SSO (Entreprise)

Attention

La configuration SSO est disponible uniquement avec le plan Enterprise. Si vous ne voyez pas la configuration SSO sous Paramètres → Organisation → Sécurité, assurez-vous que votre organisation dispose du plan Enterprise ou contactez votre Capgo.

Qu'est-ce que le SSO ?

Le Single Sign-On (SSO) permet à votre équipe de se connecter à Capgo via l'identité de votre entreprise (IdP). Capgo utilise SAML 2.0 via Supabase Auth. Lorsqu'un domaine d'e-mail correspond à un fournisseur SSO actif, l'utilisateur s'authentifie auprès de votre IdP et est provisionné dans l'organisation lors du callback SSO.

Le SSO ne modifie pas les droits des utilisateurs. Les permissions sont gérées par les rôles de l'organisation. Le SSO change uniquement leur méthode d'authentification.

Prerequisites

Avant de commencer :

• L'abonnement Enterprise est actif sur l'organisation Capgo.
• Un fournisseur d'identité qui supporte SAML 2.0 et expose une URL de métadonnées IdP (HTTPS).
• Capacité à publier un enregistrement DNS TXT pour le domaine d'e-mail (ex. company.com pour les utilisateurs se connectant en tant que user@company.com).
• Un membre de l'organisation Capgo avec la permission de modifier les paramètres de l'organisation.
• Un Admin de l'IdP votre équipe informatique ou sécurité.

Où trouver les paramètres SSO

1. Ouvrez https://console.capgo.app/
2. Cliquez Paramètres dans la barre latérale gauche
3. Sélectionnez le Organisation onglet
4. Sélectionnez le Sécurité onglet
5. Scroll to Configuration SSO. Le formulaire est disponible uniquement si l'organisation dispose du plan Enterprise.

Étape 1 - Configurez votre IdP

Dans votre fournisseur d'identité, créez une nouvelle application SAML 2.0. Vous aurez besoin des Fournisseur de services valeurs affichées dans le panneau de configuration SSO Capgo :

Champ	Où l'utiliser
URL ACS	URL Assertion Consumer Service de votre application SAML IdP
ID de l'entité	Identifiant d'entité du Service Provider
URL de métadonnées SP	Optionnel : importez si votre IdP prend en charge l'import des métadonnées SP par URL
Format NameID	Format attendu pour le Name Identifier SAML

Votre IdP doit transmettre l'adresse e-mail de l'utilisateur dans l'assertion. Capgo utilise le domaine de l'e-mail pour déterminer le fournisseur SSO actif et associer les comptes existants.

Étape 2 - Ajoutez le fournisseur SSO dans Capgo

1. Dans le panneau de configuration SSO, cliquez pour ajouter un nouveau fournisseur
2. Saisissez le domaine d'e-mail (ex. company.com). Il doit correspondre à la partie domaine des e-mails de connexion de vos utilisateurs
3. Saisissez l'URL de métadonnées de votre IdP (HTTPS)
4. Envoyer

Le fournisseur est créé avec le statut En attente de vérification.

Étape 3 - Vérification du domaine DNS

Capgo vérifie que vous contrôlez le domaine avant d'activer le SSO.

Ajoutez un TXT enregistrement chez votre fournisseur DNS :

Champ	Valeur
Type	TXT
Nom / hôte	_capgo-sso.<your-domain> (ex. _capgo-sso.company.com)
Valeur	Le token de vérification affiché dans le dashboard

Une fois l'enregistrement publié (la propagation du TTL DNS prend généralement de quelques minutes à une heure), cliquez sur Vérifier le DNS dans le dashboard. En cas de succès, le fournisseur passe à Vérifié.

Étape 4 - Activer le fournisseur

Après la vérification DNS, cliquez sur Activer. Le statut du fournisseur devient Actif. Seuls les Actif fournisseurs sont utilisés lors du flux de connexion SSO.

Vous pouvez choisir de Désactiver dans le dashboard à tout moment. Cela déplace le fournisseur vers Désactivé, ce qui suspend le SSO pour ce domaine sans supprimer la configuration.

Étape 5 - Tester et assigner les rôles

Lorsqu'un utilisateur se connecte via SSO pour la première fois et n'a pas de membre existant dans cette organisation, Capgo lui attribue les droits de lecture rôle.

Une fois que les utilisateurs pilotes se sont connectés :

1. Accéder à Paramètres → Organisation → Membres
2. Recherchez chaque utilisateur provisionné via SSO
3. Ajustez leur rôl’au niveau approprié (Upload, Écriture, Admin, etc.)

Consultez le détail complet des permissions ce que chaque rôle peut faire.

Note

Si Supabase crée un utilisateur d'authentification SSO distinct pour un e-mail déjà présent dans Capgo, Capgo fusionne l'identité SSO avec le compte existant et demande à l'utilisateur de se reconnecter.

Optionnel - Forcer le SSO

Sur un Actif fournisseur, vous pouvez activer Forcer le SSO. Lorsqu'il est activé, Capgo marque les utilisateurs existants de ce domaine d'e-mail comme étant uniquement SSO, et le flux de connexion nécessite une authentification IdP pour ce domaine. En réglant le fournisseur sur Désactivé (Désactiver) ou en désactivant l'application de l'obligation supprime ce flag SSO-only pour le domaine.

Attention

Coordonnez-vous avec l'administrateur de votre IdP et prévenez tous les utilisateurs concernés avant d'activer l'obligation. Les utilisateurs qui ne pourront pas terminer l'authentification IdP ne pourront pas se connecter avec leur mot de passe pour ce domaine.

Référence du statut du fournisseur

Statut	Signification
Vérification en attente	Enregistrement DNS TXT non encore vérifié
Vérifié	Propriété du domaine confirmée ; prêt à l'activation
Actif	Le SSO est actif pour ce domaine
Désactivé	Défini par Désactiver dans le dashboard ; le SSO n'est pas utilisé pour ce domaine ; utilisez Réactiver pour revenir à Actif

Checklist de déploiement

• Plan Enterprise confirmé
• App SAML créée dans l'IdP avec l'URL ACS et l'Entity ID de Capgo
• IdP configuré pour envoyer un claim e-mail stable
• Enregistrement DNS TXT publié et Vérifier le DNS réussi
• Fournisseur activé
• Utilisateurs pilotes connectés avec succès
• Rôles élevés par rapport au défaut lecture selon les besoins
• Décision d'application prise (et communiquée si activée)

Documentation associée

• Organisation : rôles et permissions
• Sécurité de l'organisation : 2FA, mots de passe, clés API

Aller plus loin avec le SSO (Enterprise)

Si vous utilisez SSO (Entreprise) pour planifier les flux d'authentification et de compte, le connecter à @capgo/capacitor-social-login pour les détails d'implémentation dans @capgo/capacitor-social-login @capgo/capacitor-passkey pour les détails d'implémentation dans @capgo/capacitor-passkey @capgo/capacitor-native-biometric pour les détails d'implémentation dans @capgo/capacitor-native-biometric, Authentification à deux facteurs pour les détails d'implémentation dans l'authentification à deux facteurs, et 5 étapes pour implémenter OAuth2 dans les apps Capacitor pour le contexte pratique dans « 5 étapes pour implémenter OAuth2 dans les apps Capacitor ».