Authentification unique (SSO)

L’authentification unique (SSO) permet aux membres de votre équipe de se connecter à PlatoForms avec le compte qu’ils utilisent déjà au travail. Votre fournisseur d’identité (Okta, Microsoft Entra ID, Google Workspace ou tout fournisseur prenant en charge SAML 2.0 ou OpenID Connect) vérifie leur identité et applique vos règles de mot de passe et de multi-facteur. PlatoForms les connecte ensuite à votre équipe.

Avant de commencer

Assurez-vous d’avoir les éléments suivants :

• Le bon accès dans PlatoForms : vous êtes le propriétaire de l’équipe ou un membre avec l’accès Gérer les membres.
• Un administrateur chez votre fournisseur d’identité : quelqu’un qui peut créer une application là-bas.
• Accès à vos enregistrements DNS : vous prouvez que vous possédez votre domaine de messagerie avec un enregistrement TXT. Un domaine que votre équipe a déjà vérifié pour l’envoi de courriels dans PlatoForms est accepté sans nouvel enregistrement.

Ouvrir la page d’authentification unique

1. Connectez-vous à votre compte PlatoForms.

2. Dans la navigation de gauche, cliquez sur le nom de votre équipe.

3. Dans le menu, sélectionnez Authentification unique.

   

Comment la page est organisée

La carte en haut montre votre progression. Elle liste trois étapes, Connexion, Domaines de messagerie et Test, chacune avec une coche une fois terminée. Le bouton Tester la connexion et le bouton Activer l’authentification unique se trouvent également sur cette carte, vous pouvez donc les atteindre depuis chaque onglet.

Sous la carte, il y a trois onglets :

• Connexion : les valeurs que vous échangez avec votre fournisseur d’identité. Enregistrez avec Enregistrer la connexion.
• Domaines de messagerie : les domaines dont les adresses peuvent se connecter. Chaque action s’applique immédiatement.
• Règles de connexion : qui doit utiliser l’authentification unique, qui peut rejoindre, et combien de temps dure une session. Enregistrez avec Enregistrer les règles.

Étape 1 : Connectez votre fournisseur d’identité

1. Dans l’onglet Connexion, choisissez votre fournisseur sous 1. Fournisseur d’identité. Pour Okta et Microsoft Entra ID, choisissez également OpenID Connect ou SAML 2.0. Les deux fonctionnent ; OpenID Connect a moins de valeurs à copier.

   

2. Sous 2. Valeurs pour votre fournisseur d’identité, copiez les valeurs que PlatoForms affiche dans l’application que vous créez chez votre fournisseur.

3. Sous 3. Valeurs de votre fournisseur d’identité, collez les valeurs que votre fournisseur vous donne.

4. Cliquez sur Enregistrer la connexion.

Les guides listés en haut de cette page donnent les étapes exactes pour chaque fournisseur.

Étape 2 : Vérifiez vos domaines de messagerie

Seules les adresses sur les domaines que vous avez vérifiés peuvent se connecter via votre connexion. Cela empêche quiconque de revendiquer les adresses de votre entreprise.

1. Ouvrez l’onglet Domaines de messagerie.

2. Sous Ajouter un domaine, tapez le domaine de votre entreprise, par exemple acme.com, et cliquez sur Ajouter un domaine.

3. PlatoForms affiche un enregistrement TXT. Ajoutez-le chez votre fournisseur DNS pour le domaine lui-même (le sommet du domaine), puis cliquez sur Vérifier.

   

Bon à savoir :

• Les modifications DNS peuvent prendre quelques minutes pour être visibles. Si Vérifier ne réussit pas immédiatement, réessayez un peu plus tard.
• Un domaine que votre équipe a déjà vérifié sous Vérification du domaine de messagerie est vérifié ici immédiatement.
• Les sous-domaines sont séparés. Ajoutez mail.acme.com comme son propre domaine si vos adresses l’utilisent.
• Les domaines de boîtes aux lettres publiques tels que gmail.com ne peuvent pas être ajoutés.
• Un domaine ne peut appartenir qu’à une seule équipe. Si votre domaine est déjà revendiqué et que vous le possédez, contactez support@platoforms.com.

Étape 3 : Testez la connexion

1. Dans la carte de statut, cliquez sur Tester la connexion.

2. Une fenêtre s’ouvre chez votre fournisseur d’identité. Connectez-vous avec un compte dont l’email est sur l’un de vos domaines vérifiés.

3. PlatoForms affiche le résultat : l’email et le nom qu’il a reçus, et les noms des attributs ou revendications envoyés par votre fournisseur.

   

Un test ne crée jamais de compte et ne connecte jamais personne. Si le nom est manquant, comparez les noms d’attributs ou de revendications dans le résultat avec les noms sous Avancé dans l’onglet Connexion.

Étape 4 : Activez l’authentification unique

Lorsque les trois étapes ont une coche, cliquez sur Activer l’authentification unique dans la carte de statut. Les membres avec une adresse sur un domaine vérifié peuvent maintenant se connecter via votre fournisseur d’identité.

Comment les membres se connectent

Les membres peuvent commencer depuis PlatoForms ou depuis votre fournisseur d’identité :

• Depuis la page de connexion PlatoForms : cliquez sur SSO, entrez l’email professionnel et cliquez sur Continuer. PlatoForms envoie le membre à votre fournisseur d’identité et le ramène.

  

  

• Depuis l’URL de départ : l’onglet Connexion affiche une URL de départ pour votre équipe. Les membres peuvent la mettre en favori ; elle mène directement à votre fournisseur d’identité.

• Depuis votre fournisseur d’identité : la vignette de l’application PlatoForms dans Okta, Mes applications ou le lanceur d’applications Google connecte directement le membre.

Si un membre a déjà un compte PlatoForms avec la même adresse email, l’authentification unique le connecte à ce compte. Rien n’est dupliqué.

Règles de connexion

Ouvrez l’onglet Règles de connexion pour décider de la rigueur de l’authentification unique. Cliquez sur Enregistrer les règles après un changement.

• Exiger l’authentification unique

  Les membres avec une adresse sur un domaine vérifié ne peuvent plus utiliser un mot de passe, une réinitialisation de mot de passe, ou la connexion Google, Facebook et Microsoft. L’inscription avec une telle adresse est également envoyée à l’authentification unique. Cette option est disponible une fois que l’authentification unique est activée.

  Note

  Le propriétaire de l’équipe conserve toujours la connexion par mot de passe. Si votre fournisseur d’identité est mal configuré ou indisponible, le propriétaire peut toujours entrer et corriger les paramètres.

• Rejoindre automatiquement

  Lorsqu’il est activé, toute personne que votre fournisseur connecte avec une adresse de domaine vérifié rejoint automatiquement votre équipe. Lorsqu’il est désactivé, seules les personnes que vous avez invitées depuis Membres de l’équipe peuvent se connecter ; tout le monde voit “Vous n’êtes pas encore membre de cette équipe.”

• Accès pour les membres qui rejoignent automatiquement

  L’accès qu’un nouveau membre reçoit en rejoignant automatiquement, par exemple Voir le journal d’activité ou Gérer les membres. Vous pouvez modifier l’accès d’un membre plus tard sous Membres de l’équipe.

• Durée de session pour l’authentification unique

  Combien de temps dure une session commencée via votre fournisseur : 8, 24 ou 72 heures, ou la même que les autres connexions. Les équipes en mode HIPAA conservent leur règle plus stricte : la session se termine lorsque le navigateur se ferme.

Gérer l’authentification unique

• Modifier la connexion : éditez les valeurs dans l’onglet Connexion et cliquez sur Enregistrer la connexion. L’authentification unique reste activée. Exécutez Tester la connexion à nouveau pour confirmer que les nouvelles valeurs fonctionnent.
• Faire tourner un certificat SAML : collez le nouveau certificat sous l’actuel. Les deux sont acceptés jusqu’à ce que vous supprimiez l’ancien.
• Désactiver : cliquez sur Désactiver dans la carte de statut. Vos paramètres sont conservés, et les membres se connectent à nouveau avec leur mot de passe ou leur compte social.
• Supprimer : cliquez sur Supprimer l’authentification unique en bas de l’onglet Connexion. Cela supprime la connexion et les revendications de domaine. Les comptes et les adhésions à l’équipe restent. Les membres créés via l’authentification unique n’ont pas encore de mot de passe ; ils en définissent un avec Mot de passe oublié sur la page de connexion.

Bon à savoir

• Authentification multi-facteur : votre fournisseur d’identité l’applique. Les membres qui se connectent avec l’authentification unique ne sont pas invités à entrer également le code à deux facteurs de PlatoForms.
• Changements d’adresse email : un membre dont l’adresse est gérée via l’authentification unique ne peut pas la changer dans PlatoForms. Changez-la chez votre fournisseur d’identité.
• Places : un membre qui rejoint via l’authentification unique utilise une place comme tout autre membre. Lorsque l’équipe est complète, la connexion est refusée jusqu’à ce que vous libériez une place ou que vous passiez à un plan supérieur.
• Équipes HIPAA : après le verrouillage d’inactivité, un membre qui s’est connecté avec l’authentification unique continue avec l’authentification unique au lieu de taper un mot de passe.
• Si votre plan change : sur un plan sans authentification unique, les connexions existantes continuent de fonctionner, les paramètres deviennent en lecture seule et Exiger l’authentification unique est mis en pause jusqu’à ce que vous passiez à un plan supérieur.

Dépannage