Accès de secours SSO

Lorsque le SSO est imposé dans votre organisation, les membres se connectent via votre fournisseur d’identité. Si cet IdP devient indisponible ou mal configuré, ou si la connexion SSO se rompt, la page de connexion habituelle de l’organisation cesse de fonctionner et les membres ne peuvent plus s’authentifier. Cette page explique comment rétablir l’accès sans attendre le retour de l’IdP.

Ce qui tombe en panne et ce qui continue de fonctionner

La connexion SSO propre à l’organisation, sur frem.sh/user/login?redirect_to=/<org>, impose le SSO. Lorsque l’IdP est injoignable ou mal configuré, la redirection échoue et les membres voient une erreur.

La connexion locale de fremforge, sur https://frem.sh/user/login, est distincte. Elle accepte un nom d’utilisateur et un mot de passe locaux et ne passe pas par la configuration SSO de l’organisation. Les propriétaires de l’organisation disposent toujours d’identifiants locaux et peuvent emprunter cette voie même lorsque le SSO est en panne.

Étape 1 : se connecter en tant que propriétaire par la connexion locale

Rendez-vous directement sur :

https://frem.sh/user/login

N’utilisez pas frem.sh/user/login?redirect_to=/<org>. Cette page impose le SSO et échouera.

Saisissez votre nom d’utilisateur et votre mot de passe fremforge locaux. Si l’authentification à deux facteurs est activée sur votre compte local, effectuez aussi cette étape. Consultez Authentification à deux facteurs si votre TOTP n’est pas disponible.

Étape 2 : désactiver l’obligation du SSO

Une fois connecté en tant que propriétaire de l’organisation :

Allez dans Administration de l’organisation → SSO → Sources d’authentification (frem.sh/<org>/_admin/sso).
Repérez la source d’authentification défaillante.
Cliquez sur Delete et confirmez sur la page /_admin/sso/auth-sources/<id>/delete-confirm. (Il n’existe pas encore d’option « Désactiver » : supprimer la source d’authentification rétablit la connexion par mot de passe ; vous la recréez de zéro avec l’assistant SSO une fois l’IdP réparé.)

Désactiver la source d’authentification rétablit la connexion par mot de passe pour tous les membres de l’organisation pendant que vous examinez et corrigez le problème de l’IdP. Les membres peuvent alors se connecter sur frem.sh/user/login?redirect_to=/<org> avec leurs identifiants fremforge locaux.

Étape 3 : réparer l’IdP

Le SSO n’étant plus imposé, vous avez le temps de déboguer sans que les utilisateurs soient bloqués. Causes fréquentes :

Certificat expiré : le certificat de signature de l’IdP a expiré. Exportez à nouveau le certificat et mettez-le à jour dans la configuration de la source d’authentification. Voir SSO OIDC.
URI de redirection non concordante : l’URL de retour enregistrée dans l’IdP ne correspond pas à celle qu’envoie fremforge. Comparez https://frem.sh/user/oauth2/<auth-source-name>/callback, avec le nom exact affiché sur la carte de la source d’authentification dans Administration de l’organisation → SSO, avec ce qui est enregistré dans l’application de l’IdP.
Panne de l’IdP : si l’IdP lui-même est en panne, attendez son rétablissement. Aucune modification de fremforge n’est nécessaire dans ce cas.

Étape 4 : réactiver le SSO

Une fois l’IdP opérationnel :

Allez dans Administration de l’organisation → SSO et lancez l’assistant SSO sur /<org>/_admin/sso/wizard/start pour recréer la source d’authentification avec la configuration corrigée.
Testez la connexion SSO dans une fenêtre de navigation privée sur frem.sh/user/login?redirect_to=/<org> pour confirmer qu’elle réussit.
L’obligation du SSO reprend pour l’organisation dès que la nouvelle source d’authentification est active.

Si les identifiants locaux du propriétaire sont inconnus

Si le compte du propriétaire de l’organisation a été créé uniquement via le SSO et n’a jamais eu de mot de passe local, la procédure de secours ci-dessus ne fonctionnera pas.

Écrivez à support@frem.sh avec l’objet « SSO break-glass ». Indiquez :

L’identifiant (slug) de votre organisation
L’adresse e-mail enregistrée du propriétaire de l’organisation
Une description de la situation

Le support vérifie l’identité par un autre canal et émet un jeton temporaire de réinitialisation du mot de passe local pour le compte du propriétaire. La réponse intervient sous un jour ouvré, conformément au SLA du support. Voir Support pour les heures d’ouverture.

Le compte de secours est permanent : conservez-le et renforcez-le

Le compte d’administrateur initial que fremforge crée lorsque vous inscrivez une organisation est votre compte de secours. Ne le supprimez pas après avoir configuré le SSO. Sans propriétaire local capable de se connecter sur frem.sh/user/login indépendamment de l’IdP, une panne ou une erreur de configuration de l’IdP bloque toute l’organisation, et la récupération passe par un ticket de support (voir Si les identifiants locaux du propriétaire sont inconnus ci-dessus).

Renforcez plutôt le compte local, pour qu’il soit sûr de le conserver même lorsque le SSO est la voie habituelle :

Remplacez le mot de passe initial par un long mot de passe aléatoire dès la première connexion (Paramètres utilisateur → Sécurité → Mot de passe). Le mot de passe de l’e-mail de bienvenue est à usage unique et doit être remplacé immédiatement. Générez un mot de passe d’au moins 24 caractères avec un gestionnaire de mots de passe ; vous le saisirez rarement.
Activez l’authentification à deux facteurs sur le compte local. fremforge / Forgejo prend en charge TOTP (n’importe quelle application d’authentification) et WebAuthn / clés d’accès (Paramètres utilisateur → Sécurité → Authentification à deux facteurs). L’authentification à deux facteurs est obligatoire sur le compte de secours, pas facultative : un long mot de passe aléatoire sans second facteur reste un facteur unique exposé au hameçonnage, et une voie de secours à facteur unique annule l’intérêt d’imposer le SSO. Conservez les codes de récupération en lieu sûr (gestionnaire de mots de passe chiffré, enveloppe scellée dans un coffre, pas un message privé Slack).
Vérifiez que la connexion locale fonctionne toujours avant d’imposer le SSO. Ouvrez une fenêtre de navigation privée, allez sur https://frem.sh/user/login, connectez-vous avec le mot de passe local et le second facteur, et confirmez que vous pouvez atteindre Administration de l’organisation → SSO. Faites-le pendant que votre session habituelle est encore ouverte dans une fenêtre normale, pour pouvoir rattraper le coup en cas de problème.
Gardez au moins deux propriétaires, chacun ayant effectué les étapes ci-dessus de son côté. Si un propriétaire perd l’accès (appareil perdu, ordinateur volé, départ de l’entreprise), le second peut rétablir l’accès sans passer par le support. C’est le contrôle le plus efficace pour les organisations où le SSO est imposé.
Planifiez un exercice de secours trimestriel. Une fois par trimestre, un propriétaire se connecte par la voie locale, confirme que le second facteur fonctionne et vérifie que la désactivation du SSO fonctionne toujours. Peu coûteux, cet exercice détecte le cas « j’ai oublié mes codes de récupération » quand l’enjeu est faible.

Références croisées

SSO OIDC : configuration d’une source d’authentification OIDC et gestion des certificats
Authentification à deux facteurs : second facteur du compte local et codes de récupération
Support : comment contacter le support et délais de réponse attendus
Dépannage : messages d’erreur OIDC