Une authentification en marque blanche au nom de votre produit
L'authentification en marque blanche signifie que vos utilisateurs se connectent sur des pages qui portent le nom et l'adresse de votre produit, et non le nom du fournisseur d'identité qui se trouve derrière. Skycloak Platform est conçu pour cela : chaque tenant peut servir la connexion depuis votre propre domaine, envoyer ses e-mails de connexion depuis son propre sous-domaine et émettre ses jetons depuis cette même adresse.
Ce que signifie concrètement l'authentification en marque blanche
Lorsqu'un utilisateur se connecte à votre produit, il voit une page de connexion, il reçoit parfois un e-mail de connexion, et son navigateur reçoit des jetons émis par une adresse d'émetteur. Dans une configuration en marque blanche, ces trois éléments renvoient à votre produit plutôt qu'à l'entreprise qui exploite le service de connexion. L'émetteur est l'adresse inscrite dans chaque jeton pour indiquer qui l'a créé, et vos applications la vérifient à chaque requête. Si l'un de ces éléments affiche le nom d'un tiers, l'utilisateur peut légitimement se demander s'il est sur le bon site.
Cela compte surtout pour les produits où la confiance fait partie de la vente, car une page de connexion sur un domaine inconnu ressemble au début d'une tentative d'hameçonnage. Cela compte aussi pour votre support, puisque les utilisateurs troublés par un nom inconnu ont tendance à ouvrir des tickets ou à abandonner avant d'avoir fini de se connecter. Garder le même nom de la première page au dernier message lève ce doute. Vous pouvez aussi changer plus tard de fournisseur en coulisse sans que vos utilisateurs voient apparaître une nouvelle marque.
Comment Skycloak Platform garde la connexion à votre nom
Chaque environnement que vous exploitez, par exemple la production, la préproduction ou le développement, est un tenant de la plateforme avec ses propres utilisateurs, ses réglages et son adresse de connexion sur skycloakid.com. La plateforme est conçue pour que vous puissiez ajouter votre propre domaine à un tenant, afin que vos utilisateurs se connectent à une adresse sous le domaine de votre produit. Les jetons sont alors émis par cette adresse, si bien que l'émetteur auquel vos applications font confiance est un nom que vous contrôlez. Comme le tenant est choisi uniquement d'après l'adresse de connexion, le domaine détermine aussi quels utilisateurs et quels réglages s'appliquent.
Les e-mails de connexion, comme les messages de vérification, partent du sous-domaine propre au tenant plutôt que d'un expéditeur partagé par tous les clients. La réputation de vos messages reste ainsi séparée de celle des autres tenants, et vos utilisateurs reconnaissent l'expéditeur. Les domaines personnalisés figurent au plan de la plateforme avec le reste de cette configuration, et nous ne présentons une fonctionnalité comme disponible qu'une fois livrée. L'apparence des pages de connexion est une question à part, et une démo vous montre les options d'image de marque disponibles aujourd'hui.
La marque blanche pour les plateformes qui servent des entreprises
Si vous vendez votre produit à d'autres entreprises, chacun de ces clients veut souvent que ses employés se connectent avec le fournisseur d'identité qu'il utilise déjà. Le plan de la plateforme prévoit des organisations, qui représentent vos clients professionnels au sein d'un tenant, chacune avec ses propres rôles. Une organisation peut être reliée à son propre SSO d'entreprise en SAML, de sorte que les employés de ce client se connectent avec l'annuaire de leur entreprise tout en voyant les pages de connexion de votre produit. Le provisionnement SCIM entrant depuis Microsoft Entra ID, Okta ou tout annuaire SCIM 2.0 est également prévu, pour que les comptes soient créés et supprimés au fil des changements de l'annuaire du client.
Les groupes du fournisseur d'identité du client peuvent être associés aux rôles de cette organisation, si bien que les accès suivent les données du client lui-même. Retirer un utilisateur d'un groupe lui retire le rôle correspondant dans cette organisation uniquement, sans toucher à ses accès dans les autres organisations. Vous pouvez ainsi offrir à chaque client professionnel une connexion qui fait partie de votre produit, tandis que chaque client garde la main sur les personnes de son entreprise qui y ont accès. Votre équipe n'a pas à construire elle-même cette mécanique client par client.
Questions fréquentes
Mes utilisateurs peuvent-ils se connecter sur mon propre domaine ?
La plateforme est conçue pour cela. Les domaines personnalisés figurent à son plan : un tenant peut alors servir ses pages de connexion et émettre ses jetons depuis une adresse sous votre domaine, au lieu de l'adresse de connexion par défaut sur skycloakid.com.
Qui envoie les e-mails de connexion ?
Chaque tenant envoie ses e-mails de connexion depuis son propre sous-domaine, plutôt que depuis un expéditeur partagé par tous les produits de la plateforme. Vos messages restent ainsi séparés de ceux des autres tenants, et vos utilisateurs retrouvent toujours le même expéditeur.
Découvrez Skycloak Platform par vous-même
Réservez une démo : nous vous présentons la plateforme en partant de vos propres parcours de connexion.