WorkOS AuthKit und Logto unterstützen beide Consumer-Anmeldung, Organisationen und Enterprise SSO. Logto ergänzt Enterprise SSO für $48 pro Connector und Monat, eine Auswahl an Cloud-Datenregionen, einen Open-Source-Kern und Self-Hosting.
WorkOS startete mit eigenständigen APIs für Enterprise SSO und Directory Sync und führte AuthKit im November 2023 ein. AuthKit ist heute eine vollständige Authentifizierungsplattform. Sie unterstützt gehostete oder benutzerdefinierte Anmeldungen, Benutzerverwaltung, Organisationen und Rollen. MFA, Passkeys und Session-Steuerung sind ebenfalls enthalten. Die Unterschiede liegen bei Preisgestaltung, Bereitstellung und Kontrolle. WorkOS berechnet Enterprise-Verbindungen in der Produktion separat, seine öffentlichen Materialien beschreiben einen in den USA gehosteten Dienst, und das User-Management-Backend ist nicht öffentlich als selbst gehostetes Produkt dokumentiert.
| Beweggrund | So sieht es in der Praxis aus |
|---|---|
| Ein großes kostenloses MAU-Kontingent mit kostenpflichtigen Produktions-Add-ons | AuthKit umfasst E-Mail und Passwort, Social OAuth und Magic Auth für bis zu 1M monatlich aktive Benutzer. MFA und Passkeys sind ebenfalls enthalten. Ein Custom-Domain-Add-on für gehostetes AuthKit in der Produktion kostet $99 pro Monat. Enterprise SSO, Directory Sync und SIEM-Streaming werden separat berechnet. So kann ein Team bereits für Produktions- und Enterprise-Anforderungen zahlen, bevor seine Nutzung das MAU-Kontingent überschreitet. |
| Die Kosten für Enterprise-Verbindungen steigen mit jedem Kunden | Enterprise SSO beginnt bei $125 pro Produktionsverbindung und Monat für 1–15 Verbindungen. Directory Sync verwendet dieselben veröffentlichten Preisstufen und wird separat berechnet. In der Einstiegsstufe kosten eine SSO-Verbindung und eine Directory-Sync-Verbindung zusammen $250 pro Monat. Mit steigendem Volumen sinkt der WorkOS-Preis bis auf $50 pro Verbindung bei 101–200 Verbindungen. Logto Enterprise SSO ist bei Pro ein monatliches Add-on für $48 pro Connector. |
| Unterschiedliche Grenzen bei Hosting und Kontrolle | AuthKit deckt zentrale Authentifizierungsabläufe, Session-Steuerung und native OAuth- oder PKCE-Flows ab. WorkOS verwaltet den Benutzerspeicher und den Authentifizierungsdienst. Logto deckt B2C- und B2B-Authentifizierung mit einem Open-Source-Kern ab, der in Logto Cloud, Private Cloud oder deiner eigenen Umgebung laufen kann. |
| Öffentliche Materialien beschreiben einen in den USA gehosteten Dienst | Die On-Prem-Dokumentation von WorkOS betrifft Kundenanwendungen, die weiterhin mit WorkOS-APIs kommunizieren. Air-Gap-Anwendungen benötigen einen separaten Authentifizierungspfad. Logto Cloud bietet Mandanten-Datenregionen in Europa, West-USA, Australien und Japan. Logto Private Cloud stellt eine dedizierte Azure-Bereitstellung bereit, wobei die Verfügbarkeit der Zielregion im Einzelfall bestätigt wird. Beim Self-Hosting bleibt der Dienst auf deiner Infrastruktur. |
| Das gehostete Authentifizierungs-Backend ist proprietär | WorkOS veröffentlicht AuthKit-Frontend-Beispiele, SDKs und eine OpenAPI-Spezifikation. Das User-Management- und Authentifizierungs-Backend ist proprietär, und ein selbst gehostetes AuthKit-Backend ist nicht öffentlich dokumentiert. Öffentliche Benutzer-API-Antworten enthalten keine Passwort-Hashes; ein Export-Endpunkt ist nicht dokumentiert. Logto veröffentlicht seine zentrale Authentifizierungsplattform, das Backend und die Anmelde-UI unter einer Open-Source-Lizenz. Logto Cloud verwendet denselben Kern und ergänzt ihn um verwaltete Dienste. |
Logto unterstützt Passwörter, Passkeys, Social Sign-in und MFA für persönliche Konten. Derselbe Mandant kann auch Organisationen, Organisationsrollen, Enterprise SSO pro Organisation und Just-in-time-Provisioning enthalten. Rollen auf Konto- und API-Ebene können mit Organisationsrollen in einem Autorisierungsmodell kombiniert werden.
Logto Pro startet bei $24 pro Monat und hat vorbehaltlich der Fair-Use-Richtlinien kein festes MAU-Limit. Enthalten sind 50K Zugriffstoken pro Monat und eine benutzerdefinierte Domain. Enterprise SSO kostet $48 pro Connector und Monat. MFA und Organizations sind separate Add-ons, die jeweils $48 pro Mandant und Monat kosten. Token-Mehrverbrauch und weitere Add-ons wirken sich weiterhin auf die Rechnung aus.
Logto Cloud verwendet denselben Open-Source-Authentifizierungskern, der auch für Self-Hosting verfügbar ist. Für den verwalteten Dienst kannst du Europa, West-USA, Australien oder Japan als Mandanten-Datenregion wählen. Private Cloud stellt eine dedizierte Azure-Bereitstellung bereit, wobei die Verfügbarkeit der Zielregion im Einzelfall bestätigt wird. Beim Self-Hosting bleibt der Dienst auf deiner Infrastruktur.
Wir glauben an ehrliche Positionierung. Logto ist nicht für jeden WorkOS-Kunden die perfekte Wahl.
| Logto | WorkOS | |
|---|---|---|
| Zentrale Unterschiede | ||
| AuthentifizierungsumfangAuthentifizierung für Consumer, Geschäftskunden und Enterprises | B2C- und B2B-Authentifizierung in einem Mandanten | AuthKit-Plattform plus eigenständige Enterprise-APIs |
| Kostenloser PlanWas der kostenlose Plan enthält | Bis zu 50K MAU und 50K Zugriffstoken pro Monateine benutzerdefinierte Domain | Bis zu 1M MAUOrganisationen, Rollen, MFA und Passkeys enthalten |
| Benutzerdefinierte DomainGehostete Anmeldung über deine eigene Domain bereitstellen | Eine bei Free und Pro enthalten | Add-on für gehostetes AuthKit: $99 pro Monat |
| Enterprise-SSO-PreiseDie Kosten jeder Enterprise-Identity-Provider-Verbindung | $48 pro Connector und Monat bei Pro | Ab $125 pro Produktionsverbindung und Monat für 1–15 Verbindungen |
| PreismodellWie die Pläne abgerechnet werden | Pro ab $24 pro Monatkein festes MAU-LimitNutzung von Zugriffstoken und Add-ons werden berechnet | Bis zu 1M MAU kostenlos$2,500 pro weitere 1MEnterprise-Produkte separat berechnet |
| B2B-MandantenfähigkeitGeschäftskunden als Organisationen mit Rollen modellieren | Organisationen mit Rollen, SSO pro Organisation und JIT-Provisioning | Organisationen, Rollen und JIT enthaltenSSO und Directory Sync pro Produktionsverbindung berechnet |
| Kontrolle über die Anmelde-UIBranding, Formulierungen und Sprachen des Anmeldeerlebnisses | Bearbeitbare Übersetzungen15 integrierte Sprachen plus 113 zusätzliche Sprach-TagsBring Your UI | Gehostete UI in etwa 90 Sprachen mit eigenen Texten und CSSbenutzerdefinierte Frontends über APIs |
| Open SourceWelcher Quellcode öffentlich ist und was auf deiner Infrastruktur laufen kann | Kernplattform für Authentifizierung, Backend und Anmelde-UICloud ergänzt verwaltete Dienste | Frontend-Beispiele, SDKs und OpenAPI sind öffentlichdas gehostete Backend ist proprietär |
| Self-Hosting des BackendsBenutzerspeicher und Authentifizierungsdienst auf deiner Infrastruktur betreiben | Mit der Open-Source-Plattform unterstützt | Kein öffentlich dokumentiertes selbst gehostetes AuthKit- oder User-Management-Backend |
| Bereitstellung und DatenresidenzWo der Authentifizierungsdienst laufen kann | Cloud-Datenregionen für Mandanten in EU, US, AU und JPPrivate CloudSelf-Hosting | Öffentliche Materialien beschreiben US-basiertes HostingOn-Prem-Kundenanwendungen rufen weiterhin WorkOS-APIs auf |
Basierend auf öffentlich verfügbaren Informationen, Stand Juli 2026. Bitte prüfe die aktuellen Details beim jeweiligen Anbieter.
WorkOS dokumentiert den Import von Passwort-Hashes in AuthKit. Die öffentlichen Antworten von Get User und List Users enthalten keine Hashes, und ein Endpunkt für den Export von Passwort-Hashes ist nicht öffentlich dokumentiert. Kläre die verfügbaren Exportoptionen mit WorkOS, bevor du den Migrationsplan abschließt.
WorkOS stellt paginierte APIs für Benutzer und Organisationen bereit. Übertrage kompatible Datensätze mit Skripten, die die Management API aufrufen, nach Logto. Benutzer werden einzeln und mit Rate-Limit erstellt. Plane separate Arbeiten für Mitgliedschaften und Rollen, verknüpfte Identitäten und MFA-Faktoren sowie SSO- und Directory-Sync-Einstellungen ein.
Wenn keine Hashes verfügbar sind, benötigen Benutzer mit Passwort einen Reset oder eine gestaffelte Migration. Social- und passwortlose Konten benötigen keine Migration von Passwort-Hashes, doch Benutzer müssen sich eventuell erneut anmelden oder eine Identität neu verknüpfen. Teste Kontozuordnung und Session-Umstellung vor dem Start. Kontaktiere uns, wenn du Unterstützung bei der Prüfung des Plans möchtest.
Lies den Leitfaden zur Benutzermigration →Jede Migration ist ein wenig anders. Wenn der Leitfaden deinen Fall nicht abdeckt, sprich mit uns und sag uns, was du brauchst.
AuthKit ist das Authentifizierungsprodukt von WorkOS. Es deckt gehostete und benutzerdefinierte Anmeldung, Benutzerverwaltung und Sessions ab. Organisationen, Rollen, MFA sowie OAuth- oder OIDC-Flows sind ebenfalls enthalten. WorkOS bietet eigenständige APIs für Enterprise SSO, Directory Sync und Audit Logs für Produkte, die ein bestehendes Authentifizierungssystem behalten. Einige Enterprise-Funktionen werden pro Produktionsverbindung berechnet.
AuthKit ist für bis zu 1M monatlich aktive Benutzer pro Kalendermonat kostenlos. Enthalten sind E-Mail und Passwort, Social OAuth und Magic Auth. MFA und Passkeys sind ebenfalls enthalten. Ein Custom-Domain-Add-on für gehostetes AuthKit in der Produktion kostet $99 pro Monat. Enterprise SSO beginnt bei $125 pro Produktionsverbindung und Monat für 1–15 Verbindungen. Directory Sync wird separat nach denselben veröffentlichten Preisstufen berechnet. SIEM-Streaming kostet $125 pro SIEM-Verbindung und Monat. Bei einer Nutzung von mehr als 1M MAU listet WorkOS $2,500 pro Monat für jede weitere 1M MAU.
WorkOS veröffentlicht AuthKit-Frontend-Beispiele, SDKs und eine OpenAPI-Spezifikation. Das gehostete User-Management- und Authentifizierungs-Backend ist proprietär. Ein selbst gehostetes AuthKit-Backend ist nicht öffentlich dokumentiert. Öffentliche Benutzer-API-Antworten enthalten keine Passwort-Hashes; ein Export-Endpunkt ist nicht dokumentiert. Logto veröffentlicht seine zentrale Authentifizierungsplattform, das Backend und die Anmelde-UI unter einer Open-Source-Lizenz. Logto Cloud verwendet denselben Kern und ergänzt ihn um verwaltete Dienste.
Logto eignet sich für Teams, die B2C- und B2B-Authentifizierung mit einem Open-Source-Backend, regionalen Cloud-Optionen, Self-Hosting und niedrigeren SSO-Preisen pro Connector suchen. WorkOS eignet sich für Teams, die Enterprise SSO und Directory Sync zu einem bestehenden Authentifizierungssystem hinzufügen möchten oder die verwaltete Enterprise-Integrationssuite von WorkOS bevorzugen. Auth0 und Stytch sind weitere häufig verglichene Optionen.
WorkOS dokumentiert die Unterstützung für Kundenanwendungen, die On-Premises bereitgestellt werden. Diese Anwendungen kommunizieren jedoch weiterhin mit WorkOS-APIs. Air-Gap-Anwendungen benötigen einen separaten Authentifizierungspfad. WorkOS dokumentiert kein selbst gehostetes AuthKit- oder User-Management-Backend. Logto unterstützt Self-Hosting für seine Open-Source-Authentifizierungsplattform.
WorkOS und AuthKit sind Marken von WorkOS, Inc. Funktionsvergleiche basieren auf öffentlich verfügbaren Informationen, Stand Juli 2026. Bitte prüfe die aktuellen Details beim jeweiligen Anbieter.
