Comment mettre en place l’authentification unique pour ton entreprise#
Pour : Administrateur Il te faut : le rôle Propriétaire, quelqu’un qui administre le fournisseur d’identité de ton entreprise (Microsoft Entra ID, Google Workspace, Okta, …) et l’accès au DNS de ton domaine.
L’authentification unique permet à ton équipe de se connecter à Shiftavo avec le compte professionnel qu’elle a déjà, au lieu d’un mot de passe Shiftavo distinct. C’est nous qui la mettons en place — il n’y a aucun formulaire à remplir. Cet article explique donc ce que tu nous envoies, ce qui t’attend et ce que tu pilotes ensuite.
Note
L’authentification unique se met en place par entreprise. Si tu gères plusieurs entreprises sous un même compte, chacune a la sienne — elles peuvent pointer vers le même fournisseur d’identité.
Demande-nous de la mettre en place#
Ouvre un ticket dans le Helpdesk (voir Assistance) et dis-nous de quelle entreprise il s’agit. Nous répondons avec une Redirect URI — une adresse dont ton service informatique a besoin pour enregistrer Shiftavo de son côté.
Ce que ton service informatique enregistre#
L’administration de ton fournisseur d’identité crée une application pour Shiftavo et nous envoie trois valeurs :
l’issuer URL — celle de ton organisation, pas une adresse partagée ;
le client ID ;
le client secret.
Envoie le secret comme tu enverrais n’importe quel mot de passe. Dis-nous en même temps quels domaines e-mail tes collaborateurs utilisent — example.ch, et tous les autres.
Avertissement
Microsoft Entra ID uniquement : demande à ton service informatique d’ajouter email comme claim optionnel sur le jeton. Sans cela Entra n’envoie aucune adresse e-mail, et nous ne pouvons pas savoir qui se connecte.
Prouve que les domaines sont à toi#
Pour chaque domaine que tu nous as indiqué, nous t’envoyons un enregistrement DNS à publier — un enregistrement TXT du type _shiftavo-verify.example.ch. C’est ainsi que nous savons que le domaine est bien le tien, et que personne d’autre ne peut pointer son fournisseur d’identité vers les adresses de tes collaborateurs.
Publie l’enregistrement chez l’hébergeur de ton DNS.
Dis-nous qu’il est en ligne, ou attends simplement — nous vérifions chaque jour.
Dès qu’un domaine est vérifié, nous activons l’authentification unique et ton équipe peut l’utiliser.
Note
Nous continuons à vérifier, pas une seule fois. Si l’enregistrement disparaît plus tard — lors d’une migration DNS, par exemple —, le domaine ne compte plus, et s’il était le dernier vérifié, l’authentification unique se désactive d’elle-même plutôt que de faire confiance à une affirmation que personne ne peut étayer.
Invite d’abord tes collaborateurs#
Se connecter avec un compte professionnel ne crée pas un compte Shiftavo. Une personne non invitée est refusée avec « Demande à ton administration de t’inviter ». Invite ton équipe comme d’habitude (Ajouter une personne) — une invitation encore en attente convient, la première connexion par authentification unique l’active, et aucun e-mail de confirmation n’est nécessaire.
Ce que tu pilotes ensuite#
Ouvre le menu du compte (en haut à droite) → “Compte” → “Gérer les entreprises”. Chaque entreprise qui t’appartient affiche une section “Authentification unique” avec son statut, ton fournisseur d’identité, la Redirect URI, tes domaines e-mail et la date de la dernière connexion par ce biais. Deux réglages sont à toi — coche-les et clique sur “Enregistrer” :
“Exiger l’authentification unique (les propriétaires gardent leur mot de passe)” — les mots de passe et leur réinitialisation cessent de fonctionner pour les collaborateurs dont l’e-mail est dans un domaine vérifié. Toi, en tant que Propriétaire, tu gardes le tien, pour qu’un fournisseur d’identité en panne ne puisse jamais te couper de la facturation.
“Faire confiance à la vérification à deux facteurs de mon fournisseur d’identité” — si ton fournisseur d’identité demande déjà un deuxième facteur, Shiftavo ne redemandera pas le sien.
Tout le reste — le fournisseur, le secret, les domaines — c’est à nous de le changer. Utilise “Demander une modification” dans cette section, ou le Helpdesk.
Vérifier que ça a marché#
La section “Authentification unique” affiche un badge “Actif” et chaque domaine affiche “Vérifiée”. Demande à quelqu’un de ton équipe de se déconnecter puis de se reconnecter : après avoir saisi son e-mail professionnel sur la page de connexion, le champ mot de passe est remplacé par un bouton “Continuer avec …”.