Authentification¶
Reemo vérifie l’identité des utilisateurs à plusieurs niveaux : l’authentification au portail, éventuellement déléguée à un fournisseur d’identité (SSO), et une double authentification (2FA) en complément.
Authentification unique (SSO)¶
Reemo s’intègre à un fournisseur d’identité par trois méthodes :
SAML : le standard le plus courant pour le SSO web (Microsoft Entra ID, Okta, Google Workspace, Auth0…).
OIDC (OpenID Connect) : protocole bâti sur OAuth 2.0 (Keycloak, Authentik, Microsoft Entra ID, Okta…).
LDAP : interrogation d’un annuaire d’entreprise (Active Directory, OpenLDAP).
Les connecteurs se déclarent dans les Connecteurs SSO, au niveau de l’organisation ou de l’instance selon le déploiement. Options associées : Just In Time Provisioning (création du compte à la première connexion), Extra Mapping (rattachement automatique aux groupes et collections selon les attributs), et la déconnexion via le fournisseur d’identité.
Double authentification (2FA)¶
La 2FA ajoute un second facteur à la connexion. Elle peut être imposée au niveau de l’organisation : tant qu’un utilisateur ne l’a pas activée, il ne peut pas se connecter à ses ressources. Chaque utilisateur l’active ensuite depuis ses paramètres de sécurité, selon deux méthodes :
Application d’authentification (TOTP) : liaison par QR code à une application (Google Authenticator, Authy…), avec génération de codes de récupération.
Clé d’accès (passkey) : enregistrée via le navigateur, elle s’ajoute au mot de passe comme couche supplémentaire. Les clés matérielles compatibles FIDO2, par exemple une YubiKey, sont prises en charge.
Comptes et mots de passe¶
Un compte peut être géré par une organisation ou personnel. La politique de mot de passe — longueur minimale et familles de caractères requises — se définit au niveau de l’instance. Chaque utilisateur peut consulter ses appareils actifs et ses journaux d’authentification pour repérer un accès anormal. Voir Sécuriser l’organisation pour les contrôles au niveau de l’organisation.