FAQ SSO
Le SSO permet à votre équipe de se connecter via votre propre fournisseur d'identité. Il est inclus dans la formule
Enterprise, ou dans le module complémentaire Enterprise des formules Presenter, Studio HD, Studio 4K et Studio 8K, et se configure par votre équipe dans
Tableau de bord → Équipe → Sécurité (/dash/team/security). Vous devez disposer de l'autorisation d'équipe Gérer
la sécurité (le propriétaire et les administrateurs en disposent par défaut).
Quels fournisseurs sont pris en charge ?
Le SSO en libre-service utilise OpenID Connect (OIDC). Tout fournisseur OIDC fonctionne : Okta, Microsoft Entra ID (Azure AD), Google Workspace, Auth0 et bien d'autres exposent tous un point de terminaison OIDC.
SAML est disponible, mais en mode géré : contactez Cliqer et nous le configurerons pour votre équipe. Le formulaire en libre-service ne crée que des fournisseurs OIDC.
Comment ajouter un fournisseur ?
Ajouter un fournisseur
Rendez-vous dans Équipe → Sécurité → Authentification unique et cliquez sur Ajouter un fournisseur.
Remplir le formulaire
- Nom d'affichage : le libellé affiché sur le bouton de connexion.
- URL de l'émetteur : l'émetteur OIDC de votre fournisseur. Cliqer récupère la configuration de découverte depuis
<issuer>/.well-known/openid-configurationautomatiquement. - ID client et Secret client : issus de l'application que vous avez créée dans votre IdP.
- Revendication d'identifiant : la revendication associée au compte Cliqer (
email,suboupreferred_username). Par défaut :email. - Liste d'autorisation des domaines e-mail (facultatif) : limite la connexion à certains domaines e-mail.
- Création automatique des comptes : crée un compte Cliqer lors de la première connexion.
Enregistrer
Enregistrez. Le fournisseur apparaît désormais sur la page de connexion.
Quelle URI de redirection configurer dans mon IdP ?
https://<your-cliqer-host>/sso/<slug>/callback
Le slug est généré lors de la création du fournisseur. Le processus de connexion commence à
/api/auth/sso/<slug>/start et revient à l'URL de rappel ci-dessus.
Puis-je utiliser plusieurs fournisseurs ?
Oui. Vous pouvez ajouter plusieurs fournisseurs ; chacun affiche son propre bouton sur la page de connexion. Utilisez la liste d'autorisation des domaines e-mail pour définir qui chaque fournisseur accepte.
Que fait « Exiger le SSO » ?
Lorsque vous activez Exiger le SSO, la connexion par mot de passe et par clé d'accès est rejetée côté serveur pour les membres de votre équipe : ils doivent utiliser l'un de vos fournisseurs SSO.
- L'obligation est appliquée au niveau des points de terminaison de connexion (
/api/auth/loginet l'étape de vérification de la clé d'accès), et non en masquant un formulaire : elle ne peut donc pas être contournée en appelant l'API directement. - Le propriétaire de l'équipe est exempté (accès de secours) : il peut toujours se connecter avec un mot de passe, de sorte qu'une organisation ne peut jamais se retrouver bloquée.
Qu'advient-il des comptes existants ?
Les membres sont associés à leur identité SSO via la revendication d'identifiant (l'e-mail par défaut). Les comptes existants conservent leurs données et leurs paramètres. Lorsque la Création automatique est activée, un utilisateur SSO qui se connecte pour la première fois sans compte correspondant se voit attribuer un compte créé automatiquement.
Comment désactiver l'obligation ?
Désactivez Exiger le SSO sur la même page. La connexion par mot de passe et par clé d'accès redevient disponible immédiatement. Vos fournisseurs restent configurés.