Comment fonctionnent les liens magiques
Les liens magiques sont la méthode utilisée par Katalyz pour authentifier tout le monde — les membres de votre espace de travail comme les acheteurs qui visitent les Espaces. Comprendre leur fonctionnement vous aide à expliquer l'expérience aux acheteurs et à résoudre les problèmes éventuels.
Les bases
Un lien magique est une URL unique envoyée à une adresse e-mail spécifique. Cliquer dessus connecte cette personne. C'est tout le mécanisme — pas de mot de passe, pas de formulaire d'inscription.
Ce qui rend un lien « magique »
Trois propriétés :
- Unique — généré spécifiquement pour une adresse e-mail
- En un clic — cliquer authentifie automatiquement
- Limité dans le temps — expire après 48 heures
En coulisses
Lorsque quelqu'un tente d'accéder à un Espace :
- Il saisit son e-mail (ou celui-ci est déjà connu via une invitation)
- Katalyz génère un jeton signé lié à cet e-mail
- Le jeton est inclus dans une URL envoyée par e-mail
- Cliquer sur l'URL authentifie la session pour cet e-mail
Le jeton est cryptographiquement signé — il ne peut être ni falsifié, ni manipulé.
Pourquoi c'est pratique (et où cela s'arrête côté sécurité forte)
- Aucun mot de passe — rien à retenir, à hameçonner ou à attaquer par force brute
- Émission liée à l'e-mail — recevoir le lien nécessite d'avoir accès à la boîte de réception au moment de l'émission
- Expiration courte — les liens expirent après 48 heures, limitant la fenêtre en cas d'interception
Ce que les liens magiques ne font pas à eux seuls :
- Ce sont des jetons au porteur — toute personne disposant de l'URL peut l'utiliser pendant sa période de validité. Les liens transférés portent l'identité d'origine.
- Ils ne revérifient pas le porteur à chaque utilisation. Pour cela, ajoutez la vérification par code magique comme paramètre d'accès de l'Espace.
Liens magiques et transfert
Un lien magique est lié à l'e-mail pour lequel il a été émis, pas à l'appareil ni à la personne qui clique dessus. Donc si quelqu'un transfère son lien magique à un collègue, le collègue sera connecté en tant que destinataire d'origine — même identité, mêmes permissions, même attribution d'activité.
Cela signifie :
- Le suivi d'activité devient trompeur — les actions du destinataire du transfert sont enregistrées sous le nom de la personne d'origine.
- Ce n'est PAS une frontière de sécurité — les liens magiques doivent être traités comme des identifiants au porteur. Toute personne disposant de l'URL détient cette identité.
Si vous avez besoin d'une véritable vérification d'identité par personne, utilisez la vérification par code magique comme paramètre d'accès de l'Espace (elle exige un nouveau code à 6 chiffres à chaque nouvelle session, donc une URL transférée seule ne suffira pas pour entrer).
⚠️ Dites à vos acheteurs de ne pas transférer leur lien personnel. C'est l'équivalent de transférer un mot de passe.
Liens magiques dans les paramètres d'accès
- Toute personne ayant le lien — pas de flux de lien magique ; l'URL seule donne accès
- E-mails autorisés uniquement — les acheteurs vérifient leur e-mail et reçoivent un lien magique personnel
- Vérification par code magique — étape supplémentaire avec un code à 6 chiffres avant l'émission du lien magique
Quand les liens magiques échouent
Causes les plus fréquentes :
- Expiré (fenêtre de 48 heures dépassée)
- Déjà utilisé (un seul clic possible)
- E-mail bloqué (échec de livraison)
- L'utilisateur a été retiré de la liste autorisée
Voir Je n'ai pas reçu le lien magique.
Articles liés
Mis à jour le : 18/06/2026
Merci !