Authentification unique (SSO)

Avec l'authentification unique (SSO), les personnes dont l'adresse e-mail est sur le domaine de votre organisation se connectent à SportyPlus avec le compte qu'elles utilisent déjà au travail ou à l'école. Elles n'ont pas besoin d'un mot de passe SportyPlus distinct. Votre fournisseur d'identité peut aussi décider qui a le rôle d'administrateur, de caissier ou d'employé dans votre club.

SportyPlus fonctionne avec tout fournisseur d'identité compatible OpenID Connect, notamment Microsoft Entra ID (anciennement Azure AD), Google Workspace, Okta, Keycloak et Authentik.

La configuration se fait en trois étapes :

1. Enregistrez SportyPlus auprès de votre fournisseur d'identité.
2. Ajoutez le fournisseur d'identité dans SportyPlus.
3. Vérifiez votre domaine de messagerie, puis activez la connexion.

Vous devez être administrateur du club, et il vous faut quelqu'un qui peut modifier votre fournisseur d'identité et le DNS de votre domaine. Dans une grande organisation, ce sont souvent des personnes différentes. Envoyez-leur cette page.

Enregistrez SportyPlus auprès de votre fournisseur d'identité

Ouvrez Club Admin → Paramètres → Authentification unique (SSO). Le haut de la page affiche l'URI de redirection. Elle est la même pour tous les clubs :

https://api.sporty.plus/oauth/sso/callback

Dans votre fournisseur d'identité, créez une application web (parfois appelée client confidentiel) qui utilise cette URI de redirection. Notez trois informations :

• l'URL de l'émetteur (issuer),
• l'ID client (client ID),
• un secret client (client secret).

Les étapes pour les fournisseurs les plus courants suivent.

Microsoft Entra ID

1. Dans le centre d'administration Microsoft Entra, ouvrez Applications → App registrations → New registration.
2. Donnez-lui un nom, par exemple SportyPlus. Sous Supported account types, choisissez Accounts in this organizational directory only.
3. Sous Redirect URI, choisissez Web et collez l'URI de redirection. Choisissez Register.
4. Sur la page de présentation, copiez l'Application (client) ID et le Directory (tenant) ID.
5. Ouvrez Certificates & secrets → New client secret et copiez la Value du secret. Elle n'est affichée qu'une fois.
6. Sous Token configuration → Add optional claim → ID, ajoutez email.

L'URL de l'émetteur est https://login.microsoftonline.com/<tenant-id>/v2.0, avec votre Directory (tenant) ID au milieu.

Pour attribuer des rôles à partir des groupes, choisissez aussi Token configuration → Add groups claim et sélectionnez Security groups. Entra envoie les object ID des groupes, pas leurs noms : saisissez donc les ID dans SportyPlus.

Google Workspace

1. Dans la console Google Cloud, choisissez ou créez un projet pour votre organisation.
2. Ouvrez Google Auth Platform → Audience (écran de consentement OAuth) et définissez le type d'utilisateur sur Internal, pour que seuls les comptes de votre Workspace puissent se connecter.
3. Ouvrez Clients → Create client, choisissez Web application, ajoutez l'URI de redirection sous Authorised redirect URIs, puis choisissez Create.
4. Copiez le Client ID et le Client secret.

L'URL de l'émetteur est https://accounts.google.com.

Google n'envoie pas l'appartenance aux groupes lors de la connexion : les rôles à partir des groupes ne sont donc pas disponibles avec Google Workspace. Attribuez les rôles à la main.

Okta

1. Dans la console d'administration Okta, ouvrez Applications → Create App Integration, choisissez OIDC – OpenID Connect et Web Application.
2. Ajoutez l'URI de redirection sous Sign-in redirect URIs et attribuez les personnes ou les groupes autorisés à se connecter.
3. Copiez le Client ID et le Client secret.

L'URL de l'émetteur est votre domaine Okta, par exemple https://votreclub.okta.com. Si vous utilisez un serveur d'autorisation personnalisé, c'est l'émetteur de ce serveur, par exemple https://votreclub.okta.com/oauth2/default.

Pour attribuer des rôles à partir des groupes, ouvrez l'onglet Sign On de l'application, modifiez OpenID Connect ID Token et réglez Groups claim sur groups, avec un filtre qui correspond aux groupes à envoyer.

Keycloak

1. Dans votre realm, ouvrez Clients → Create client et choisissez OpenID Connect.
2. Activez Client authentication et laissez Standard flow activé.
3. Ajoutez l'URI de redirection sous Valid redirect URIs.
4. Copiez le secret client depuis l'onglet Credentials.

L'URL de l'émetteur est https://<votre-keycloak>/realms/<realm>.

Pour attribuer des rôles à partir des groupes, ouvrez le scope dédié du client sous Client scopes, ajoutez un mapper Group Membership, nommez le claim du jeton groups et désactivez Full group path si vous voulez des noms de groupe simples.

Ajoutez le fournisseur d'identité dans SportyPlus

Sur Club Admin → Paramètres → Authentification unique (SSO), choisissez Ajouter un fournisseur d'identité et remplissez :

Choisissez Sauvegarder. SportyPlus vérifie aussitôt qu'il peut lire la configuration de l'émetteur et vous prévient sinon. La cause habituelle est une faute de frappe dans l'URL de l'émetteur.

Rôles à partir des groupes

Sous Rôles à partir des groupes, choisissez Ajouter un groupe pour chaque groupe qui doit donner un rôle dans votre club, puis choisissez Administrateur, Caissier ou Employé. Saisissez le nom du groupe ou, pour Entra ID, son object ID.

À chaque connexion, SportyPlus compare les groupes de la personne à cette liste. Il attribue les rôles qu'elle doit avoir et retire ceux qu'il lui avait donnés pour un groupe dont elle ne fait plus partie.

• Un rôle que vous avez donné à la main, sous Administrateurs et rôles, n'est jamais retiré par l'authentification unique.
• Le propriétaire du club reste toujours administrateur.
• Les changements s'appliquent à la prochaine connexion de la personne. Quelqu'un que vous retirez d'un groupe dans votre fournisseur d'identité garde son rôle jusque-là. Pour couper l'accès immédiatement, retirez-le aussi dans SportyPlus.

Connexion multifacteur

Faire confiance à la connexion multifacteur du fournisseur d'identité est activé par défaut. Les membres qui ont activé la connexion à deux facteurs dans SportyPlus n'ont alors pas à saisir leur code SportyPlus lorsque votre fournisseur d'identité indique avoir déjà effectué une authentification multifacteur. Si le fournisseur ne l'indique pas, ou si vous désactivez cette option, le code est demandé comme d'habitude.

Vérifiez votre domaine de messagerie

L'authentification unique ne fonctionne que pour les adresses e-mail des domaines dont vous avez prouvé qu'ils appartiennent à votre organisation. C'est ce qui empêche quiconque d'utiliser une connexion pour se faire passer pour quelqu'un d'autre.

1. Sous Domaines de messagerie, saisissez votre domaine, par exemple votreclub.fr, et choisissez Ajouter un domaine.
2. SportyPlus affiche un enregistrement TXT avec un Nom et une Valeur. Ajoutez exactement cet enregistrement là où le DNS de votre domaine est géré : chez votre registraire, votre hébergeur ou sur Cloudflare.
3. Choisissez Vérifier maintenant. Les modifications DNS peuvent apparaître en quelques minutes ou prendre jusqu'à 48 heures. SportyPlus vérifie aussi de lui-même toutes les heures.

Quand le domaine affiche Vérifié, activez la connexion avec l'interrupteur Activé. Son badge passe à Actif et le bouton apparaît sur la page de connexion de votre club.

Ajoutez chaque domaine utilisé par vos membres, par exemple votreclub.fr et etudiants.votreclub.fr. Chacun a besoin de son propre enregistrement.

Comment les personnes se connectent

Sur la page de connexion de votre club, les personnes choisissent Se connecter avec … suivi du libellé de la connexion. Chacun peut aussi choisir Utiliser l'authentification unique, saisir son e-mail professionnel et choisir Continuer. SportyPlus trouve le fournisseur d'identité qui a vérifié le domaine de cette adresse.

La première fois qu'une personne se connecte de cette façon :

• Si elle a déjà un compte SportyPlus avec cette adresse e-mail, elle est connectée à ce compte. Ses réservations, abonnements et historique sont tous là.
• Sinon, un compte est créé pour elle. On lui demande ensuite de compléter son profil avec sa date de naissance et les autres informations dont SportyPlus a besoin.

Ensuite, elle peut toujours se connecter avec son mot de passe, Google ou Apple si elle les avait configurés. L'authentification unique est une façon de plus de se connecter, pas la seule.

En cas de problème

Dernière utilisation, sur la connexion, indique quand quelqu'un s'est connecté par elle pour la dernière fois. C'est un moyen rapide de vérifier qu'elle fonctionne après une modification.