Configurer l'e-mail SMTP et le SAML SSO

L'e-mail (SMTP) se configure une seule fois pour toute l'instance. L'authentification unique (SAML 2.0), elle, se configure séparément pour chaque espace de travail. Commencez par l'URL du site : les liens des e-mails et les adresses SSO sont construits à partir d'elle.

Définir l'URL publique du siteCopy Anchor Link

Connectez-vous en tant qu'administrateur de l'instance et ouvrez Administration de l'instance → Configuration. Dans URL du site, mettez l'adresse que vos utilisateurs tapent dans leur navigateur, par exemple https://time.example.com.

N'utilisez pas un nom d'hôte Docker interne et n'ajoutez ni /api ni aucun autre chemin. Si vous changez de domaine plus tard, vérifiez que les liens des e-mails fonctionnent toujours et mettez à jour les réglages SSO chez votre fournisseur d'identité.

Configurer l'envoi d'e-mails SMTPCopy Anchor Link

Dans Administration de l'instance → Configuration → E-mail / SMTP, renseignez :

Sur le port 465, OpenTickly se connecte directement en TLS. Sur les autres ports, il passe en STARTTLS si le serveur le permet.

Enregistrez, saisissez une adresse dans Envoyer un e-mail de test et lancez l'envoi. En cas d'échec, le message d'erreur indique si la connexion a échoué, si l'identifiant était faux, si le destinataire a été refusé ou si le délai a expiré. Vous savez ainsi s'il faut regarder du côté des réglages du fournisseur ou du pare-feu.

Les invitations, la réinitialisation du mot de passe et la vérification de l'adresse e-mail ont toutes besoin de SMTP. Une fois l'e-mail de test reçu, vous pouvez activer la Vérification par e-mail pour obliger les nouveaux utilisateurs à confirmer leur adresse.

Configurer le SAML SSO d'un espace de travailCopy Anchor Link

Votre fournisseur d'identité (IdP) est le service avec lequel votre équipe se connecte déjà, comme Okta, Microsoft Entra ID, Google Workspace ou Keycloak.

En tant qu'administrateur de l'espace de travail, ouvrez Paramètres de l'espace → Authentification unique.

1. Saisissez un nom et le domaine e-mail de votre entreprise (par exemple example.com).
2. Dans votre IdP, créez une nouvelle application SAML et collez-y l'ID d'entité, l'URL ACS, l'URL de connexion et l'URL des métadonnées affichés par OpenTickly.
3. De retour dans OpenTickly, collez l'URL des métadonnées de l'IdP. Si votre IdP n'en fournit pas, saisissez à la main son URL de connexion, son ID d'entité et son certificat de signature X.509.
4. Cliquez sur Tester la configuration avant d'activer le SSO.
5. Cliquez sur Tester la connexion et connectez-vous avec un compte de ce domaine. Vérifiez que l'e-mail, le nom et les autres informations remontent correctement.
6. Enregistrez, puis activez l'authentification unique.

Quand quelqu'un clique sur le bouton SSO de la page de connexion, OpenTickly regarde le domaine de son adresse e-mail pour savoir vers quel espace de travail l'envoyer. Un domaine ne peut donc être utilisé que par un seul espace de travail. Votre IdP doit transmettre l'adresse e-mail de l'utilisateur, soit dans un attribut e-mail, soit dans le NameID.

Avant de l'activer pour tout le mondeCopy Anchor Link

Pour ne pas vous retrouver bloqué dehors :

• Restez connecté en administrateur (avec votre mot de passe) dans un autre onglet pendant vos tests.
• Essayez d'abord avec un utilisateur de test, pas avec toute l'équipe.
• Vérifiez que l'ID d'entité et l'URL ACS saisis dans votre IdP correspondent exactement à ceux affichés par OpenTickly.
• Vérifiez que vos utilisateurs et votre IdP peuvent joindre OpenTickly en HTTPS.
• Refaites un test après chaque changement de l'URL du site, du reverse proxy, du certificat ou des réglages de l'IdP.
• Gardez la connexion par mot de passe disponible tant qu'au moins un autre administrateur ne s'est pas connecté avec le SSO.

Pour le déploiement et les reverse proxies, voir Auto-hébergement. Pour les jetons d'API et les scripts, voir Compatibilité avec l'API Toggl.