Single Sign-On (SSO)

Gérer des dizaines de mots de passe d’employés est un risque de sécurité. Cord propose le Single Sign-On via SAML 2.0 pour les organisations disposant de l’offre Scale ou Developer. Tout fournisseur d’identité compatible SAML convient — Google Workspace, Microsoft Entra ID / Azure AD, Okta et d’autres —, configuré comme application SAML dans votre IdP, et non comme connexion OIDC directe.

Configurer le SSO

1. Dans votre fournisseur d’identité, créez une application SAML pour Cord et copiez son XML de métadonnées.
2. Dans Cord, allez dans Paramètres › Équipe et droits › SSO › Connecter un fournisseur et collez ce XML : Cord en extrait l’Entity ID, l’URL de connexion et le certificat.
3. Copiez dans votre fournisseur d’identité les trois valeurs que Cord vous affiche : ACS URL, Entity ID et Metadata URL.
4. Revendiquez votre domaine d’entreprise (par exemple @votreentreprise.com). Cord vous fournit un jeton à placer dans un enregistrement TXT de votre DNS, et vérifie la propriété en interrogeant cet enregistrement via un vrai DNS — il ne suffit pas de coller le jeton à l’écran.

Une fois le domaine vérifié et l’option Exiger le SSO activée, le mot de passe, Google et les clés d’accès ne fonctionnent plus pour les membres de votre organisation : Cord les redirige vers votre fournisseur d’identité. Le propriétaire du compte conserve toujours la possibilité de se connecter avec un mot de passe, comme issue de secours si le fournisseur d’identité tombe en panne.

L’exigence est propre à votre organisation, et non à la connexion : une personne qui appartient aussi à une autre organisation dotée de son propre SSO ne peut pas se connecter par celui-ci puis basculer vers la vôtre. Lorsqu’elle ouvre votre organisation, Cord lui demande de se connecter avec votre fournisseur d’identité.

Si vous autorisez la connexion depuis le portail d’applications de votre fournisseur (Okta, Microsoft MyApps), Cord affiche l’adresse e-mail avec laquelle la personne va se connecter et lui demande de la confirmer avec Continuer, car cette connexion n’a pas commencé dans son navigateur.

Ce qui est automatisé et ce qui ne l’est pas

Cord prend en charge le provisionnement JIT (Just-In-Time) : la première fois qu’une personne de votre domaine se connecte via SSO, Cord crée automatiquement son compte et l’ajoute comme membre, sans que vous ayez à l’inviter manuellement. Cord ne prend pas en charge SCIM : retirer une personne de votre annuaire (Google Workspace, Azure AD) ne révoque pas automatiquement son accès à Cord — pour cela, révoquez-le également depuis Paramètres › Équipe dans Cord.