Brancher la connexion unique (SSO)

La connexion unique permet à vos collaborateurs de se connecter à Candidia avec le fournisseur d'identité de votre entreprise (Okta, Microsoft Entra ID, Google Workspace ou un autre fournisseur compatible). Elle est incluse dès l'offre Starter, comme toute fonctionnalité. Seul le protocole OpenID Connect (OIDC) est pris en charge : ni SAML ni SCIM.

La procédure compte cinq étapes, toutes depuis la carte « Connexion unique (SSO) » de « Paramètres », onglet « Utilisateurs et droits ».

Avant de commencer

  • Vous êtes Admin de votre organisation Candidia : le réglage est réservé à ce rôle.
  • Vous avez la main sur le DNS du domaine de vos adresses e-mail professionnelles (un domaine grand public comme gmail.com est refusé) et sur votre fournisseur d'identité.
  • Vous imposez l'authentification multifacteur (MFA) à vos utilisateurs chez le fournisseur : c'est l'engagement que vous cochez à la mise en service. Les comptes connectés par connexion unique ne passent pas par le code de double authentification de Candidia.
  • Votre fournisseur et Candidia doivent pouvoir se joindre en https, sur une adresse publique (pas d'adresse IP ni de port interne).

Étape 1 : prouver le domaine

  1. Saisissez le domaine de vos adresses e-mail (entreprise.fr) dans « Domaine des adresses e-mail », puis cliquez sur « Déclarer le domaine ».
  2. Chez votre hébergeur DNS, créez un enregistrement TXT sur ce domaine avec la valeur affichée (« Copier » la copie pour vous), puis cliquez sur « Vérifier ». La propagation peut prendre quelques minutes.
  3. Un domaine ne peut être vérifié que par une seule organisation. Si Candidia indique qu'il est déjà utilisé par une autre organisation, écrivez au support, à l'adresse indiquée dans les mentions légales.

Étape 2 : créer l'application chez votre fournisseur

Dans tous les cas : type d'application Web (client confidentiel), flux code d'autorisation, portées openid, email et profile. L'URL de redirection (redirect URI) est celle que la carte affiche sous « À déclarer chez votre fournisseur ». Notez l'émetteur (issuer), le client ID et le client secret.

Okta

  1. Applications > Create App Integration > OIDC - OpenID Connect > Web Application.
  2. Sign-in redirect URI : l'URL de redirection de Candidia. Assignments : les groupes autorisés.
  3. Émetteur : https://<votre-organisation>.okta.com (serveur d'autorisation « org ») ou https://<votre-organisation>.okta.com/oauth2/default (serveur d'autorisation par défaut). Saisissez exactement l'issuer affiché par Okta.
  4. Imposez la MFA dans la politique d'authentification de l'application.

Microsoft Entra ID

  1. Entra ID > App registrations > New registration, plateforme Web, Redirect URI = l'URL de Candidia. Supported account types : comptes de cet annuaire seulement (un seul locataire).
  2. Certificates & secrets > New client secret : copiez sa valeur (pas son identifiant).
  3. Émetteur : https://login.microsoftonline.com/<identifiant-du-locataire>/v2.0, avec l'identifiant GUID du locataire (Overview > Directory (tenant) ID). Les émetteurs common, organizations et consumers sont refusés : utilisez toujours l'URL de votre locataire.
  4. Revendications facultatives, obligatoire : Token configuration > Add optional claim > type ID, puis ajoutez email et xms_edov (domaine de l'e-mail vérifié chez Microsoft). Candidia refuse toute connexion sans xms_edov à vrai : sans elle, un administrateur de locataire pourrait déclarer n'importe quelle adresse. Ajoutez aussi given_name et family_name pour des noms exacts sur les comptes créés.
  5. Imposez la MFA par un accès conditionnel (Conditional Access) sur l'application.

Google Workspace

  1. Google Cloud Console > APIs & Services > Credentials > Create credentials > OAuth client ID > Web application. Authorized redirect URIs = l'URL de Candidia. Écran de consentement : type Interne, réservé à votre organisation Workspace.
  2. Émetteur : https://accounts.google.com.
  3. Candidia exige que la revendication hd (domaine hébergé) soit égale au domaine vérifié : les comptes Google grand public sont donc refusés.
  4. Imposez la validation en deux étapes dans la console d'administration Workspace.

Autre fournisseur OIDC

L'émetteur est l'issuer exact de /.well-known/openid-configuration : Candidia refuse un document dont l'issuer diffère de celui saisi. Le fournisseur doit renvoyer la revendication email_verified à vrai.

Étape 3 : renseigner Candidia et tester

  1. Choisissez le fournisseur, saisissez « Émetteur (issuer) », « Client ID » et « Client secret » (le secret est chiffré et n'est plus jamais affiché), puis cliquez sur « Enregistrer le fournisseur ».
  2. Cliquez sur « Tester la connexion » : vous êtes redirigé vers votre fournisseur, connectez-vous avec une adresse de votre domaine. Au retour, Candidia affiche « Test réussi : la connexion avec votre fournisseur d'identité fonctionne. »
  3. Si le test échoue, vérifiez l'émetteur, le client ID, le client secret, l'URL de redirection déclarée chez votre fournisseur et que votre adresse porte le domaine vérifié.
  4. Changer l'émetteur, le client ID ou le secret rend le test périmé : refaites-le.

Étape 4 : mettre en service

  1. Choisissez le « Rôle des comptes créés à la première connexion » : Technique est présélectionné, Admin n'est pas proposé. Pour le choix, voir Rôles et droits.
  2. Cochez l'engagement MFA, puis cliquez sur « Mettre en service ».
  3. Vos collaborateurs saisissent leur e-mail sur la page de connexion : Candidia détecte le domaine et les redirige vers votre fournisseur. Leur compte est créé à la première connexion, dans la limite d'utilisateurs de votre offre (les invitations en attente comptent). Un compte existant de votre organisation, avec la même adresse, est rattaché.
  4. La session dure 10 heures, comme l'indique la carte : au-delà, la personne repasse par votre fournisseur. Désactivez les départs chez votre fournisseur : c'est ce qui coupe l'accès.

Étape 5, facultatif : rendre la connexion unique obligatoire

Cochez « Refuser le mot de passe pour les comptes de ce domaine, sauf pour l'Admin de secours » et désignez un « Admin de secours (mot de passe et double authentification conservés) ». Il garde son mot de passe et son code pour reprendre la main si votre fournisseur est indisponible. Cliquez ensuite sur « Enregistrer ».

Désactiver, changer de fournisseur, incidents

  • Désactiver : cliquez sur « Désactiver ». Les sessions par connexion unique sont fermées ; vos collaborateurs utilisent « Mot de passe oublié » pour définir un mot de passe, puis activent la double authentification.
  • Modifier un réglage en service : l'ancien réglage reste actif jusqu'à ce que le test du nouveau réussisse.
  • Retirer le domaine : « Retirer le domaine (désactive la connexion unique et efface le réglage) ».
  • Fournisseur indisponible : la page de connexion indique que la connexion unique est momentanément indisponible. Si l'option obligatoire est active, l'Admin de secours se connecte par mot de passe.
  • Plafond atteint : si le nombre d'utilisateurs de votre abonnement est atteint, aucun compte n'est créé. Contactez l'Admin de votre organisation.

Retour au centre d'aide