Configuration du SSO

Ce guide s'adresse à l'administrateur informatique connectant un fournisseur d'identité d'entreprise (IdP) à InterMIND. Après la configuration, les membres se connectent depuis la page de login habituelle : Se connecter avec SSO → e-mail professionnel → votre IdP → retour sur InterMIND. Pour un aperçu non technique, consultez la page de la fonctionnalité Single Sign-On.

Disponible sur : les offres Business et Enterprise Configuré par : le propriétaire de l'équipe ou un administrateur Protocole : OpenID Connect (OIDC) uniquement. SAML 2.0 n'est pas proposé — Okta, Microsoft Entra ID et Google Workspace prennent tous en charge OIDC.

Prérequis

1. Un domaine vérifié — vérifiez d'abord votre domaine e-mail via un enregistrement DNS TXT (voir Gestion des domaines). La connexion SSO n'accepte que les comptes dont le domaine e-mail a été vérifié par votre équipe ; il s'agit de la limite du tenant.
2. Un IdP prenant en charge OIDC avec découverte — il doit servir /.well-known/openid-configuration sous l'Issuer URL. Okta, Microsoft Entra ID et Google le font tous.

Ce qu'il faut enregistrer dans votre IdP

Créez une OIDC Web Application dans votre IdP avec :

Le ID token que votre IdP émet doit inclure l'email de l'utilisateur, et le domaine de l'e-mail doit faire partie de vos domaines vérifiés — sinon la connexion est refusée.

Remplissez ensuite la carte SSO sur la page Integrations :

Le client secret est chiffré au repos et n'est jamais renvoyé au navigateur après l'enregistrement.

Okta

1. Console d'administration → Applications → Create App Integration → méthode de connexion OIDC, type d'application Web Application
2. Sign-in redirect URI : https://intermind.com/api/auth/sso/callback
3. Attribuez les utilisateurs ou les groupes qui doivent avoir accès
4. Copiez le Client ID et le Client Secret
5. Dans InterMIND : Issuer URL = l'URL de votre organisation Okta (par ex. https://acme.okta.com, ou l'émetteur de votre serveur d'autorisation tel que https://acme.okta.com/oauth2/default si vous en utilisez un) ; Authorization URL = le authorization_endpoint de <issuer>/.well-known/openid-configuration

Microsoft Entra ID (Azure AD)

1. Centre d'administration Entra → App registrations → New registration
2. Plateforme Web, redirect URI https://intermind.com/api/auth/sso/callback
3. Certificates & secrets → New client secret — copiez immédiatement la Value du secret
4. Client ID = l'Application (client) ID sur la page Overview
5. Assurez-vous que l'ID token porte l'e-mail de l'utilisateur : Token configuration → Add optional claim → ID → email
6. Dans InterMIND : Issuer URL = https://login.microsoftonline.com/<tenant-id>/v2.0 ; Authorization URL = https://login.microsoftonline.com/<tenant-id>/oauth2/v2.0/authorize

Google Workspace

Aucune inscription d'application nécessaire. Dans la carte SSO, choisissez le type de fournisseur Google Workspace et enregistrez — les membres de vos domaines vérifiés se connectent avec leur compte Google et rejoignent votre équipe automatiquement. (Google peut également être connecté en tant que fournisseur OIDC générique avec l'émetteur https://accounts.google.com si vous préférez des identifiants client explicites.)

Tester la connexion

1. Ouvrez la page de login dans une fenêtre privée/incognito
2. Cliquez sur Se connecter avec SSO et saisissez un e-mail professionnel sur votre domaine vérifié
3. Vous êtes redirigé vers votre IdP ; après l'authentification, vous arrivez sur InterMIND connecté
4. La connexion est consignée dans le journal d'audit de l'équipe (exportable depuis la page Users) en tant que auth.login avec la méthode sso

Dépannage

Propriétés de sécurité

Pour les questionnaires de sécurité : le flux SSO utilise un Authorization Code avec PKCE (S256), state et nonce ; la signature de l'ID token est validée par rapport au JWKS de l'IdP, ainsi que l'émetteur et l'audience ; l'IdP fait autorité uniquement pour les domaines vérifiés via DNS — une assertion pour tout autre e-mail ne produit jamais de session ; le OIDC client secret est chiffré au repos ; chaque connexion SSO est consignée dans le journal d'audit de l'équipe. Les restrictions de plan, de domaine et de configuration sont appliquées côté serveur à la fois au début de la connexion et lors du rappel.