---
title: "SSO SAML avec Thales pour les administrateurs - Payhawk Help Center"
slug: "setting-up-saml-sso-with-thales-safenet-trusted-access"
description: "Configurez l'authentification unique SAML entre Payhawk et Thales SafeNet Trusted Access : ajoutez l'application, mappez l'e-mail et envoyez les métadonnées."
updated: 2026-10-23T07:51:18Z
published: 2026-10-23T07:51:18Z
canonical: "payhawk.com/setting-up-saml-sso-with-thales-safenet-trusted-access"
---

> ## Documentation Index
> Fetch the complete documentation index at: https://payhawk.com/help/llms.txt
> Use this file to discover all available pages before exploring further.

# Configuration de l'authentification SSO SAML avec Thales SafeNet Trusted Access

Payhawk prend en charge l'authentification unique SAML v2.0, ce qui permet à votre équipe de se connecter avec ses identifiants [Thales SafeNet Trusted Access (STA)](https://cpl.thalesgroup.com/access-management/safenet-trusted-access) existants, sans avoir à utiliser un mot de passe distinct.

> [!WARNING]
> SAML ne prend pas en charge l'authentification initiée par le fournisseur d'identité (IdP). Vos utilisateurs doivent toujours commencer par la page de connexion Payhawk. L'authentification à deux facteurs (2FA), lorsqu'elle est activée, reste applicable, et l'authentification unique (SSO) ne la remplace pas.

## Avant de commencer

- Vous devez disposer d'un accès administrateur à la console SafeNet Trusted Access.
- Vous devez disposer des droits d'administrateur Payhawk sur Payhawk pour coordonner la configuration.
- Préparez vos domaines d'authentification (par exemple, `votreentreprise.com`), c'est-à-dire les domaines de messagerie utilisés par vos utilisateurs pour se connecter.
- L'adresse e-mail enregistrée dans SafeNet Trusted Access pour chaque utilisateur doit correspondre exactement à l'adresse e-mail de son compte Payhawk sur la plateforme. Toute discordance entraîne des échecs de connexion ou la création de doublons.

## Paramètres du fournisseur de services (SP) Payhawk

Pour configurer l'application SAML dans SafeNet Trusted Access, utilisez les valeurs suivantes. Elles sont identiques pour tous les clients.

| Paramètre | Valeur |
| --- | --- |
| URI d'audience / Identifiant d'entité SP | `urn:amazon:cognito:sp:eu-central-1_mcW4Iwl7p` |
| URL ACS / Service consommateur d'assertions / URL d'authentification unique | `https://id.payhawk.com/saml2/idpresponse` |
| Format de l'ID de nom | `Adresse e-mail` |
| Attribut requis | `e-mail`, l'adresse e-mail de l'utilisateur |

## Création et configuration de l'application SAML

1. Connectez-vous à la console **SafeNet Trusted Access** en tant qu'administrateur.
2. Accédez à l'onglet **Applications** et sélectionnez **Ajouter une application**.
3. Recherchez **Payhawk** dans le catalogue d'applications. Si elle n'y figure pas, sélectionnez **Ajouter une application personnalisée** et choisissez l'option SAML (modèle ou manuelle).
4. Nommez l'application **Payhawk**. Vous pouvez également ajouter le logo Payhawk et une description afin que les utilisateurs la reconnaissent dans leur portail Mes applications.
5. Dans la configuration SAML de l'application, saisissez les valeurs du fournisseur de services Payhawk :
  - Dans le champ **ID d'entité SP / Audience**, saisissez : `urn:amazon:cognito:sp:eu-central-1_mcW4Iwl7p`
  - Pour **URL Assertion Consumer Service (ACS) / URL de réponse**, saisissez : `https://id.payhawk.com/saml2/idpresponse`
  - Laissez le champ **État par défaut du relais** vide.
  - Pour le format **ID de nom**, sélectionnez l'adresse e-mail (`urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress`) et définissez la valeur sur l'adresse e-mail de l'utilisateur.
6. Conservez le flux exclusivement sous la forme **initiée par le SP**. N'activez pas l'authentification unique (SSO) initiée par l'IdP, car Payhawk ne la prend pas en charge.
7. Signez l'assertion SAML avec le certificat de signature STA. Il s'agit du paramètre par défaut dans SafeNet Trusted Access ; il doit rester activé.

## Mappage de l'attribut e-mail

La plateforme requiert un seul attribut nommé `e-mail`.

1. Dans la section **Attributs** de l'application, ajoutez un mappage avec le nom d'attribut du fournisseur de services `e-mail` et la valeur définie sur l'adresse e-mail SafeNet Trusted Access de l'utilisateur.
2. Vérifiez que l'attribut est inclus dans l'assertion SAML envoyée à Payhawk.

## Attribution des utilisateurs

1. Attribuez l'application à les utilisateurs et groupes concernés dans SafeNet Trusted Access.
2. Vérifiez que chaque utilisateur attribué a un e-mail valide qui correspond à son compte Payhawk.

## Exportation des métadonnées IdP et envoi sur Payhawk

1. Ouvrez l'application que vous avez créée et localisez le téléchargement des métadonnées SAML (métadonnées IdP).
2. Téléchargez le fichier XML des métadonnées IdP. Il contient le point de terminaison SSO STA, l'identifiant d'entité et le certificat de signature requis par Payhawk.
3. Contactez votre responsable d'implémentation Payhawk et fournissez-lui le fichier XML contenant les métadonnées de l'IdP, votre ou vos domaine(s) d'authentification, ainsi que la confirmation du mappage de l'attribut `e-mail`.

La plateforme finalise la configuration backend et confirme lorsque le SSO est prêt à être testé.

## Test de la connexion

1. Accédez à la page de connexion Payhawk.
2. Saisissez une adresse e-mail professionnelle associée à un domaine sur lequel le SSO est activé.
3. Authentifiez-vous avec SafeNet Trusted Access et effectuez toute étape STA requise (notification push, OTP ou 2FA).
4. Si l'opération aboutit, vous serez redirigé(e) vers Payhawk en tant qu'utilisateur connecté.

## Dépannage

- Si vous êtes redirigé(e) vers la page de connexion ou si l'accès vous est refusé, veuillez vérifier que l'attribut `e-mail` est bien envoyé et que sa valeur correspond exactement à l'adresse e-mail du compte Payhawk.
- Application non attribuée : l'utilisateur n'est pas attribué à Payhawk dans SafeNet Trusted Access.
- La connexion initiée par le fournisseur d'identité (IdP) échoue : ce comportement est attendu. Les utilisateurs doivent démarrer depuis la page de connexion Payhawk.