Gestion des utilisateurs et RBAC

Kliper utilise un contrôle d’accès basé sur les rôles (RBAC) pour régir ce que chaque membre de l’équipe peut faire dans votre organisation. Cinq rôles intégrés couvrent les schémas d’accès courants ; vous en attribuez un à chaque membre.

Rôles et permissions

Rôles intégrés

Ces cinq rôles sont les rôles système reconnus par la plateforme (admin, manager, assessor, qa, viewer). QA est la porte de revue : un accès de rédaction identique à celui d’un Assessor, plus la capacité d’approuver ou de rejeter les constatations.

Matrice des permissions

Le tableau ci-dessous montre exactement ce que chaque rôle peut faire dans chaque catégorie de ressources :

Les rôles forment un ensemble fixe

Les rôles de Kliper sont un ensemble fixe de rôles système intégrés — Admin, Manager, Assessor, QA et Viewer — choisis pour couvrir les flux de travail des cabinets QSA. Vous ne créez ni ne modifiez de rôles ; vous attribuez l’un de ces cinq à chaque membre de l’équipe (voir Ajouter des membres).

Paramètres > Permissions et rôles est une référence en lecture seule : l’onglet Rôles montre chaque rôle intégré et le nombre de permissions qu’il porte, et l’onglet Permissions liste le catalogue complet des permissions regroupées par catégorie. Utilisez-le pour confirmer exactement ce qu’un rôle peut faire avant de l’attribuer.

Ajouter des membres à l’équipe

Vous pouvez créer directement le compte d’une personne (le plus rapide) ou l’inviter par e-mail pour qu’elle définisse son propre mot de passe.

Créer un utilisateur (direct)

Depuis la page Gestion des utilisateurs (/users), cliquez sur Créer un utilisateur pour ajouter un membre sans aller-retour d’invitation. C’est un formulaire sur une seule page (sans étapes) : identité (nom, e-mail), accès (rôle), détails facultatifs et provisionnement, avec un aperçu en direct de la fiche qui se met à jour pendant la saisie. Pour le mot de passe, laissez Kliper en générer automatiquement un robuste ou définissez le vôtre (minimum 12 caractères).

Choisissez comment les identifiants parviennent au nouvel utilisateur avec l’interrupteur Envoyer un e-mail de bienvenue :

• Activé : les informations de connexion lui sont envoyées par e-mail automatiquement.
• Désactivé : le mot de passe généré est affiché une seule fois dans l’application pour que vous le copiiez et le partagiez de façon sécurisée.

Dans les deux cas, les comptes créés par un administrateur doivent changer de mot de passe à la première connexion : l’identifiant partagé est un amorçage, jamais l’identifiant définitif.

Méthode 1 : inviter par e-mail

Utilisez cette méthode lorsque la personne n’a pas encore de compte Kliper, ou en cas de doute.

Méthode 2 : ajouter un utilisateur existant

Utilisez cette méthode lorsque la personne a déjà un compte Kliper mais ne fait pas partie de votre organisation.

Gérer les invitations

La page des paramètres de l’équipe affiche toutes les invitations en attente. Pour chacune, vous pouvez :

• Renvoyer : envoyer à nouveau l’e-mail d’invitation (utile si l’original a expiré ou a été manqué)
• Révoquer : annuler l’invitation avant qu’elle soit acceptée

Découverte par domaine

Lorsqu’un nouvel utilisateur s’inscrit avec un domaine d’e-mail correspondant aux domaines autorisés de votre organisation, il peut découvrir votre organisation et demander à la rejoindre. La politique d’adhésion par domaine de l’organisation contrôle ce comportement :

Gérer les membres de l’équipe

Consulter votre équipe

Allez dans Paramètres > Équipe pour voir un tableau de tous les membres de l’organisation :

Utilisez la barre de recherche pour filtrer les membres par nom ou e-mail.

Changer le rôle d’un membre

Depuis le tableau des membres, cliquez sur le menu d’actions de la ligne d’un membre et sélectionnez Changer le rôle. Choisissez le nouveau rôle dans la liste déroulante et confirmez. Le changement de rôle prend effet immédiatement.

Retirer un membre

Cliquez sur le menu d’actions et sélectionnez Retirer de l’équipe. Une boîte de dialogue de confirmation apparaît. À la confirmation, l’adhésion de l’utilisateur est désactivée et il perd l’accès à toutes les données de l’organisation.

Statistiques de l’équipe

Trois cartes en haut de la page des paramètres de l’équipe résument votre équipe :

Authentification unique d’entreprise (SSO)

Kliper prend en charge le SSO d’entreprise via OpenID Connect (OIDC), pour que votre équipe se connecte avec votre fournisseur d’identité existant : Okta, Microsoft Entra ID, Auth0, Google Workspace ou tout fournisseur OIDC conforme aux standards.

Fonctionnement

• Connexion sensible à l’identifiant : lorsqu’un utilisateur saisit un e-mail sur un domaine avec SSO activé, Kliper masque le champ de mot de passe et le redirige vers votre fournisseur d’identité.
• Provisionnement à la volée : les utilisateurs qui s’authentifient pour la première fois via votre IdP sont créés automatiquement comme membres de votre organisation.
• La MFA reste chez votre IdP : Kliper s’appuie sur les politiques d’authentification multifacteur et d’accès conditionnel de votre fournisseur (codes à usage unique, clés d’accès, biométrie) et n’ajoute pas de seconde invite.

Mise en place

Le SSO est activé par l’équipe Kliper pour votre organisation. Fournissez votre URL d’émetteur / de découverte OIDC, votre identifiant et secret client, et le ou les domaines d’e-mail à router, et nous activerons la connexion sensible à l’identifiant pour ces domaines.

Authentification à deux facteurs (2FA)

Kliper prend en charge l’authentification à deux facteurs basée sur TOTP pour une couche supplémentaire de sécurité du compte.

Configurer la 2FA

Se connecter avec la 2FA

Une fois la 2FA activée, la connexion se fait en deux étapes :

1. Saisissez votre e-mail et votre mot de passe (ou utilisez OAuth)
2. Saisissez le code à 6 chiffres de votre application d’authentification, ou utilisez l’un de vos codes de secours à 8 caractères

Appareils de confiance

Après une vérification 2FA réussie, vous pouvez marquer l’appareil comme de confiance pour ignorer la 2FA pendant 30 jours. Les appareils de confiance sont listés dans Paramètres > Sécurité > Appareils de confiance avec :

• Nom de l’appareil et navigateur
• Adresse IP
• Horodatage de dernière utilisation
• Date d’expiration

Cliquez sur Retirer sur un appareil de confiance pour révoquer son statut.

Désactiver la 2FA

Dans Paramètres > Sécurité, cliquez sur Désactiver la 2FA. Vous devez saisir un code d’authentification actuel pour confirmer. Tous les codes de secours sont invalidés.

Clés d’accès (authentification sans mot de passe)

Kliper prend en charge les clés d’accès basées sur WebAuthn pour une connexion sans mot de passe par biométrie (Face ID, Touch ID, Windows Hello) ou clés de sécurité matérielles.

Exiger la 2FA pour votre organisation

Les administrateurs d’organisation sur le plan Team (et supérieur) peuvent rendre l’authentification à deux facteurs obligatoire pour chaque membre de leur organisation.

Enregistrer une clé d’accès

Gérer les clés d’accès

Vos clés d’accès enregistrées sont listées avec :

Cliquez sur Retirer pour supprimer une clé d’accès. Vous pouvez enregistrer plusieurs clés d’accès pour différents appareils.

Se connecter avec une clé d’accès

Sur la page de connexion, cliquez sur Se connecter avec une clé d’accès. Votre navigateur vous invite à sélectionner une clé enregistrée et à vous authentifier avec. Aucun mot de passe n’est nécessaire.

Paramètres de sécurité du compte

Options de sécurité supplémentaires disponibles dans Paramètres > Sécurité :

Gestion du mot de passe

Changez votre mot de passe avec une validation de robustesse en temps réel :

Un indicateur de robustesse à 5 niveaux fournit un retour visuel pendant la saisie.

Gestion des sessions

Kliper applique un profil de session NIST SP 800-63B AAL2 :

Cliquez sur Déconnexion sur une session active pour la terminer à distance.

Apparence et préférences