L’authentification unique (SSO) SAML 2.0 est réservée aux espaces du palier Business.
Paramètres à saisir chez votre fournisseur
Dans les réglages de votre espace (Réglages, puis SSO SAML), lien.to affiche l’URL ACS (Assertion Consumer Service) et l’identifiant d’entité (Entity ID). Renseignez ces valeurs dans votre fournisseur d’identité (IdP), configurez l’attribut d’e-mail sur email (ou transmettez un NameID au format e-mail) et exigez la signature des assertions (dans Keycloak, activez l’option « Sign assertions »). Les comptes existants sous ce nom de domaine sont automatiquement rattachés à votre espace dès leur première connexion par SSO.
Validation du domaine par enregistrement DNS
Pour prouver que vous contrôlez le domaine de vos adresses e-mail, ajoutez-le dans l’onglet des domaines revendiqués. Lien.to génère un enregistrement DNS TXT avec une valeur de vérification. Ajoutez cet enregistrement chez votre hébergeur DNS. Le contrôle s’exécute automatiquement à intervalle régulier pendant la période indiquée dans vos réglages, et vous pouvez lancer une vérification manuelle depuis vos réglages.
Tester et rendre obligatoire
Avant d’imposer le SSO, cliquez sur « Tester la connexion ». Ce test valide l’échange SAML sans créer de session utilisateur. Lorsque le domaine est vérifié et le test validé, activez l’option « SSO obligatoire » : les membres devront obligatoirement s’authentifier via votre fournisseur et leurs sessions par mot de passe seront fermées. Le propriétaire de l’espace conserve toujours une connexion de secours par mot de passe et double authentification (2FA).
Okta
Créez une intégration d’application SAML 2.0 dans votre console d’administration Okta. Saisissez l’URL ACS dans _Single Sign-On URL_ et l’identifiant d’entité dans _Audience URI (SP Entity ID)_. Dans les déclarations d’attributs (_Attribute Statements_), déclarez un attribut nommé email avec la valeur user.email. Téléchargez le certificat X.509 ou copiez l’URL des métadonnées pour finaliser la configuration dans lien.to.
Entra ID
Dans Microsoft Entra ID, ajoutez une application d’entreprise avec authentification unique SAML. Indiquez l’identifiant d’entité dans _Identificateur (ID d’entité)_ et l’URL ACS dans _URL de réponse (Assertion Consumer Service URL)_. Dans la section Attributs et revendications, configurez la revendication d’e-mail avec le nom email. Récupérez l’URL des métadonnées de fédération ou téléchargez le certificat en Base64.
Google Workspace
Dans la console d’administration Google Workspace, ouvrez Applications puis Applications SAML et ajoutez une application SAML personnalisée. Renseignez l’URL ACS et l’Entity ID fournis par lien.to. Dans le mappage des attributs, associez l’adresse e-mail principale du compte Google à l’attribut nommé email. Téléchargez le fichier de métadonnées IDP pour l’importer dans lien.to.
Accès depuis votre portail d’entreprise
Pour prévenir les attaques par rejeu, les connexions sont uniquement initiées depuis lien.to (SP-initiated). Pour intégrer lien.to au portail d’applications de votre entreprise (Okta, Microsoft ou Google), configurez une tuile de signet (_Bookmark App_) redirigeant vers l’URL de connexion SSO de votre espace.