Définition & Concepts

Better Auth (Auth open source TypeScript)

Version Décideur

L'essentiel

Better Auth = bibliothèque moderne pour gérer l'authentification des utilisateurs dans une application Next.js. Tu l'installes en cinq minutes et tu obtiens : login email/mot de passe, OAuth Google ou Microsoft, magic links par e-mail, passkeys (le successeur du mot de passe) et 2FA. Le tout open source et auto-hébergeable — pas comme Clerk qui stocke tes utilisateurs sur ses propres serveurs aux États-Unis. Chez Nehos, c'est notre stack d'authentification par défaut pour les clients : on garde la souveraineté et le contrôle, sans dépendre d'un SaaS étranger.

Version Expert

Détails Techniques

Better Auth est une bibliothèque d'authentification TypeScript open source créée en 2024, alternative moderne à NextAuth (Auth.js), Lucia Auth et Clerk. Fonctionnalités natives : (1) email/password avec hachage Argon2/bcrypt configurable, (2) OAuth providers (Google, GitHub, Microsoft, Apple, Discord, etc.), (3) magic links par e-mail, (4) passkeys/WebAuthn conformes FIDO2, (5) 2FA TOTP (compatible Google Authenticator, 1Password), (6) multi-tenant avec organizations et invitations, (7) RBAC (Role-Based Access Control) granulaire. Compatible Next.js 16 (App Router + Server Actions), SvelteKit, Astro, React Router v7, Tanstack Start. Stockage agnostique via adapters : Postgres, MySQL, SQLite, MongoDB, Drizzle, Prisma. Auto-hébergeable (vs Clerk SaaS verrouillé chez un fournisseur US) — contrôle total des données utilisateurs, conformité RGPD native. Stack par défaut Nehos pour ses projets clients : souveraineté maximale plus flexibilité d'extension.

#Définition Better Auth (Auth open source TypeScript)

D'un point de vue métier, Compatible Next.js 16 (App Router + Server Actions), SvelteKit, Astro, React Router v7, Tanstack Start. Stockage agnostique via adapters : Postgres, MySQL, SQLite, MongoDB, Drizzle, Prisma. Auto-hébergeable (vs Clerk SaaS verrouillé chez un fournisseur US) — contrôle total des données utilisateurs, conformité RGPD native. Stack par défaut Nehos pour ses projets clients : souveraineté maximale plus flexibilité d'extension.

Le concept de Better Auth (Auth open source TypeScript) prend tout son sens dans un contexte B2B où chaque décision technique impacte directement le ROI.

#Better Auth (Auth open source TypeScript) expliqué simplement

Situation classique dans les projets que Nehos accompagne. C'est la réalité du terrain — loin des définitions académiques.

#Cas d'usage concrets

Scale-up SaaS B2B — stack souveraine France — Lancement d'un SaaS B2B (200 entreprises clientes) avec Better Auth + Postgres OVH + Stripe Connect. Organizations multi-tenant natives, RBAC fin (admin, manager, viewer), passkeys activés pour les comptes admin. Migration zéro depuis Clerk évitée dès le départ, économie ~à partir de 825 €/mois par rapport au plan Clerk Pro à 14 mois. Retrouvez le détail dans cas client SaaS B2B — Better Auth + Postgres OVH + Stripe.

Collectivité — site agent + FranceConnect+ + RGAA — Portail interne pour 8 500 agents d'une métropole : Better Auth couplé à FranceConnect+ via OIDC custom provider. Authentification forte conforme aux exigences ANSSI, accessibilité RGAA AA validée, stockage Postgres SecNumCloud OVH. Better Auth choisi pour son extensibilité (adapter OIDC custom impossible à brancher proprement sur Clerk).

MVP startup studio Nehos — setup en 1 heure — Pour chaque MVP lancé via le studio (8 projets en 2025), Better Auth est installé en moins d'une heure : email/password + OAuth Google + magic links + passkeys. Aucune dépendance à un vendor SaaS dès le jour 1, ce qui évite les migrations douloureuses lors de la levée de fonds Series A (cas vécu deux fois avec d'anciens projets Clerk en 2024).

#Better Auth (Auth open source TypeScript) chez Nehos Groupe

On intègre cette approche dans chaque projet client. Sur les 3 derniers projets impliquant Better Auth (Auth open source TypeScript), on a documenté les résultats avec des KPIs précis. Notre service Applications Web Next.js 16 couvre ce périmètre de A à Z.

La méthode Nehos est documentée sur méthode Stack Tech Nehos par défaut. Chaque mission démarre par un cadrage structuré : objectifs chiffrés, périmètre technique, jalons à 30/60/90 jours. Les résultats mesurés sur nos clients : 14 mois est un ordre de grandeur courant. On livre, on mesure, on itère. Pas de slides sans livrable.

#Termes associés

Pour aller plus loin, explorez les termes connexes.

Explorez chaque définition pour construire une vision complète du sujet.

Applications Concrètes

Contexte : Scale-up SaaS B2B — stack souveraine France

"Lancement d'un SaaS B2B (200 entreprises clientes) avec Better Auth + Postgres OVH + Stripe Connect. Organizations multi-tenant natives, RBAC fin (admin, manager, viewer), passkeys activés pour les comptes admin. Migration zéro depuis Clerk évitée dès le départ, économie ~à partir de 825 €/mois par rapport au plan Clerk Pro à 14 mois."

Contexte : Collectivité — site agent + FranceConnect+ + RGAA

"Portail interne pour 8 500 agents d'une métropole : Better Auth couplé à FranceConnect+ via OIDC custom provider. Authentification forte conforme aux exigences ANSSI, accessibilité RGAA AA validée, stockage Postgres SecNumCloud OVH. Better Auth choisi pour son extensibilité (adapter OIDC custom impossible à brancher proprement sur Clerk)."

Contexte : MVP startup studio Nehos — setup en 1 heure

"Pour chaque MVP lancé via le studio (8 projets en 2025), Better Auth est installé en moins d'une heure : email/password + OAuth Google + magic links + passkeys. Aucune dépendance à un vendor SaaS dès le jour 1, ce qui évite les migrations douloureuses lors de la levée de fonds Series A (cas vécu deux fois avec d'anciens projets Clerk en 2024)."

Questions & Réponses

Questions fréquentes sur Better Auth

Trois raisons concrètes nous font privilégier Better Auth chez Nehos depuis fin 2024. D'abord la DX : Better Auth expose une API typée TypeScript de bout en bout, là où NextAuth garde un héritage JavaScript et des callbacks parfois pénibles à typer. Ensuite la richesse native : organizations, RBAC, passkeys, 2FA TOTP sont inclus sans plug-ins tiers, alors que NextAuth oblige à coller plusieurs librairies. Enfin la philosophie : Better Auth est agnostique de framework (Next.js, SvelteKit, Astro, Tanstack Start), ce qui aligne notre stack quand un client change de framework. Réserve honnête : NextAuth a 6 ans d'écosystème, donc plus de tutoriels et de réponses Stack Overflow.

On perd trois confort : le dashboard utilisateurs prêt à l'emploi, le support payant et les fonctionnalités enterprise (SCIM, SAML clés en main). On gagne en revanche la souveraineté totale des données (RGPD natif, pas de DPA avec un éditeur US), le contrôle des coûts (Clerk facture 25 ¢ par MAU au-delà de 10 000 ; Better Auth coûte zéro hors infrastructure), et l'absence de vendor lock-in. Sur deux projets clients en 2025, migrer hors de Clerk a coûté entre 12 et 18 jours-homme — autant ne pas s'y enfermer dès le départ si la souveraineté est un critère business.

Oui, via le mécanisme de generic OIDC provider. FranceConnect+ expose un endpoint OpenID Connect standard, et Better Auth permet d'enregistrer un custom OIDC provider en une trentaine de lignes de configuration (clientId, clientSecret, issuer, scopes eIDAS substantiel). Nous l'avons mis en place pour une collectivité (8 500 agents) début 2026 : couplé à un audit ANSSI et un stockage Postgres SecNumCloud sur OVHcloud, c'est conforme. À noter : FranceConnect+ exige une convention DINUM et un dossier homologation RGS — Better Auth n'enlève pas cette obligation administrative.

Non, et c'est même contre-productif en 2026. Les passkeys sont une excellente option pour les comptes sensibles (admin, finance, RH) et pour les utilisateurs technophiles, mais le grand public n'est pas encore prêt — beaucoup confondent passkey, mot de passe Apple ID et iCloud Keychain. Notre approche par défaut chez Nehos : passkeys proposés en option à l'inscription, fortement encouragés pour les rôles admin, obligatoires sur les accès production. Better Auth gère nativement le fallback email/password ou magic link, ce qui évite de bloquer les utilisateurs qui ratent leur enrôlement passkey.

Trois étapes pragmatiques. Étape 1 : installer Better Auth en parallèle, sans casser NextAuth (les deux peuvent coexister sur des routes différentes pendant 2 à 4 semaines). Étape 2 : importer les utilisateurs depuis la table NextAuth (User, Account, Session) vers le schéma Better Auth — l'éditeur fournit un script de migration officiel pour Postgres et MySQL. Étape 3 : bascule progressive route par route, jusqu'à supprimer NextAuth du code base. Délai constaté sur deux projets clients (15 000 et 80 000 utilisateurs actifs) : 4 à 8 jours-homme. Point d'attention : si vous utilisez les JWT NextAuth en cookie, prévoyez une période où les deux cookies coexistent pour ne pas déloguer brutalement les utilisateurs.

Exploration associée

conformité RGPD authentification