Connecter monintranet à un SSO d’entreprise et à des outils métiers ne se résume pas à cocher une case SAML dans un panneau d’administration. Le périmètre technique a changé : provisioning SCIM, applications « non-gallery », profils SSO différenciés par population. Nous détaillons ici les points de friction concrets et les choix d’architecture qui déterminent la réussite de l’intégration.
SAML, OIDC ou SCIM : quel protocole pour connecter monintranet à votre SSO
La plupart des intranets SaaS exposent un endpoint SAML 2.0. C’est le socle historique, et monintranet ne fait pas exception. Le flux classique fonctionne : l’utilisateur arrive sur l’intranet, est redirigé vers l’Identity Provider (Entra ID, Okta, Google Workspace), s’authentifie, puis revient avec une assertion signée.
Le piège est de s’arrêter là. Le SSO seul ne gère ni la création ni la suppression des comptes. Un collaborateur qui quitte l’entreprise conserve un compte actif sur l’intranet tant que personne ne le désactive manuellement. C’est un trou de sécurité banal, mais fréquent.
Nous recommandons de traiter deux chantiers distincts dès le départ :
- L’authentification (SAML 2.0 ou OpenID Connect selon ce que supporte votre IdP et monintranet), qui gère le « qui êtes-vous ».
- Le provisioning automatique via SCIM 2.0, qui gère le cycle de vie du compte : création, mise à jour des attributs (service, poste, site), désactivation. Microsoft Entra distingue d’ailleurs ces deux fonctions en imposant parfois deux enregistrements d’application séparés.
- Le mapping d’attributs, souvent négligé, qui détermine quelles données du référentiel RH (ou de l’annuaire) alimentent le profil intranet : nom, prénom, service, photo, manager.
Si monintranet n’apparaît pas dans la galerie d’applications de votre IdP (cas fréquent pour les solutions françaises), il faut créer une application « non-gallery ». Côté Entra ID, la procédure passe par l’onglet « Enterprise applications » puis « Create your own application ». La configuration SAML demande l’Entity ID et l’ACS URL fournis par monintranet, plus le certificat de signature.
Connecter monintranet aux outils métiers sans multiplier les silos
L’intérêt d’un intranet connecté dépasse l’authentification. L’objectif est que le collaborateur retrouve, depuis monintranet, les flux de ses outils métiers sans naviguer entre dix onglets. Deux approches coexistent.
Widgets et iframes pilotés par le SSO
Monintranet peut embarquer des widgets qui consomment des API tierces (GED, ticketing, SIRH). Si l’outil métier accepte le même IdP, le jeton de session est partagé. L’utilisateur connecté à l’intranet accède à ses tickets ou à ses documents sans re-saisir un mot de passe. Le prérequis est que chaque outil métier soit enregistré dans le même tenant SSO.
Quand l’outil métier ne supporte pas le SSO de l’entreprise (cas de certains logiciels on-premise ou de solutions verticales), un connecteur de type reverse proxy ou password vaulting peut combler le vide. La solution est moins élégante, plus fragile, et nous la déconseillons sauf contrainte technique non négociable.
Synchronisation de données métiers
Certaines intégrations vont au-delà de l’authentification partagée. Par exemple, remonter les dernières notes de frais depuis l’ERP ou afficher le planning d’équipe issu du SIRH directement sur le tableau de bord de monintranet. Ces flux reposent sur des connecteurs API, souvent via des plateformes d’intégration (iPaaS) ou des webhooks natifs.
Le point de vigilance : chaque connecteur API consomme un scope d’autorisation distinct. Il faut cartographier les permissions OAuth accordées à monintranet dans votre IdP pour éviter une surface d’attaque disproportionnée.
Profils SSO et gestion multi-populations sur monintranet
Un intranet d’entreprise ne s’adresse pas à une population homogène. Les collaborateurs du siège, les équipes terrain, les prestataires externes et les managers n’ont ni les mêmes droits ni les mêmes besoins d’accès.
Google Workspace, par exemple, a renforcé la notion de « profils SSO » pour appliquer des paramètres différents selon les unités organisationnelles. Entra ID propose un mécanisme équivalent via les politiques d’accès conditionnel et les groupes dynamiques.
Appliqué à monintranet, cela signifie qu’un prestataire externe peut être authentifié via un SSO B2B (Entra External ID, par exemple) avec un accès restreint à certaines rubriques, pendant qu’un collaborateur interne accède à l’ensemble de la plateforme via le SSO corporate. La segmentation se configure côté IdP, pas côté intranet. Monintranet consomme les claims (groupes, rôles) transmis dans l’assertion SAML ou le token OIDC et adapte les permissions en conséquence.
Nous observons que ce point est souvent traité après le déploiement, en mode correctif. Mieux vaut définir la matrice populations/droits avant de configurer l’application dans l’IdP.
Sécurité et conformité : ce que change le SSO sur monintranet
Centraliser l’authentification sur un IdP ne dispense pas de contrôler ce qui se passe après le login. La session intranet a sa propre durée de vie, son propre mécanisme de refresh. Si la session monintranet dure huit heures alors que le token SSO expire après une heure, un utilisateur dont le compte est désactivé dans l’annuaire conserve un accès résiduel.
Trois contrôles à valider lors de l’intégration :
- Le délai de propagation de la révocation : combien de temps entre la désactivation du compte dans l’IdP et la coupure effective de l’accès sur monintranet ? Si SCIM est en place, la désactivation est quasi-immédiate. Sans SCIM, elle dépend d’un batch ou d’une action manuelle.
- La politique de session : aligner la durée de session intranet sur la durée du token IdP ou forcer une revalidation périodique via un silent check.
- La journalisation : monintranet doit loguer les événements d’authentification SSO (succès, échec, logout) pour alimenter le SIEM de l’entreprise et répondre aux exigences RGPD sur la traçabilité des accès aux données internes.
La sécurité de l’intranet dépend autant de la rigueur du provisioning que de la qualité du protocole d’authentification. Un SSO bien configuré avec un provisioning absent reste un dispositif incomplet. Le couple SSO + SCIM constitue le socle minimal d’une intégration fiable pour une solution intranet SaaS comme monintranet, quel que soit l’IdP retenu.
