Régler la connexion

L'écran Fournisseurs d'authentification règle la façon dont on se connecte à Portail ZAPP : par e-mail et mot de passe, par Microsoft 365, Google ou un autre fournisseur d'identité, avec ou sans inscription libre. L'écran Demandes d'accès traite les personnes qui se sont présentées sans compte. Les deux écrans sont réservés aux administrateurs : Administration › Utilisateurs et accès › Authentification › Fournisseurs et › Demandes en attente.

Les règles de mot de passe, le verrouillage et la double authentification (obligatoire pour tous les comptes ou pour les seuls administrateurs) se règlent ailleurs : voir la page « Sécuriser la connexion ».

Fournisseurs d'authentification

Les changements s'appliquent dès que vous cliquez sur Enregistrer, sans redémarrage. Les secrets ne sont jamais réaffichés : le champ indique « Configuré » ou « Non configuré », et un champ laissé vide conserve la valeur enregistrée.

Connexion par formulaire

Connexion par formulaire autorise la connexion par e-mail et mot de passe. Décochée, la connexion par mot de passe est refusée par le serveur, pas seulement masquée : le formulaire disparaît de la page de connexion, une connexion par l'API avec un mot de passe est refusée, le mot de passe oublié n'envoie plus de lien (un lien déjà reçu ne fonctionne plus) et l'inscription libre est fermée. Ne la décochez que si un autre fournisseur (Microsoft 365, Google…) est en service ; l'écran vous avertit si aucun moyen de connexion n'est activé.

Si le fournisseur d'identité tombe en panne alors que la connexion par formulaire est décochée, l'administrateur du serveur peut rouvrir la connexion par mot de passe sans passer par l'écran : il pose la variable Auth__Providers__Form__ForceEnabled=true dans la configuration du serveur et redémarre l'application. Tant qu'elle est posée, l'écran l'indique et chaque connexion par mot de passe est tracée ; retirez-la une fois l'incident clos.

Inscription self-service

Cochée, Inscription self-service permet à un visiteur de créer lui-même son compte, par e-mail et mot de passe. Le compte n'est créé qu'après la vérification de l'adresse e-mail : le lien envoyé est valable 24 heures.

Elle vaut aussi pour les fournisseurs d'identité : une personne sans compte qui clique sur « Continuer avec Google » (ou Microsoft, ou un autre fournisseur) crée son compte en self-service, sans approbation. Son adresse est vérifiée (par le fournisseur, ou par le code envoyé par Portail ZAPP), elle accepte les textes légaux et peut corriger son prénom et son nom ; le compte reçoit le même groupe que par le formulaire et la personne revient sur la page d'où elle venait. Une adresse déjà utilisée par un autre compte est refusée sans plus de détail.

Code du groupe attribué au compte créé : le compte est ajouté à ce groupe. Le groupe doit exister, être actif et ne pas être synchronisé (par exemple avec les organisations), et ne doit donner aucun droit d'administration : ADMINS, DEVS et tout groupe qui a accès à un écran d'administration sont refusés, car n'importe qui pourrait s'y inscrire. Un groupe refusé n'est pas enregistré (un message l'explique) ; si le réglage était déjà en place, le compte est créé sans groupe et l'écran le signale.
Textes légaux à faire accepter : une liste code:version ou code:version:adresse, séparée par des virgules. Le formulaire d'inscription affiche une case obligatoire par texte, avec un lien si une adresse est donnée. L'adresse doit commencer par http://, https:// ou / ; sinon rien n'est enregistré. Le libellé de chaque case vient des traductions (clé auth.register.legal.<code>).

Vérification humaine (formulaires publics)

La vérification humaine des formulaires publics ne se règle plus ici : cette section affiche un lien Vérification humaine vers l'écran dédié (quand ce module est actif). Le fournisseur, les clés et les formulaires protégés y sont décrits dans la page « Configurer la vérification humaine ».

Fournisseurs d'identité (OpenID Connect)

Cette section liste les fournisseurs par lesquels on se connecte avec un compte externe : Microsoft 365, Google Workspace, ou tout fournisseur OpenID Connect (Okta, Keycloak, Authentik…). Chaque fournisseur actif ajoute un bouton « Continuer avec … » sur la page de connexion. Les changements s'appliquent immédiatement, sans redémarrage.

Pour en ajouter un, cliquez sur Ajouter et choisissez le type, puis renseignez :

le nom affiché sur le bouton et le code (lettres et chiffres, définitif : il ne pourra plus être changé) ;
pour Microsoft 365 : l'ID du locataire (Tenant ID) — de préférence le GUID affiché dans Entra ID, nécessaire pour rattacher un compte existant par son adresse e-mail ;
pour Google Workspace : les domaines admis (par exemple exemple.com) ; seuls les comptes de ces domaines, à l'adresse vérifiée, sont acceptés. Un compte Gmail personnel n'est accepté que si vous cochez Accepter les comptes Google personnels (gmail.com) ; un compte Workspace d'un autre domaine reste toujours refusé ;
pour Microsoft (compte personnel) : rien d'autre que le Client ID et le secret. Ce type accepte les comptes Microsoft personnels (outlook.com, hotmail.com, live.com…) et eux seuls ; il s'ajoute à Microsoft 365, qui reste réservé à votre locataire. Chez Microsoft, l'application doit accepter les « comptes Microsoft personnels » ;
pour un fournisseur OpenID Connect : l'autorité (adresse HTTPS du fournisseur), les portées et, si besoin, les revendications de l'e-mail et du nom ;
le Client ID et le Client Secret de l'application déclarée chez le fournisseur. Le secret est rangé dans le Coffre de secrets et n'est jamais réaffiché ; un champ laissé vide conserve le secret enregistré.

Déclarez chez le fournisseur l'adresse de retour affichée sur la page (adresse de votre instance suivie de /auth/login/<code>/callback).

Une personne qui se connecte par un fournisseur :

retrouve son compte s'il est rattaché à ce fournisseur — par son identité chez le fournisseur, jamais par sa seule adresse e-mail ;
n'ouvre jamais un compte local, un compte AD ou un compte d'un autre fournisseur, même avec la même adresse e-mail ;
sinon, est refusée, sauf si l'Auto-enregistrement est actif (ci-dessous).

Dès qu'un compte est rattaché à un fournisseur, son annuaire (autorité ou locataire) ne peut plus changer et il ne peut plus être supprimé : désactivez-le, ou créez-en un autre pour un autre annuaire.

Comptes personnels (Google, Microsoft) — pour les demandeurs qui n'ont pas d'annuaire d'entreprise :

quand le fournisseur ne garantit pas l'adresse e-mail (compte Microsoft personnel, certains fournisseurs OpenID Connect), Portail ZAPP envoie un code à six chiffres à l'adresse avant de rattacher un compte ou de créer une inscription. Le code est valable 10 minutes, 5 essais au plus ; on peut en demander un nouveau, dans la limite de quelques envois par heure. Le texte du courriel se modifie dans Modèles (modèle « Authentification - Code de vérification de l'adresse ») ;
un compte personnel ne se crée jamais tout seul : il se rattache à un compte que vous avez créé (même fournisseur, même adresse), passe par une demande d'accès (Auto-enregistrement) ou, si l'Inscription self-service est cochée, crée son compte lui-même (voir plus haut) ;
un compte personnel ne peut appartenir à aucun groupe d'administration (ADMINS, DEVS et tout groupe qui donne un droit d'administration) : l'ajout est refusé, et la connexion aussi si le compte s'y trouve malgré tout. Ces comptes échappent à la double authentification exigée des administrateurs, et votre organisation ne contrôle pas leur boîte ;
la liste des utilisateurs, la fiche du compte et le journal des connexions affichent « Google (compte personnel) » ou « Microsoft (compte personnel) ».

Activer ou désactiver les comptes personnels d'un fournisseur est tracé dans l'audit.

Microsoft 365 déjà configuré avant cette version : la configuration est reprise automatiquement au premier démarrage, avec la même adresse de retour et les mêmes comptes ; vérifiez seulement que la carte « Microsoft 365 » est présente et active.

Non pris en charge : SAML (utilisez le fournisseur OpenID Connect, que la plupart des annuaires proposent aussi) et la connexion Windows automatique sans saisie (Kerberos). La connexion des comptes AD avec leur mot de passe Windows est prévue dans une prochaine version.

Page de connexion

Boutons des fournisseurs d'identité : au-dessus du formulaire (recommandé) ou au-dessous. Les boutons « Continuer avec … » prennent la couleur principale du thème et portent le logo du fournisseur ; un séparateur « ou avec votre e-mail » les sépare du formulaire. Si la connexion par formulaire est décochée, seuls les boutons sont affichés.

Auto-enregistrement

Cochée, Auto-enregistrement transforme la première connexion d'une personne inconnue par un fournisseur d'identité en demande d'accès : elle voit une page qui lui indique que sa demande est en attente, et aucun compte n'est créé tant qu'un administrateur ne l'a pas approuvée. Les membres du groupe indiqué dans Code du groupe notifié reçoivent un e-mail à chaque nouvelle demande (pas quand une demande refusée est rouverte, voir plus bas).

Demandes d'accès

La liste montre les demandes avec le nom, l'e-mail, le fournisseur, la date et le statut : En attente, Approuvée ou Refusée (50 par page). Cochez une ou plusieurs demandes en attente, puis :

Approuver la sélection crée les comptes (connexion par le fournisseur de la demande) et prévient chaque personne par e-mail. Le compte est créé sans groupe : après l'approbation, l'écran liste les comptes créés sans groupe ; ajoutez-les ensuite aux groupes voulus depuis l'administration des utilisateurs. Une demande qui n'a pas pu être approuvée est signalée à part.
Refuser la sélection demande un Motif du refus, repris dans l'e-mail envoyé à chaque personne. Une personne refusée qui se reconnecte plus tard rouvre sa demande : elle repasse en attente dans la liste, mais aucun e-mail n'est envoyé au groupe notifié — consultez régulièrement l'écran.