Autenticazione

Gestione da Amministrazione sito → Origini di autenticazione, o CLI gitea admin auth ....

OAuth2 / OpenID Connect (Keycloak, GitHub, Google...): bottone "Accedi con". Il redirect URI deve combaciare esattamente (https://your-domain.com/user/oauth2/<nome>/callback). Auto-registrazione e linking account in [oauth2_client].
LDAP (bind DN o template DN, sync utenti, filtro admin, gruppi) e FreeIPA.
SMTP: valida login contro un mail server (PLAIN/LOGIN).
PAM: richiede build custom, non nei binari ufficiali.
SPNEGO/SSPI: SSO Windows/Kerberos.
Header del reverse proxy (X-WEBAUTH-USER): Gitea deve essere raggiungibile solo dal proxy (qui la 3000 è già su 127.0.0.1, ma attenzione se si espone altrimenti).
Account locali: 2FA (TOTP/WebAuthn) dalle impostazioni utente; token di accesso con scope; chiavi SSH e GPG. (Dettagli 2FA/token/GPG non verificati: docs.gitea.com/usage/authentication e pagine collegate.)
SECRET_KEY cifra i segreti 2FA: non cambiarla.