Authentification SSO

Le SSO (Single Sign-On) de Saasy te permet d'identifier automatiquement tes utilisateurs dans le widget sans qu'ils aient à se reconnecter. C'est la méthode d'identification recommandée pour toute application SaaS qui dispose déjà d'un système de comptes.

Pourquoi utiliser le SSO

Par défaut, le widget Saasy propose deux modes d'identification basiques :

• Invite (Guest) : l'utilisateur saisit manuellement son email et son nom avant de soumettre du feedback. L'identité n'est pas garantie — n'importe qui peut entrer n'importe quelle adresse.
• Anonyme : aucune identification, le feedback est complètement anonyme. Simple, mais tu perds toute possibilité de suivi.

Avec le SSO, tu contournes ces limitations :

• Identité vérifiée — tu contrôles les données transmises au widget depuis ton serveur. L'utilisateur n'a rien à saisir.
• Suivi des votes — les votes sont associés à un compte réel, ce qui évite la fraude et les doublons.
• Personnalisation — tu peux passer des attributs (plan, role, entreprise) qui te permettront de filtrer le feedback et de cibler tes sondages avec précision.
• Expérience utilisateur transparente — le widget connaît déjà l'utilisateur. Le friction est zéro.

Comment ca marche

Le flux SSO de Saasy repose sur un JWT (JSON Web Token) signé côté serveur :

1. Lorsqu'un utilisateur charge ton application, ton serveur génère un JWT signé avec ta SSO Key.
2. Ce token est passé au widget via la configuration window.SaasyConfig.
3. Quand le widget s'initialise, il envoie le token à l'API Saasy.
4. L'API Saasy vérifie la signature et identifie l'utilisateur en créant ou mettant à jour son profil.
5. La session est établie — l'utilisateur est reconnu dans tous les modules du widget.

Le token expire après une heure. Si l'utilisateur garde l'onglet ouvert longtemps, le widget recharge automatiquement la configuration au moment de la prochaine interaction.

Récupérer ta SSO Key

1. Connecte-toi à ton tableau de bord Saasy.
2. Sélectionne l'application concernée.
3. Va dans Paramètres > SSO.
4. Copie la valeur du champ SSO Key.

Si tu n'as pas encore activé le SSO pour cette application, clique sur Activer le SSO sur cette même page. Saasy génère alors une clé unique pour ton application.

Générer un JWT côté serveur

Voici comment signer le token dans les langages les plus courants. Dans tous les cas, utilise ta SSO Key comme secret de signature et fixe une expiration à une heure.

npm install jsonwebtoken

const jwt = require('jsonwebtoken');

const ssoToken = jwt.sign({
  externalId: user.id,
  email: user.email,
  name: user.name,
  avatar: user.avatarUrl,
  attributes: {
    plan: user.plan,
    role: user.role,
  },
  companies: [
    {
      name: user.company.name,
      externalId: user.company.id,
      plan: user.company.plan,
      monthlySpend: user.company.mrr,
    },
  ],
}, process.env.SAASY_SSO_KEY, { expiresIn: '1h' });

Passer le token au widget

Une fois le token généré et transmis à ton front-end, passe-le dans la configuration du widget via le champ ssoToken :

<script>
  window.SaasyConfig = {
    embedKey: "TON_EMBED_KEY",
    appKey: "TON_APP_KEY",
    ssoToken: "LE_TOKEN_GENERE_PAR_TON_SERVEUR",
  };
</script>
<script
  src="https://cdn.saasy.fr/widget.js"
  async
  defer
></script>

Si tu utilises React ou un autre framework avec rendu serveur (Next.js, Remix, Nuxt), tu peux injecter le token directement dans ta page :

// Exemple Next.js — pages/_app.tsx ou app/layout.tsx
window.SaasyConfig = {
  embedKey: process.env.NEXT_PUBLIC_SAASY_EMBED_KEY,
  appKey: process.env.NEXT_PUBLIC_SAASY_APP_KEY,
  ssoToken: props.ssoToken, // passe depuis getServerSideProps ou un Server Component
};

Détail du payload JWT

Voici la liste complète des champs acceptés dans le payload du token :

Structure d'un objet entreprise

Dépannage

Signature invalide

Si le widget retourne une erreur invalid_signature, cela signifie que le token n'a pas été signé avec la bonne SSO Key. Vérifie que :

• Tu utilises bien la SSO Key de l'application concernée (et non une clé d'une autre application).
• La variable d'environnement SAASY_SSO_KEY est correctement définie dans ton environnement de production.
• Tu n'as pas de caractère parasite (espace, retour à la ligne) dans la valeur de la clé.

Token expiré

Le token a une durée de vie d'une heure (expiresIn: '1h'). Si tu vois une erreur token_expired, c'est que le token a été généré il y a plus d'une heure avant d'être utilisé. Génère toujours le token au moment du chargement de la session ou de la page, jamais à l'avance dans un cron ou une cache de longue durée.

Champs manquants

Les champs externalId, email et name sont obligatoires. Si l'un d'eux est absent, le widget refusera le token et l'erreur missing_required_fields sera remontée dans la console. Vérifie que l'objet utilisateur que tu passes au moment du jwt.sign() contient bien ces trois valeurs et qu'elles ne sont pas null ou undefined.