...

Authentification ProConnect

Dans un premier temps, il faut faire une demande auprès de la plateforme ProConnect : https://partenaires.proconnect.gouv.fr/

La demande se fait en deux phase, test et prod. Il est très simple et rapide d'obtenir des identifiants de test vous permettant de vérifier le fonctionnement du dispositif. 

Vous devrez obligatoirement saisir une adresse de redirection qui sera de cette forme : https://esup-signature.univ-ville.fr/login/oauth2/code/proconnect

Il faudra aussi une adresse de logout : https://esup-signature-demo.univ-rouen.fr/logged-out

Enfin, il faut choisir l'encryption RS256

Une fois les identifiants obtenus, la configuration ProConnect se fait au niveau du fichier application.yml dans la section spring → security.

Voici un exemple qui comprend aussi une configuration FranceConnect, les deux modes étant cumulables. Il s'agit de configurations de TEST (l'issuer esup-signature correspond à l'accès aux web service /ws-jwt)

Une liste de comptes de test est disponible ici : 

https://github.com/numerique-gouv/proconnect-identite/blob/master/scripts/fixtures.sql#L10

spring:
    security:
        oauth2:
            client:
                provider:
                    esup-signature:
                        issuer-uri: https://cas.univ-rouen.fr/oidc
                    proconnect:
                        issuer-uri: https://fca.integ01.dev-agentconnect.fr/api/v2
                    franceconnect:
                        issuer-uri: https://fcp-low.sbx.dev-franceconnect.fr/api/v2
                registration:
                    proconnect:
                        provider: proconnect
                        client-id: xxxxxxx
                        client-secret: xxxxxxx
                        authorization-grant-type: authorization_code
                        scope:
                            - openid
                            - email
                            - usual_name
                            - given_name
                    franceconnect:
                        provider: franceconnect
                        authorization-grant-type: authorization_code
                        client-id: xxxxxx
                        client-secret: xxxxxx
                        scope:
                            - openid
                            - family_name
                            - given_name
                            - email

Pour les tests de connexion, vous devrez utiliser un compte d'une administration publique, hors l'accès ProConnect est, pour l'instant, réserve aux externes, vous serrez donc redirigé vers CAS... (esup-signature compare le nom de domaine du mail avec celui de la conf globale)

Authentification FranceConnect

La configuration FranceConnect fonctionne de la même manière que ProConnect.

La demande est à faire ici : https://espace.partenaires.franceconnect.gouv.fr

On vous demandera en plus une adresse globale du site qui doit etre en https obligatoirement, cela n'est pas bloquant si l'on met https alors que vous faites de l'http (en test par exemple).

L'adresse de redirection sera de cette forme : https://esup-signature.univ-ville.fr/login/oauth2/code/franceconnect

L'adresse de logout : https://esup-signature-demo.univ-rouen.fr/logged-out

Enfin, il faut choisir le l'encryption RS256

Voici la liste des comptes de test FranceConnect :

https://github.com/france-connect/sources/blob/main/docker/volumes/fcp-low/mocks/idp/databases/citizen/base.csv

Mise en production ProConnect et FranceConnect

Lorsque tout fonctionne, que ça soit ProConnect ou FranceConnect, vous devrez, via démarche simplifiée, faire une demande de mise en production pour obtenir des identifiants de production. Voici les deux guides disponibles :

https://partenaires.proconnect.gouv.fr/docs/fournisseur-service/recommandation_parcours

https://docs.partenaires.franceconnect.gouv.fr/fs/devenir-fs/projet-qualification-fs/

Fonctionnement de l'authentification OTP par SMS

Pour l'utilisation des SMS, il faut configurer un système d'envoi via la configuration suivante Configuration#sms

Pour envoyer une demande de signature à une personne externe, le processus est le le même que pour une personne de l'établissement. 

...

Authentification de l'utilisateur externe

Lorsque la demande est envoyée, le destinataire externe reçoit un mail contenant un lien à usage unique : 

...

Lorsque le destinataire clique sur le lien, un SMS lui est envoyé. Il peut alors saisir le code reçu sur la page de connexion :

Voici un aperçu de la page de connexion d'un externe dans le cas où tous les modes sont configurés :

Image AddedImage Removed

Si tout correspond, l'utilisateur est connecté et obtient le rôle OTP qui lui permet de configurer son profil (signature calligraphique et/ou certificat) et lui donne la possibilité de signer le(s) document(s)d'accéder pour une durée limitée à la demande de signature. L'interface pour les externes a été simplifiée, ils peuvent, sur la page de la demande, compléter leurs nom et prénom et ajouter ou dessiner une image de signature.