Configurer XFA comme fournisseur d'identité pour Proton Pass et Proton VPN Beta

Contrairement aux autres guides sur les fournisseurs d'identité, c'est XFA qui est ici le fournisseur d'identité : Proton confie la connexion à XFA, qui connecte les utilisateurs avec une clé d'accès et vérifie leur appareil.

Remarque : ce guide suppose que votre organisation dispose d'un compte XFA, que vous en êtes administrateur dans XFA et que vous êtes administrateur d'une organisation Proton for Business avec une offre incluant l'authentification unique (Proton Pass Professional, Proton VPN Professional ou Enterprise, ou VPN and Pass Professional). Si vous n'avez pas encore de compte XFA, vous pouvez en créer un sur https://dashboard.xfa.tech/signup.

Proton comme fournisseur d'identité est en bêta et reste désactivé jusqu'à ce que XFA l'active pour votre organisation. Si vous ne voyez ni Connecter Proton sous Fournisseur d'identité, ni la tuile Proton sur la page Enforcement, votre organisation ne l'a pas encore : contactez support@xfa.tech et nous l'activerons pour vous.

Fonctionnement

Lorsqu'un utilisateur se connecte à Proton Pass ou Proton VPN avec Sign in with SSO, Proton le redirige vers XFA. XFA l'authentifie avec une clé d'accès sur un appareil qu'il a enregistré auprès de XFA (Built-in passkey), vérifie l'état de sécurité de l'appareil et renvoie à Proton une assertion SAML signée. Proton fait confiance à cette assertion et laisse entrer l'utilisateur.

Comme c'est XFA qui prend en charge la connexion, l'utilisateur ne tape jamais de mot de passe Proton. Son premier appareil est amorcé par une étape de récupération préparée par un administrateur (ci-dessous). Ensuite, la connexion se fait d'un seul geste sur la clé d'accès d'un appareil de confiance.

Dans Proton, l'authentification unique s'applique par domaine vérifié. Proton Pass et Proton VPN partagent la configuration d'authentification unique de l'organisation, et ce guide couvre ces deux produits.

Créer une connexion Proton dans le tableau de bord XFA

Après vous être connecté au tableau de bord XFA, ouvrez Fournisseur d'identité dans la barre latérale et cliquez sur Connecter Proton. (Vous pouvez aussi aller sur la page Enforcement, cliquer sur New et choisir la tuile Proton.) XFA crée la connexion et ouvre sa configuration guidée : quatre étapes que vous parcourez, dans l'ordre que vous voulez, entre XFA et votre panneau d'administration Proton.

Sous Bases, définissez :

un nom pour la connexion et la politique dont les vérifications d'appareil s'appliquent à la connexion ;
Domaines d'e-mail autorisés : le ou les domaines que vous ajouterez à l'authentification unique dans Proton (par exemple example.com). XFA n'authentifie et n'atteste que les e-mails de ces domaines ou des domaines d'e-mail de votre organisation ; tout le reste est refusé. Sans domaine ici ni dans les domaines d'e-mail de l'organisation, personne ne peut se connecter (fail-closed) : renseignez-le donc avant la mise en production.

L'étape 1, Ajouter XFA comme fournisseur d'identité dans Proton, affiche les valeurs dont Proton a besoin pour faire confiance à XFA :

URL de métadonnées : les métadonnées SAML de XFA pour cette connexion. Proton les importe en une fois.
Entity ID (Proton l'appelle aussi Issuer), URL de connexion et un certificat à télécharger, pour le cas où Proton demande des champs texte.

Laissez cet onglet ouvert : vous y reviendrez une fois que Proton aura affiché ses propres valeurs.

Une connexion de fournisseur d'identité par organisation

XFA prend en charge une connexion de fournisseur d'identité par organisation. Si vous avez déjà connecté Google Workspace ou un fournisseur d'identité SAML générique, supprimez d'abord cette connexion ; la tuile Proton reste désactivée jusque-là.

Avant de continuer, cliquez sur Enregistrer et continuer plus tard pour enregistrer la connexion. Les onboarding links et les connexions utilisent les Domaines d'e-mail autorisés et la politique enregistrés, pas ce qui n'est pas encore enregistré sur la page.

Préparer les utilisateurs pour leur premier appareil

Comme c'est désormais XFA qui prend en charge la connexion, un appareil tout neuf n'a pas encore de clé d'accès, et dès que l'authentification unique est active pour un domaine, ses membres n'atteignent plus Proton qu'à travers XFA. Le premier appareil est donc amorcé par un administrateur, avant d'activer l'authentification unique dans Proton.

Sur la page Personnes (sous Identité), renseignez pour chaque utilisateur qui se connectera via XFA un secondary email : une adresse personnelle ou secondaire qu'il peut consulter. Vous pouvez ensuite lui envoyer un onboarding link à cette adresse, ce qui lui permet d'enregistrer sa clé d'accès sans jamais taper de mot de passe. Le lien est à usage unique et valable 7 jours.

Pour ajouter des utilisateurs, cliquez sur Nouvel utilisateur. Si vous préférez ne pas envoyer de lien par e-mail, vous pouvez à la place générer un one-time onboarding password pour un utilisateur et le lui transmettre par le canal de votre choix.

Les personnes qui utilisent déjà Proton Pass ou Proton VPN conservent leurs données. Dès que l'authentification unique est active pour leur domaine, elles se connectent avec Sign in with SSO.

Envoyer des onboarding links

Pour envoyer des liens plus tard, sélectionnez les utilisateurs sur la page Personnes et cliquez sur Envoyer le lien d'intégration. XFA met les e-mails en file d'attente et les envoie dans les minutes qui suivent ; la page Personnes affiche ensuite Lien envoyé le avec la date.

XFA ignore les utilisateurs suivants, et vous indique pourquoi :

les utilisateurs déjà inscrits,
les utilisateurs sans secondary email,
les utilisateurs qui ont reçu un lien il y a moins de 7 jours. Cliquez sur Renvoyer quand même pour en envoyer un nouveau ; il remplace le lien précédent.

L'état d'onboarding de chaque utilisateur s'affiche sur la page Personnes : Provisionné, Lien envoyé le, Inscrit, ou Inscription inconnue lorsque XFA n'a pas pu vérifier.

Configurer l'authentification unique dans Proton

Dans votre panneau d'administration Proton (le panneau d'administration de Proton Pass, ou account.protonvpn.com pour Proton VPN for Business), allez dans Single sign-on > SAML authentication > Configure SAML :

Saisissez le domaine de votre entreprise et cliquez sur Add domain.
Ajoutez l'enregistrement DNS TXT affiché par Proton chez votre fournisseur de domaine, puis cliquez sur Continue. Proton vérifie le domaine avant d'accepter le fournisseur d'identité ; un nouvel enregistrement DNS peut mettre un moment à se propager.
Importez les métadonnées du fournisseur d'identité par URL, avec l'URL de métadonnées de XFA, et cliquez sur Continue. Si Proton demande des Text fields, saisissez l'Entity ID de XFA comme entity ID, l'URL de connexion comme URL d'authentification unique, et téléversez ou collez le certificat XFA.
Proton affiche alors son Assertion Consumer Service (ACS) URL et son Issuer ID. Cliquez sur Done, puis sur See details pour vérifier la configuration.

Les valeurs de Proton sont les mêmes pour toutes les organisations :

Issuer ID : https://sso.proton.me/sp
Assertion Consumer Service (ACS) URL : https://sso.proton.me/auth/saml

XFA envoie l'adresse e-mail de la personne comme NameID, au format emailAddress que Proton demande. Proton l'associe au membre qui a cette adresse.

Une organisation peut configurer jusqu'à cinq domaines. Chacun se configure séparément dans Proton et doit pointer vers le même fournisseur d'identité ; ajoutez-les tous aussi aux Domaines d'e-mail autorisés dans XFA.

Terminer l'intégration dans le tableau de bord XFA

De retour dans le tableau de bord XFA :

Étape 2, Confirmer les valeurs de Proton : XFA a déjà renseigné l'Issuer ID et l'ACS URL de Proton, puisqu'ils ne changent jamais. Comparez-les avec ce que Proton affiche sous See details et cliquez sur Marquer comme terminé. Si une valeur a été modifiée un jour et diffère, Utiliser les valeurs de Proton la rétablit.
Étape 3, Activer l'authentification unique pour vos personnes : vérifiez que votre domaine apparaît comme vérifié dans Proton, que chaque domaine figure dans les Domaines d'e-mail autorisés et que chaque personne a une identité XFA (voir Préparer les utilisateurs pour leur premier appareil). Cliquez sur Marquer comme terminé une fois que c'est fait.
Étape 4, Vérifier et tester : cliquez sur Vérifier mes saisies, puis testez une connexion avec un membre de votre domaine et cochez J'ai testé et ça a fonctionné.

Cliquez sur Terminer la configuration pour enregistrer la connexion.

Requêtes signées

Proton signe les requêtes de connexion qu'il envoie à XFA. Par défaut, XFA les accepte sans vérifier la signature. Pour que XFA les vérifie, ouvrez la connexion, activez Exiger des requêtes signées et collez le certificat de signature de Proton dans Certificat de signature du fournisseur de services. Le certificat se trouve dans les métadonnées SAML de Proton à l'adresse https://sso.proton.me/saml/metadata ; Proton peut le renouveler, et la connexion ne fonctionne plus tant que vous n'avez pas collé le nouveau certificat.

Premier appareil : l'utilisateur ouvre l'onboarding link reçu sur son secondary email (ou saisit l'onboarding password que vous lui avez donné) et enregistre une clé d'accès sur son appareil. XFA vérifie la sécurité de l'appareil au passage, et cette clé d'accès devient dès lors sa connexion à Proton.
Tous les appareils suivants : dans une application Proton Pass ou Proton VPN, ou sur account.proton.me, l'utilisateur clique sur Sign in with SSO et saisit son e-mail. Il touche sa clé d'accès, sans mot de passe ni rien d'autre à taper, et XFA confirme le nouvel appareil sur un appareil qu'il a déjà enregistré avant de le connecter.

Et le second facteur ?

XFA remplace entièrement la connexion par mot de passe de Proton : il n'y a donc pas de second facteur distinct à perdre. La clé d'accès sur un appareil auquel vous avez explicitement fait confiance dans XFA est le facteur fort. C'est le Built-in passkey de XFA. Pour en savoir plus, consultez la documentation sur le Built-in passkey.