Après avoir configuré et testé votre configuration JWT, Document360 vous donne un contrôle total sur le comportement de chaque configuration en production. Vous pouvez activer ou désactiver des configurations individuelles, régénérer des jetons secrets, gérer comment les lecteurs sont acheminés vers la bonne configuration JWT, contrôler l’apparence de la page de connexion du lecteur, et consulter une trace d’audit complète de toutes les modifications.
Avant que tu commences
- Seuls les utilisateurs ayant les rôles de projet Propriétaire ou Administrateur peuvent gérer les configurations JWT.
- Au moins une configuration JWT doit déjà exister dans votre projet. Si vous n’en avez pas encore créé, consultez Configurer JWT dans Document360.
Gestion des configurations
Activer ou désactiver une configuration JWT
Vous pouvez désactiver une configuration JWT sans la supprimer. C’est utile lorsque vous devez suspendre temporairement une configuration sans perdre ses paramètres.
- Allez dans Paramètres () > Utilisateurs et permissions > SSO entreprise.
- Localisez la configuration JWT que vous souhaitez gérer.
- Cliquez sur l’icône Modifier () dans la configuration.
- Développer les paramètres avancés.
- Désactivez l’activation de l’authentification JWT pour désactiver ou activez pour réactiver.
- Cliquez sur Enregistrer.
Supprimer une configuration JWT
- Va dans Paramètres () > Utilisateurs et permissions > SSO Entreprise.
- Localisez la configuration JWT que vous souhaitez retirer.
- Cliquez sur l’icône Supprimer ().
- Confirmez la suppression quand on vous le demande.
Régénération des jetons secrets
Chaque configuration JWT possède un jeton secret principal et un jeton secret secondaire. Le jeton secondaire existe spécifiquement pour supporter la rotation : il permet de continuer l’authentification pendant que vous mettez à jour le jeton principal dans votre application, évitant ainsi toute interruption de service.
Régénérer un jeton invalide immédiatement le jeton précédent. Vous devez mettre à jour votre application avec le nouveau jeton immédiatement pour éviter les échecs d’authentification.
- Allez dans Paramètres () > Utilisateurs et permissions > SSO Entreprise.
- Cliquez sur l’icône Modifier () dans la configuration.
- Sous les touches JWT, cliquez sur Régénérer à côté du jeton que vous souhaitez remplacer.
- Copiez immédiatement le nouveau jeton. Les jetons ne sont affichés qu’une seule fois et ne sont pas stockés dans Document360.
- Mettez à jour votre application avec le nouveau jeton.
- Cliquez sur Enregistrer.
Gestion de l’accès des lecteurs
Routage de lecteur basé sur le domaine
Lorsque plusieurs configurations JWT sont actives, Document360 redirige chaque lecteur vers la bonne configuration en fonction du nom de domaine qu’il saisit sur la page de connexion.
Document360 applique une règle de correspondance la plus spécifique. Si et support.example.com sont tous deux example.com configurés, un lecteur entrant support.example.com est dirigé vers cette configuration plutôt que vers le domaine parent. Cela permet de gérer les sous-domaines par des configurations dédiées sans conflit.
Règles de routage supplémentaires :
- La correspondance de domaine est insensible à la majuscule et chaque nom de domaine doit être unique dans toutes les configurations JWT du projet.
- Si la configuration correspondante est inactive, le lecteur est dirigé vers les options de connexion par défaut.
- Si aucune correspondance n’est trouvée, le lecteur est dirigé vers les options de connexion par défaut.
- Le champ nom de domaine s’applique uniquement au routage JWT. Les fournisseurs SSO ne peuvent pas être accessibles via ce champ.
Comment fonctionne la validation de l’authentification
Le routage basé sur le domaine détermine à quelle URL de connexion un lecteur est envoyé. Cela n’affecte pas la manière dont Document360 valide la requête d’authentification.
Lorsqu’un lecteur revient avec un code JWT, Document360 vérifie si le code est valide et a été créé à partir du secret configuré pour cette configuration JWT. Le domaine du lecteur n’affecte pas cette validation.
Cela signifie que vous pouvez utiliser la même configuration JWT pour plusieurs environnements, comme le développement et la production, tant qu’ils utilisent le même secret JWT.
Si vous souhaitez que différents environnements utilisent différents secrets JWT ou restreindre un flux de connexion à des domaines spécifiques, créez une configuration JWT distincte pour chaque domaine.
Coexistence entre JWT et SSO
Les configurations JWT et SSO (SAML ou OpenID) peuvent être actives simultanément dans le même projet. Chaque type est géré indépendamment. La modification d’une configuration JWT n’affecte pas les configurations SSO, et inversement. Cela permet aux organisations de prendre en charge les lecteurs de différents systèmes d’identité via un portail de base de connaissances unique sans conflit entre les méthodes d’authentification.
Exemple : Les clients entreprises peuvent s’authentifier via JWT lié à votre application, tandis que les membres internes de l’équipe se connectent via un fournisseur d’identité centralisé comme Okta via SAML. Les deux méthodes peuvent être actives en même temps sans interférence.
Limites des boutons de connexion
Un maximum de 3 boutons de connexion JWT et 5 boutons de connexion SSO peuvent être affichés à tout moment sur la page de connexion du lecteur. Ces limites sont appliquées indépendamment.
| Type d’authentification | Nombre maximal de boutons de connexion affichés | Accès au-delà de la limite |
|---|---|---|
| JWT | 3 | Les 3 premières configurations JWT sont affichées sous forme de boutons de connexion selon leur ordre de position CTA. Les lecteurs peuvent s’authentifier en entrant leur nom de domaine dans le champ Nom de domaine . Jusqu’à 5 configurations JWT peuvent être actives au total. |
| SSO | 5 | Seuls les 5 premiers fournisseurs SSO (par ordre de position CTA) sont affichés. Les fournisseurs SSO au-delà de cette limite ne sont accessibles aux lecteurs par aucun moyen. |
Par exemple, si 5 configurations JWT sont actives, 3 apparaissent comme boutons de connexion et les 2 restants ne sont accessibles que par saisie de domaine. Si 6 configurations SSO sont actives, seules 5 sont accessibles. La 6e ne peut pas être atteinte par les lecteurs.
Lorsque la limite de 3 boutons pour JWT est atteinte, tous les administrateurs de projet reçoivent une notification système : « Vous avez atteint la limite de 3 boutons de connexion JWT. Les configurations JWT supplémentaires n’apparaîtront pas comme boutons sur la page de connexion. Les lecteurs peuvent toujours se connecter en entrant leur nom de domaine. »
Atteindre la limite de boutons JWT n’a aucun effet sur la limite de boutons SSO, et inversement.
Réorganisation des boutons de connexion
Par défaut, les boutons de connexion apparaissent dans l’ordre dans lequel les configurations SSO et JWT ont été créées. Vous pouvez modifier cet ordre directement depuis la liste de configuration SSO en utilisant le glisser-déposer ou le réorganisation du clavier. L’ordre s’applique à la fois aux boutons principaux et à la section Autres options de connexion .
Pour réorganiser les boutons de connexion :
- Depuis la page SSO de l’entreprise , glissez une configuration à sa nouvelle position dans la liste, ou utilisez le réordre clavier. La liste affiche toutes les configurations SSO activées et JWT actives dans une seule liste fusionnée.
- La nouvelle commande est enregistrée automatiquement et affichée sur la page de connexion du lecteur.
Pour en savoir plus, lisez les options de réorganisation de la connexion.
L’aperçu ne montre que les deux premiers boutons. Les autres fournisseurs apparaissent sous Autres options de connexion une fois publiés.
États de la page de connexion du lecteur
La page de connexion affichée aux lecteurs dépend de deux facteurs : l’état du bouton de désactivation de la page de connexion par défaut et les configurations JWT et SSO actuellement actives.
| État | Bascule | JWT actif | SSO active | Expérience des lecteurs |
|---|---|---|---|---|
| 1 | OFF | Non | Oui | Formulaire standard d’email/mot de passe avec boutons de connexion SSO |
| 2 | OFF | Oui | Oui | Formulaire standard d’email/mot de passe avec boutons de connexion SSO et JWT |
| 3 | OFF | Oui | Non | Formulaire standard d’email/mot de passe avec boutons de connexion JWT |
| 4 | ON | Non | Oui | Boutons de connexion SSO uniquement, pas de formulaire email ou mot de passe |
| 5 | ON | Oui | Non | Champ de saisie de nom de domaine avec boutons de connexion JWT, pas de formulaire email/mot de passe |
| 6 | ON | Oui | Oui | Champ de saisie de nom de domaine avec boutons de connexion JWT et SSO, pas de formulaire e-mail ni mot de passe |
Lorsque trois fournisseurs ou plus sont actifs, les deux premiers dans votre ordre de position CTA configuré apparaissent comme boutons principaux. Les fournisseurs restants apparaissent sous Autres options de connexion sous forme d’une seule liste fusionnée de fournisseurs SSO et JWT dans le même ordre configuré.
Règles applicables dans tous les États :
- Seules les configurations actives sont affichées. Les configurations inactives ne sont jamais affichées aux lecteurs, quel que soit l’état de bascule.
- Le champ d’entrée Nom de domaine s’affiche chaque fois que le bouton est activé et qu’au moins une configuration JWT est active. Cela garantit que les configurations JWT sans bouton de connexion visible restent accessibles via l’entrée de domaine.
- Si toutes les configurations JWT et SSO sont inactives alors que le basculement est activé, un message indique aux lecteurs qu’aucune option de connexion n’est actuellement disponible.
- Les modifications de l’état de bascule ou de l’état de configuration prennent effet immédiatement pour les nouvelles sessions de lecteurs. Les sessions authentifiées existantes ne sont pas affectées.
Activez le bouton Désactiver la page de connexion par défaut seulement après que l’authentification JWT ou SSO ait été entièrement configurée et testée. Si le fournisseur d’authentification externe est mal configuré, les lecteurs ne pourront pas accéder à la base de connaissances.
Surveillance et audit
Journalisation de l’audit
Toutes les actions de configuration JWT sont automatiquement enregistrées dans le journal d’audit, fournissant un enregistrement complet et inviolable des modifications pour la conformité et la vérification de la sécurité.
Actions enregistrées :
- Créer, mettre à jour, supprimer
- Activer, désactiver
- Régénérer le jeton principal, régénérer le jeton secondaire
- Activer/désactiver la connexion directe JWT
- Désactiver la page de connexion par défaut
Chaque entrée de journal enregistre le type d’action, l’horodatage (UTC), l’identité de l’administrateur qui a effectué l’action, ainsi que le nom de configuration au moment de l’action. Pour les actions de mise à jour, le journal capture les champs spécifiques qui ont changé avec les valeurs précédentes et nouvelles. Les valeurs de jetons ne sont jamais enregistrées ; seul le fait de la rotation est enregistré pour protéger la sécurité des identifiants.
Les journaux sont conservés pendant un minimum de 90 jours. L’accès aux journaux d’audit JWT est restreint aux utilisateurs disposant des autorisations Sécurité et Audit.
Pour activer le suivi des activités JWT :
- Va dans Paramètres () > Sécurité et audit > équipe auditing > configuration de l’audit.
- Activez les basculements d’événements JWT pertinents.
- Une fois activée, l’activité JWT apparaît dans l’onglet d’audit de l’équipe . Utilisez le menu déroulant Événement et cherchez « JWT » pour filtrer par type d’événement.
Destinataires des notifications par email :
| Type d’événement | Récipiendaires |
|---|---|
| Tous les événements de configuration JWT | Administrateurs de projet |
| Régénération secrète de jetons | Administrateurs et propriétaires de projets |
Meilleures pratiques
- Utilisez le jeton secret secondaire comme tampon de rotation. Mettez toujours à jour le jeton secondaire dans votre application d’abord, puis faites pivoter le jeton principal. Cela évite les échecs d’authentification lors de la rotation des identifiants.
- Désactivez plutôt que supprimez les configurations JWT lors du dépannage. Désactiver préserve vos paramètres et vous permet de réactiver sans reconfigurer.
- Activez la connexion directe JWT uniquement lorsque JWT est la seule méthode d’authentification. Lorsque plusieurs méthodes sont actives, désactivez-la afin que les lecteurs puissent choisir leur option de connexion.
- Testez le bouton Désactiver la page de connexion par défaut dans un environnement de staging avant de l’activer en production.
- Examinez régulièrement le journal d’audit pour détecter des changements de configuration inattendus ou des régénérations de jetons.
- Limitez le nombre de configurations JWT actives à ce que vous utilisez activement. Les configurations inutilisées créent une surcharge de gestion inutile et une exposition potentielle à la sécurité.
FAQ
JWT et SSO peuvent-ils être actifs en même temps ?
Oui. Les configurations JWT et SSO (SAML ou OpenID) peuvent coexister dans un même projet sans conflit. Chaque type est géré indépendamment et les modifications de l’une n’affectent pas l’autre.
Que se passe-t-il si je perds mon jeton secret ?
Les jetons secrets ne sont affichés qu’une seule fois lors de la création. S’ils sont perdus, naviguez dans le modal Modifier la configuration et cliquez sur Régénérer pour le jeton concerné. La régénération invalide immédiatement le jeton existant. Mettez à jour votre application avec le nouveau jeton immédiatement pour éviter les échecs d’authentification.
Combien de configurations JWT puis-je avoir dans un même projet ?
Vous pouvez créer jusqu’à 5 configurations JWT par projet. Jusqu’à 3 d’entre elles peuvent apparaître sous forme de boutons de connexion sur la page de connexion du lecteur. Les lecteurs peuvent accéder à des configurations supplémentaires en entrant leur nom de domaine dans le champ Nom de domaine sur la page de connexion.
Si je désactive une configuration JWT, cela affecte-t-il les sessions de lecture existantes ?
Non. Désactiver une configuration empêche de nouvelles connexions via cette configuration mais ne met pas fin aux sessions authentifiées existantes. Ces sessions restent actives jusqu’à l’expiration du jeton.