diff --git a/.env.example b/.env.example
index 8bc2e16..28fdb0f 100644
--- a/.env.example
+++ b/.env.example
@@ -1,6 +1,20 @@
 EXCALIDRAW_PORT=8080
+# local (Basic si AUTH_USER/AUTH_PASSWORD) ou oidc
+AUTH_MODE=local
 AUTH_USER=
 AUTH_PASSWORD=
+# AUTH_MODE=oidc. Émetteur, ex. Authentik : https://auth.example.org/application/o/excalicloud/
+# Keycloak : https://sso.example.org/realms/<realm>
+OIDC_ISSUER=
+OIDC_CLIENT_ID=
+OIDC_CLIENT_SECRET=
+OIDC_REDIRECT_URL=
+OIDC_SCOPES=openid profile email
+OIDC_ALLOWED_GROUPS=
+OIDC_GROUPS_CLAIM=groups
+OIDC_LOGOUT=true
+SESSION_TTL=24h
+SESSION_SECRET=
 MAX_BODY_MB=50
 UPDATE_CHECK=true
 UPDATE_CHECK_INTERVAL=12h
diff --git a/cmd/server/main_test.go b/cmd/server/main_test.go
index 1036fef..786d10e 100644
--- a/cmd/server/main_test.go
+++ b/cmd/server/main_test.go
@@ -1,8 +1,10 @@
 package main
 
 import (
+	"context"
 	"net/http"
 	"net/http/httptest"
+	"strings"
 	"testing"
 )
 
@@ -36,3 +38,46 @@ func TestBasicAuthPublicPaths(t *testing.T) {
 		t.Errorf("authentifié : %d", rec.Code)
 	}
 }
+
+func TestAuthenticateModes(t *testing.T) {
+	me := func(t *testing.T, h http.Handler, user string) string {
+		rec := httptest.NewRecorder()
+		req := httptest.NewRequest("GET", "/api/me", nil)
+		if user != "" {
+			req.SetBasicAuth(user, "p")
+		}
+		h.ServeHTTP(rec, req)
+		return strings.TrimSpace(rec.Body.String())
+	}
+
+	t.Run("local sans identifiants", func(t *testing.T) {
+		t.Setenv("AUTH_MODE", "")
+		t.Setenv("AUTH_USER", "")
+		h, err := authenticate(context.Background(), http.NewServeMux(), t.TempDir())
+		if err != nil || me(t, h, "") != `{"mode":"none"}` {
+			t.Fatalf("%v %s", err, me(t, h, ""))
+		}
+	})
+	t.Run("local Basic", func(t *testing.T) {
+		t.Setenv("AUTH_MODE", "local")
+		t.Setenv("AUTH_USER", "u")
+		t.Setenv("AUTH_PASSWORD", "p")
+		h, err := authenticate(context.Background(), http.NewServeMux(), t.TempDir())
+		if err != nil || !strings.Contains(me(t, h, "u"), `"mode":"local"`) {
+			t.Fatalf("%v %s", err, me(t, h, "u"))
+		}
+	})
+	t.Run("oidc sans émetteur", func(t *testing.T) {
+		t.Setenv("AUTH_MODE", "oidc")
+		t.Setenv("OIDC_ISSUER", "")
+		if _, err := authenticate(context.Background(), http.NewServeMux(), t.TempDir()); err == nil {
+			t.Fatal("configuration incomplète acceptée")
+		}
+	})
+	t.Run("mode inconnu", func(t *testing.T) {
+		t.Setenv("AUTH_MODE", "ldap")
+		if _, err := authenticate(context.Background(), http.NewServeMux(), t.TempDir()); err == nil {
+			t.Fatal("AUTH_MODE inconnu accepté")
+		}
+	})
+}
diff --git a/docker-compose.yml b/docker-compose.yml
index fd356ee..a3b7e76 100644
--- a/docker-compose.yml
+++ b/docker-compose.yml
@@ -11,10 +11,29 @@ services:
 #    ports:
 #      - "${EXCALIDRAW_PORT:-8080}:8080"
     environment:
-      # Authentification Basic optionnelle (laisser vide pour la désactiver,
-      # par exemple derrière un reverse proxy qui gère déjà l'authentification).
+      # Authentification : local (Basic avec AUTH_USER/AUTH_PASSWORD, aucune si
+      # vides, ex. derrière un reverse proxy avec SSO) ou oidc (OIDC_* ci-dessous).
+      AUTH_MODE: ${AUTH_MODE:-local}
       AUTH_USER: ${AUTH_USER:-}
       AUTH_PASSWORD: ${AUTH_PASSWORD:-}
+      # Mode oidc : fournisseur OpenID Connect (Authentik, Keycloak...). Client
+      # confidentiel (secret) ou public (PKCE seul) ; URI de redirection à
+      # déclarer chez le fournisseur : https://<hôte>/auth/callback.
+      OIDC_ISSUER: ${OIDC_ISSUER:-}
+      OIDC_CLIENT_ID: ${OIDC_CLIENT_ID:-}
+      OIDC_CLIENT_SECRET: ${OIDC_CLIENT_SECRET:-}
+      # Vide : déduite de la requête (en-têtes X-Forwarded-* du reverse proxy).
+      OIDC_REDIRECT_URL: ${OIDC_REDIRECT_URL:-}
+      OIDC_SCOPES: ${OIDC_SCOPES:-openid profile email}
+      # Groupes autorisés, séparés par des virgules (vide : tout compte authentifié).
+      OIDC_ALLOWED_GROUPS: ${OIDC_ALLOWED_GROUPS:-}
+      OIDC_GROUPS_CLAIM: ${OIDC_GROUPS_CLAIM:-groups}
+      # Déconnexion propagée au fournisseur (end_session_endpoint).
+      OIDC_LOGOUT: ${OIDC_LOGOUT:-true}
+      # Session : durée d'inactivité max, clé de signature des cookies (16 car.
+      # min. ; vide : clé aléatoire générée dans DATA_DIR/.session-secret).
+      SESSION_TTL: ${SESSION_TTL:-24h}
+      SESSION_SECRET: ${SESSION_SECRET:-}
       # Taille max d'un schéma (images embarquées en base64 comprises).
       MAX_BODY_MB: ${MAX_BODY_MB:-50}
       # Icône « mise à jour d'Excalidraw disponible » (interroge registry.npmjs.org).