Connexion sociale (Google et LinkedIn)

La connexion sociale permet à vos participants de se connecter à Eduvem en cliquant sur « Se connecter avec Google » ou « Se connecter avec LinkedIn », avec un compte qu’ils possèdent déjà - sans créer un mot de passe de plus à retenir.

Le gain pour vous : moins de « j’ai oublié mon mot de passe », une inscription plus rapide et une entrée que le participant connaît déjà.

La configuration se trouve dans Institution, onglet Connexion sociale (à côté de l’onglet SSO), et se fait par fournisseur : Google et LinkedIn se configurent indépendamment, chacun avec son propre bloc.

Les trois modes de connexion

Chaque fournisseur a un champ Mode de connexion avec trois options. Choisir le bon mode est la décision principale de cet écran :

Mode	Ce qui se passe	Faut-il configurer quelque chose ?
Désactivé	Le bouton du fournisseur n’apparaît pas sur l’écran de connexion.	Non
Partagé	Vos participants se connectent via l’application partagée de la plateforme.	Non
Personnalisé	Vous enregistrez votre propre application chez Google/LinkedIn.	Oui (Client ID et Client Secret)

Astuce

Commencez par Partagé. Il fonctionne immédiatement, sans rien créer chez Google ou LinkedIn. La seule différence visible pour le participant est que l’écran d’autorisation du fournisseur affiche le nom de la plateforme, et non celui de votre institution.

Choisissez Personnalisé uniquement lorsque cet écran d’autorisation doit afficher la marque de votre institution.

Après avoir choisi le mode, cliquez sur ENREGISTRER. Le bouton du fournisseur apparaît alors sur l’écran de connexion de votre institution.

Créer les comptes automatiquement

Disponible dans les deux modes actifs, et activé par défaut.

• Activé : la première connexion avec ce fournisseur crée automatiquement le compte de la personne (à condition que votre institution autorise aussi l’auto-inscription). C’est le comportement attendu dans la plupart des cas : qui active la connexion sociale souhaite généralement qu’un premier accès provisionne déjà le compte.
• Désactivé : la connexion sociale ne donne accès qu’aux comptes qui existent déjà et sont liés au fournisseur. Une personne entièrement nouvelle ne peut pas entrer par là et doit s’inscrire de la manière habituelle.

Attention

Comme le paramètre par défaut est activé, activer un fournisseur signifie, en pratique, que toute personne disposant d’un compte Google ou LinkedIn peut se connecter et devenir participant de votre institution. Si vous souhaitez restreindre l’accès à un public déjà inscrit, désactivez cette option en activant le fournisseur, et pensez aussi aux domaines d’e-mail autorisés.

Mode Personnalisé : utiliser votre propre application

Ne suivez cette partie que si vous avez choisi Personnalisé. En sélectionnant ce mode, le bloc du fournisseur affiche les champs Client ID, Client Secret, Portées (scopes) et URI de redirection.

Trois termes se présentent en chemin :

• Application (OAuth) - un enregistrement que vous effectuez chez Google ou LinkedIn autorisant Eduvem à authentifier vos utilisateurs. C’est gratuit et cela prend quelques minutes.
• Client ID et Client Secret - c’est comme un « identifiant » et un « mot de passe » de cette application. Le fournisseur génère les deux ; vous les collez tous deux dans Eduvem. Le Client Secret est confidentiel - traitez-le comme un mot de passe.
• URI de redirection - l’adresse vers laquelle le fournisseur renvoie le participant après qu’il a autorisé l’accès. Eduvem affiche cette adresse toute prête dans le champ ; vous la copiez et la collez chez le fournisseur. Elle doit correspondre exactement.

Étape 1 - copier l’URI de redirection

Dans l’onglet Connexion sociale, choisissez Personnalisé pour le fournisseur souhaité et copiez l’URI de redirection qui apparaît dans le bloc.

Note

L’URI de redirection change selon l’adresse d’accès de votre institution et selon l’environnement. Copiez toujours la valeur exacte que le champ affiche, jamais une valeur notée pour une autre institution ou un autre jour.

Étape 2 - créer l’application chez le fournisseur

Google (Google Cloud Console)

1. Accédez à la Google Cloud Console et créez (ou réutilisez) un projet.
2. Allez dans API et services > Identifiants > Créer des identifiants > ID client OAuth.
3. Comme type d’application, choisissez Application Web.
4. Dans le champ URI de redirection autorisés, collez l’URI de redirection de l’Étape 1.
5. Enregistrez. Google affiche le Client ID et le Client Secret - copiez les deux.

LinkedIn (LinkedIn Developer Portal)

1. Accédez au LinkedIn Developer Portal et créez une application.
2. Dans l’onglet Products, demandez le produit « Sign In with LinkedIn using OpenID Connect ».
3. Dans l’onglet Auth, champ Authorized redirect URLs, collez l’URI de redirection de l’Étape 1.
4. Copiez le Client ID et le Client Secret.

Note

Chez LinkedIn, l’e-mail du participant n’est pas toujours fourni. Eduvem gère bien cette situation : la connexion fonctionne même sans e-mail (l’identification se fait par le compte du fournisseur, et l’e-mail n’est conservé que lorsqu’il est transmis).

Étape 3 - coller les données et enregistrer

1. Dans le bloc du fournisseur, collez le Client ID et le Client Secret.
2. Portées (scopes) : laissez vide pour utiliser les portées par défaut du fournisseur. C’est ce qui est recommandé.
3. Utilisez Valider les métadonnées du fournisseur pour une vérification rapide. Elle confirme que les champs sont renseignés de façon cohérente et ne réalise pas un vrai test de connexion - la seule preuve définitive est une véritable connexion.
4. Cliquez sur ENREGISTRER.

Attention

Le Client Secret se saisit, il ne se relit jamais. Après l’enregistrement, le champ apparaît vide au rechargement de la page - c’est voulu : Eduvem conserve le secret chiffré et ne l’affiche jamais en retour. Pour conserver le secret déjà enregistré, laissez le champ vide. Pour le remplacer, saisissez la nouvelle valeur par-dessus. Si vous perdez le Client Secret, générez-en un nouveau chez le fournisseur et enregistrez-le ici.

Tester

1. Ouvrez l’écran de connexion de votre institution : le bouton du fournisseur que vous avez activé (et lui seul) doit apparaître.
2. Connectez-vous avec un compte de test ordinaire - n’utilisez pas un compte d’administrateur, voir ci-dessous.
3. Déconnectez-vous et reconnectez-vous avec le même compte : vous retrouvez le même compte Eduvem, car le lien est permanent.

Si quelque chose se passe mal (vous annulez chez le fournisseur, ou la configuration est incomplète), l’écran de connexion revient avec un avis d’échec générique. Il suffit de se connecter de la manière habituelle et de revoir la configuration.

Ce qu’Eduvem fait pour la sécurité

• Les comptes d’administrateur n’utilisent pas la connexion sociale. Les comptes à privilèges élevés (administrateur de plateforme, super administrateur, propriétaire) ne se connectent que par identifiant et mot de passe. C’est pourquoi il faut toujours tester avec un compte ordinaire.
• Un e-mail confirmé par le fournisseur peut être lié à un compte existant. Si un participant a déjà un compte par mot de passe avec l’e-mail personne@exemple.com et effectue sa première connexion sociale avec un compte dont le fournisseur lui-même confirme que l’e-mail est le même, cette connexion est liée au compte existant - ainsi, qui avait déjà un compte passe à la connexion sociale sans se réinscrire. Les e-mails que le fournisseur ne confirme pas ne sont jamais liés.
• Le Client Secret reste chiffré. Il est conservé sous forme chiffrée, n’est jamais renvoyé dans aucune consultation et est masqué dans les journaux d’audit.

Voir aussi

• SSO avec Microsoft
• Domaines d’e-mail autorisés