Adobe Acrobat Sign : méthodes d’authentification de l’identité

Authentification de l’identité

L’authentification de l’identité d’un destinataire est un élément important du système Acrobat Sign, qui permet d’obtenir une signature légale et réduire le nombre de rejets.

Toutefois, les exigences en matière d’authentification de l’identité varient en fonction des objectifs de l’entreprise. Tenez compte des différents niveaux de confirmation de l’identité que vous demanderiez pour les transactions suivantes :

• Demande de congé au travail
• Bulletin scolaire d’un enfant
• Inscription à un événement privé
• Abonnement à une salle de sport
• Accès à des dossiers médicaux
• Documents conformes à la réglementation CFR 21 Part 11

Acrobat Sign fournit un ensemble de commandes qui permettent de définir les types d’authentification au niveau du compte et du groupe, avec des valeurs par défaut à définir, afin de rationaliser l’expérience de l’expéditeur et de mieux garantir la conformité aux stratégies de signature de la société.

Plus une méthode d’authentification est robuste, plus le processus de signature est complexe. Les administrateurs doivent donc configurer les paramètres par défaut du compte ou du groupe pour prendre en charge l’authentification la plus courante, en optant pour l’option la moins complexe lorsque cela est possible, et en autorisant des options modifiables si certaines transactions nécessitent des solutions plus complexes.

Terminologie importante

Destinataires internes et destinataires externes

Les commandes d’authentification permettent de configurer des méthodes pour authentifier deux types de destinataires, internes et externes :

• Les destinataires internes comprennent tous les utilisateurs actifs (identifiés par leur adresse e-mail) du même compte Acrobat Sign à partir duquel l’accord a été envoyé.
  
  • Une liste des utilisateurs de votre compte est une liste de tous les utilisateurs internes.
  • Peu importe le groupe auquel le destinataire appartient, tant que l’utilisateur se trouve dans la même structure de compte.
• Les destinataires externes comprennent toutes les adresses électroniques des destinataires qui ne sont pas associées à un utilisateur interne.
  • Toute adresse électronique non incluse dans une liste d’utilisateurs au niveau du compte est un utilisateur externe.

Distinguer ainsi les destinataires permet aux workflows d’exploiter l’authentification de haut niveau pour les destinataires externes et une authentification plus économique pour les utilisateurs internes.

Méthodes d’authentification à facteur unique des destinataires

Authentification Acrobat Sign

L’authentification Acrobat Sign invite le destinataire à s’authentifier sur le système Acrobat Sign.

Cette méthode est principalement utilisée comme option de contre-signature peu rigoureuse pour vos destinataires internes lorsque vos exigences de signature nécessitent un événement consigné et authentifié.

Les destinataires sont invités à s’authentifier auprès d’Acrobat Sign avant de pouvoir interagir avec le contenu de l’accord :

Pour plus d’informations sur l’authentification Adobe Sign, cliquez ici >

Mot de passe à usage unique par e-mail

La méthode d’authentification par mot de passe à usage unique par e-mail (OTPvEm) fournit une authentification à un seul facteur, offrant ainsi une certaine protection avec un minimum de contraintes pour l’utilisateur.

La méthode d’authentification OTPvEm est considérée comme une méthode d’authentification à facteur unique, car le mot de passe à usage unique est envoyé à la même adresse e-mail que le lien de signature d’origine. Cependant, OTPvEm n’exige pas des utilisateurs qu’ils créent un compte ou qu’ils se connectent à une autre application. Il leur suffit d’accéder à leur messagerie, ce qui permet de réduire le niveau de rigueur de cette méthode.

De plus, l’utilisation de la méthode OTPvEm offre une sécurité renforcée par rapport au simple recours au lien par e-mail. Par exemple :

• L’accès à un e-mail ne signifie pas que la messagerie est compromise. L’authentification OTMvEm préserve la sécurité de l’accord si un lien est affiché dans l’e-mail, mais que la boîte de réception est sécurisée.
  
• Supposons qu’un e-mail d’accord ne soit pas correctement transféré (par opposition à une délégation appropriée). Dans ce cas, la demande OTPvEm empêche l’accès à l’accord, préservant l’intégrité du rapport d’audit par rapport à l’e-mail du signataire identifié et au signataire réel.

Le destinataire doit saisir le mot de passe dans les 60 secondes suivant la demande du code. Une fois le code saisi, le destinataire peut interagir avec l’accord.

Pour plus d’informations sur l’authentification par mot de passe à usage unique par e-mail, cliquez ici >

Authentification à deux facteurs (2FA)

Acrobat Sign prend en charge plusieurs méthodes d’authentification à deux facteurs pour les transactions de plus grande valeur qui nécessitent plus que de simples authentifications à facteur unique.

La méthode d’authentification est généralement fonction du type de document ou du secteur d’activité des parties concernées. Il incombe à l’administrateur de comprendre leurs stratégies de signature internes et les éventuelles exigences de conformité.

Vous trouverez ci-dessous un résumé des options d’authentification à deux facteurs disponibles avec des liens vers des descriptions plus détaillées :

Méthodes d’authentification des signataires Premium

Téléphone, KBA, Pièce d’identité officielle, et Signatures digitales dans le cloud sont des méthodes d’authentification Premium.

Ces méthodes Premium sont limitées dans leur usage et doivent être achetées avant utilisation. Pour plus de détails, contactez votre responsable du succès client ou votre agent commercial.

Seuils d’annulation automatique

Toutes les méthodes d’authentification à deux facteurs ont des seuils configurables qui annulent l’accord lorsqu’un destinataire ne parvient pas à s’authentifier après un certain nombre de tentatives.

• Le propriétaire de l’accord (expéditeur) sera informé que l’accord est annulé.
  • Seul l’expéditeur est averti.
  • Les accords annulés ne peuvent pas redevenir actifs. Un nouvel accord doit être créé.

Vérification de l’identité numérique

Identité numérique La vérification utilise un fournisseur d’identité Federated (IdP) possédant une licence externe pour le service Acrobat Sign et qui doit être configuré afin d’être accessible lors de la création d’accords.

Des détails complets sur la solution d’identité numérique sont disponibles ici >

Les détails de l’expérience du destinataire varient en fonction du fournisseur d’identité utilisé par l’expéditeur. À un niveau supérieur, le destinataire est informé que la vérification de l’identité doit être résolue par le biais d’un fournisseur d’identité Federated, à l’aide d’un bouton Vérifier l’identité disponible pour déclencher le processus de vérification.

Sélection de la méthode d’authentification par les expéditeurs

Lors de la configuration d’un accord, l’expéditeur peut choisir une méthode d’authentification dans un menu déroulant situé à droite de l’adresse électronique du destinataire.

La plupart des méthodes d’authentification peuvent être configurées comme valeur par défaut sélectionnée afin de simplifier le processus d’envoi. Seules les options Identité numérique ne peuvent pas être configurées comme valeur d’authentification par défaut.

Expérience du destinataire

En règle générale, un destinataire est d’abord informé d’un accord en attente par e-mail.

• Si l’accord est envoyé sans authentification (Aucune) , le fait de sélectionner le bouton Vérifier et signer dans l’e-mail ouvre l’accord pour consultation et action.
• Si l’accord est configuré avec une méthode d’authentification supplémentaire, le fait de sélectionner le bouton Vérifier et signer dans l’e-mail ouvre la page de demande d’authentification.
  • Une fois cette authentification terminée, l’accord est ouvert et autorise les interactions.
    

Événements du rapport d’audit

Chaque méthode d’authentification à deux facteurs comporte un message de réussite explicite qui identifie la méthode utilisée.

Si l’option Aucune (authentification) est sélectionnée, le rapport d’audit indique uniquement que le document a été signé :

Options et paramètres par défaut configurables

Commandes d’administration

Pour accéder aux paramètres au niveau du compte, connectez-vous en tant qu’administrateur de compte Adobe Sign et accédez à Paramètres du compte > Paramètres d’envoi > Options d’identification du signataire

Toutes les commandes peuvent être également configurées au niveau du groupe. Rappelez-vous que :

• Tous les groupes héritent des paramètres de compte par défaut.
• Les configurations au niveau du groupe remplacent les paramètres au niveau du compte.
• Toutes les options disponibles sur la page Envoyer sont dérivées des paramètres du groupe à partir duquel l’accord est envoyé.

Les commandes sont divisées en deux sections :

• Options d’identification du signataire : ensemble principal de paramètres d’authentification de l’identité. Ces valeurs sont appliquées à tous les destinataires de tous les accords créés dans le groupe d’envoi avec les exceptions suivantes :
  • processus basés sur l’API, qui peuvent restreindre les options de l’expéditeur (intégrations, workflows, applications personnalisées) ;
    
  • lorsque Autoriser différentes méthodes d’authentification d’identité pour les destinataires internes est activée (voir ci-dessous).
    
• Authentification d’identité pour les destinataires internes : ce sous-ensemble de paramètres permet au groupe de définir un ensemble de méthodes d’authentification de l’identité différent pour les destinataires internes. Les avantages sont les suivants :
  • Moins de contraintes pour les signataires internes.
  • Un processus de signature moins complexe accélère la signature par les destinataires qui pourraient devoir contresigner plusieurs accords.
  • Les coûts de l’authentification Premium peuvent être évités pour les destinataires internes.

Méthodes d’authentification de l’identité

Principales commandes d’authentification :

• Exiger des expéditeurs qu’ils spécifient l’une des méthodes d’authentification autorisées pour les destinataires : lorsque cette option est activée, vous devez sélectionner une méthode d’authentification autre que par Aucune comme méthode d’authentification par défaut. L’option Aucune peut ne pas être sélectionnée.
  
• Autoriser Acrobat Sign à renseigner automatiquement l’adresse e-mail des signataires pour chaque demande d’authentification : ce paramètre s’applique uniquement à la méthode d’authentification Acrobat Sign. Lorsque cette option est activée, l’adresse e-mail du destinataire est automatiquement insérée là où elle est nécessaire pour l’authentification.
• Ne pas demander au signataire de s’authentifier à nouveau s’il est déjà connecté à Acrobat Sign : lorsque cette option est activée, les signataires ne seront pas invités à s’authentifier à nouveau s’ils sont actuellement connectés à Acrobat Sign.
• Autoriser les expéditeurs à télécharger un rapport d’identité du signataire pour les accords contenant des signatures vérifiées : les rapports d’identité du signataires (SIR) sont disponibles pour les méthodes d’authentification Pièce d’identité officielle et Identité numérique. Lorsque ce paramètre est activé, il permet à l’expéditeur de l’accord de télécharger le SIR à partir de sa page Gérer.
  
• Autoriser les méthodes d’authentification d’identité suivantes : ce paramètre introduit la liste des options d’authentification disponibles pour les expéditeurs.  Sélectionnez une ou plusieurs options en fonction de vos besoins en matière de sécurité et de conformité.
• Par défaut, utiliser la méthode suivante : établit la méthode d’authentification par défaut insérée quand un destinataire est ajouté à un nouvel accord.
• Autoriser les expéditeurs à modifier la méthode d’authentification par défaut : si cette option est activée, l’expéditeur peut sélectionner toute méthode activée.
  
  • Si elle est désactivée, seule la méthode d’authentification par défaut peut être employée.

Authentification d’identité pour les destinataires internes

Les commandes pour les destinataires internes indiquent les options que vous souhaitez appliquer aux destinataires internes :

• Autoriser différentes méthodes d’authentification d’identité pour les destinataires internes : lorsque cette option est activée, les destinataires internes sont traités comme une exception aux règles d’authentification principales et reçoivent plutôt les options d’authentification par défaut définies dans la section Authentification d’identité pour les destinataires internes.
  
• Autoriser les méthodes d’authentification d’identité suivantes : cette option introduit la liste des options disponibles pour l’authentification des destinataires internes.  Sélectionnez une ou plusieurs options en fonction de vos besoins en matière de sécurité et de conformité.
  • L’authentification Adobe Sign fournit une méthode d’authentification peu rigoureuse/moins onéreuse si vos expéditeurs sont également contre-signataires.
    
• Par défaut, utiliser la méthode suivante : établit la méthode par défaut pour les destinataires internes lors de la création d’un nouvel accord.
  
• Autoriser les expéditeurs à modifier la méthode d’authentification par défaut : cette option permet à l’expéditeur de modifier la méthode d’authentification par défaut pour toute autre option activée par l’administrateur.

Exception à l’authentification d’identité dans un formulaire web

Les formulaires web sont utilisés dans divers cas d’utilisation uniques. Une authentification stricte de l’identité n’est pas si souvent exigée.  

Pour les comptes/groupes qui n’ont pas besoin d’authentifier les signatures d’un formulaire web, l’option permettant de désactiver la vérification par e-mail peut être configurée comme suit :

• Accédez à Paramètres du compte > Paramètres généraux > Formulaires web (pour les paramètres au niveau du compte).
  
  • Modifiez Groupe : {Nom du groupe} > Paramètres de groupe > Formulaires web (pour les paramètres au niveau du groupe).
• Décochez l’option Exiger du signataire qu’il vérifie son adresse électronique pour accepter les signatures d’un formulaire web sans vérification.
  • Supprimer l’obligation de vérification de signature dans les formulaires web ne supprime pas l’obligation pour le signataire de fournir une adresse e-mail.

Bonnes pratiques et autres considérations

• Toutes les méthodes et options d’authentification peuvent être configurées au niveau du compte et du groupe.
• Tous les groupes héritent leurs valeurs par défaut des paramètres de niveau compte. Définissez vos paramètres de niveau compte pour tirer le meilleur parti de l’application automatique des propriétés afin de gagner du temps lors de la configuration des groupes par la suite.
• Les accords sont soumis aux options d’authentification correspondant au groupe d’où provient l’accord. Si vous ne voyez pas les options que vous attendiez, vérifiez vos paramètres de niveau groupe.
  
• Évaluez vos exigences en matière d’authentification de l’identité en fonction des types de documents que vous envoyez et de leur éventuel devoir de conformité à une réglementation en vigueur. Si une authentification Premium est requise, assurez-vous que le volume de transactions nécessaire pour le nombre de destinataires a été acheté.
• L’authentification par pièce d’identité officielle : (i) n’est pas destinée à des workflows de signature électronique et des cas d’utilisation réglementés ou de grande valeur ; (ii) ne peut identifier tous les documents d’identification frauduleux ou « faux » et (iii) ne peut remplacer la nécessité d’un examen par un humain.
• Déterminez si certains flux de signature nécessitent l’authentification à deux facteurs, par exemple :
  • Signatures hébergées.
  • Solutions personnalisées conçues pour supprimer les notifications par e-mail (par exemple Workday).
    
  • Flux de signature qui cherchent à obtenir des signatures légales de deux destinataires ou plus à l’aide de la même adresse électronique (partagée).
    
• Identifiez s’il peut être utile d’avoir des normes d’authentification différentes pour les destinataires internes.
• Les comptes ayant accès à des workflows personnalisés peuvent définir des méthodes d’authentification très précises pour chacun des flux de signature. Cela permet de réduire le niveau de rigueur par défaut (et potentiellement un volume plus important d’exigences), tout en garantissant la conformité aux processus de signature critiques.
• N’oubliez pas que les méthodes d’authentification individuelles doivent être activées pour être mises à disposition d’autres services. L’activation d’une méthode la rend accessible pour :
  • les autres commandes administratives, tels que les Paramètres de sécurité pour les méthodes d’authentification à deux facteurs,
    
  • les utilisateurs à sélectionner lors du processus d’envoi standard,
  • les workflows personnalisés intégrés au concepteur de workflows,
  • les événements d’envoi pilotés par API,
  • l’accès à l’intégration (Dynamics, Salesforce).