Comment lier mon compte Microsoft ?

Réponse courte

Si votre administrateur a activé Microsoft SSO pour votre tenant, le bouton « Se connecter avec Microsoft » apparaît sur l’écran de login. Cliquez, authentifiez-vous chez Microsoft, et vous êtes redirigé dans Tickr.

Détails

• Le SSO est opt-in par déploiement : il faut que MS_SSO_ENABLED=true côté serveur. Si vous ne voyez pas le bouton, il n’est pas activé.
• Lors de la première connexion, Tickr n’associe/crée un compte à partir de votre email que si Microsoft atteste que cet email est vérifié (claim xms_edov — voir la note administrateur plus bas) :
  • Si votre email (vérifié) existe déjà dans Tickr, votre compte est lié automatiquement, et vous recevez un email de confirmation.
  • Sinon, Tickr crée un compte + un workspace personnel (à condition que votre domaine email soit dans la whitelist côté serveur).
  • Si Microsoft ne peut pas attester votre email, la connexion n’est pas refusée : Tickr vous envoie son propre lien de vérification à cette adresse. Ouvrez-le dans le même navigateur que celui où vous avez lancé la connexion (dans les 30 min), puis confirmez d’un clic sur la page qui s’ouvre — votre compte est alors créé/lié et vous êtes connecté. C’est la protection contre l’usurpation d’email inter-tenant (nOAuth) : un attaquant qui usurpe votre email ne reçoit jamais ce lien, un antivirus mail qui prévisite le lien ne peut rien déclencher (la connexion exige votre clic), et un lien ouvert depuis un autre navigateur/appareil est refusé (relancez alors la connexion depuis cet appareil).
• Vous pouvez délier votre compte Microsoft dans Settings → Sécurité → Comptes externes. Vous devez d’abord avoir un mot de passe local (Settings → Sécurité → Définir un mot de passe), sinon vous seriez bloqué hors de votre compte.
• Pour un compte créé uniquement via Microsoft, la connexion par mot de passe est refusée avec un message générique (pas de fuite d’existence).

Pour les administrateurs

Le SSO nécessite un prérequis Azure : ajouter l’optional claim xms_edov (ID token) sur l’app registration et activer RemoveUnverifiedEmailClaim. Sans lui, Microsoft n’atteste pas l’email et la plupart des premières connexions passent par le lien de vérification maison (fonctionnel, mais avec un aller-retour email en plus). Les comptes sont identifiés par l’identifiant immuable sub, jamais par l’email (défense nOAuth). La restriction de tenant (MS_SSO_ALLOWED_TENANTS) est optionnelle — vide = ouvert à tous les tenants. Détails : runbook de déploiement §6.