Authentification unique (SSO)

Avec l'authentification unique, vos utilisateurs se connectent avec le compte qu'ils utilisent déjà au travail : chez Microsoft Entra ID (Microsoft 365), Google Workspace ou votre propre fournisseur OpenID Connect comme Okta, Keycloak ou Auth0. Ils n'ont alors plus besoin d'un mot de passe propre à allverto.

#Ce dont vous avez besoin

• Le droit Gérer les utilisateurs (seul un propriétaire active ou désactive le SSO obligatoire).
• Pour Microsoft, l'ID de locataire de votre annuaire ; pour Google, le domaine Workspace ; pour votre propre fournisseur, l'URL de l'émetteur (Issuer), l'ID client et le secret client.
• Les domaines e-mail avec lesquels vos équipes se connectent (p. ex. entreprise.fr).

#Configurer

Ouvrez Roue dentée → Sécurité et faites défiler jusqu'à la carte Authentification unique.

1. Activer l'authentification unique.
2. Sous Fournisseur, choisissez Microsoft Entra ID, Google Workspace ou Fournisseur OpenID Connect personnalisé. Si un fournisseur est grisé, allverto ne l'a pas encore configuré – un clic dessus indique la raison.
3. Saisissez les données du fournisseur (voir ci-dessous).
4. Sous Domaines e-mail autorisés, ajoutez vos domaines. Seules les adresses de ces domaines se connectent par authentification unique. Les fournisseurs publics comme gmail.com ou web.de ne sont pas possibles.
5. Enregistrer, puis Tester la connexion.

#Microsoft Entra ID

allverto dispose de sa propre application multilocataire chez Microsoft. Vous indiquez seulement quel annuaire s'applique :

1. Dans le Centre d'administration Microsoft Entra, copiez l'ID de locataire sous Vue d'ensemble.
2. Collez-le dans allverto sous ID de locataire (ID d'annuaire).
3. Lors de la première connexion, Microsoft demande le consentement pour l'application « allverto ». Si les personnes ne peuvent pas le donner elles-mêmes, une administratrice l'accorde une fois pour toute l'organisation (Applications d'entreprise → allverto → Autorisations → Accorder le consentement administrateur).

allverto utilise comme adresse e-mail le nom de connexion (UPN) du compte, p. ex. erika@entreprise.fr. Il doit correspondre à l'adresse avec laquelle la personne est invitée dans allverto. allverto refuse les comptes d'autres annuaires – y compris les comptes invités.

#Google Workspace

1. Sous Domaine Google Workspace, saisissez le domaine principal de votre Workspace, p. ex. entreprise.fr.
2. C'est tout – allverto utilise sa propre application chez Google. La connexion Google n'affiche que les comptes de cette organisation ; les comptes Gmail privés sont refusés.

#Fournisseur OpenID Connect personnalisé (Okta, Keycloak, Auth0 …)

1. Chez le fournisseur, créez une nouvelle application de type Web (Authorization Code avec PKCE).
2. Comme URI de redirection, saisissez l'adresse indiquée dans la carte (bouton Copier à côté de URI de redirection).
3. Autorisez les portées (scopes) openid, email et profile.
4. Dans allverto, saisissez l'URL de l'émetteur (Issuer) (adresse https, p. ex. https://entreprise.okta.com), l'ID client et le secret client, et si besoin un Libellé du bouton (p. ex. « Okta »).
5. Enregistrer. Chaque domaine affiche ensuite un enregistrement TXT : créez-le chez votre fournisseur DNS et cliquez sur Vérifier. Seuls les domaines confirmés peuvent se connecter.

Le secret client est stocké chiffré chez allverto et n'est plus jamais affiché. Laisser le champ vide conserve le secret enregistré.

#Tester la connexion

Tester la connexion ouvre la connexion chez le fournisseur dans une fenêtre contextuelle. allverto affiche ensuite ce qui a été reçu (p. ex. e-mail, nom, annuaire) et si la connexion fonctionnerait – vous n'êtes pas connecté. Les raisons d'un refus figurent dans le résultat, p. ex. « Ce domaine e-mail n'est pas autorisé pour l'authentification unique de cette entreprise ».

Enregistrez avant de tester ; après une modification des paramètres, un nouveau test est nécessaire avant que le SSO obligatoire puisse s'appliquer.

#Se connecter

• Sur la page de connexion, saisissez d'abord l'adresse e-mail. Si le domaine appartient à votre entreprise, Se connecter avec Microsoft apparaît (ou Google, ou votre libellé).
• Sous Lien de connexion direct figure une adresse comme allverto.cloud/login/sso/votre-entreprise qui mène directement au fournisseur – pratique en favori ou sur l'intranet.
• allverto associe le compte via l'adresse e-mail (majuscules et minuscules indifférentes). La personne doit être membre de votre entreprise – ou être créée automatiquement (voir ci-dessous). Les personnes qui travaillent dans plusieurs entreprises changent comme d'habitude via le menu des entreprises.
• La session dure aussi longtemps qu'avec une connexion par mot de passe ; la déconnexion automatique en cas d'inactivité s'applique également.

#SSO obligatoire

Avec SSO obligatoire, tous les utilisateurs de l'entreprise se connectent uniquement par authentification unique. À l'activation, les sessions par mot de passe en cours des autres utilisateurs prennent fin. Une personne qui travaille aussi dans une entreprise sans SSO obligatoire peut continuer à s'y connecter par mot de passe ; le passage à votre entreprise exige alors l'authentification unique.

Conditions :

Accès d'urgence : les propriétaires peuvent toujours se connecter par mot de passe malgré le SSO obligatoire – mais uniquement avec la connexion à deux facteurs configurée. Vous accédez ainsi à allverto même si le fournisseur est en panne. La page de connexion affiche pour cela Se connecter en tant que propriétaire avec mot de passe (accès d'urgence).

#Créer les utilisateurs automatiquement

Par défaut, seules les personnes invitées dans allverto peuvent se connecter. Avec Créer les utilisateurs automatiquement, toute personne disposant d'un domaine autorisé reçoit un accès avec le Rôle par défaut choisi lors de sa première connexion. Le rôle Propriétaire ne peut pas être choisi. Les utilisateurs désactivés restent désactivés.

À noter : chaque nouvel utilisateur actif compte pour l'abonnement.

#Journal

Chaque connexion par authentification unique figure dans le Journal système. Les connexions refusées figurent en outre dans le Pare-feu – chaque fois avec la raison, p. ex. domaine non autorisé, compte d'un autre annuaire ou aucun accès dans l'entreprise. allverto n'enregistre jamais de jetons ni de secrets.

#Questions fréquentes

#La page de connexion n'affiche aucun bouton « Se connecter avec … ».

Vérifiez que l'authentification unique est activée, que le domaine de l'e-mail figure sous Domaines e-mail autorisés et – pour un fournisseur personnalisé – qu'il est confirmé par DNS. Le lien direct fonctionne dans tous les cas.

#« Aucun accès n'existe dans l'entreprise pour cette adresse e-mail. »

La personne n'est pas invitée. Invitez-la sous Utilisateurs ou activez Créer les utilisateurs automatiquement. Pour Microsoft : le nom de connexion (UPN) correspond-il à l'adresse e-mail dans allverto ?

#Que se passe-t-il si nous changeons de formule ?

Sans la formule Flotte, l'authentification unique est désactivée, SSO obligatoire compris. Tout le monde se connecte de nouveau par mot de passe (« Mot de passe oublié ? » en définit un nouveau si besoin). Les paramètres restent enregistrés.