Nous prenons votre sécurité très au sérieux. Zendesk n’a pas accès à votre configuration spécifique, mais nous avons récemment découvert un risque potentiel concernant les clients qui ne vérifient pas les adresses e-mail des utilisateurs par le biais de leur fournisseur d’identité quand ils activent la connexion unique comme méthode d’authentification. Par conséquent, un utilisateur pourrait s’enregistrer lui-même auprès d’un fournisseur d’identité et potentiellement exposer les comptes à des risques.
Quels sont les risques ?
Quand vous utilisez SAML ou JWT pour la connexion unique avec Zendesk, il est de votre responsabilité de vérifier l’identité de vos administrateurs, agents et utilisateurs finaux pour garantir que seuls les utilisateurs vérifiés ont accès à votre compte Zendesk Support ou votre Centre d’aide.
Si les utilisateurs peuvent s’enregistrer pour votre solution de connexion unique avec une adresse e-mail de leur choix et que l’adresse e-mail du nouveau compte n’est pas vérifiée par le fournisseur d’identité, il est possible de s’authentifier dans Zendesk avec ce compte par le biais de votre solution de connexion unique. Un utilisateur pourrait alors utiliser le compte non-vérifié pour accéder aux tickets Zendesk pouvant être associés à l’adresse e-mail du compte non-vérifié.
Que faire ?
Nous vous conseillons vivement de vous rapprocher de votre fournisseur d’identité tiers ou du développeur de la configuration de votre connexion unique actuelle pour vérifier que la vérification des e-mails a bien été mise en place pour les enregistrements des comptes des utilisateurs finaux, des agents et des administrateurs.
Quand un utilisateur s’enregistre pour votre compte, il est important d’exiger qu’il confirme/prouve que l’adresse e-mail lui appartient. En général, il s’agit d’envoyer à cet utilisateur un e-mail avec un lien pour qu’il confirme l’adresse e-mail avec laquelle il s’enregistre.
Certains fournisseurs d’identité peuvent être configurés pour appliquer la vérification des adresses e-mail. Vous trouverez ci-dessous des instructions pour la vérification des adresses e-mail pour certains fournisseurs d’identité et solutions de connexion unique courants :
- Auth0
- Utilisez la règle d’e-mail vérifié pour rendre la vérification des adresses e-mail obligatoire. Pour en savoir plus, consultez : https://auth0.com/rules/email-verified.
-
Okta
- Vérifiez que le paramètre User must verify the email address to be activated (L’utilisateur doit confirmer son adresse e-mail pour être activé) est activé quand vous configurez votre workflow d’auto-enregistrement. Pour en savoir plus, consultez : Activez et configurez une politique d’inscription en self-service
-
LogMeOnce
- Quand vous configurez Zendesk avec LogMeOnce, vérifiez que Yes (Oui) est sélectionné pour Only Verified Accounts (Comptes vérifiés uniquement).
Traduction - exonération : cet article a été traduit par un logiciel de traduction automatisée pour permettre une compréhension élémentaire de son contenu. Des efforts raisonnables ont été faits pour fournir une traduction correcte, mais Zendesk ne garantit pas l’exactitude de la traduction.
Si vous avez des questions quant à l’exactitude des informations contenues dans l’article traduit, consultez la version anglaise de l’article, qui représente la version officielle.
0 commentaire