Passer au contenu principal

Intégrez un fournisseur d'identité et connectez-vous avec SAML SSO

Configurez SAML SSO pour permettre à votre équipe de se connecter à Intercom en utilisant votre fournisseur d'identité comme Okta ou OneLogin.

Écrit par Eric Fitzgerald

Utilisez cet article pour configurer le Single Sign-On (SSO) SAML pour votre espace de travail Intercom. Il couvre l'activation de SAML dans Intercom, la configuration de votre fournisseur d'identité (IdP), la vérification de votre domain, les tests et l'application du SSO, l'activation de la provision Just-in-Time (JIT), ainsi que des guides pas à pas pour OneLogin et Okta.

Une fois configuré, SAML SSO fonctionnera également avec l'application Intercom Conversations sur iOS et Android.

Avant de commencer

Important :

  • SAML SSO est uniquement disponible sur le plan Expert Intercom. Consultez nos plans et tarifs pour en savoir plus sur ce plan.

  • Vous devez avoir les autorisations pour accéder à Paramètres > Workspace > Sécurité dans Intercom, ainsi qu'un accès administratif à votre fournisseur d'identité.

Étape 1 : Activez SAML SSO dans Intercom

Tout d'abord, vous devez activer SAML SSO dans votre espace de travail Intercom pour obtenir les URL de votre fournisseur d'identité.

  1. Allez dans Paramètres > Workspace > Sécurité > Méthodes d'authentification

  2. Activez le bouton SAML SSO.

    Capture d'écran de la section Méthodes d'authentification dans Paramètres > Workspace > Sécurité, montrant l'activation du bouton SAML SSO

  3. Une fois activé, la section de configuration SAML SSO apparaîtra.

    Capture d'écran montrant la section de configuration SAML SSO qui apparaît après l'activation, avec les champs pour l'URL Single Sign-On du fournisseur d'identité et le certificat public

  4. La première chose que vous verrez est l'URL SAML unique pour votre espace de travail. Gardez cette page ouverte ; vous aurez besoin de cette URL pour l'étape suivante.

    Capture d'écran des paramètres SAML SSO montrant l'URL SAML unique pour l'espace de travail, utilisée pour configurer le fournisseur d'identité

Étape 2 : Configurez votre fournisseur d'identité

Dans les paramètres de votre fournisseur d'identité (comme Okta ou OneLogin), vous devrez ajouter Intercom en tant qu'application. Vous aurez besoin de l'URL SAML de l'étape 1.

Utilisez les paramètres suivants dans la configuration de votre IdP :

  • URL Single Sign-On : <SAML URL>/consume

  • URL du destinataire : <SAML URL>/consume

  • Restriction d'audience/ID d'entité : <SAML URL>

  • NameID : Adresse e-mail

  • Assertions signées : Oui

  • Attributs mappés :

    • firstName (prénom de l'utilisateur)

    • lastName (nom de famille de l'utilisateur)

  • Chiffrement : Utilisez le chiffrement AES256_CBC et fournissez le certificat d'Intercom (indiqué ci-dessous) dans les paramètres de chiffrement de votre IdP :

-----BEGIN CERTIFICATE-----
MIIDYzCCAkugAwIBAgIUS9LFUH5IWanIgQ78d/qyKOdojAYwDQYJKoZIhvcNAQEL
BQAwQTERMA8GA1UECgwISW50ZXJjb20xETAPBgNVBAsMCFBsYXRmb3JtMRkwFwYD
VQQDDBBTQU1MIENlcnRpZmljYXRlMB4XDTI2MDExMjE3NTIzN1oXDTM2MDExMDE3
NTIzN1owQTERMA8GA1UECgwISW50ZXJjb20xETAPBgNVBAsMCFBsYXRmb3JtMRkw
FwYDVQQDDBBTQU1MIENlcnRpZmljYXRlMIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8A
MIIBCgKCAQEA2LVcYLNwR0t1Co/FBNSFUEdpOJTM87X0//NPisUgQJ71l11Dohg9
Yg1aAraqOsQ9EPR9prdQjP50lhOmogjvPDClPlXtoHdRCJ81U/3duXoBdGS02NN3
2DetudNnyjeUefkcnPWsQ+FNZasnP9ODU8dtPKxMcLP3AmcUYOAaKp1r3WBuFDcT
woMtbrWUoxTfBeYx6nQ9TfzJOGQFZCYs30Sx1j5LVio5DoM3oynTTh0qOzJS+KpU
iIIqby8szpqWMfdPNTdBd7XQK2SkHmBgkgSDfQIII93kkXCP1bCOuo4rC+lIeXlF
gIi2Z4iMxuKceBeLBgFTovG7dVDeGmTucQIDAQABo1MwUTAdBgNVHQ4EFgQUgZdt
wisFHetsCww03EXQGt8Oq24wHwYDVR0jBBgwFoAUgZdtwisFHetsCww03EXQGt8O
q24wDwYDVR0TAQH/BAUwAwEB/zANBgkqhkiG9w0BAQsFAAOCAQEAiL3wXWof5x+k
thOn2tAspFR/IH5NQHPLocV605FcRjt1JS1z0cBjtBroTKFarXo6T1NKQN5Lhjsu
wrvu1J/YQcGnSmChar8OJSIbxPhHrbpA6Gg2mtkH4BTnnXY3LBgVFfCl5oiFxZqB
ELkm6iBZmReot+MPWvE0Ypx7hQLI/3qLc5yYEw7ZNKWq/lRbbT4DLgKeHH89fSrm
cpDa9ZHF2e6rlx95LCbZUWyEE6pPFeq+6CyQt+FkwLl1e+ZIJTknWgD/bzPsZ6CF
XfF2fS2ObaUISKYEZMZx5o+JZnnYGr1U614lhniha+Rpykzoa+SsOdwvI0xl5ZRr
aqD3fI3jqA==
-----END CERTIFICATE-----

Note : Si votre fournisseur d'identité le supporte, vous pouvez définir une durée de session dans la configuration de votre IdP. Cela définit la durée avant l'expiration de la session d'un coéquipier et la nécessité de se reconnecter à Intercom. Si ce n'est pas défini, la durée par défaut est de 3,5 jours.

Étape 3 : Configurez Intercom avec les détails de votre IdP

Après avoir configuré votre IdP, vous devez ajouter ses détails dans Intercom.

  1. Retournez à la page des paramètres SAML SSO d'Intercom (Paramètres > Workspace > Sécurité).

  2. Ajoutez les informations suivantes provenant de votre fournisseur d'identité :

    • URL Single Sign-On du fournisseur d'identité : C'est l'URL utilisée pour démarrer le processus de connexion.

    • Certificat public : Cela permet à Intercom de valider les requêtes SAML de votre IdP. Collez le certificat X.509 complet (un format standard de certificat numérique) de votre fournisseur d'identité.

      Capture d'écran des paramètres SAML SSO dans Intercom montrant le champ URL Single Sign-On du fournisseur d'identité et le champ Certificat public où le certificat X.509 est collé

Étape 4 : Ajoutez et vérifiez vos domain autorisés

Vous devez spécifier quels domain sont autorisés à s'authentifier avec SAML SSO.

  1. Entrez un domain sous « Domain autorisés » et cliquez sur Ajouter domain.

    Capture d'écran de la section Domain autorisés dans les paramètres SAML SSO montrant un champ de saisie de domain et le bouton Ajouter domain

  2. Vous devez vérifier que vous possédez le domain en ajoutant un enregistrement TXT dans vos paramètres DNS avec les valeurs fournies.

    Capture d'écran montrant la section de vérification DNS avec le nom et la valeur de l'enregistrement TXT qui doit être ajouté aux paramètres DNS du domain

  3. Après avoir ajouté l'enregistrement TXT, cliquez sur Vérifier l'enregistrement DNS.

    Capture d'écran de la section Domain autorisés montrant le bouton Vérifier l'enregistrement DNS à côté d'un domain non vérifié

  4. Une fois vérifié, vous verrez un message de succès et le domain sera ajouté. Répétez ce processus si vous devez ajouter plus d'un domain.

    Capture d'écran montrant un domain vérifié avec succès dans la section Domain autorisés avec un message de confirmation de succès en vert

Note : Si vous venez de créer l'enregistrement DNS, il peut encore être en cours de propagation. Si vous voyez un message d'avertissement (« Impossible de vérifier l'enregistrement DNS. Veuillez réessayer plus tard. »), attendez quelques minutes et réessayez. Les modifications DNS peuvent prendre jusqu'à 48 heures pour se propager complètement.

Pour décocher cette option et appliquer SAML SSO comme méthode de connexion requise, vous devez être connecté avec SAML SSO. Vous pouvez le faire après avoir enregistré vos paramètres.

Étape 5 : Testez et appliquez SAML SSO

Avant d'appliquer SAML pour tous les teammates, vous devez tester la configuration.

  1. Testez votre configuration : Pour garantir que tous les teammates peuvent se connecter avec succès via SAML SSO avant de désactiver les autres méthodes, laissez les options Google Sign-On et Email and password activées.

    Capture d'écran de la section Méthodes d'authentification dans les paramètres SAML SSO montrant les bascules Google Sign-On et Email and password laissées activées pendant les tests pour garantir que tous les teammates peuvent se connecter avant la désactivation des autres méthodes.

  2. Enregistrez vos paramètres en bas de la page.

  3. Déconnectez-vous et essayez de vous reconnecter en utilisant l'option Se connecter avec SAML SSO pour tester votre configuration.

    Capture d'écran de la page de connexion Intercom montrant le bouton Se connecter avec SAML SSO sous les champs standard email et mot de passe.

  4. Appliquer SAML SSO (Optionnel) : Une fois que vous vous êtes connecté avec succès et que vous avez confirmé que la configuration fonctionne, vous pouvez revenir aux paramètres et décocher les autres méthodes de connexion.

Note :

  • Pour décocher les autres options de connexion et appliquer SAML SSO comme seule méthode de connexion, vous devez être connecté vous-même avec SAML SSO.

  • Une fois que votre workspace a SAML SSO activé, les teammates ne pourront plus modifier leur propre adresse email depuis leur page Account security. Le champ email sera en lecture seule.

  • [{"type": "paragraph", "text": "Avant de supprimer les autres méthodes de connexion, assurez-vous que tous les teammates ont testé et confirmé la connexion SAML. Tout teammate n'ayant pas encore authentifié avec SAML sera immédiatement bloqué lorsque les autres méthodes seront désactivées."}]

  • [{"type": "paragraph", "text": "Les teammates existants ne sont pas automatiquement migrés vers SAML — ils continuent d'utiliser leur méthode de connexion actuelle jusqu'à ce que vous la désactiviez. Informez votre équipe avant d'appliquer la connexion uniquement via SAML."}]

Comment fonctionne SAML SSO pour votre équipe

Comment les teammates se connectent

Une fois SAML SSO activé, les teammates verront un bouton Se connecter avec SAML SSO sur la page de connexion. L'expérience de connexion variera selon leur adresse email :

  • Email non enregistré : Si l'email saisi ne correspond à aucun teammate dans un workspace avec SAML activé, un message d'erreur s'affichera.

  • Email enregistré pour un workspace SAML : Le teammate est redirigé vers le fournisseur d'identité pour se connecter.

    Capture d'écran de la page de connexion SAML SSO montrant un champ de saisie d'email où les teammates entrent leur email professionnel pour être redirigés vers leur fournisseur d'identité.

  • Email enregistré pour plusieurs workspaces SAML : Le teammate voit un sélecteur de workspace. Après avoir choisi un workspace, il est redirigé vers le fournisseur d'identité approprié pour ce workspace.

    Capture d'écran de l'écran de sélection de workspace affiché lorsqu'un email de teammate est enregistré dans plusieurs workspaces avec SAML SSO activé, listant les workspaces disponibles.

Selon le fournisseur d'identité que le teammate a pour chaque workspace, il est redirigé vers l'expérience de connexion du bon fournisseur. Après la connexion, l'utilisateur est ramené au workspace correct et connecté.

Changement entre workspaces

SAML SSO est pris en charge lors du changement entre workspaces. Le sélecteur de workspace (montré ci-dessous) vous permet de passer d'un workspace à un autre utilisant différentes méthodes d'authentification — si vous êtes déjà connecté avec le même fournisseur SAML, aucune ré-authentification n'est nécessaire :

Capture d'écran de l'interface du sélecteur de workspace montrant plusieurs workspaces, utilisé lors du changement entre workspaces utilisant différentes méthodes d'authentification.

  • Si un teammate est connecté à deux workspaces utilisant le même fournisseur SAML SSO, il peut passer de l'un à l'autre sans avoir besoin de se ré-authentifier.

  • Si le teammate a accès à un troisième workspace utilisant email/password, et qu'il n'est pas connecté, il sera redirigé vers le sélecteur de workspace pour se connecter avec son mot de passe.

Connexion sur l'application mobile (application Intercom Conversations)

SAML SSO est pris en charge sur les applications iOS et Android Intercom Conversations app.

  1. Accédez à l'écran de connexion et appuyez sur le bouton Se connecter avec SAML SSO.

    Capture d'écran de l'écran de connexion de l'application mobile Intercom Conversations montrant le bouton Se connecter avec SAML SSO.

  2. Entrez votre email professionnel et appuyez sur Continuer.

    Capture d'écran de l'application mobile Intercom Conversations montrant l'écran de saisie d'email où les teammates entrent leur email professionnel pour continuer la connexion SAML SSO.

  3. Si vous avez accès à plusieurs workspaces, une liste s'affichera pour choisir. (Si vous n'en avez qu'un, cet écran est sauté).

  4. La sélection d'un workspace ouvrira une vue web pour se connecter à votre fournisseur SAML.

  5. Une fois connecté, vous serez connecté à l'application.

Si vous n'avez pas configuré SAML SSO pour votre compte et essayez de vous connecter avec SAML SSO, un message d'erreur s'affichera.

Invitations workspace

Lorsque SAML SSO est activé sur votre workspace, il est compatible avec les invitations workspace. L'email d'invitation doit correspondre à l'adresse email renvoyée par votre fournisseur d'identité — si elles ne correspondent pas, la validation de l'invitation échouera.

Comment changer les adresses email des teammates lorsque SAML SSO est activé

  1. Activez Email and password comme méthode de connexion dans Paramètres > Workspace > Sécurité, si ce n'est pas déjà fait.

  2. Tous les teammates définissent ou réinitialisent leur mot de passe Intercom et confirment qu'ils peuvent se connecter avec leur ancien email et mot de passe.

  3. Désactivez SAML SSO sur le workspace — cela rendra le champ email modifiable pour les teammates.

  4. Chaque teammate se connecte avec son ancien email et mot de passe, puis met à jour son email de connexion avec le nouveau domain.

  5. Mettez à jour tous les emails des teammates dans votre fournisseur d'identité avec le nouveau domain.

  6. Réactivez SAML SSO sur le workspace.

  7. SAML SSO fonctionne désormais avec les nouvelles adresses email. Vous pouvez éventuellement réappliquer la connexion uniquement via SSO.

Comment configurer et dépanner SAML SSO avec des fournisseurs d'identité spécifiques

Besoin d'aide avec votre fournisseur d'identité ? Le support Intercom peut vous aider à configurer SAML SSO dans Intercom. Pour les étapes spécifiques à l'IdP, la configuration dans la console d'administration de votre fournisseur (ex. Microsoft Entra, Okta, JumpCloud), ou les erreurs provenant de votre IdP, nous recommandons de contacter directement le support de votre fournisseur d'identité — ils auront accès à votre environnement et pourront résoudre les problèmes de leur côté. Notre documentation SAML est disponible à partager avec eux comme référence.

Dépannage Google Workspace

Si vous utilisez Google Workspace comme fournisseur SSO et voyez une erreur d'accès, vous pouvez activer les "messages de remédiation" dans votre console d'administration Google pour comprendre la raison de l'erreur. Une fois activé, vous verrez des informations plus détaillées dans le message d'erreur (par exemple, "l'appareil... n'est pas géré par la gestion des points de terminaison Google").

Capture d'écran de la console Google Admin montrant le paramètre des messages de remédiation qui peut être activé pour afficher des informations d'erreur SSO plus détaillées

Une fois activé, vous pourrez voir des informations plus détaillées dans le message d'erreur.

Par exemple, l'erreur suivante pourrait indiquer que l'appareil utilisé n'est pas géré par Google endpoint management :

Capture d'écran montrant un message d'erreur SSO Google Workspace détaillé indiquant que l'appareil n'est pas géré par Google endpoint management

Comment activer la provision Just-in-Time (JIT)

La provision Just-in-Time ajoutera automatiquement des coéquipiers à votre workspace Intercom la première fois qu'ils se connecteront avec SAML SSO, s'ils n'ont pas déjà un compte Intercom.

Pour activer cela, allez dans Paramètres > Workspace > Sécurité, assurez-vous que SAML SSO est activé, puis cliquez sur Provisioning :

Capture d'écran de la page des paramètres SAML SSO montrant la section Provisioning avec l'option de provision Just-in-Time disponible à l'activation

Ensuite, définissez les permissions que les nouveaux coéquipiers doivent avoir lorsqu'ils sont ajoutés par la provision JIT :

Capture d'écran des paramètres de provision Just-in-Time montrant la configuration des permissions par défaut pour les nouveaux coéquipiers ajoutés automatiquement via JIT

Note : Les nouveaux coéquipiers ne seront ajoutés que si vous avez des places disponibles.

Enfin, enregistrez vos paramètres, puis testez votre configuration en vous déconnectant et en vous connectant avec votre fournisseur d'identité. Vous devriez être redirigé vers votre workspace Intercom après une authentification réussie :

Capture d'écran de la page des paramètres SAML SSO montrant le bouton Enregistrer et l'invite de test d'authentification après avoir complété la configuration de la provision JIT

Une fois que votre workspace a SAML SSO activé avec n'importe quel fournisseur, les coéquipiers ne pourront plus modifier leur propre adresse e-mail depuis leur page Sécurité du compte. Le champ e-mail sera en lecture seule.

Capture d'écran de la page Sécurité du compte montrant le champ adresse e-mail en lecture seule et grisé lorsque SAML SSO est activé pour le workspace

Configuration de SAML avec OneLogin

Vous pouvez utiliser l'application « Intercom SAML 2.0 » dans la boutique OneLogin.

  1. Dans votre page d'administration OneLogin, allez dans Applications et cliquez sur Ajouter une application.

    Capture d'écran de la page Applications du tableau de bord d'administration OneLogin montrant le bouton Ajouter une application utilisé pour ajouter une nouvelle application

  2. Recherchez et ajoutez l'application Intercom SAML 2.0.

    Capture d'écran des résultats de recherche d'applications OneLogin montrant l'application Intercom SAML 2.0 dans la liste des résultats

  3. Ouvrez l'onglet Configuration et saisissez le nom SAML de votre workspace.

    Capture d'écran de l'onglet Configuration de l'application OneLogin Intercom montrant le champ nom SAML où le nom SAML du workspace est saisi

  4. Dans l'onglet SSO, copiez l'URL « SAML 2.0 Endpoint » et collez-la dans les paramètres SAML de votre workspace Intercom.

    Capture d'écran de l'onglet SSO de l'application OneLogin Intercom montrant l'URL SAML 2.0 Endpoint qui doit être copiée dans les paramètres SAML d'Intercom

  5. Cliquez sur Afficher les détails sous le certificat, copiez le certificat, puis collez-le dans le champ Certificat public d'Intercom.

    Capture d'écran de l'écran Afficher les détails du certificat OneLogin montrant le certificat à copier et coller dans le champ Certificat public d'Intercom

  6. Enregistrez vos paramètres dans Intercom et testez la connexion.

Note : Si votre workspace est hébergé dans l'UE ou en Australie, contactez l'équipe OneLogin pour vous assurer que votre intégration est prise en charge.

Configuration de SAML avec Okta

Vous pouvez utiliser l'application « Intercom » depuis le Okta App Store.

  1. Dans Okta :

    • Ouvrez le tableau de bord d'administration Okta et ajoutez l'application Intercom.

    • Passez aux Options de connexion.

    • Téléchargez le Certificat de signature et copiez l’URL de connexion fournie par Okta.

      Capture d'écran de l'onglet Options de connexion de l'application Okta Intercom montrant le bouton de téléchargement du Certificat de signature et l’URL de connexion à copier dans les paramètres SAML d'Intercom

  2. Dans Intercom :

    • Allez dans Paramètres > Workspace > Sécurité et activez SAML SSO.

    • Notez votre URL SAML (en haut des paramètres SAML).

    • Saisissez les détails suivants depuis Okta :

      • URL de connexion du fournisseur d'identité : (L’URL de connexion d’Okta)

      • Certificat public : (Collez le certificat complet téléchargé depuis Okta)

    • Sous « Domaines autorisés », saisissez le domain de votre entreprise (par exemple, acme.com).

    • Ne cliquez pas encore sur Enregistrer.

  3. De retour dans Okta :

    • Retournez aux Options de connexion de votre application Okta Intercom.

    • Sous Certificat de chiffrement, téléchargez le certificat suivant sous le nom intercom.pem :

      -----BEGIN CERTIFICATE-----
      MIIDYzCCAkugAwIBAgIUS9LFUH5IWanIgQ78d/qyKOdojAYwDQYJKoZIhvcNAQEL
      BQAwQTERMA8GA1UECgwISW50ZXJjb20xETAPBgNVBAsMCFBsYXRmb3JtMRkwFwYD
      VQQDDBBTQU1MIENlcnRpZmljYXRlMB4XDTI2MDExMjE3NTIzN1oXDTM2MDExMDE3
      NTIzN1owQTERMA8GA1UECgwISW50ZXJjb20xETAPBgNVBAsMCFBsYXRmb3JtMRkw
      FwYDVQQDDBBTQU1MIENlcnRpZmljYXRlMIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8A
      MIIBCgKCAQEA2LVcYLNwR0t1Co/FBNSFUEdpOJTM87X0//NPisUgQJ71l11Dohg9
      Yg1aAraqOsQ9EPR9prdQjP50lhOmogjvPDClPlXtoHdRCJ81U/3duXoBdGS02NN3
      2DetudNnyjeUefkcnPWsQ+FNZasnP9ODU8dtPKxMcLP3AmcUYOAaKp1r3WBuFDcT
      woMtbrWUoxTfBeYx6nQ9TfzJOGQFZCYs30Sx1j5LVio5DoM3oynTTh0qOzJS+KpU
      iIIqby8szpqWMfdPNTdBd7XQK2SkHmBgkgSDfQIII93kkXCP1bCOuo4rC+lIeXlF
      gIi2Z4iMxuKceBeLBgFTovG7dVDeGmTucQIDAQABo1MwUTAdBgNVHQ4EFgQUgZdt
      wisFHetsCww03EXQGt8Oq24wHwYDVR0jBBgwFoAUgZdtwisFHetsCww03EXQGt8O
      q24wDwYDVR0TAQH/BAUwAwEB/zANBgkqhkiG9w0BAQsFAAOCAQEAiL3wXWof5x+k
      thOn2tAspFR/IH5NQHPLocV605FcRjt1JS1z0cBjtBroTKFarXo6T1NKQN5Lhjsu
      wrvu1J/YQcGnSmChar8OJSIbxPhHrbpA6Gg2mtkH4BTnnXY3LBgVFfCl5oiFxZqB
      ELkm6iBZmReot+MPWvE0Ypx7hQLI/3qLc5yYEw7ZNKWq/lRbbT4DLgKeHH89fSrm
      cpDa9ZHF2e6rlx95LCbZUWyEE6pPFeq+6CyQt+FkwLl1e+ZIJTknWgD/bzPsZ6CF
      XfF2fS2ObaUISKYEZMZx5o+JZnnYGr1U614lhniha+Rpykzoa+SsOdwvI0xl5ZRr
      aqD3fI3jqA==
      -----END CERTIFICATE-----

    • Sous « Paramètres avancés de connexion », collez votre URL de base SAML depuis Intercom.

    • Cliquez sur Enregistrer.

  4. Tester et activer :

    • Retournez aux paramètres SAML de votre workspace Intercom et cliquez sur Enregistrer.

    • Testez votre configuration SAML en vous déconnectant puis en vous reconnectant avec SAML.

    • Une fois confirmé, vous pouvez revenir aux paramètres et décocher les options de connexion par email/mot de passe ou Google pour appliquer SAML.

Articles connexes
Avez-vous trouvé la réponse à votre question ?