SAML 2.0 SSO

cside vous permet de connecter n’importe quel fournisseur d’identité (IdP) SAML 2.0 et de l’utiliser pour authentifier les utilisateurs dans votre organisation cside. Une seule configuration générique couvre tous les fournisseurs compatibles SAML, donc les étapes sont les mêmes que vous utilisiez Okta, Microsoft Entra ID, OneLogin, JumpCloud, Ping, Keycloak ou un IdP interne.

Lorsque vous activez SAML SSO, toute personne disposant du domaine email de votre entreprise sera redirigée pour s’authentifier avec votre IdP. Cela signifie que vous pouvez utiliser votre IdP pour définir qui peut accéder à cside, et lorsque vous autorisez quelqu’un, il sera automatiquement ajouté à votre organisation cside sans aucune permission.

Prérequis :

• Forfait cside Enterprise
• Rôle d’administrateur d’organisation dans cside
• SAML 2.0 SSO activé pour votre organisation par cside
• Une organisation cside déjà configurée - l’administrateur initial (vous) sera le premier utilisateur, et sera converti en SSO lors de la migration
• Accès administrateur à un fournisseur d’identité SAML 2.0 capable de signer les assertions et de publier ses métadonnées

Si vous préférez OIDC, consultez plutôt les guides Okta, Duo ou Microsoft Entra ID. Une organisation peut détenir une configuration OIDC et une configuration SAML en même temps, tant que chaque domaine email n’est revendiqué que par l’une d’elles.

Naviguer vers les paramètres SSO

Vous pouvez ouvrir directement les paramètres de votre organisation, ou y naviguer manuellement :

1. Cliquez sur votre compte en bas à gauche du tableau de bord
2. Sélectionnez View organization

3. Sélectionnez Settings

4. Naviguez vers l’onglet SSO
5. Cliquez sur Select Provider (ou Change Provider si vous avez déjà le SSO configuré) et sélectionnez SAML 2.0

Ajouter cside à votre fournisseur d’identité

Le haut de la section SAML 2.0 affiche les deux valeurs dont votre IdP a besoin. Copiez-les depuis le tableau de bord dans l’application SAML que vous créez dans votre IdP :

Valeur affichée dans cside	Où la saisir dans votre IdP	Valeur actuelle
Assertion Consumer Service (ACS) URL	ACS URL, Reply URL ou Single sign-on URL	https://gql.cside.com/v1/auth/saml/acs
Service provider entity ID (Audience)	Entity ID, Audience URI ou Identifier	https://cside.dev/saml/sp

Si votre IdP préfère importer un document de métadonnées du fournisseur de services, pointez-le vers https://gql.cside.com/v1/auth/saml/metadata.

Configurez ensuite l’application comme suit. Les noms exacts des champs varient selon l’IdP, mais tous les fournisseurs SAML 2.0 exposent ces paramètres :

1. Name ID : Définissez le format sur emailAddress (urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress) et associez-le à l’adresse email principale de l’utilisateur. cside utilise cette valeur pour identifier l’utilisateur.
2. Attributs (facultatif) : Ajoutez un attribut de nom d’affichage. cside reconnaît displayName, name, urn:oid:2.16.840.1.113730.3.1.241, urn:oid:2.5.4.3 et le claim http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name. Sans cet attribut, l’adresse email de l’utilisateur sert de nom.
3. Signature : Signez l’assertion. Signer également la réponse complète est accepté, mais une assertion non signée dans une réponse signée est rejetée. Utilisez SHA-256.
4. Chiffrement : Laissez le chiffrement des assertions désactivé. cside ne publie pas de certificat de chiffrement, donc les assertions chiffrées ne peuvent pas être lues.
5. Requêtes signées : N’exigez pas de requêtes d’authentification signées. cside envoie des requêtes SAML non signées.
6. Binding : Le point de terminaison d’authentification unique de votre IdP doit prendre en charge le binding HTTP-Redirect. cside y envoie l’utilisateur et reçoit la réponse à l’ACS URL via HTTP-POST.
7. Affectations : Affectez les utilisateurs ou groupes qui doivent pouvoir accéder à cside. Réfléchissez-y bien : toute personne que votre IdP laisse passer est ajoutée à votre organisation.

Si le Name ID ne peut pas être une adresse email dans votre IdP, cside se rabat sur un attribut email nommé email, mail, emailAddress, urn:oid:0.9.2342.19200300.100.1.3 ou sur le claim http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress.

Obtenir les informations requises

Vous aurez besoin des métadonnées SAML de votre IdP. Chaque IdP les propose sous l’une de ces deux formes :

1. Metadata URL : Un lien public https:// vers le XML de métadonnées (à privilégier)
2. Metadata XML : Un document de métadonnées téléchargeable

cside lit trois éléments dans les métadonnées : l’entity ID de l’IdP, l’URL d’authentification unique HTTP-Redirect et les certificats de signature. Vous ne les saisissez pas à la main.

Configurer le SSO dans cside

1. Rendez-vous sur le tableau de bord cside et ouvrez la section SAML 2.0 comme décrit dans Naviguer vers les paramètres SSO.
2. Remplissez les champs requis :
   • Email domain : Le domaine email de votre entreprise (par exemple, example.com). Séparez plusieurs domaines par des virgules. Un domaine ne peut être revendiqué que par une seule configuration SSO, toutes organisations cside confondues.
   • Metadata URL ou Paste metadata XML : Choisissez la source correspondant à ce que votre IdP vous a fourni, puis collez l’URL dans Identity provider metadata URL ou le document dans Identity provider metadata XML.
3. Cliquez sur Save SAML configuration.

cside récupère ou analyse les métadonnées, les vérifie et enregistre la configuration. L’URL de métadonnées doit utiliser https://, être accessible publiquement, renvoyer le document directement sans redirection et peser moins de 512 Ko.

Une fois enregistrée, la section affiche l’entity ID de l’Identity provider, la Sign-on URL et le nombre d’Active signing certificates, ainsi que deux boutons supplémentaires :

• Refresh certificates : Relit l’URL de métadonnées et remplace les certificats de signature enregistrés. Affiché uniquement pour les configurations créées à partir d’une URL de métadonnées.
• Remove SAML : Supprime la configuration. Les utilisateurs des domaines configurés reviennent à la connexion par mot de passe.

Tester votre configuration

Il n’y a pas de fenêtre de vérification distincte pour SAML : l’enregistrement de la configuration l’active immédiatement. Testez-la avant d’en informer votre équipe :

1. Ouvrant une nouvelle fenêtre de navigateur en mode incognito/privé
2. Naviguant vers dash.cside.com
3. Entrant une adresse email avec votre domaine configuré
4. Vous devriez être redirigé vers votre fournisseur d’identité pour l’authentification, puis revenir connecté dans le tableau de bord cside

Lancer la connexion depuis la tuile d’application de votre IdP fonctionne aussi. cside n’accepte pas directement l’assertion non sollicitée. Il redirige l’utilisateur via une requête initiée par cside vers le même IdP, ce qui se termine généralement sans que l’utilisateur s’en aperçoive.

Renouveler les certificats de signature

cside accepte tous les certificats de signature listés dans vos métadonnées, vous pouvez donc publier le nouveau certificat à côté de l’ancien, basculer votre IdP et retirer l’ancien sans interruption :

• Metadata URL : Cliquez sur Refresh certificates dans la section SAML 2.0 après chaque changement dans votre IdP.
• XML collé : Téléchargez les métadonnées mises à jour, collez-les dans Identity provider metadata XML et cliquez sur Save SAML configuration.

Dépannage

Erreurs lors de l’enregistrement

Message	Signification
SAML SSO is not enabled for this organization.	cside n’a pas encore activé SAML 2.0 pour votre organisation. Contactez votre représentant cside.
The email domain ”…” is already used by an OIDC integration.	Le domaine est revendiqué par une autre configuration SSO, dans votre organisation ou une autre. Supprimez-le d’abord là-bas. Il en va de même lorsque le message mentionne une intégration SAML.
This identity provider is already configured by another organization.	L’entity ID des métadonnées appartient à un IdP déjà utilisé par une autre organisation cside. Vérifiez que vous avez collé vos propres métadonnées.
This metadata has no entityID.	Le document n’est pas un fichier de métadonnées IdP complet. Copiez l’EntityDescriptor en entier.
This metadata has no HTTP-Redirect single sign-on URL.	Votre IdP n’annonce qu’un point de terminaison HTTP-POST. Activez le binding HTTP-Redirect pour l’application.
This metadata has no signing certificate.	Les métadonnées n’ont pas de KeyDescriptor de signature. Activez la signature des assertions et retéléchargez les métadonnées.
The single sign-on URL must use https.	Le point de terminaison d’authentification de votre IdP est servi en HTTP non chiffré.
The metadata URL redirects.	Pointez le champ vers le document de métadonnées final, pas vers un lien qui redirige.
The metadata URL returned 404.	Le lien est incorrect ou les métadonnées nécessitent une authentification. Tout statut autre que 200 est signalé de cette façon.
Could not reach the metadata URL. / The metadata URL timed out.	Les serveurs cside ne peuvent pas atteindre l’URL en 10 secondes. Vérifiez qu’elle est publique.
The metadata URL must resolve to a public address.	Le nom d’hôte pointe vers une IP privée ou interne. Utilisez l’option XML collé pour un IdP interne.
The metadata document is too large.	Le document dépasse 512 Ko. Retirez les descripteurs inutiles ou utilisez l’option XML collé.
This SAML integration was configured with pasted metadata, so there is no URL to refresh from.	Refresh certificates ne fonctionne que pour les configurations basées sur une URL. Collez plutôt le XML mis à jour.

Erreurs lors de la connexion

Message	Signification
Unknown SAML identity provider	L’émetteur de la réponse SAML ne correspond à aucune intégration configurée, ou SAML SSO a été désactivé pour l’organisation. Vérifiez que les métadonnées de l’IdP dans cside sont à jour.
This sign-in request could not be verified.	cside a rejeté l’assertion. La raison exacte est conservée dans les journaux de cside, consultez donc les causes ci-dessous.
Signing in with SAML is not yet available for accounts whose only two-factor method is a security key.	Le compte n’a qu’une clé de sécurité enregistrée pour la MFA. Connectez-vous depuis la page de connexion cside ou ajoutez une application d’authentification.
This email is not enrolled for cside SAML SSO	Le domaine email ne figure dans aucune configuration SAML, ou SAML SSO est désactivé pour l’organisation.

Causes fréquentes de This sign-in request could not be verified :

• L’assertion n’est pas signée, ou seule l’enveloppe de la réponse est signée
• L’assertion est chiffrée
• L’Audience de l’assertion n’est pas https://cside.dev/saml/sp
• La Destination n’est pas l’ACS URL affichée dans cside
• L’IdP a signé avec un certificat absent des métadonnées enregistrées (renouvelez avec Refresh certificates ou collez le nouveau XML)
• L’adresse email de l’utilisateur est absente du Name ID et des attributs email
• Le domaine email de l’utilisateur ne fait pas partie des domaines configurés
• L’horloge de l’IdP est décalée de plus de cinq minutes
• La même réponse a été envoyée deux fois (les assertions sont à usage unique)