Authentification unique (SSO)

Avant de commencer

Le SSO se configure avec le compte propriétaire, depuis le menu « SSO » de votre espace client. L'URI de redirection à déclarer chez votre fournisseur y est affichée : c'est la même pour le coffre web, l'extension et les applications.

Microsoft Entra ID

1. Dans le centre d'administration Entra, « Inscriptions d'applications » → « Nouvelle inscription » : comptes de cet annuaire uniquement (locataire unique), plateforme « Web », URI de redirection (affichée dans votre espace client).
2. Relevez l'« ID d'application (client) » et l'« ID de l'annuaire (locataire) » : l'émetteur est https://login.microsoftonline.com/<ID de l'annuaire>/v2.0 (jamais /common ni /organizations).
3. « Certificats et secrets » → nouveau secret client : copiez la valeur (pas l'ID du secret) et notez sa date d'expiration (24 mois maximum).
4. Autorisations Microsoft Graph déléguées openid, email, profile, offline_access, User.Read avec consentement administrateur ; ajoutez la revendication facultative « email » ; activez « Affectation requise » pour limiter l'accès à un groupe. Chaque utilisateur doit avoir une adresse e-mail renseignée.

Google Workspace

1. Dans la console Google Cloud de votre organisation, « API et services » → « Écran de consentement OAuth » : type « Interne » (réservé aux comptes de votre domaine Workspace).
2. « Identifiants » → « Créer un ID client OAuth » → « Application Web », URI de redirection autorisée (affichée dans votre espace client).
3. Copiez l'ID client et le code secret du client. L'émetteur est https://accounts.google.com.
4. Nous ajoutons automatiquement les paramètres nécessaires pour garder la session active (access_type=offline, prompt=consent).

Keycloak

1. Dans votre realm, créez un client OpenID Connect avec « Client authentication » activé et le flux standard (code d'autorisation) ; URI de redirection valide (affichée dans votre espace client).
2. Exigez PKCE avec la méthode S256 et réglez la durée de vie des jetons d'accès à 10 minutes au moins.
3. Copiez le secret depuis l'onglet « Credentials ». L'émetteur est https://<votre serveur>/realms/<realm>, identique au champ « issuer » de la configuration OpenID.
4. Seuls les utilisateurs dont l'adresse e-mail est vérifiée dans Keycloak peuvent se connecter.

Activer le SSO

1. Dans votre espace client, choisissez votre fournisseur, puis renseignez l'émetteur, l'ID client et le secret client.
2. Indiquez la date d'expiration du secret : nous vous préviendrons avant l'échéance.
3. Cochez « Activer le SSO » et enregistrez. L'état passe à « actif » une fois les réglages appliqués à votre coffre.
4. Faites un essai de connexion réel avec un compte administrateur, dans le coffre web et dans l'extension.

Le mot de passe maître reste demandé pour déverrouiller le coffre : c'est lui qui déchiffre vos données, et votre fournisseur d'identité ne le connaît pas.

Rendre le SSO obligatoire

Une fois que tout le monde s'est connecté une première fois en SSO, activez « Imposer le SSO à tous les utilisateurs ». Le réglage s'applique à tout le coffre : les comptes sans identité chez votre fournisseur seront bloqués.

Renouveler le secret client

Un secret expiré bloque toutes les connexions SSO. Avant l'échéance, créez un nouveau secret chez votre fournisseur et saisissez-le dans votre espace client. Laissez le champ vide pour conserver le secret actuel.

Départ d'un collaborateur

1. Désactivez son compte chez votre fournisseur d'identité.
2. Dans la console d'administration, retirez-le de l'organisation.
3. Ce retrait libère son siège et désactive son compte ; ses données sont conservées.
4. Changez les mots de passe partagés auxquels il avait accès.