Connexion et authentification unique
Tous les paramètres de connexion se trouvent dans l’application, sous Admin → Authentification (staff Propriétaire et Admin). Aucun ne nécessite de redémarrage.
Méthodes de connexion en bref
| Méthode | Où la configurer | Remarques |
|---|---|---|
| Identifiant et mot de passe | Admin → Authentification → Méthodes de connexion | Les mots de passe sont stockés sous forme de hachages lents et salés (argon2id). |
| Authentification unique (OIDC) | Admin → Authentification → Fournisseurs OIDC | Google, Microsoft Entra ID, Apple, GitLab, Okta, Auth0, Keycloak, Authentik, ou tout fournisseur OpenID Connect. |
| Clés d’accès | Chaque personne, dans ses paramètres de sécurité | Toujours en complément d’un mot de passe ou de l’authentification unique. |
| Authentification à deux facteurs | Chaque personne, dans ses paramètres de sécurité | Codes d’une application d’authentification pour les comptes à mot de passe. |
Au moins une méthode de connexion reste toujours activée.
Authentification unique (OIDC)
Pour ajouter un fournisseur d’identité :
- Ouvrez Admin → Authentification et choisissez Ajouter un fournisseur.
- Choisissez un préréglage (il remplit l’émetteur et les claims habituels) ou Custom OIDC. La fenêtre indique où créer le client dans la console de ce fournisseur.
- Copiez l’URI de redirection affichée dans la fenêtre et enregistrez-la comme redirection (callback) autorisée
dans votre fournisseur d’identité. Elle ressemble à
https://flow.example.com/api/auth/oidc/<name>/callback. - Saisissez le Nom affiché, l’URL de l’émetteur, l’ID client et le Secret client fournis par le
fournisseur. Remplacez les espaces réservés comme
{tenant-id}ou{realm}dans l’émetteur. - Choisissez Tester la connexion : cela vérifie que le document de découverte de l’émetteur est lisible.
- Vérifiez la Correspondance des claims (claims du nom d’utilisateur, de l’e-mail et des groupes) et les options ci-dessous, puis choisissez Enregistrer.
La page de connexion affiche alors « Continuer avec … » pour chaque fournisseur activé. Les secrets client sont stockés chiffrés.
Options
- Créer les utilisateurs à la première connexion : les personnes inconnues obtiennent automatiquement un compte. Désactivé : les personnes que l’instance ne connaît pas encore ne peuvent pas se connecter avec ce fournisseur.
- Ajouter les nouveaux utilisateurs à : un espace de travail (et un rôle) que rejoignent les nouveaux comptes, ou aucun.
- Groupe admin et Groupe support : les membres de ces groupes du fournisseur reçoivent le rôle staff Admin ou Support à la connexion ; le rôle leur est retiré lorsqu’ils quittent le groupe. Les Propriétaires ne sont jamais modifiés. Voir Rôles staff.
- Correspondance des groupes : les personnes d’un groupe du fournisseur sont ajoutées à un espace de travail avec un rôle à chaque connexion, et retirées lorsqu’elles ne font plus partie du groupe. Une correspondance vers Aucun accès aux espaces retire ses membres de tous les espaces et tableaux, et l’emporte sur les autres correspondances.
Le claim des groupes doit figurer dans le jeton d’identité (ID token) ou dans les user info. Certains fournisseurs ont
besoin d’un mapper ou d’un scope « groups » pour cela (Keycloak : un mapper de groupes ; Okta : le scope groups).
Adresses e-mail du fournisseur
Quand le fournisseur envoie email_verified: true, l’adresse compte comme confirmée. Sinon (Microsoft Entra ID, par
exemple, n’envoie pas ce claim) et si Exiger la confirmation de l’e-mail est activé, un nouveau compte reçoit
d’abord un e-mail de confirmation ; après confirmation, la personne se connecte à nouveau via le fournisseur, et les
groupes et l’espace par défaut sont alors appliqués. Quand le réglage est désactivé, les adresses du fournisseur
comptent comme confirmées. Voir
Confirmation de l’e-mail.
Si votre fournisseur n’envoie pas ce claim mais que votre organisation gère les adresses dans son annuaire (typiquement
avec Microsoft Entra ID), activez Faire confiance aux adresses e-mail de ce fournisseur dans les réglages du
fournisseur (Admin → Authentification, sélectionnez le fournisseur). Ce réglage est désactivé par défaut. Une fois
activé, les adresses de ce fournisseur comptent comme confirmées même sans email_verified : les nouveaux comptes ne
reçoivent donc pas d’e-mail de confirmation. Chaque modification est consignée dans le journal d’audit. Ne l’activez que
pour un fournisseur dont les utilisateurs ne peuvent pas choisir eux-mêmes une adresse arbitraire.
Authentification à deux facteurs avec l’authentification unique
Les personnes qui se connectent via un fournisseur d’identité n’ont pas l’étape de double authentification propre à sol2flow : c’est leur fournisseur qui s’en charge. Imposez la MFA de ce côté.
Clés d’accès
Chacun ajoute ses clés d’accès lui-même (Paramètres → Sécurité → Clés d’accès) et peut ensuite se connecter sans mot de passe, y compris via le remplissage automatique du navigateur. Une clé d’accès avec biométrie ou code PIN de l’appareil compte pour deux facteurs : aucun code n’est demandé.
Les clés d’accès sont liées au nom d’hôte de APP_URL. Si vous changez de domaine, les clés d’accès existantes cessent
de fonctionner et doivent être ajoutées à nouveau ; les personnes peuvent toujours se connecter avec leur mot de passe
ou l’authentification unique. Voir Compte et sécurité.
Authentification à deux facteurs
Toute personne ayant un mot de passe peut activer l’authentification à deux facteurs avec une application d’authentification, et reçoit dix codes de récupération à usage unique. Si quelqu’un perd à la fois son application et ses codes, le staff peut la réinitialiser avec un motif enregistré dans le journal d’audit : Utilisateurs et inscription.
Sessions
- Se souvenir de moi désactivé (par défaut) : la session se termine à la fermeture du navigateur, et au plus tard après 12 heures.
- Se souvenir de moi activé : 30 jours, prolongés tant que la personne continue d’utiliser sol2flow.
- Chacun voit ses appareils connectés et peut les déconnecter dans Paramètres → Sécurité → Sessions. Désactiver un compte le déconnecte partout à la fois.
Inscription libre
Sous Admin → Authentification → Inscription libre, vous décidez si les personnes peuvent créer leur propre compte :
- Domaines e-mail autorisés : seules les adresses de ces domaines peuvent s’inscrire (vide = tous).
- Les nouveaux comptes rejoignent : un espace de travail (et un rôle) auquel chaque nouveau compte est ajouté, ou aucun.
- Approbation par un admin : les nouveaux comptes attendent qu’un membre du staff les approuve dans Admin → Utilisateurs.
- Exiger la confirmation de l’e-mail (activé par défaut) : les nouveaux comptes confirment leur adresse via un lien envoyé par e-mail avant de pouvoir se connecter, et une adresse modifiée ne s’applique qu’une fois confirmée. Cela nécessite un e-mail fonctionnel ; si votre instance ne peut pas envoyer d’e-mails, désactivez-le.
Détails : Utilisateurs et inscription.
Limites de débit
La connexion, l’inscription, la réinitialisation du mot de passe, les codes à deux facteurs et les clés d’accès sont limités en débit par adresse IP et par compte. Vérifiez que votre proxy transmet correctement les adresses des clients (Adresses IP des clients), sinon tout le monde partage la même limite.