Authentification unique (SSO)

Connectez votre fournisseur d'identité SAML 2.0 ou OpenID Connect (Okta, Microsoft Entra ID, Google Workspace, OneLogin, Ping…) pour que votre équipe se connecte avec ses identifiants d'entreprise. Disponible avec l'offre Enterprise. Les comptes utilisateurs peuvent être créés automatiquement à la première connexion (provisionnement à la volée).

Configurer le SSO

1. Ouvrez Paramètres de l'entreprise → Authentification unique (SSO)
2. Choisissez votre protocole (SAML 2.0 ou OpenID Connect)
3. Donnez à votre fournisseur d’identité les valeurs affichées sous « Valeurs pour votre fournisseur d’identité » : en SAML l’Entity ID et l’ACS URL (ou simplement l’URL des métadonnées), en OIDC la redirect URI
4. En SAML : collez l'URL des métadonnées de votre IdP (ou le XML des métadonnées). En OIDC : saisissez l'URL de découverte, le client ID et le client secret
5. Dans la section Domaines e-mail, ajoutez chaque domaine avec lequel vos utilisateurs se connectent (par ex. acme-corp.com)
6. Publiez l'enregistrement DNS TXT affiché pour ce domaine, puis cliquez sur « Vérifier »
7. Activez « Activer la connexion SSO » et cliquez sur « Enregistrer la configuration »

Pourquoi vérifier le domaine ?

Un domaine n'est routé vers votre fournisseur d'identité qu'après avoir prouvé que vous en êtes propriétaire, via un enregistrement DNS TXT. Cela empêche quiconque de revendiquer votre domaine et c'est indispensable pour que la découverte SSO fonctionne pour vos utilisateurs.

Options de politique de connexion

Le provisionnement à la volée crée automatiquement l'utilisateur (avec le rôle par défaut que vous choisissez) lors de sa première connexion SSO réussie. « Exiger le SSO » bloque la connexion par mot de passe pour les utilisateurs d'un domaine SSO vérifié — recommandé une fois le SSO opérationnel, afin que l'identité d'entreprise soit l'unique source de vérité (NIST 800-63).

Comment les utilisateurs se connectent

Sur la page de connexion, les utilisateurs saisissent leur e-mail professionnel et cliquent sur « Se connecter avec le SSO ». Ils sont redirigés vers votre fournisseur d'identité puis ramenés dans FreeMaint une fois authentifiés — aucun mot de passe FreeMaint n'est nécessaire.

FreeMaint ne stocke jamais les secrets de votre IdP : ils sont détenus par le courtier d'identité dédié et auto-hébergé. Toute la validation des assertions SAML et la défense contre le signature wrapping y sont assurées.