Connexion par SSO, clés d'accès et double authentification

Prenons Kasia, seule informaticienne d'une entreprise de 180 personnes qui vient de passer au bureau hybride. Lundi, 8 h 40. Trois tickets l'attendent déjà : un collègue a oublié son mot de passe de l'outil de réservation de bureaux, une autre ne retrouve pas l'e-mail contenant son code de connexion, et un chef d'équipe demande si le prestataire parti vendredi peut encore réserver une place de parking. Kasia a passé deux ans à placer chaque application derrière le fournisseur d'identité de l'entreprise. L'outil de réservation de bureaux est le seul à avoir encore ses propres mots de passe.

Voici comment fonctionne la connexion dans Desk & Park, ce que Kasia mettrait en place, et le seul endroit où le produit déroge délibérément à la règle du « tout par SSO ». Tout cela est disponible dans tous les forfaits, y compris le forfait gratuit Start.

Étape 1 : connecter le fournisseur d'identité (SSO via OpenID Connect)

Desk & Park prend en charge l'authentification unique via OpenID Connect, le standard que parlent Microsoft Entra ID, Google Workspace, Okta et la plupart des autres fournisseurs d'identité. Le flux est celui du code d'autorisation avec PKCE, la variante recommandée pour les applications web.

Kasia ouvre Paramètres de l'organisation → Authentification unique (SSO) et remplit quatre champs :

1. URL de l'émetteur (Issuer URL) : pour Google https://accounts.google.com, pour Entra https://login.microsoftonline.com/<tenant-id>/v2.0, ou l'émetteur de tout autre fournisseur OIDC.
2. ID client et secret client, issus de l'inscription d'application qu'elle crée dans la console de son fournisseur. Le secret est stocké chiffré et n'est plus jamais affiché ; pour le changer, elle en saisit un nouveau.
3. Domaine e-mail autorisé (facultatif). S'il est renseigné, seules les adresses de ce domaine peuvent se connecter par SSO : un compte personnel qui existerait par hasard chez le fournisseur n'entre pas.
4. La carte affiche l'URI de redirection à recopier dans l'inscription d'application.

Elle coche Activer la connexion SSO et enregistre. La page de connexion affiche désormais Se connecter avec le SSO, et la collègue qui avait oublié son mot de passe utilise le même compte Microsoft ou Google que pour sa messagerie. Une organisation connecte un seul fournisseur.

Ce que le SSO ne fait pas à lui seul : créer des comptes

La première connexion SSO ne crée pas de compte. Si quelqu'un s'authentifie avec succès chez le fournisseur mais n'a pas de compte Desk & Park, il est renvoyé à la page de connexion avec un message l'invitant à demander une invitation à son administrateur. Les comptes sont créés par un administrateur : invités un par un, importés depuis une liste, ou provisionnés automatiquement depuis Entra ID ou Okta via SCIM, ce que nous décrivons dans provisionnement SCIM et offboarding.

C'est important pour le troisième ticket de Kasia : bloquer quelqu'un chez le fournisseur ne constitue que la moitié de l'offboarding. L'autre moitié consiste à désactiver le compte Desk & Park et à mettre fin à ses sessions, ce que fait SCIM lorsque la personne est désactivée dans l'annuaire.

Qui vérifie le second facteur lors d'une connexion SSO

Lorsque quelqu'un se connecte par SSO, le fournisseur d'identité l'a déjà authentifié : Desk & Park n'ajoute donc pas sa propre étape de code par-dessus. Le second facteur est celui qu'exige votre fournisseur. Si votre politique Entra ou Okta impose la MFA, c'est cette MFA que passent vos collaborateurs.

Étape 2 : l'exception délibérée, les administrateurs

Voici ce qui surprend certaines équipes informatiques : les comptes administrateurs ne peuvent pas se connecter par SSO. C'est voulu.

Une connexion SSO identifie la personne par son adresse e-mail. Si un fournisseur d'identité était un jour mal configuré ou compromis, quiconque le contrôle pourrait présenter l'adresse e-mail d'un administrateur et entrer dans la console d'administration de l'outil de réservation. Pour garder cette porte fermée, les administrateurs utilisent les facteurs propres à la plateforme : un mot de passe, une clé d'accès ou un code par e-mail, suivis du code de leur application d'authentification dès qu'ils ont activé la double authentification.

La règle pratique pour Kasia : chaque compte administrateur devrait activer la double authentification dans Paramètres → Sécurité, à commencer par le sien. Le produit ne l'impose pas ; c'est pourquoi elle a sa place sur sa liste de contrôle.

Étape 3 : des clés d'accès pour ceux qui détestent les mots de passe

Une clé d'accès (passkey, WebAuthn) permet de se connecter avec une empreinte digitale, la reconnaissance faciale ou le code PIN de l'appareil, sans mot de passe à retenir ni à se faire dérober par hameçonnage. Chaque utilisateur en ajoute une pour lui-même dans Paramètres → Sécurité → Clés d'accès (« Ajouter une clé d'accès »), en lui donnant éventuellement un nom (« MacBook », « iPhone »). La liste indique quand chaque clé a été ajoutée et utilisée pour la dernière fois, et chacune peut être supprimée.

Un détail qui compte lors des revues de sécurité : une clé d'accès utilisée avec vérification de l'utilisateur (le contrôle par empreinte, visage ou code PIN) vaut à elle seule deux facteurs et termine la connexion. Une clé d'accès utilisée sans vérification de l'utilisateur ne compte que comme facteur de possession : un compte ayant activé la double authentification passe donc ensuite par l'étape du code.

Étape 4 : la double authentification avec une application

Dans Desk & Park, la double authentification repose sur TOTP : le code à six chiffres d'une application d'authentification. Chaque utilisateur l'active dans Paramètres → Sécurité ; dès lors, chaque connexion par mot de passe, par code e-mail ou par clé d'accès sans vérification de l'utilisateur demande le code.

L'utilisateur reçoit aussi des codes de récupération à usage unique : en cas de perte du téléphone, un code permet d'entrer, puis il est consommé. Les codes peuvent être régénérés, et l'activation ou la désactivation de la double authentification est consignée dans le journal de sécurité.

Étape 5 : des sessions visibles, que l'on peut fermer

Sous Paramètres → Sécurité → Sessions actives, chaque utilisateur voit où il est connecté (navigateur, système d'exploitation, adresse IP, heure de début) et peut révoquer n'importe quelle session ou cliquer sur Se déconnecter partout.

En coulisse, deux autres mécanismes travaillent sans bruit :

• La rotation des jetons de rafraîchissement. À chaque renouvellement d'une session, l'ancien jeton est remplacé. Si un jeton déjà utilisé est présenté de nouveau, signe qu'il a été copié, la session entière est fermée.
• Le verrouillage après échecs répétés. Après plusieurs tentatives infructueuses, les tentatives suivantes sont bloquées pendant un certain temps, et le verrouillage apparaît dans le journal de sécurité.

Conseils pratiques pour le déploiement

• Commencez par les administrateurs. Avant d'annoncer le SSO, assurez-vous que chaque administrateur a activé la double authentification et ajouté une clé d'accès. Ils ne pourront pas utiliser le SSO : leur propre connexion doit donc être solide.
• Définissez le domaine e-mail autorisé si votre fournisseur d'identité contient aussi des comptes invités ou personnels.
• Décidez comment les comptes sont créés. Pour un petit bureau, les invitations suffisent. Au-delà, connectez SCIM pour que les arrivées et les départs découlent de l'annuaire.
• Faites une annonce courte. « Utilisez Se connecter avec le SSO, avec le même compte que votre messagerie » suffit.
• Consultez de temps en temps le flux de sécurité. Les connexions, les échecs, les verrouillages et les changements de double authentification apparaissent dans le journal d'audit administrateur ; nous le décrivons dans journal d'audit et accès du support.

Périmètre : ce que cela ne fait pas

Pour que les attentes restent justes : l'authentification unique repose uniquement sur OpenID Connect ; il n'y a donc pas de SAML. Il n'existe pas de politique à l'échelle de l'organisation qui impose la double authentification à chaque utilisateur, pas de délai d'expiration de session configurable, pas de liste d'adresses IP autorisées et pas de mode « SSO uniquement » qui désactiverait les autres méthodes de connexion. La double authentification relève du choix de chaque utilisateur, c'est pourquoi la liste de contrôle ci-dessus commence par les administrateurs. L'endroit où sont conservées les données elles-mêmes est un autre sujet, traité dans pourquoi vos données workplace méritent une base de données isolée.

Les forfaits et leurs limites figurent sur la page des tarifs ; la mise en place d'un bureau entier est décrite dans le guide de démarrage.

FAQ

Quels fournisseurs d'identité fonctionnent avec le SSO de Desk & Park ?

Tout fournisseur prenant en charge OpenID Connect, notamment Microsoft Entra ID, Google Workspace et Okta. Une organisation connecte un seul fournisseur. SAML n'est pas pris en charge.

La première connexion SSO crée-t-elle automatiquement un compte ?

Non. Le compte doit exister au préalable : un administrateur invite la personne, importe une liste ou provisionne les comptes via SCIM depuis Entra ID ou Okta. Une personne sans compte est renvoyée à la page de connexion avec un message l'invitant à s'adresser à son administrateur.

Pourquoi les administrateurs ne peuvent-ils pas se connecter par SSO ?

Parce qu'une connexion SSO identifie le compte par son adresse e-mail, et qu'un fournisseur d'identité mal configuré ou compromis ne doit pas pouvoir ouvrir la console d'administration. Les administrateurs se connectent avec un mot de passe, une clé d'accès ou un code par e-mail, suivis du code de leur application d'authentification une fois la double authentification activée.

Peut-on imposer la double authentification à tout le monde ?

Pas dans le produit. Chaque utilisateur active la double authentification dans Paramètres → Sécurité. Les collaborateurs qui se connectent par SSO passent par la MFA qu'exige votre fournisseur d'identité ; pour les administrateurs, l'activation de la double authentification devrait figurer sur votre liste de contrôle de mise en place.

Le SSO est-il inclus dans le forfait gratuit ?

Oui. Le SSO, les clés d'accès, la double authentification et la liste des sessions actives sont disponibles dans tous les forfaits, y compris Start.