Authentification unique (SSO) pour les équipes AV et événementielles

Les équipes AV et événementielles ont un mode de fonctionnement pour lequel la plupart des logiciels n'ont pas été conçus : une équipe permanente, une distribution tournante de freelances pour les grands événements, et une liste de clients qui change chaque trimestre. Chacune de ces personnes doit se connecter à vos outils, et chacun de ces comptes représente un mot de passe que quelqu'un doit retenir, réinitialiser ou, tôt ou tard, révoquer. Le SSO pour les équipes AV et événementielles existe pour vous débarrasser entièrement de ce problème.

Si vous avez déjà dû relancer un freelance trois événements après sa dernière mission pour lui demander de changer un mot de passe partagé, cet article est pour vous.

Le problème des mots de passe est pire dans l'événementiel que dans la plupart des secteurs

La plupart des outils SaaS partent du principe d'un effectif stable : vous recrutez quelqu'un, vous créez son compte, il reste des années, vous supprimez son accès à son départ. Les équipes événementielles et AV ne fonctionnent pas ainsi. Une seule saison de festivals peut faire intervenir une douzaine d'opérateurs freelances pendant une semaine, chacun ayant besoin d'accéder aux outils du spectacle, et aucun ne devant encore y avoir accès en octobre.

L'accès par mot de passe rend ce turnover coûteux à gérer en toute sécurité. Chaque compte doit être créé, chaque départ doit être repéré et révoqué, et chaque demande de réinitialisation de mot de passe est un ticket de support que personne n'a le temps de traiter en plein événement. Multipliez cela par le nombre d'outils réellement utilisés dans une stack événementielle moderne (planification, communication, contrôle du spectacle, billetterie) et la charge administrative augmente plus vite que la liste de l'équipe.

Ce que le SSO change concrètement

L'authentification unique sort l'authentification de l'application pour la confier à votre fournisseur d'identité, qu'il s'agisse d'Okta, de Microsoft Entra ID, de Google Workspace ou d'un autre fournisseur OpenID Connect. Au lieu d'un mot de passe distinct pour chaque outil, votre équipe se connecte avec la même identité que celle qu'elle utilise déjà pour la messagerie et tout le reste.

Pour une équipe AV ou événementielle, cela a trois effets concrets :

• Intégrer un freelance se résume à une modification de groupe dans l'IdP, et non à une demande de compte par outil.
• Le départ est immédiat et centralisé. Retirez quelqu'un du fournisseur d'identité et son accès à tous les outils connectés disparaît avec, le jour même.
• Il n'y a qu'un seul mot de passe à protéger, et c'est celui que votre équipe informatique sécurise déjà correctement, avec la politique d'authentification multifacteur qu'elle applique déjà.

Comment fonctionne le SSO de Cliqer

Le SSO en libre-service de Cliqer repose sur OpenID Connect : il fonctionne donc avec tout fournisseur compatible OIDC, notamment Okta, Microsoft Entra ID et Google Workspace. Il se configure entièrement depuis Tableau de bord → Équipe → Sécurité, sans ticket de support :

1. Allez dans Équipe → Sécurité → Authentification unique et cliquez sur Ajouter un fournisseur.
2. Saisissez un nom d'affichage, l'URL de l'émetteur (issuer) de votre fournisseur, ainsi que l'ID client et le secret de l'application que vous créez dans votre IdP. Cliqer récupère automatiquement le reste de la configuration depuis le point de terminaison de découverte du fournisseur.
3. Si vous le souhaitez, limitez la connexion à certains domaines de messagerie, et choisissez si les nouveaux comptes doivent être créés automatiquement lors de la première connexion.
4. Enregistrez. Le fournisseur apparaît désormais sous forme de bouton de connexion sur la page de connexion de votre équipe.

Vous pouvez ajouter plusieurs fournisseurs, ce qui est utile si votre agence travaille avec l'IdP d'un client pour une mission spécifique en plus du vôtre. Tous les détails de configuration, y compris l'URL de rappel dont votre IdP a besoin, figurent dans la FAQ SSO.

Exiger le SSO sans vous bloquer vous-même

Dès qu'au moins un fournisseur a été testé et fonctionne, vous pouvez activer Exiger le SSO, qui rejette la connexion par mot de passe et par clé d'accès pour toute l'équipe, côté serveur, et pas seulement en la masquant du formulaire de connexion. Cela supprime la faille qui permettait à quelqu'un de continuer à utiliser un ancien mot de passe après la révocation de son accès à l'IdP.

La seule exception volontaire concerne le propriétaire de l'équipe, qui conserve toujours la connexion par mot de passe comme compte d'accès d'urgence : ainsi, un fournisseur mal configuré ne peut jamais bloquer toute une organisation hors de ses propres outils.

Associer le SSO aux rôles d'équipe

L'identité n'est que la moitié de la question des accès. Une fois quelqu'un connecté, les rôles d'équipe déterminent ce qu'il peut réellement faire : inviter d'autres membres, gérer l'image de marque, modifier les paramètres de sécurité ou les clés API. En combinant le SSO avec des rôles personnalisés au périmètre strict, vous pouvez donner à un opérateur freelance exactement l'accès dont un seul spectacle a besoin, et rien de plus.

Pour les équipes qui ont aussi besoin de créer et supprimer automatiquement des comptes directement liés aux systèmes RH ou de gestion des équipes techniques, le provisionnement SCIM va plus loin que le SSO seul, en synchronisant la liste des membres elle-même et pas uniquement l'étape de connexion. Si vous devez défendre l'une ou l'autre de ces fonctionnalités auprès de votre propre direction, notre guide plus général pour faire approuver un logiciel AV par le service informatique explique comment aborder cette discussion, et la checklist de sécurité pour les logiciels de présentation couvre l'évaluation plus large dans laquelle elle s'inscrit généralement.

Le SSO face aux alternatives

Si votre équipe n'utilise pas encore de fournisseur d'identité formel, les clés d'accès constituent une étape intermédiaire solide, résistantes au phishing et sans mot de passe, sans nécessiter de forfait Enterprise ni de configuration d'IdP. L'identité n'est d'ailleurs qu'une partie d'un tableau plus large en matière d'accès : complétez-la en lisant notre article sur la présentation de contenus confidentiels en toute sécurité si votre équipe manipule des documents sensibles, et celui expliquant pourquoi les pare-feu d'entreprise bloquent les outils de présentation si votre équipe travaille sur des sites clients aux réseaux verrouillés.

FAQ

Démarrer

Si l'éparpillement des mots de passe au sein d'une équipe tournante vous fait perdre du temps à chaque spectacle, découvrez comment Enterprise réunit le SSO, le SCIM et les rôles personnalisés, ou consultez la présentation complète de la sécurité pour tout ce qui se gère en libre-service sur la page Équipe → Sécurité.