Vérification de domaine

Prouvez la possession d'un domaine email en publiant un enregistrement DNS TXT — sur les instances où elle est activée, requise avant de déclarer ce domaine dans le provisioning SCIM ou la fédération SAML2 ci-dessous.

Domaine à vérifier Générer le challenge DNS

Provisioning SCIM

Un seul jeton actif à la fois : en émettre un nouveau révoque le précédent.

Domaines email autorisés (séparés par une virgule)

Seuls les collaborateurs dont l'email appartient à ces domaines pourront être provisionnés/rattachés par cet IdP — même borne que la fédération SAML2 ci-dessous, indispensable pour qu'un IdP ne puisse jamais rattacher silencieusement le compte d'un tiers étranger à votre organisation.

Fédération SAML2

Branchez l'IdP existant de votre entreprise : vos collaborateurs s'authentifient chez lui, Idenva reste leur compte unifié SANTVIA.

Entity ID de l'IdP URL SSO de l'IdP URL SLO de l'IdP (optionnel, si distincte de l'URL SSO) Certificat de signature (PEM ou base64) URL de métadonnées de l'IdP (optionnel)

Si renseignée, permet de relire le certificat de signature en vigueur en un clic lors d'une rotation côté IdP, sans le recopier manuellement (bouton « Rafraîchir le certificat » ci-dessous).

Domaines email autorisés (séparés par une virgule)

Seuls les collaborateurs dont l'email appartient à ces domaines pourront être authentifiés/rattachés via cette fédération — borne indispensable pour qu'un IdP ne puisse jamais se porter garant d'un email hors de votre entreprise.

Provisioning automatique (JIT) — créer un compte pour tout email autorisé encore inconnu

Désactiver si seul un compte déjà provisionné (SCIM, invitation) doit pouvoir se connecter via cette fédération — un email autorisé sans compte existant sera alors refusé.

Fédération active

Enregistrer la fédération Supprimer

Fédération OpenID Connect

Votre IdP parle OIDC (Entra ID, Okta, Google Workspace, Keycloak…) : créez-y une application web confidentielle pour Idenva, déclarez l'URL de retour affichée ci-dessous, puis renseignez ses identifiants.

Issuer de l'IdP Client ID Client secret

Stocké chiffré, jamais réaffiché.

Domaines email autorisés (séparés par une virgule)

Seuls les collaborateurs dont l'email, vérifié par votre IdP, appartient à ces domaines pourront être authentifiés/rattachés via cette fédération.

Scope OIDC (avancé) acr_values (avancé — niveau d'assurance eIDAS)

Réservé aux brokers eID nationaux (FranceConnect, itsme, BankID via Criipto/Signicat) qui exigent un scope ou un niveau d'assurance spécifique. Laisser vide pour un IdP d'entreprise standard.

Provisioning automatique (JIT) — créer un compte pour tout email autorisé encore inconnu

Désactiver si seul un compte déjà provisionné (SCIM, invitation) doit pouvoir se connecter via cette fédération — un email autorisé sans compte existant sera alors refusé.

Fédération active

Enregistrer la fédération Supprimer

Export SIEM (journal d'audit en streaming)

Chaque événement du journal d'activité de votre organisation est poussé en temps réel, signé, vers l'endpoint de votre choix (Splunk, Datadog, ou tout collecteur HTTP).

URL de l'endpoint (HTTPS) Export actif

Enregistrer l'export Supprimer

Politique d'authentification

Exiger un second facteur pour tous les membres

Les owners et admins y sont toujours soumis, quel que soit ce réglage.

Sessions simultanées max. par membre

Au-delà de ce nombre, les sessions les plus anciennes sont fermées automatiquement à la prochaine connexion. Laisser vide pour ne pas limiter.

Durée de session max. avant reconnexion (minutes)

Au-delà de ce délai, une nouvelle authentification est exigée à la prochaine tentative de connexion. Laisser vide pour ne pas limiter (5 minutes minimum).

Mots interdits dans les mots de passe des membres

S'ajoute aux vérifications déjà actives (historique, fuites connues, données de profil). Un mot de passe contenant l'un de ces mots (insensible à la casse) est refusé, pour tous les membres de l'organisation. Laisser vide pour ne rien interdire de plus.

Exiger une passkey liée à l'appareil

Refuse les passkeys synchronisées (iCloud Keychain, Google Password Manager) — réservé aux organisations réglementées, les passkeys synchronisées restent acceptées par défaut.

AAGUID d'authentificateurs autorisés

Laisser vide pour n'imposer aucun modèle précis. Une passkey déjà enregistrée qui ne respecte plus ce réglage (ou celui ci-dessus) est retirée automatiquement.

Second facteur reconnu de l'IdP entreprise (SSO fédéré)

Valeurs SAML AuthnContextClassRef ou OIDC acr/amr que votre IdP entreprise émet pour un login avec second facteur. Sans au moins une valeur ici, un owner/admin (ou un membre soumis au réglage ci-dessus) ne peut PAS se connecter via le SSO fédéré — le second facteur reste obligatoire, quel que soit le canal de connexion.