Qu'est-ce que l'authentification unique (SSO) ?

L'authentification unique (SSO) permet à un utilisateur de s'identifier une fois, avec son compte d'entreprise, puis d'ouvrir ses différentes applications sans nouvelle saisie de mot de passe. Pour l'organisation, c'est surtout un point de contrôle central : les règles de connexion s'appliquent partout, et un départ se traite en désactivant un seul compte.

Comment fonctionne le SSO ?

Deux acteurs dialoguent :

• Le fournisseur d'identité : le service qui détient les comptes et vérifie les identités, souvent l'annuaire associé à la messagerie professionnelle.
• Le fournisseur de service : l'application à laquelle l'utilisateur veut accéder.

La connexion se déroule ainsi :

1. L'utilisateur ouvre l'application.
2. L'application le redirige vers le fournisseur d'identité.
3. Le fournisseur d'identité vérifie son identité : mot de passe, puis second facteur.
4. Il renvoie à l'application un jeton signé, c'est-à-dire un message infalsifiable sans la clé de signature, qui atteste de l'identité et de quelques informations comme l'adresse de courriel ou les groupes.
5. L'application vérifie la signature du jeton et ouvre la session.

Si l'utilisateur ouvre ensuite une autre application reliée, le fournisseur d'identité reconnaît sa session en cours et le connecte sans nouvelle saisie.

Quels protocoles utilise-t-on ?

Quels sont les avantages du SSO ?

• Un seul mot de passe à retenir, donc moins de mots de passe notés ou réutilisés.
• Une double authentification appliquée partout : la double authentification, qui ajoute un second élément au mot de passe, se configure une fois pour toutes les applications reliées.
• Des départs mieux maîtrisés : désactiver le compte central coupe l'accès à toutes les applications qui en dépendent.
• Une arrivée simplifiée : le nouvel arrivant accède à ses outils dès la création de son compte.
• Moins de demandes de réinitialisation adressées au support.
• Une trace centrale des connexions.

Quels risques, et comment les limiter ?

Le SSO concentre l'accès en un point. C'est sa force et sa faiblesse.

• Un compte compromis ouvre toutes les portes : rendez la double authentification obligatoire et surveillez les connexions inhabituelles.
• Une panne du fournisseur d'identité bloque tout : prévoyez un compte d'administration de secours, protégé et documenté, pour les applications critiques.
• Des sessions trop longues : fixez des durées de session adaptées à la sensibilité des applications.
• Des applications non reliées : celles qui gardent leurs propres comptes échappent à la désactivation centrale. Tenez-en la liste.

SSO et droits d'accès : ne pas confondre

Le SSO dit qui est l'utilisateur. Il ne décide pas de ce qu'il peut faire dans chaque application. Les rôles et permissions restent gérés par l'application, éventuellement à partir des groupes transmis par le fournisseur d'identité, par exemple « comptabilité » ou « direction ».

Le SSO ne fait pas non plus disparaître les anciens identifiants. Si une application accepte encore une connexion par mot de passe local en parallèle, une personne partie peut toujours s'y connecter. Lors de la mise en place, désactivez ces connexions locales, à l'exception du compte de secours.

Comment intégrer le SSO à une application sur mesure ?

1. Identifier le fournisseur d'identité déjà en place et les protocoles qu'il prend en charge.
2. Choisir les informations transmises : identifiant, courriel, nom, groupes.
3. Définir ce qui se passe à la première connexion : création automatique du compte, ou accès réservé aux comptes préalablement autorisés.
4. Traduire les groupes en rôles dans l'application.
5. Tester la déconnexion, l'expiration de session et la désactivation d'un compte.
6. Documenter la procédure de secours en cas d'indisponibilité.

NexSecure intègre l'authentification unique aux applications et intranets qu'elle développe, dans le cadre du développement web sur mesure.