Guide du SSO

Après rattachement, le SSO gère l’accès à tout le compte professionnel, y compris les contenus privés. Privé signifie non partagé avec les collègues ; cela ne signifie pas indépendant de l’entreprise. Pour conserver un compte personnel indépendant, utilisez une autre adresse.

Le parcours part de Pomlet, passe par le fournisseur d’identité de l’entreprise (SAML 2.0 ou OpenID Connect), puis revient automatiquement dans Pomlet. Une session d’entreprise déjà ouverte peut éviter toute saisie. Sinon, l’entreprise peut demander son mot de passe ou une validation multifacteur : Pomlet ne décide pas de cette étape.

Se déconnecter de Pomlet ne ferme pas forcément la session de votre entreprise. Une nouvelle connexion peut donc reprendre le même compte sans mot de passe. Pour tester un autre compte sur le même ordinateur, utilisez une fenêtre de navigation privée ou déconnectez aussi la session d’entreprise.

Le propriétaire et le rôle Informatique ouvrent Équipe et accès → Paramètres de l’organisation → Connexion unique (SSO). Le propriétaire attribue le rôle Informatique ; aucune licence Pro n’est nécessaire pour ce rôle. Un administrateur Pomlet ordinaire ne peut pas gérer le SSO.

Il faut également disposer des droits pour créer et attribuer une application dans l’annuaire de l’entreprise. Une adresse professionnelle ne donne pas ces droits. Le collaborateur demande donc l’intervention de son service informatique. L’activation initiale nécessite un abonnement annuel d’organisation actif.

Une fois par domaine, ouvrez Domaines de messagerie dans le paramétrage SSO. Saisissez le domaine des adresses professionnelles, par exemple entreprise.com. Copiez le nom et la valeur TXT fournis par Pomlet dans la gestion DNS de ce domaine, puis cliquez sur Vérifier. Le code est valable 7 jours ; ajoutez à nouveau le domaine pour le renouveler. Cette opération nécessite les droits DNS de l’entreprise, pas le compte AWS de Pomlet. Laissez ensuite l’enregistrement en place : Pomlet le vérifie chaque semaine et prévient le propriétaire et l’équipe informatique s’il disparaît. Le domaine n’est jamais retiré automatiquement.

La vérification permet de trouver le bon SSO depuis une nouvelle adresse professionnelle et de créer le compte sans mot de passe Pomlet. Elle ne donne aucun accès à elle seule : l’annuaire doit autoriser la personne, et une invitation reste nécessaire sauf si le JIT est activé. Vérifiez chaque domaine utilisé pour les nouveaux collaborateurs.

Seules les adresses d’un domaine vérifié par l’organisation peuvent devenir des comptes professionnels gérés par son SSO. Une personne dont l’adresse appartient à un autre domaine, par exemple un prestataire, reste membre avec un compte Pomlet normal, non géré par l’entreprise. Le domaine ne convertit jamais un compte existant sans sa confirmation.

Choisissez avec votre responsable informatique SAML 2.0 ou OIDC, selon ce que l’annuaire et l’application créée prennent en charge. Donnez un nom libre à la connexion dans Pomlet. Les adresses affichées en lecture seule sont générées par Pomlet : elles identifient son service, pas votre entreprise.

Dans Okta, par exemple, l’administrateur crée une intégration d’application SAML ou OIDC et attribue cette application aux personnes ou groupes autorisés. « Attribuer l’application » signifie autoriser ces identités à se connecter à Pomlet. Cela ne crée pas automatiquement leurs comptes Pomlet, leurs invitations ou leurs licences.

Dans l’application SAML de l’annuaire, copiez l’URL ACS de Pomlet dans ACS / Single sign-on URL, et l’identifiant d’entité dans Audience URI / SP Entity ID. Demandez une identité utilisateur stable (NameID persistant, qui ne change pas quand l’adresse e-mail change) et un attribut e-mail correspondant au compte Pomlet. Récupérez ensuite l’URL des métadonnées de cette application, ou son fichier XML, et renseignez une seule de ces deux options dans Pomlet.

Les métadonnées décrivent notamment les adresses de l’annuaire et son certificat de signature. Les champs avancés permettent d’indiquer les noms exacts des attributs e-mail et nom envoyés par votre annuaire. Les valeurs vides utilisent les URI Microsoft standard : elles ne conviennent pas à tous les annuaires. Le responsable informatique doit vérifier le mapping. Ne renseignez pas un secret client OIDC pour SAML.

Le flux pris en charge ici démarre avec le lien Pomlet. Si votre portail d’entreprise présente une tuile Pomlet, utilisez un favori vers ce lien. Une connexion SAML spontanément initiée par l’annuaire n’est pas prise en charge.

Créez une application web OIDC confidentielle utilisant le flux Authorization Code. Ajoutez exactement l’URL de retour du fournisseur OIDC affichée par Pomlet parmi les adresses de redirection autorisées. Le fournisseur doit accepter l’authentification du client par client_secret_post et fournir une identité stable et l’e-mail. Si email_verified est absent ou faux, le domaine de l’e-mail doit avoir été vérifié par DNS dans Pomlet. Un compte existant doit toujours confirmer son rattachement.

Récupérez dans l’annuaire l’Issuer URL, le Client ID et le Client Secret. Collez-les dans les champs correspondants de Pomlet. L’Issuer est l’adresse exacte du serveur d’identité, pas le site de l’entreprise ni son domaine de messagerie. Les autorisations habituelles sont openid email profile. Le secret est chiffré et n’est pas réaffiché après enregistrement.

Pour Okta, les valeurs proviennent de l’intégration OIDC et du serveur d’autorisation choisi par l’administrateur. N’inventez pas une URL à partir du nom de l’entreprise : son domaine de connexion peut être personnalisé.

Enregistrer la configuration crée un brouillon. Cela n’active pas le SSO et ne remplace pas une connexion déjà active. Cliquez sur Tester la connexion : vous quittez Pomlet pour vous authentifier avec un compte professionnel autorisé dans l’annuaire.

Pour ce premier rattachement, votre compte Pomlet doit déjà être connecté et son e-mail confirmé. Son e-mail doit correspondre à celui fourni par l’annuaire. Ne changez pas de compte Pomlet pendant le test. Au retour, la connexion affiche Test réussi en vert. En cas de refus, vérifiez l’attribution de l’application, les adresses de retour, le protocole et les attributs transmis.

Cette option est recommandée et cochée par défaut à l’activation. La décocher permet une transition pour les comptes pas encore rattachés. Exiger le SSO empêche les membres pas encore rattachés d’utiliser les contenus de l’organisation avec une simple connexion Pomlet. Ils doivent effectuer leur rattachement. Un compte déjà rattaché reste entièrement géré par SSO, même si cette règle est décochée. Le réglage ne déplace pas automatiquement les comptes existants.

JIT (Just-in-Time) permet aux identités autorisées par le fournisseur configuré de créer leur compte et de rejoindre à la première connexion, sans invitation Pomlet. Elles deviennent créatrices, sans licence. Un compte existant doit toujours confirmer son rattachement ; une personne déjà membre d’une autre organisation n’est pas déplacée.

Les règles ne se sauvegardent pas automatiquement. Après le test, cliquez sur Enregistrer et activer le SSO dans l’heure indiquée, avec la même session. Ensuite, utilisez Enregistrer les règles. La session d’utilisation dure de 1 à 24 heures selon le réglage ; à expiration, une nouvelle connexion via l’entreprise est nécessaire.

Chaque aller-retour vers l’annuaire doit être terminé dans les 10 minutes. En cas d’expiration, relancez la connexion ; la configuration et les comptes sont conservés.

Le propriétaire ou un administrateur invite son adresse dans Équipe et accès et choisit son rôle ; seul le propriétaire attribue le rôle Informatique. L’informatique autorise aussi cette personne ou son groupe à utiliser Pomlet dans l’annuaire de l’entreprise. Ces deux actions répondent à deux questions : que peut-elle faire dans Pomlet, et l’entreprise confirme-t-elle son identité ?

Le collaborateur ouvre l’invitation, choisit le SSO et accepte le principe du compte professionnel. Après authentification dans l’annuaire, Pomlet crée son compte, accepte l’invitation et ouvre son espace. Il ne choisit aucun mot de passe Pomlet. Le rôle vient de l’invitation ; aucune licence payante n’est attribuée automatiquement.

L’activation du SSO ne rattache pas silencieusement les comptes existants. Seul un compte dont l’adresse appartient à un domaine vérifié par l’organisation peut être rattaché. La première fois, la personne se connecte à son ancien compte Pomlet avec son moyen habituel, puis confirme Rattacher mon compte et continuer sur la page SSO. Elle s’authentifie ensuite auprès de l’entreprise. Cette étape unique conserve les contenus, les droits et la licence déjà présents.

Après rattachement, le mot de passe Pomlet, Google et la réinitialisation de mot de passe ne permettent plus de contourner le SSO. Les anciennes sessions sont invalidées. Le compte utilise ensuite uniquement le SSO. Le rattachement ne partage pas automatiquement les contenus privés.

Le SSO ne change que la façon de se connecter : un abonnement Pro personnel, pris sur le web ou sur iPhone, n’empêche pas le rattachement et continue normalement. Dans Équipe et accès, la personne apparaît avec « Pro personnel actif jusqu’au… » et n’a pas besoin de licence. Si elle le résilie, elle garde Pro jusqu’à la fin de la période payée ; un administrateur peut ensuite lui attribuer une licence. Si la personne quitte l’organisation, en est retirée ou est supprimée par l’annuaire (SCIM), son abonnement personnel pris sur le web s’arrête à la fin de la période payée, sans remboursement, et un e-mail lui indique cette date. Si elle revient dans l’organisation avant cette date, l’arrêt est annulé et son abonnement continue. /billing/recovery permet de le consulter, sans accès aux contenus. Un abonnement pris sur iPhone se résilie dans les réglages de l’iPhone.

Sur la page de connexion Pomlet, choisissez Se connecter avec le SSO et saisissez votre adresse professionnelle. Pomlet retrouve l’organisation grâce au domaine de l’adresse, s’il est vérifié par l’organisation. Sur un appareil déjà utilisé avec succès, le même bouton ouvre directement l’organisation mémorisée, sans saisir d’adresse. Il n’est plus nécessaire de coller une URL.

Le lien commun de l’organisation reste utile dans l’intranet ou dans une tuile du portail de l’entreprise : il connaît déjà la destination. Après la connexion, Pomlet ouvre automatiquement le tableau de bord. Si la session Pomlet est encore valide, la page de connexion ouvre déjà le tableau de bord sans repasser par le fournisseur.

Sur un nouvel appareil, si le domaine de l’adresse n’est pas vérifié, Pomlet ne peut pas deviner l’employeur : ouvrez l’invitation reçue par e-mail ou le lien commun de l’organisation. Un domaine vérifié sert seulement à trouver le SSO : il ne donne aucun droit et ne rattache pas automatiquement toutes ses adresses.

L’encart de la connexion regroupe quatre entrées : Paramètres pour enregistrer les règles d’accès, préparer un remplacement ou désactiver le SSO ; Partager pour copier le lien commun aux membres ; Membres pour gérer les révocations Pomlet ; Journal pour consulter les événements SSO de l’organisation. Le lien de connexion ne remplace pas une invitation lorsque l’entrée sur invitation est choisie.

En cas de départ, retirez l’accès dans l’annuaire ET retirez le membre ou révoquez son accès SSO dans Pomlet. Pour un compte rattaché, cela bloque tout le compte : contenus privés, organisation et assistant IA. Supprimer l’appartenance ne réactive pas le mot de passe Pomlet. Le compte reste bloqué et ses contenus sont conservés. Tant que la personne reste membre de l’organisation (accès SSO révoqué, désactivée ou supprimée par l’annuaire), son compte n’est jamais supprimé pour inactivité. Une fois qu’elle est retirée de l’organisation, sans reconnexion, s’il est gratuit, il est supprimé selon la règle des comptes inactifs (après 24 mois, avec un préavis remis à son adresse) ; ses contenus personnels sont alors gardés 30 jours avant d’être effacés. Les contenus créés dans l’organisation restent à l’organisation. Pour une suppression plus tôt, la personne ou l’organisation peut écrire au support.

Désactiver le SSO, récupérer l’accès par le support ou dissoudre l’organisation ferme les anciennes sessions des comptes rattachés et révoque leurs autorisations d’assistants IA. Les personnes autorisées doivent se reconnecter ; les anciennes sessions ne sont jamais réactivées.

Une révocation manuelle et une suspension SCIM sont indépendantes. Vous pouvez lever la révocation dans Pomlet pendant que le compte reste suspendu dans l’annuaire. La connexion reste bloquée jusqu’à la réactivation dans les deux systèmes, et nécessite une nouvelle connexion SSO.

Sans SCIM activé, retirer uniquement l’accès dans l’annuaire n’arrête pas instantanément une session Pomlet déjà ouverte. Avec SCIM, la désactivation reçue par Pomlet coupe les accès et les sessions ; le délai de transmission dépend de l’annuaire. Pour une coupure urgente, révoquez aussi l’accès dans Pomlet.

La désactivation volontaire de tout le SSO par un responsable autorisé rend les moyens de connexion ordinaires aux membres encore présents et non révoqués. Un compte créé uniquement par SSO peut alors définir un mot de passe par réinitialisation. Les anciens membres et comptes révoqués ne sont pas déverrouillés. En cas de panne empêchant l’administrateur de se connecter, le support effectue une récupération contrôlée.

Le MCP d’un compte professionnel exige une session SSO valide, y compris pour ses contenus privés. Pour les contenus partagés, l’autorisation MCP de l’organisation et les permissions habituelles restent nécessaires. Après expiration ou rattachement, connectez-vous par SSO et reconnectez l’assistant.

Configurez une nouvelle connexion, testez-la et activez-la avant de supprimer l’ancienne. La connexion active est conservée jusqu’à l’activation de sa remplaçante. Les membres doivent alors se reconnecter avec le nouveau fournisseur et peuvent devoir relier leur identité. Le propriétaire et les administrateurs reçoivent un e-mail à chaque activation, remplacement ou désactivation du SSO.

Planifiez les rotations de secrets OIDC et de certificats SAML avec votre informatique. Une URL de métadonnées permet au fournisseur de publier ses changements ; avec du XML copié, une mise à jour manuelle peut être nécessaire. Testez avant la date d’expiration. Une connexion inactive se supprime avec la poubelle et une confirmation ; la connexion active doit d’abord être désactivée ou remplacée.

Si l’organisation quitte l’abonnement annuel (passage au mensuel ou fin de l’abonnement), le SSO existant n’est pas désactivé : les membres déjà rattachés continuent de se connecter, mais aucun nouveau membre ne peut entrer par SSO jusqu’au retour à l’abonnement annuel. Le propriétaire en est averti dans Pomlet. Les nouvelles configurations peuvent aussi être bloquées sans abonnement annuel actif.

Les licences et les droits payants suivent les règles de facturation. Le SSO n’attribue jamais une licence payante de lui-même.

Après activation du SSO et vérification des domaines, ouvrez les paramètres de la connexion → Synchronisation de l’annuaire (SCIM). Activez la synchronisation, puis copiez l’URL et le jeton affiché une seule fois dans le provisionnement de votre annuaire. Il ne s’agit pas d’une clé AWS. Le jeton est propre à cette organisation ; après un remplacement, l’ancien reste accepté 7 jours au plus, ou jusqu’à ce que vous le retiriez.

Dans Okta : application Pomlet → Provisioning → Integration, renseignez la SCIM base URL, userName comme identifiant unique et une authentification HTTP Header / Bearer. Dans To App, activez Create Users, Update User Attributes et Deactivate Users ; laissez Sync Password décoché et n’utilisez ni Push Groups ni Import Groups. Dans Microsoft Entra : application d’entreprise Pomlet → Approvisionnement → Automatique, renseignez URL de locataire et Jeton secret, puis Tester la connexion. Désactivez l’approvisionnement des groupes et limitez le périmètre aux utilisateurs attribués à Pomlet. L’indicateur aadOptscim062020 n’est pas nécessaire. Les intitulés peuvent varier selon l’interface et le contrat du fournisseur.

Configurez uniquement les utilisateurs. L’adresse de connexion Pomlet est l’e-mail professionnel envoyé par l’annuaire (emails[type eq "work"].value), ou userName s’il n’y en a pas : elle doit correspondre à l’e-mail du jeton SSO et appartenir à un domaine vérifié. userName peut être différent (par exemple l’UPN d’Entra). Associez externalId à un identifiant stable (dans Entra, objectId plutôt que mailNickname) et active à l’état d’accès. displayName, name.givenName et name.familyName sont aussi pris en charge. Pomlet ignore les autres attributs (poste, téléphones, adresses, extension entreprise) : vous pouvez les retirer du mapping. Les licences et rôles restent gérés dans Pomlet.

SCIM crée le compte et l’appartenance avant la première connexion, comme créateur sans licence, dans la limite de 10 comptes actifs par licence payée. Il n’envoie pas d’invitation par e-mail. La première connexion exige toujours l’autorisation de l’annuaire et la confirmation du compte professionnel. Le JIT peut rester activé : pour éviter un compte en double, l’e-mail du jeton SSO doit correspondre à l’adresse de connexion provisionnée. Un compte personnel préexistant doit d’abord être explicitement rattaché au SSO par son titulaire.

Si une invitation Pomlet valide existe déjà, son rôle est appliqué lors de la première connexion avec consentement. Les connexions suivantes ne modifient pas automatiquement le rôle du membre.

Une désactivation ou suppression SCIM bloque l’accès, coupe les sessions et libère la licence attribuée sans changer le nombre de licences facturées. Les contenus sont conservés. La réactivation nécessite une nouvelle connexion SSO ; la licence n’est pas réattribuée automatiquement. Une révocation manuelle dans Pomlet reste prioritaire. Transférez la propriété avant de désactiver le propriétaire. Une adresse supprimée par l’annuaire ne retrouve son compte qu’avec le même externalId ; sinon, un responsable peut autoriser sa reprise dans Synchronisation de l’annuaire, après avoir vérifié qu’il s’agit de la même personne. Une révocation manuelle apparaît comme inactive pour l’annuaire.

Désactiver la synchronisation conserve les comptes et leurs blocages. Désactiver le SSO ou une récupération par le support révoque aussi le jeton SCIM ; il faudra en générer un nouveau après réactivation. Une panne d’annuaire ne supprime aucun compte. Les membres actifs peuvent retrouver une connexion classique après une désactivation autorisée du SSO ; les personnes suspendues ou révoquées restent bloquées.

Commencez avec deux utilisateurs de test : provisionnez-les, vérifiez leur première connexion, suspendez-en un avec une session ouverte puis réactivez-le. Vérifiez aussi les journaux de provisionnement du fournisseur. Une synchronisation se fait selon le rythme de l’annuaire, sans garantie de temps réel.

Organisation introuvable : l’adresse saisie ne mène au SSO que si son domaine est vérifié par l’organisation. Sinon, ouvrez l’invitation reçue par e-mail ou le lien commun de l’organisation ; sur un appareil déjà utilisé, Se connecter avec le SSO reprend l’organisation mémorisée. Pour une nouvelle personne sans invitation, le domaine doit être vérifié et le JIT activé, ou son compte déjà provisionné par SCIM. Le lien de l’organisation indique la destination, mais ne donne pas de droit supplémentaire.

Refus sur la page de l’entreprise : vérifiez que la personne est autorisée à utiliser l’application Pomlet dans l’annuaire. Une demande de mot de passe ou de double authentification vient de la politique de l’entreprise. En cas d’erreur de redirection, recopiez exactement les adresses affichées dans Pomlet dans la configuration de l’annuaire et vérifiez le protocole et les attributs.

Test réussi mais activation refusée : utilisez le même compte Pomlet et la même session, puis refaites le test si la durée d’une heure est dépassée. Un aller-retour interrompu ou expiré se relance depuis Pomlet ; ne réutilisez pas une ancienne adresse de retour. Ne supprimez pas une connexion active pour résoudre un simple test échoué.

Si le service est temporairement indisponible ou limite les tentatives, attendez avant de réessayer. Les paramètres sont conservés. Si aucun responsable autorisé ne peut se connecter, contactez le support depuis le canal habituel de l’entreprise : une vérification de l’identité et de la demande précède toute récupération.

Erreur 401 : vérifiez l’URL propre à votre organisation, le jeton Bearer et l’état actif du SSO. Après remplacement du jeton ou réactivation du SSO, mettez à jour le secret dans l’annuaire. Un jeton perdu ne peut pas être relu : générez-en un nouveau.

Erreur 400 : vérifiez que l’annuaire envoie une adresse professionnelle valide et désactivez les groupes, rôles et mots de passe. Erreur 403 : abonnement annuel requis, limite de 10 comptes actifs par licence payée atteinte, accès révoqué dans Pomlet ou écriture de groupe refusée. Erreur 409 : examinez le détail dans le journal de provisionnement ; il peut s’agir d’une adresse déjà utilisée par un compte à rattacher, d’un externalId ou d’un userName déjà attribué, d’une adresse supprimée dont la reprise doit être autorisée ou du propriétaire à transférer.

Cette aide est publique et décrit le fonctionnement général. Les URL propres à l’organisation et les réglages sont accessibles aux responsables autorisés ; les secrets ne doivent être copiés que dans l’annuaire de l’entreprise. Ne publiez jamais un jeton SCIM, un secret OIDC, un mot de passe ou une réponse d’authentification SAML/OIDC. Pour le support, transmettez l’heure, l’étape et le code d’erreur, après avoir retiré les secrets.