Activer la connexion institutionnelle
Guide du 10 octobre 2026. La connexion institutionnelle est préparée et testée avec un fournisseur simulé ; aucun fournisseur réel n’est actuellement configuré. L’utilisateur saisira son identifiant et son mot de passe sur la page sécurisée de son organisme. La plateforme ne stocke pas ces mots de passe.
Préparer le fournisseur d’identité
- Faire créer une application OIDC par le responsable informatique de l’organisme. Elle doit prendre en charge le code d’autorisation, PKCE S256, la découverte OIDC et les signatures RS256.
- Autoriser l’URI de retour exacte : l’origine HTTPS de la plateforme suivie de
/api/auth/institution/callback. Prévoir les portéesopenid email profileet une adresse vérifiée avecemail_verified=true. - Obtenir l’URL de l’émetteur, l’identifiant de l’application et, si nécessaire, un secret client. Transmettre le secret par un canal sécurisé ; ne pas le placer dans les sources, les documents ou une conversation.
Configurer côté serveur
| Variable | Valeur attendue |
|---|---|
OIDC_ISSUER | URL HTTPS exacte de l’émetteur. Sans identifiants, paramètres ni fragment. |
OIDC_CLIENT_ID | Identifiant attribué à l’application ; sans espace en début ou fin. |
AUTH_ORIGIN | Origine HTTPS exacte du site, sans sous-chemin, paramètres ni fragment. |
OIDC_CLIENT_SECRET | Secret serveur seulement si requis par l’application enregistrée. |
AUTH_MODE | institutional pour activer. preproduction conserve la connexion de préproduction. |
Dans l’espace professionnel, l’administrateur consulte le diagnostic de connexion : paramètres absents ou invalides, état d’activation et chemin de retour. Le diagnostic affiche des noms de variables et des états, jamais leurs valeurs. Il vérifie la forme de la configuration ; il ne prouve pas que le fournisseur distant fonctionne.
Éviter un blocage d’accès
Avant de modifier le mode, préparer les comptes et invitations, vérifier le propriétaire légitime et conserver un accès d’exploitation permettant de corriger les variables serveur. Activer uniquement lorsque les paramètres sont complets. Un mode inconnu ou une configuration institutionnelle incorrecte refuse l’accès sans revenir à la connexion de préproduction.
Effectuer la recette réelle
- Tester un compte autorisé avec son rôle et son pays. Vérifier la redirection et le retour sur l’origine officielle.
- Tester une adresse non invitée, une adresse non vérifiée, une invitation expirée et une tentative d’accès à une fonction interdite.
- Tester la déconnexion, l’expiration de session et la révocation après retrait ou changement d’habilitation.
- Vérifier chaque rôle sur mobile et ordinateur. Consigner les résultats et faire approuver la mise en service par ARTAC.
La connexion identifie la personne. Le rôle et le périmètre dans la plateforme déterminent ses droits. Le partage du site reste un contrôle distinct. Une recette du fournisseur réel est indispensable.