Présentation de la fédération SSO
La fédération SSO permet à vos utilisateurs d'accéder à Criteo via le système d'identité existant de votre organisation — aucun identifiant Criteo distinct n'est nécessaire. Une fois la configuration effectuée, les utilisateurs de votre domaine fédéré sont redirigés vers la page de connexion de votre fournisseur d'identité (IdP) lorsqu'ils accèdent à Criteo.
Criteo utilise SAML 2.0 pour la fédération. Deux systèmes échangent des métadonnées pour établir une relation de confiance :
Terme | Fonction | Exemples de systèmes |
|---|---|---|
Fournisseur de services (SP) | Criteo — l'application à laquelle vos utilisateurs souhaitent accéder | — |
Fournisseur d'identité (IdP) | Le système d'identité de votre organisation, qui authentifie les utilisateurs et envoie une assertion SAML à Criteo | Okta, Microsoft Entra ID (Azure AD), AD FS |
La fédération SSO est accessible à tous les clients. Contactez votre interlocuteur Criteo pour commencer.
Avant de commencer
Rassemblez les éléments suivants avant de contacter votre représentant Criteo. L'équipe Criteo vous demandera ces informations dans le cadre du processus d'onboarding :
Quoi ? | Détails |
|---|---|
Domaines à fédérer | Le ou les domaines d'e-mail avec lesquels vos utilisateurs se connecteront (par exemple, |
Utilisateurs testeurs | Une courte liste d'adresses e-mail permettant de valider l'intégration avant la mise en service. Tous les utilisateurs participant au test doivent disposer d'un compte utilisateur Criteo actif avant que le test puisse commencer. |
Type d'IdP | Quel fournisseur d'identité votre organisation utilise-t-elle, et quel attribut SAML allez-vous envoyer pour la mise en correspondance des utilisateurs ? Criteo recommande « |
Environnement | Que vous envisagiez d'utiliser un fichier de métadonnées distinct pour votre environnement de production, ou que vos environnements de test et de production partagent les mêmes métadonnées IdP. |
Date de mise en service prévue | La date à partir de laquelle vous souhaitez que l'authentification unique (SSO) soit active pour tous les utilisateurs du ou des domaines fédérés. |
Rechercher les valeurs de votre fournisseur d'identité (IdP)
Au cours de la procédure d'onboarding, vous devrez fournir à Criteo votre certificat de signature, l'identifiant d'entité (Entity ID) de votre fournisseur d'identité (IdP) et l'URL de l'authentification unique (SSO). Le moyen le plus rapide de les récupérer toutes les trois en même temps consiste à exporter le fichier XML de métadonnées de votre IdP : il les contient toutes dans un seul fichier. Les guides ci-dessous vous expliquent comment trouver ces valeurs pour les fournisseurs d'identité les plus courants.
Okta
Le moyen le plus rapide consiste à télécharger directement le fichier XML contenant les métadonnées de l'IdP depuis votre application SAML. Il contient l'identifiant de l'entité, l'URL SSO et le certificat de signature dans un seul fichier.
Depuis l'application Okta configurée pour Criteo : accédez à Connexion → Certificats de signature SAML → Actions → Afficher les métadonnées IdP, puis enregistrez le fichier XML.
Référence :
Microsoft Entra ID (Azure AD)
Deux sources fournissent les données dont Criteo a besoin :
Page d'authentification unique (SSO) de l'application d'entreprise — fournit l'URL de connexion, l'identifiant Entra et le lien de téléchargement du certificat. Accédez à votre application d'entreprise → page de configuration de l'authentification unique.
Endpoint de métadonnées de fédération à l'échelle du tenant — souvent la source unique la plus rapide à mettre en place. Disponible à l'adresse :
https://login.microsoftonline.com/<tenant>/FederationMetadata/2007-06/FederationMetadata.xml
Références :
AD FS
AD FS étant un logiciel hébergé en local, il n'existe pas de guide unique destiné aux clients pour localiser vos valeurs. Vous devrez suivre deux étapes distinctes :
URL des métadonnées de fédération — fournit l'ID d'entité et l'endpoint SSO.
Certificat de signature de token — exporté séparément depuis la console AD FS Management, sous Service → Certificats.
N'hésitez pas à contacter votre représentant Criteo si vous avez besoin d'aide pour interpréter ces références.
Références :
Ce que propose Criteo
Une fois le processus d'onboarding lancé, Criteo met à disposition un fichier de métadonnées du prestataire de services (SP). Utilisez-le pour configurer l'application Criteo dans votre IdP. Il contient les valeurs suivantes :
Champ | Description |
|---|---|
URI de l'audience (identifiant d'entité) | Identifiant unique pour le service d'authentification unique (SSO) de Criteo |
URL de réponse (URL ACS) | L'URL de destination vers laquelle votre fournisseur d'identité (IdP) envoie l'assertion SAML une fois la connexion établie |
Certificat X.509 | Certificat de signature de Criteo |
Processus d'onboarding de l'authentification unique (SSO)
Étape1 : Demander l'onboarding
Contactez votre représentant Criteo pour lancer le processus de fédération SSO. Une fois votre demande enregistrée, votre interlocuteur Criteo vous enverra un e-mail de présentation contenant :
Le fichier de métadonnées SP et ses valeurs clés — l'URI d'audience (ID d'entité), l'URL de réponse (URL ACS), le format NameID et le certificat X509 — dont vous avez besoin pour configurer Criteo en tant que fournisseur de services dans votre IdP.
Une liste de questions auxquelles Criteo vous demande de répondre avant de pouvoir poursuivre l'onboarding.
Transmettez cet e-mail au(x) membre(s) concerné(s) de votre équipe informatique afin qu'il(s) puisse(nt) commencer la configuration de l'IdP.
Étape 2 : Configurer votre fournisseur d'identité (IdP) et répondre
À l'aide du fichier de métadonnées SP fourni par Criteo, configurez Criteo en tant que fournisseur de services dans votre fournisseur d'identité. Si votre IdP prend en charge le téléchargement de métadonnées, vous pouvez utiliser le fichier directement. Sinon, ajoutez manuellement les valeurs une à une dans votre configuration SAML.
Une fois la configuration de votre IdP terminée, répondez à l'e-mail de présentation en indiquant les informations suivantes :
Votre fichier de métadonnées IdP — joignez le fichier XML à votre réponse. Vous pouvez également indiquer les valeurs une par une :
Identifiant d'entité IdP
URL de l'endpoint SSO
Certificat de signature
Domaine(s) à fédérer — le ou les domaines de e-mail qui doivent utiliser l'authentification unique (SSO) (par exemple,
@votreeentreprise.com)Fournisseur d’identité — le nom de votre IdP (par exemple, Microsoft Entra ID, Okta, AD FS)
Identifiant de l'utilisateur — l'attribut SAML que Criteo utilisera pour identifier les utilisateurs. Criteo recommande «
emailAddress».Utilisateurs de test — les adresses e-mail des utilisateurs qui testeront l'authentification unique (SSO) avant son déploiement
Environnement — que vous envisagiez ou non de fournir un fichier de métadonnées distinct pour votre environnement de production
Date de mise en service prévue (facultatif)
Étape 3 : Criteo valide et configure
L'équipe Criteo examine votre réponse et vérifie les détails techniques. S'il manque des informations ou si certains points ne sont pas clairs, ils vous contacteront directement pour y remédier avant de poursuivre.
Une fois la validation terminée, Criteo configure l'authentification unique (SSO) pour les utilisateurs désignés pour les tests et vous informe que les tests peuvent commencer.
Étape 4 : Tester l'activation
Criteo active l'authentification unique (SSO) uniquement pour les utilisateurs désignés pour le test, et non encore pour l'ensemble des utilisateurs du domaine. Vous recevrez un lien par e-mail pour commencer les tests.
Pour obtenir les meilleurs résultats, chaque utilisateur doit tester l'authentification unique (SSO) en suivant les étapes ci-dessous :
Ouvrez une fenêtre de navigation privée pour empêcher l'utilisation des cookies ou des sessions existants.
Accédez à account.criteo.com et saisissez votre adresse e-mail professionnelle.
Vous allez être redirigé vers la page de connexion de votre entreprise.
Se connectez à l'aide de vos identifiants d'entreprise (et non de ceux de votre compte utilisateur Criteo).
Une fois l'authentification réussie, la page « Informations sur le compte utilisateur » s'affichera, indiquant vos informations personnelles. Cela confirme que le test d'authentification unique (SSO) s'est déroulé avec succès.
Une fois le test terminé, vous pourrez accéder à votre plateforme Criteo habituelle comme d'habitude.
Au cours de cette phase, l'authentification unique (SSO) est activée pour chaque utilisateur. Vos autres utilisateurs continueront à se connecter comme d'habitude jusqu'à la mise en service.
Étape 5 : Tests
Vos utilisateurs testent via l'URL fournie par Criteo et vérifient :
qu'ils sont redirigés vers la page de connexion de votre fournisseur d'identité (IdP).
qu'une fois connectés, ils sont redirigés vers leur compte utilisateur Criteo.
qu'ils peuvent voir les bons comptes et les bonnes données.
En cas de problème, veuillez envoyer des captures d'écran ou des messages d'erreur à Criteo via le même fil de discussion par e-mail. L'onboarding peut être annulée sur demande au cours de cette phase.
Étape 6 : Mise en service
Une fois que tous les utilisateurs test auront réussi à se connecter, Criteo activera l'authentification unique (SSO) pour tous les utilisateurs de votre ou vos domaines fédérés à la date convenue.
Si un problème survient après la mise en service, contactez Criteo pour revenir à la version précédente ou corriger la configuration.
Maintenance continue du SSO
Certains champs sont définis lors de la prise en main initiale et ne doivent que rarement être modifiés. D'autres nécessitent des mises à jour périodiques tout au long de la durée de vie de l'onboarding.
Rarement modifié
Ces paramètres sont définis lors de la prise en main et restent fixes :
Identifiant d'entité SP
SP ACS/URL de réponse
Identifiant d'entité IdP
Attribut SAML utilisé pour la mise en correspondance des utilisateurs
Mis à jour au fil du temps
Champ | Pourquoi un changement ? |
|---|---|
Certificat de signature du SP de Criteo | Valable cinq ans à compter de la date d'émission. Criteo vous informera lorsqu'un renouvellement sera nécessaire. |
Votre certificat de signature IdP | La durée de validité dépend de la configuration de votre fournisseur d'identité (IdP). Renouvelez-le avant son expiration — transmettez à l'avance le fichier de métadonnées mis à jour à Criteo. |
Domaines d'e-mail fédérés | Vous pouvez ajouter de nouveaux domaines ou supprimer d'anciens domaines après la mise en service. |
Métadonnées de l'IdP | Une mise à jour peut s'avérer nécessaire en cas de migration des systèmes IdP ou de changement d'environnement. |
Pour mettre à jour l'un de ces champs après la mise en service, contactez votre représentant Criteo.