Configurer le SSO vous-même, en trois étapes

Le SSO se configure depuis l’application, par vous, sans devis, sans appel et sans ticket. C’est un choix de fond : chez la plupart des concurrents, il est derrière un cycle de vente, et chaque fois qu’un client doit demander la permission, il y a une place à prendre.

Tout se passe dans Réglages › SSO. Les trois étapes correspondent aux trois questions qui produiraient sinon un échange par email.

1. Nous déclarer dans votre fournisseur d’identité

L’écran affiche, avec un bouton de copie pour chacun :

• l’Entity ID ;
• l’URL ACS (le point de retour de l’assertion) ;
• l’URL de déconnexion ;
• l’URL de nos métadonnées SP, si votre IdP préfère les lire que les saisir.

2. Coller vos métadonnées

Un seul champ, où vous collez le XML de métadonnées de votre IdP. Le certificat et les URL en sont extraits.

Il n’y a pas de saisie champ par champ, et c’est le point : la transcription manuelle est la première source d’erreur, donc la première source de tickets.

À la sortie du champ, le document est inspecté avant tout enregistrement. L’écran affiche le fournisseur détecté, le point d’entrée et la validité du certificat, et désactive le bouton d’enregistrement tant qu’une anomalie bloquante subsiste, en disant précisément ce qui manque.

Un certificat de signature expiré est le défaut le plus fréquent en production, et celui dont l’erreur SAML brute n’explique jamais rien. Il est annoncé ici, avec sa date.

3. Prouver le domaine

L’enregistrement TXT à créer est affiché en clair :

_facteur-<providerId>.<votre-domaine>   TXT   _facteur-<providerId>=<jeton>

Un bouton déclenche la résolution DNS depuis nos serveurs.

Cette étape n’est pas contournable, y compris par nous. Sans elle, n’importe qui pourrait déclarer le domaine d’un tiers et capter ses connexions. Ce n’est pas une formalité administrative, c’est ce qui rend le mécanisme sûr.

4. Le rendre obligatoire, quand il fonctionne

Tant que vous ne faites rien, le SSO s’ajoute aux autres façons d’entrer : vos membres peuvent encore utiliser leur mot de passe ou Google. C’est voulu — vous configurez, vous testez, et vous ne fermez les autres portes que lorsque vous avez la preuve que la nouvelle fonctionne.

Le bouton « Exiger le SSO », en bas de Réglages › SSO, fait cette bascule. Il reste inactif tant que vous-même ne vous êtes pas connecté au moins une fois par votre fournisseur d’identité : sans cette précaution, une configuration incomplète vous fermerait l’écran qui permet de faire marche arrière.

Une fois activé :

• vos membres n’entrent plus que par votre IdP, et les sessions ouvertes autrement sont coupées immédiatement — sinon la porte serait annoncée fermée pendant qu’on continue d’y passer ;
• les propriétaires conservent le mot de passe. C’est votre sortie de secours le jour où votre annuaire devient indisponible : sans elle, une panne chez vous deviendrait un ticket chez nous. La contrepartie est que vos comptes les plus puissants échappent à la règle ;
• les autres organisations auxquelles vos membres appartiennent ne sont pas concernées.

Revenir en arrière se fait par le même bouton, sans condition. Nous ne verrouillons jamais la sortie.

À partir de quel plan

Le SSO SAML est disponible dès le plan Team, et SCIM sur Business. Si le plan de votre organisation ne le permet pas, le formulaire vous le dit et nomme le plan requis, plutôt que d’échouer sans explication.

Se connecter ensuite

Depuis l’écran de connexion, par domaine d’adresse : une adresse dont le domaine est vérifié et rattaché à un fournisseur est redirigée vers votre IdP.

Une connexion par votre IdP n’ouvre que votre organisation

À connaître avant d’activer le SSO : cela change quelque chose pour vos membres qui travaillent aussi ailleurs.

Une session ouverte par votre fournisseur d’identité donne accès à votre organisation, et à elle seule. Si l’un de vos membres appartient par ailleurs à une autre organisation Facteur — un prestataire chez l’un de vos clients, par exemple — elle lui apparaîtra grisée tant qu’il sera entré par votre IdP. Pour y aller, il se reconnecte par le moyen que cette organisation-là autorise.

Ce n’est pas une restriction que nous vous imposons : c’est la contrepartie de ce que le SSO vous donne. Votre IdP décide qui entre chez vous, donc il ne décide que chez vous. Sans cette limite, l’administrateur de votre annuaire obtiendrait, en ouvrant une session au nom de l’un de vos salariés, les accès que ce salarié détient chez un tiers.

Deux choses ne changent pas : personne n’est jamais enfermé — quitter une organisation reste possible depuis n’importe quelle session — et vos membres qui n’appartiennent qu’à votre organisation ne voient aucune différence.

Voir plusieurs-organisations.

Limites connues

Ces deux points sont des manques réels, écrits ici plutôt que découverts :

• Pas encore de test de connexion de bout en bout. L’inspection du document couvre le cas fréquent — fichier incomplet, certificat expiré, mauvais document collé — mais elle ne prouve pas qu’un aller-retour réel avec votre IdP aboutit.
• Le diagnostic d’une assertion rejetée est trop pauvre. Une fois la connexion active, si une assertion est refusée, le message reste générique là où il devrait nommer ce qui n’allait pas : signature, audience, horodatage.