> ## Documentation Index
> Fetch the complete documentation index at: https://docs.athenahq.ai/llms.txt
> Use this file to discover all available pages before exploring further.

# Connexion et accès (paramètres de sécurité)

> Configurez l’accès automatique par domaine e-mail, au niveau organisation ou site, l’authentification unique SSO et le provisionnement SCIM avec votre fournisseur d’identité.

> [card] [Ouvrir dans AthenaHQ](https://app.athenahq.ai/settings/security)
>
> `app.athenahq.ai/settings/security`

## Objectif

Les administrateurs contrôlent ici comment leurs collègues rejoignent l’espace et s’authentifient. L’adhésion automatique par domaine évite les invitations individuelles ; SSO et SCIM apportent des contrôles de sécurité d’entreprise.

L’accès par domaine peut couvrir toute l’organisation ou certains sites uniquement. Les clients Enterprise peuvent connecter un fournisseur SAML ou OIDC, comme Okta, Google Workspace ou Microsoft Entra, et automatiser création et désactivation des comptes.

## Contenu de la page

### Accès à l’organisation

Liste des domaines donnant accès à toute l’organisation, avec **Ajouter un domaine** :

* **Domaines** : chaque `@domain` configuré.
* **Vérification** : badge vert **Vérifié** via DNS ou e-mails des membres correspondants ; sinon badge orange **Vérifier le DNS**.
* **Rôle par défaut** : Lecteur, Administrateur ou rôle personnalisé attribué aux nouveaux membres de ce domaine.
* **Modifier** : ouvre « Modifier @\[domain] ».

### Accès aux sites web

Domaines donnant accès à des sites précis, sans accès global :

* Liste regroupée par `@domain`, avec **Vérifié** ou **Vérifier le DNS**, comme au niveau organisation.
* **Sites associés** : logo et nom des sites autorisés.
* **Rôle par défaut** attribué.
* **Modifier** : change le rôle, ajoute ou retire des sites, ou retire entièrement le domaine.

### Authentification unique

Disponible avec Enterprise. Sans configuration, un formulaire demande le domaine e-mail de l’entreprise. Sinon :

* **Statut** : protocole SAML ou OIDC et badge **Actif**.
* **Menu ⋯** : retrait du SSO. L’infobulle des non-administrateurs indique « Seuls les administrateurs de l’organisation peuvent retirer le fournisseur SSO ».
* **Rôle par défaut des nouveaux utilisateurs** : rôle SSO et **Modifier**. Infobulle : « Seuls les administrateurs peuvent modifier ce rôle, puisqu’il est accordé à chaque nouveau membre SSO ».
* **Détails de connexion** : section dépliable avec champs copiables requis par le fournisseur : Issuer, Callback URL, SP metadata URL.

### Provisionnement SCIM

Visible après configuration du SSO pour gérer la synchronisation des utilisateurs :

* **Endpoint SCIM** : URL de base en lecture seule, copiable.
* **Statut du token** : **Actif**, **Révoqué** ou **Non configuré**.
* **Générer un token SCIM / Renouveler le token SCIM** : crée ou renouvelle le token Bearer.
* **Configurer SCIM chez votre fournisseur d’identité** : instructions pas à pas dépliables.

**Table de correspondance des attributs SCIM**

Dans les instructions, **Champ du fournisseur d’identité** indique l’attribut (`userName`, `name.givenName`, `name.familyName`, `active`, par exemple) et **Champ AthenaHQ** son équivalent : E-mail, Prénom, Nom, Statut actif.

## Actions disponibles

* **Ajouter un domaine d’organisation** : **Ajouter un domaine** ouvre « Ajouter un domaine e-mail ». Saisissez le domaine, choisissez un rôle par défaut et enregistrez.
* **Ajouter un domaine de site** : ouvre « Ajouter un domaine d’accès aux sites web ». Saisissez le domaine, sélectionnez les sites et le rôle, puis **Ajouter un domaine**.
* **Vérifier le DNS** : ouvre « Vérifier la propriété du domaine » avec un enregistrement TXT à ajouter chez votre fournisseur DNS. Cliquez ensuite sur **Vérifier**.
* **Modifier un domaine** : change le rôle et, au niveau site, la liste des sites. **Retirer le domaine** supprime entièrement la règle.
* **Configurer SSO** : saisissez le domaine et **Continuer**. L’assistant guide la vérification DNS si nécessaire et propose les onglets OIDC/SAML. Terminez avec **Terminer la configuration** ou **Vérifier le domaine et terminer la configuration**.
* **Retirer SSO** : **⋯ > Retirer SSO** ouvre « Retirer le fournisseur SSO ? Toute personne utilisant @\[domain] reviendra aux codes e-mail ou à la connexion Google/Microsoft. Les membres existants conservent leur accès. » Confirmez avec **Retirer SSO**.
* **Changer le rôle SSO** : **Modifier** près du rôle par défaut, choisissez le rôle puis **Enregistrer**.
* **Générer / Renouveler le token SCIM** : ajoutez éventuellement un libellé puis **Générer le token** ou **Renouveler le token**. Le nouveau token n’est affiché qu’une fois ; copiez-le avant de fermer.
* **Copier les détails** : cliquez sur un extrait de code, une URL de rappel, un TXT DNS ou un token ; « Copié ! » confirme.
* **Passer à Enterprise** : sans cette offre, la section SSO présente **Voir les offres** pour ouvrir les abonnements.

## Données affichées

* **Domaines d’adhésion automatique** configurés pour l’espace ou certains sites.
* **Configuration SSO** SAML/OIDC liée à l’organisation.
* **Connexion SCIM** : état du token et endpoints de synchronisation de l’annuaire.

## Procédures courantes

**Configurer l’adhésion automatique à des sites**

1. Dans Accès aux sites web, **Ajouter un domaine**.
2. Saisissez le domaine, par exemple `acmecorp.com`.
3. Choisissez les sites autorisés.
4. Choisissez le rôle puis **Ajouter un domaine**.
5. Si nécessaire, **Vérifier le DNS**, ajoutez le TXT fourni chez l’hébergeur DNS, puis **Vérifier**.

**Configurer SSO**

1. Saisissez le domaine et **Continuer**.
2. Effectuez la vérification DNS si nécessaire.
3. Choisissez OIDC ou SAML selon votre fournisseur.
4. Copiez Callback URL et Entity ID dans son application SSO.
5. Reportez Issuer URL, Client ID et Client Secret, ou Metadata URL pour SAML, dans AthenaHQ.
6. **Terminer la configuration**.

**Renouveler un token SCIM**

1. Cliquez sur **Renouveler le token SCIM**.
2. Lisez l’avertissement : l’ancien token sera immédiatement révoqué.
3. **Renouveler le token**.
4. Copiez le nouveau token et mettez à jour SCIM chez votre fournisseur.
5. **Terminé** ferme la fenêtre.

## États vides, de chargement et d’erreur

* **Vide** : « Aucun domaine configuré » dans les listes sans domaine.
* **Chargement** : animation centrale et lignes de substitution pendant la récupération.
* **Erreur** : « Impossible de charger votre configuration SSO » avec **Réessayer**, ou « Impossible de charger le statut du token » en rouge/orange.

## Accès et liens

* **Accès** : **Paramètres > Connexion et accès**.
* **Liens sortants** : tableau de bord et aide du fournisseur DNS détecté dans la vérification de domaine ; offres dans **Voir les offres**.

## Questions fréquentes

**Pourquoi dois-je vérifier le DNS ?**

Si le domaine ne correspond pas à l’adresse vérifiée d’un membre existant, un TXT DNS prouve sa propriété et empêche un utilisateur de revendiquer un domaine qui ne lui appartient pas.

**Puis-je arrêter l’adhésion automatique sans retirer le domaine ?**

Pour l’arrêter entièrement, retirez le domaine. Pour seulement limiter les accès, choisissez un rôle personnalisé plus restrictif ou passez d’Accès à l’organisation à Accès aux sites web.

**Retirer un domaine ou un site révoque-t-il les accès ?**

Les adhésions accordées par ce domaine sont révoquées lorsque vous retirez un site de sa liste ou le domaine entier. Les accès obtenus aussi par invitation directe ou rôle global sont conservés.

**Pourquoi ne puis-je pas choisir Administrateur par défaut ?**

Un rôle d’adhésion automatique ou SSO supérieur à Lecteur nécessite d’être administrateur actif de l’organisation, pour empêcher les non-administrateurs d’accorder des privilèges aux nouveaux utilisateurs.


This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.