Configurer la sécurité et le SSO

Les Administrateurs et le Propriétaire gèrent la sécurité dans Gestion de l’organisation > Sécurité. Ces politiques contrôlent l’accès à l’organisation. Coordonnez les changements avec les responsables des connexions et du réseau pour que les membres puissent continuer à se connecter avec la méthode prévue.

Exiger l’authentification à deux facteurs

1. Ouvrez Authentification à deux facteurs > Gérer.
2. Activez Forcer 2FA.
3. Cliquez sur Valider.
4. Vérifiez qu’un membre connecté par mot de passe, sans double authentification, est dirigé vers sa configuration obligatoire.

Pour modifier cette exigence, votre compte doit avoir la double authentification activée ou vous devez utiliser une session SSO. Avoir un SSO lié au compte ne transforme pas une session par mot de passe en session SSO.

Pour l’accès par mot de passe, chaque membre configure sa double authentification. Boldo n’impose pas une seconde étape 2FA Boldo à une session SSO ; les exigences du fournisseur d’identité se configurent chez celui-ci.

Régler la durée de session

1. Ouvrez Durée de session > Gérer.
2. Choisissez Par défaut (7 jours) ou une durée proposée : 1, 3, 14, 30 ou 60 jours.
3. Cliquez sur Valider.
4. Prévenez les membres concernés si le changement peut avancer leur prochaine reconnexion.

Pour un membre de plusieurs organisations, la durée applicable la plus courte prévaut. Une organisation sans réglage particulier contribue avec le défaut de sept jours. Choisir 30 jours dans une organisation ne remplace donc pas une exigence plus courte ailleurs.

Raccourcir la durée peut raccourcir immédiatement les sessions existantes. L’allonger ne prolonge pas directement toutes les sessions ouvertes ; la prolongation intervient lors du renouvellement de session. Ce réglage est une durée de validité, pas un compteur d’activité d’édition continue.

Restreindre les adresses IP

La section Liste des IP autorisées dépend de votre offre. Utilisez les adresses publiques depuis lesquelles Boldo reçoit les requêtes, notamment les sorties de VPN ou proxy de l’organisation.

1. Ouvrez Liste des IP autorisées > Gérer et activez la restriction.
2. Choisissez Ajouter une adresse IP ou Ajouter mon IP.
3. Renseignez une IPv4 ou une plage IPv4 avec son préfixe CIDR, puis une description facultative de 50 caractères maximum.
4. Conservez votre IP publique actuelle, ou une plage qui la contient, dans la liste.
5. Cliquez sur Valider.
6. Vérifiez l’accès depuis un réseau autorisé et le refus attendu depuis un autre réseau.

Ce formulaire n’accepte pas IPv6. L’adresse privée de votre poste n’est pas nécessairement celle vue par Boldo ; Ajouter mon IP aide à identifier l’adresse actuelle.

Conserver l’adresse actuelle à l’enregistrement

Boldo refuse une liste excluant votre IP publique actuelle. Ce contrôle s’applique aussi lors de la désactivation. Coupez le commutateur en conservant une entrée valide pour l’adresse actuelle ; ne videz pas la liste pour désactiver la restriction.

Une exception facultative pour les liens externes se règle séparément dans l’administration des liens. Elle n’ouvre pas l’application habituelle aux membres depuis les adresses refusées. Les accès API et MCP ont aussi leurs propres conditions de connexion.

Mettre en place la connexion unique (SSO)

Le SSO se met en place avec Boldo et l’administrateur de votre fournisseur d’identité. La page Sécurité ne contient pas d’assistant autonome de configuration SAML ou OpenID Connect.

1. Identifiez l’organisation et le domaine professionnel que les membres saisiront pour le SSO.
2. Convenez avec Boldo du fournisseur et du protocole pris en charge pour votre déploiement.
3. Obtenez les valeurs exactes de configuration de ce déploiement, puis configurez l’application chez le fournisseur d’identité.
4. Testez une identité autorisée, l’accès à l’organisation, le type d’utilisateur et les rôles attribués.
5. Convenez de la récupération et de l’accès administrateur avec Boldo et le responsable du fournisseur avant d’exiger le SSO.
6. Validez l’exigence SSO et refaites le contrôle de connexion d’un membre.

Ne réutilisez pas les URL de retour, identifiants ou certificats d’une autre organisation sans confirmation. Utilisez les valeurs propres au déploiement. Les membres suivent ensuite la connexion SSO, en renseignant leur domaine professionnel avant redirection vers le fournisseur d’identité.

Un nouvel arrivant reçoit le type Administrateur uniquement si aucun membre de l’organisation ne possède encore de compte chez ce fournisseur SSO. Sinon, il devient Lecteur. Ce parcours ne réattribue pas automatiquement le type des membres existants. Vérifiez types et rôles après admission plutôt que de supposer que le SSO donne les droits d’édition métier.

Une organisation exigeant le SSO refuse les accès et invitations email/mot de passe. La session effective doit utiliser le fournisseur attendu. Une méthode précédemment désactivée n’est pas réactivée automatiquement par une nouvelle connexion.

Un mot de passe Boldo n’est donc pas un secours universel lorsque le SSO est obligatoire. Documentez et testez la récupération convenue avec le responsable du fournisseur et le support Boldo.