Deux types de compte
Dans LockPass, chaque utilisateur dispose soit d'un compte standard, soit d'un compte SSO. C'est le type de compte qui détermine le parcours de connexion.
Compte standard
- L'accès est géré par LockSelf.
- Connexion : adresse e-mail, puis code de double authentification (MFA) si elle est configurée, puis mot de passe maître (ou passkey).
- Badge affiché dans la liste des utilisateurs : « Local ».
Compte SSO
- L'accès est géré par le fournisseur d'identité (IdP) de votre organisation : Microsoft Entra ID, Okta…
- Connexion : adresse e-mail, puis authentification auprès de votre IdP, puis mot de passe maître (ou passkey).
- Badge affiché dans la liste des utilisateurs : « SSO ». Un compte SSO pour lequel la connexion locale est activée apparaît « SSO + Local ».
L'IdP ne remplace pas le mot de passe maître : celui-ci reste indispensable, car c'est lui qui permet de déchiffrer votre coffre.
Le parcours de connexion
Pour se connecter à LockPass :
- Saisissez votre adresse e-mail.
- LockPass vous oriente automatiquement selon le type de votre compte :
- Compte SSO : vous êtes redirigé vers votre IdP. Si votre session IdP est encore active, cette étape est transparente ; sinon, l'IdP vous demande de vous authentifier.
- Compte standard : saisissez votre code MFA si la double authentification est configurée.
- Saisissez votre mot de passe maître, ou utilisez votre passkey si vous en avez configuré une.
- Vous êtes connecté.
- Vous ne choisissez pas votre mode de connexion. Contrairement à la v3, l'écran de connexion ne propose plus le choix « Standard / SSO », pour des raisons de sécurité.
- Le parcours est identique sur la webapp, l'extension navigateur et l'application mobile.
Durées de session et de connexion
LockPass distingue deux durées, qui n'ont pas le même effet à leur expiration :
Durée de session
- Définie par l'administrateur, ou laissée au choix de l'utilisateur.
- À son expiration, l'utilisateur saisit uniquement son mot de passe maître (ou utilise sa passkey).
Durée de connexion
- Définie par l'administrateur.
- À son expiration, l'utilisateur refait le parcours de connexion complet (e-mail, IdP ou MFA, mot de passe maître).
Et la session de votre IdP ?
La durée de session de l'IdP est réglée par votre organisation, dans votre IdP. Elle n'intervient qu'au moment où LockPass redirige l'utilisateur vers l'IdP : si elle est encore active, l'utilisateur n'a pas à se réauthentifier auprès de l'IdP.
Pas de déconnexion centralisée
LockPass ne prend pas en charge la déconnexion centralisée (Single Logout) : votre IdP ne peut pas fermer une session LockPass déjà ouverte. Un utilisateur désactivé dans votre IdP conserve son accès à LockPass jusqu'à l'expiration de sa durée de connexion. Adaptez cette durée à votre politique de sécurité.
Contrôler qui peut se connecter en SSO
LockPass ne consulte pas votre annuaire : il ne sait qu'un utilisateur existe dans votre IdP qu'au moment où celui-ci tente une connexion SSO. Dès que l'IdP valide l'authentification, l'utilisateur est autorisé à accéder à LockPass.
C'est donc dans votre IdP que l'administrateur de l'annuaire choisit qui peut se connecter en SSO, en affectant l'application LockSelf à des personnes ou à des groupes :
- Okta : un utilisateur non affecté à l'application est refusé (erreur 403).
- Microsoft Entra ID : un utilisateur non affecté est refusé (erreur AADSTS50105) uniquement si l'option « Affectation requise » (Assignment required) est activée sur l'application. Sinon, toute personne de votre tenant, invités compris, peut se connecter.
Quand une connexion SSO échoue
Le message d'erreur s'affiche sur la page de votre IdP, et non dans LockPass. LockPass ne reçoit pas la raison de l'échec (compte absent de l'annuaire, non affecté à l'application, bloqué…). Pour comprendre l'erreur, relevez le message affiché par l'IdP ou consultez les journaux de connexion de votre IdP.
Se connecter sans passer par l'IdP
Si votre IdP est indisponible ou compromis, un administrateur peut activer l'option « Connexion locale » sur la fiche d'un utilisateur SSO. L'étape IdP est alors sautée : l'utilisateur se connecte avec son mot de passe maître (ou sa passkey).
- Lorsqu'elle est activée, la connexion locale prend le pas sur le SSO.
- Cet usage est temporaire : pensez à désactiver l'option après l'incident, pour que l'utilisateur repasse par les règles de votre IdP.
Pour la procédure détaillée, consultez l'article Autoriser la connexion locale (utilisateurs SSO).
Diagnostic rapide
- « Un utilisateur ne peut plus se connecter en SSO » : vérifiez qu'il est bien affecté à l'application LockSelf dans votre IdP, et relevez le message affiché par l'IdP.
- « Un utilisateur SSO doit se connecter sans l'IdP » : activez l'option « Connexion locale » sur sa fiche.
- « Mes utilisateurs repassent par l'IdP tous les matins » : vérifiez la durée de connexion définie dans LockPass et la durée de session définie dans votre IdP.
Mise à jour