Comment fonctionnent les liens magiques

Les liens magiques sont le moyen par lequel Katalyz authentifie tout le monde — membres de votre espace de travail comme acheteurs qui visitent les Espaces. Comprendre leur fonctionnement vous aide à expliquer l'expérience aux acheteurs et à résoudre les problèmes.

Les bases

Un lien magique est une URL unique envoyée à une adresse email précise. Cliquer dessus connecte cette personne. C'est tout le mécanisme — pas de mot de passe, pas de formulaire d'inscription.

Ce qui rend un lien « magique »

Trois propriétés :

1. Unique — généré spécifiquement pour une adresse email
2. En un clic — cliquer authentifie automatiquement
3. Limité dans le temps — expire au bout de 48 heures

Dans les coulisses

Quand quelqu'un tente d'accéder à un Espace :

1. Il saisit son email (ou celui-ci est déjà connu grâce à une invitation)
2. Katalyz génère un jeton signé lié à cet email
3. Le jeton est intégré dans une URL envoyée par email
4. Cliquer sur l'URL authentifie la session pour cet email

Le jeton est signé cryptographiquement — il ne peut être ni falsifié ni manipulé.

La page de connexion de l'Espace

Quand un visiteur arrive via l'URL brute de l'Espace plutôt que par son lien personnel, il voit la page de connexion de l'Espace, aux couleurs de votre logo et du sien :

• la page de connexion de l'Espace — une invitation à saisir son adresse pour entrer (ou un écran de retour — une invitation à saisir son adresse pour reprendre où il s'était arrêté lors d'une visite de retour)
• Un seul champ : adresse e-mail professionnelle, puis Continue. Une mention précise : un rappel des conditions d'utilisation
• Pour les Espaces réglés sur Code d'accès magique, un second écran — un écran confirmant l'envoi — demande le le code d'accès (6 chiffres) avec Verify & access.

Le nom et la fonction ne font pas partie de la connexion. Environ une minute après la saisie, une petite carte Mind introducing yourself? (facultatif, pour que l'équipe sache qui est dans l'Espace) propose First name / Last name / Job title avec le report / l'enregistrement. Les visiteurs peuvent aussi la remplir plus tard depuis leur avatar dans la barre du haut (l'invite à compléter son profil).

Pourquoi c'est pratique (et où cela s'arrête en matière de sécurité forte)

• Pas de mots de passe — rien à retenir, à hameçonner ou à casser par force brute
• Émission liée à l'email — recevoir le lien suppose d'avoir accès à la boîte mail au moment de l'émission
• Expiration courte — les liens expirent au bout de 48 heures, ce qui limite la fenêtre en cas d'interception

Ce que les liens magiques ne font pas à eux seuls :

• Ce sont des jetons au porteur — quiconque dispose de l'URL peut l'utiliser pendant sa durée de validité. Un lien transféré emporte l'identité d'origine.
• Ils ne re-vérifient pas le porteur à chaque utilisation. Pour cela, ajoutez le mode d'accès Code d'accès magique sur l'Espace.

Liens magiques et transfert

Un lien magique est lié à l'email pour lequel il a été émis, pas à l'appareil ni à la personne qui clique. Donc si quelqu'un transfère son lien magique à un collègue, le collègue sera connecté sous l'identité du destinataire d'origine — même identité, mêmes permissions, même attribution d'activité.

Autrement dit :

• Le suivi d'activité devient trompeur — les actions de celui qui a reçu le transfert sont enregistrées au nom de la personne d'origine.
• Ce n'est PAS une frontière de sécurité — les liens magiques doivent être traités comme des identifiants au porteur. Quiconque a l'URL détient cette identité.

Si vous avez besoin de la garantie que seule la personne destinataire entre, utilisez Code d'accès magique comme mode d'accès de l'Espace (il exige un nouveau code à 6 chiffres à chaque nouvelle session, une URL transférée seule ne suffit donc pas à entrer).

⚠️ Dites à vos acheteurs de ne pas transférer leur lien personnel. Cela revient à transférer un mot de passe.

Les liens magiques dans les modes d'accès

• Toute personne ayant le lien — les visiteurs arrivant par l'URL brute saisissent un email sur la page de connexion ; aucune vérification
• Toute personne ayant le lien — aucune connexion pour lire ; la page de connexion n'apparaît que lorsqu'un visiteur veut commenter, partager ou suivre les notifications
• Uniquement les utilisateurs autorisés — l'email saisi sur la page de connexion doit correspondre à votre liste ou à un domaine autorisé
• Code d'accès magique — étape supplémentaire de code à 6 chiffres avant l'ouverture de la session

Voir Choisir le bon mode d'accès.

Quand les liens magiques échouent

Causes les plus fréquentes :

• Expiré (la fenêtre de 48 heures est passée)
• Déjà utilisé (un seul clic)
• Email bloqué (échec de distribution)
• Utilisateur retiré de la liste des autorisés

Voir Je n'ai pas reçu le lien magique.

Articles associés

• Les liens magiques expliqués
• Choisir le bon mode d'accès
• Se connecter avec un lien magique

Mis à jour le : 26/10/2026