# Autenticazione

Gestione da Amministrazione sito → Origini di autenticazione, o CLI `gitea admin auth ...`.

- **OAuth2 / OpenID Connect** (Keycloak, GitHub, Google...): bottone "Accedi con". Il redirect URI deve combaciare esattamente (`https://your-domain.com/user/oauth2/<nome>/callback`). Auto-registrazione e linking account in `[oauth2_client]`.
- **LDAP** (bind DN o template DN, sync utenti, filtro admin, gruppi) e **FreeIPA**.
- **SMTP**: valida login contro un mail server (PLAIN/LOGIN).
- **PAM**: richiede build custom, non nei binari ufficiali.
- **SPNEGO/SSPI**: SSO Windows/Kerberos.
- **Header del reverse proxy** (`X-WEBAUTH-USER`): Gitea deve essere raggiungibile *solo* dal proxy (qui la 3000 è già su 127.0.0.1, ma attenzione se si espone altrimenti).
- Account locali: 2FA (TOTP/WebAuthn) dalle impostazioni utente; token di accesso con scope; chiavi SSH e GPG. (Dettagli 2FA/token/GPG non verificati: docs.gitea.com/usage/authentication e pagine collegate.)
- `SECRET_KEY` cifra i segreti 2FA: non cambiarla.