/grocy-behind-keycloak-and-oauth2-proxy/

Neuer Blogbeitrag: Grocy hinter Keycloak und oauth2-proxy - Eine kompakte SSO-Integration

Meine Grocy-Instanz soll für Family & Friends erreichbar sein, aber keinen zusätzlichen Passwortfriedhof erzeugen. Deshalb läuft die Anmeldung über Keycloak; oauth2-proxy und Nginx übernehmen den Rest.

#Grocy #Keycloak #oauth2proxy #OpenIDConnect #SingleSignOn #Docker #Nginx #SelfHosting #Linux

Ausgewählte öffentliche direkte Antworten können gekürzt und datensparsam im Blog erscheinen.

https://blog.weindl.biz/de/2026/08/16/grocy-hinter-keycloak-und-oauth2-proxy/

⚠️ Breaking Update!!! 🔧📦

My mini guide for #Grocy behind #Keycloak + #oauth2proxy just received a bigger update.

A few nasty corners showed up during testing:
- API clients were getting HTML redirects instead of JSON, because /api was blindly pushed through the SSO login flow.
- The iCal subscription URL was documented incorrectly – Grocy serves it under /api/calendar/ical, not /calendar/ical.
- Monitoring “/ with a 302” only proves that nginx + oauth2-proxy are alive, not Grocy or the database.

The mini guide now includes:
- a proper dual setup for Web UI + GROCY-API-KEY,
- a dedicated block for /api/calendar/ical?secret=…,

The updated EN version (with a fresh “Edited” section for 2026-08-05) is available here:

https://weindl.link/md-en-grocy-keycloak+

If you followed the old version: please compare against the new config, otherwise you’ll keep wondering about 302/500s and empty JSON responses. 😏

#SelfHosted #Grocy #Keycloak #OIDC #OAuth2Proxy #Nginx #Docker #Linux

⚠️ Breaking Update!!! 🔧📦

Mein Mini-Guide für #Grocy hinter #Keycloak + #oauth2proxy hat heute ein größeres Update bekommen.

Beim Testen sind ein paar unschöne Ecken aufgefallen:
- API-Clients bekamen HTML-Redirects statt JSON, weil /api stumpf durch den SSO-Login-Flow geschoben wurde.
- Beim iCal-Abo war der Pfad falsch dokumentiert – Grocy hängt die Route unter /api/calendar/ical, nicht unter /calendar/ical.
- Monitoring auf “nur / und 302” sagt exakt nichts über Grocy oder die Datenbank aus.

Die Minianleitung ist jetzt:
- mit einem sauberen Dual-Setup für WebUI + GROCY-API-KEY,
- mit einem eigenen Block für /api/calendar/ical?secret=…,
- und mit einem konkreten Monitoring-Beispiel über /api/system/info (Keyword db_version).

Die aktualisierte DE-Fassung (inkl. “Edited”-Abschnitt vom 05.08.2026) liegt hier:

https://weindl.link/md-de-grocy-keycloak+

Wer sich an der alten Version orientiert hat: bitte kurz gegen die neue config abgleichen, sonst wundert ihr euch über 302/500 und leere JSONs. 😏

#SelfHosted #Grocy #Keycloak #OIDC #OAuth2Proxy #Nginx #Docker #Linux

#Grocy with #Keycloak authentication set up 😜

Today I deployed a Grocy Docker installation with Keycloak authentication. Works like a charm.

Access is currently IP-filtered, as only family & friends are meant to have access to it (eventually).

The setup had a few pitfalls which I will not get into here. Instead, here is a small Markdown guide with the relevant config snippets.

Please note: This is not a hand-holding guide.
If Docker, Nginx, Linux & co. are complete gibberish to you, please go and obtain a system administrator degree from Humboldt University – or just use the local app. <cough>

Since my future blog is still stuck in `vim`, the guide is available as an `.md` on my PrivateBin instance for now:

https://weindl.link/md-en-grocy-keycloak+

#SelfHosted #Docker #Nginx #Linux #Keycloak #OIDC #OAuth2Proxy #Grocy

#Grocy mit #Keycloak-Authentifizierung aufgesetzt 😜

Ich habe heute eine Grocy-Docker-Installation mit Keycloak-Authentifizierung hochgezogen. Läuft prächtig.

Aktuell ist der Zugriff noch IP-gefiltert, da dort künftig nur Family & Friends zugreifen sollen.

Das Setting hatte ein paar Stolpersteine, auf die ich hier nicht weiter eingehe. Stattdessen gibt es eine kleine Markdown-Anleitung mit den relevanten Config-Snippets.

Beachtet bitte: Das ist keine DAU-Anleitung.
Wer bei Docker, Nginx, Linux & Co. nur Bahnhof versteht, möge bitte beim Humboldt den Systemadministrator nachholen – oder einfach die lokale App verwenden. <hust>

Da mein zukünftiger Blog noch immer in `vim` festhängt, liegt die Anleitung einstweilen als `.md` auf meiner PrivateBin-Instanz:

https://weindl.link/md-de-grocy-keycloak+

#SelfHosted #Docker #Nginx #Linux #Keycloak #OIDC #OAuth2Proxy #Grocy

Надежный фейс-контроль: как прикрутить MFA к веб-сервису через Nginx и OAuth2 Proxy

Подключить MFA к современному веб-приложению обычно несложно: достаточно подключить SAML или OIDC на стороне самого приложения и включить второй фактор на Identity Provider. Проблемы начинаются там, где сервис не умеет ни в SAML, ни в OIDC, а переписывать его рискованно, дорого или попросту некому. Во многих корпоративных сетях до сих пор живут монолитные legacy-системы, которые лучше не трогать, и кастомные сервисы, давно оставшиеся без активного развития. На такой случай придумана концепция предаутентификации. Она позволяет вынести всю сложную логику проверки прав, работу с токенами и криптографией на внешний контур. По сути, перед приложением устанавливается барьер, который отсекает нелегитимные запросы еще до того, как они дойдут до бэкенда. В этой статье системный инженер Артур Газеев и я, Аскар Добряков, ведущий эксперт направления защиты данных и приложений в

https://habr.com/ru/companies/k2tech/articles/1029280/

#nginx #oauth2proxy #mfa #sso #предаутентификация #auth_request #legacy #информационная_безопасность

@paco We started to integrate DNS-UI (https://github.com/operasoftware/dns-ui) from @thomasp with #oauth2proxy and #keycloak.
We are also working on some features to bring it up to speed (see https://github.com/operasoftware/dns-ui/pull/218).