Identité et SSO

Configurez l'authentification unique (SSO) pour votre organisation Certivant avec Google, Microsoft, GitHub, SAML 2.0 ou OIDC, afin que votre équipe s'authentifie avec son identité d'entreprise existante.

Who can do this:Org ownerOrg admin

Ce que cela permet de faire

L'authentification unique (SSO) permet à vos collaborateurs de se connecter à Certivant avec leur identité d'entreprise existante — Google Workspace, Microsoft 365, Okta, OneLogin, etc. — au lieu de retenir un mot de passe supplémentaire. La frontière de sécurité reste celle de votre fournisseur d'identité (IdP) : lorsque vous retirez quelqu'un de cet IdP, il perd aussi l'accès à Certivant.

Trois modes de SSO :

Fournisseurs sociaux — Google, Microsoft, GitHub. Connexion en un clic pour chaque utilisateur. Chacun clique une fois sur « Se connecter avec Google », et nous le rattachons à son membre d'organisation existant grâce à son courriel.
SAML 2.0 — pour les IdP d'entreprise (Okta, OneLogin, Azure AD, ADFS). Vous créez une application d'entreprise de votre côté, collez les métadonnées dans Certivant, et c'est terminé.
OIDC — OpenID Connect, pour les IdP qui le préfèrent à SAML (Auth0, Keycloak, locataires Okta récents).

Où le trouver

Paramètres → Identité et SSO dans la barre latérale gauche.

Ces fournisseurs sont configurés par votre super administrateur au niveau de la plateforme. Vous ne les configurez pas par organisation : ils sont soit activés, soit désactivés pour l'ensemble du déploiement. S'ils sont activés, vos collaborateurs voient les boutons « Se connecter avec Google » / « Se connecter avec Microsoft » / « Se connecter avec GitHub » sur la page de connexion.

Lorsqu'un collaborateur se connecte avec un fournisseur social :

L'IdP renvoie son courriel vérifié.
Certivant associe ce courriel au membre que vous avez préalablement invité.
Il accède à votre organisation, sans étape supplémentaire.

Si le courriel de son IdP ne correspond à aucun membre invité, il reçoit le message « Compte introuvable — demandez à votre administrateur de vous inviter ».

Si tout le monde dans votre organisation utilise Google Workspace, demandez à votre super administrateur d'activer le SSO Google et de désactiver la connexion par courriel et mot de passe. Un mot de passe de moins à gérer, une surface d'hameçonnage en moins.

SAML 2.0

Pour les entreprises de taille moyenne ou grande dont l'IdP gère déjà le provisionnement des applications.

Dans Certivant : ouvrez Identité et SSO

Paramètres → Identité et SSO → SAML. Activez Activer SAML. L'écran affiche alors :

Votre URL ACS (Assertion Consumer Service) : https://app.certivant.com/api/auth/saml/callback/{votre-org-id}. Copiez-la.
Votre Entity ID (identifiant d'entité SP) : urn:certivant:org:{votre-org-id}. Copiez-le.
Téléverser les métadonnées IdP : l'endroit où vous collerez le XML de votre IdP à l'étape 2.

Dans votre IdP : créez une nouvelle application SAML pour Certivant

Les IdP n'utilisent pas tous les mêmes termes, mais les champs sont universels :

Identifiant d'entité SP — collez l'Entity ID de l'étape 1.
URL ACS / URL de réponse — collez l'URL ACS de l'étape 1.
Format du Name ID — EmailAddress (nous associons les membres par courriel).
Déclarations d'attributs (facultatif, mais utile) :
- firstName, lastName — utilisés pour pré-remplir le profil du membre.
- groups — liste des groupes d'appartenance. Associez-les aux rôles Certivant via la liste déroulante côté IdP.

Téléchargez le fichier XML des métadonnées de l'IdP.

De retour dans Certivant : téléversez les métadonnées

Collez le XML dans le champ Téléverser les métadonnées IdP de la page Identité et SSO. Enregistrez.

Testez

Ouvrez une nouvelle fenêtre privée. Cliquez sur Se connecter avec SAML et saisissez votre courriel. Vous devriez être redirigé vers votre IdP, vous y connecter, puis revenir à votre organisation Certivant.

(Facultatif) Limiter à SAML

Une fois le fonctionnement confirmé, vous pouvez exiger SAML pour chaque membre de votre organisation : Paramètres → Identité et SSO → Exiger le SSO, à activer. La connexion par courriel et mot de passe reste possible pour le propriétaire de l'organisation (solution de secours), mais elle est bloquée pour tous les autres.

Provisionnement à la volée (JIT)

Lorsqu'un nouvel utilisateur de l'IdP se connecte pour la première fois, Certivant peut :

Bloquer — seuls les membres invités au préalable peuvent entrer.
Créer automatiquement comme membre — tout utilisateur de l'IdP disposant d'une réponse SAML valide devient automatiquement membre de l'organisation.
Créer automatiquement avec le rôle issu du groupe — lit l'attribut groups de la réponse SAML et attribue le rôle Propriétaire / Administrateur / Membre selon une correspondance que vous configurez.

Choisissez l'option sous Paramètres → Identité et SSO → SAML → Provisionnement des nouveaux utilisateurs. Le provisionnement à la volée est pratique, mais il réduit votre contrôle : si votre IdP envoie chaque collaborateur, vous intégrerez automatiquement tout le monde, qu'il ait besoin de Certivant ou non.

OIDC

OIDC fonctionne de façon similaire, mais avec du JSON plus simple plutôt que du XML.

Paramètres → Identité et SSO → OIDC. Activez l'option.

Copiez l'URI de redirection : https://app.certivant.com/api/auth/oidc/callback/{votre-org-id}.

Créez une application OIDC dans votre IdP. Collez l'URI de redirection. Configurez les portées : openid, email, profile, ainsi que groups si vous souhaitez une correspondance des rôles.

Dans Certivant : collez l'URL de l'émetteur, l'ID client et le secret client fournis par l'IdP.

Enregistrez. Testez depuis une fenêtre privée via Se connecter avec SSO.

Supprimer le SSO

Désactivez le fournisseur concerné sous Paramètres → Identité et SSO. Les membres déjà connectés restent authentifiés jusqu'à l'expiration de leur session ; leur prochaine connexion devra passer par la connexion par courriel et mot de passe (ou un autre fournisseur activé).

Si vous aviez exigé le SSO et souhaitez y renoncer, désactivez aussi Exiger le SSO afin que les membres puissent revenir à la connexion par courriel et mot de passe.

Dépannage

« SSO non configuré pour cette organisation »

Vous avez activé le fournisseur, mais sa configuration est incomplète. Ouvrez la section SAML ou OIDC et vérifiez que tous les champs obligatoires sont renseignés.

« Réponse SAML invalide » / « Jeton OIDC invalide »

Causes fréquentes :

Décalage d'horloge entre votre IdP et nos serveurs. La plupart des IdP sont synchronisés par NTP ; votre propre déploiement ne l'est peut-être pas.
Entity ID / Audience incorrects côté IdP. Vérifiez que les valeurs affichées par Certivant correspondent à celles de votre application IdP.
Non-concordance de signature — vous avez régénéré les certificats dans l'IdP sans renvoyer les métadonnées à Certivant. Collez à nouveau les métadonnées les plus récentes.

« Compte introuvable »

L'IdP a renvoyé un courriel qui ne correspond à aucun membre invité. Dans ce cas :

Invitez l'utilisateur depuis Paramètres → Membres au préalable (avec le même courriel que celui renvoyé par l'IdP).
Ou activez le provisionnement à la volée pour une création automatique.

C'est volontaire : le propriétaire peut toujours se connecter par courriel et mot de passe, même lorsque Exiger le SSO est activé, afin de disposer d'une solution de secours si le SSO tombe en panne. Si même cette solution échoue, contactez votre super administrateur pour corriger le problème côté plateforme.

Inviter des coéquipiers — la liste des membres sert à la correspondance des courriels du SSO.
Les rôles en un coup d'œil — correspondance entre les groupes et les rôles.
Zone dangereuse — la désactivation du SSO est réversible depuis le compte propriétaire.

Identité et SSO

On this page