Créer un domaine d'authentification WiKID

TL;DR

Ce guide explique comment créer et configurer un domaine d’authentification WiKID sur un serveur WiKID Strong Authentication. Il décrit les paramètres obligatoires, les implications pour les appareils clients et propose des listes de contrôle, des scénarios d’échec et des alternatives pour la production. Lisez le sommaire et la checklist avant de modifier un domaine en production.

Contexte et concept

Le système d’authentification WiKID utilise des « domaines d’authentification » pour segmenter l’autorité d’authentification. Un domaine définit l’ensemble des règles et des paramètres appliqués aux appareils et aux utilisateurs qui s’y enregistrent. Un serveur WiKID Strong Authentication peut gérer plusieurs domaines. De la même façon, un appareil peut participer à plusieurs domaines.

Un domaine est initialement identifié par un code de 12 chiffres utilisé lors de la mise en service d’un appareil. Ce code permet à un appareil non configuré de localiser et d’enregistrer un serveur et un domaine WiKID. En pratique, ce code correspond à une adresse IP sur 12 chiffres (zéro-padée) accessible depuis Internet. Optionnellement, il peut être un préfixe préenregistré dans le domaine wikidsystems.net.

Par exemple, un serveur public avec l’adresse IP 27.232.7.14 se représente par le code 027232007014. Le service wikidsystems.net accepte aussi des codes simulant des adresses non routables, par exemple 999888777666. Il est également possible de modifier la résolution DNS en déployant un fichier jw.properties personnalisé avec votre jeton logiciel.

Où trouver les domaines dans l’interface

Sélectionnez l’option d’en-tête [Domains] pour afficher les domaines actuellement servis par ce serveur WiKID Strong Authentication.

Figure 12 – Écran de configuration des domaines

Sélectionner [Create New Domain] ouvre l’écran de création d’un nouveau domaine. Vous y renseignez les paramètres obligatoires décrits ci-dessous.

Figure 13 – Paramètres de configuration du domaine

Paramètres requis d’un domaine

Les options de configuration obligatoires sont les suivantes :

• Domain Name – Étiquette descriptive visible uniquement dans l’interface d’administration. Choisissez un nom clair pour les administrateurs.
• Device Domain Name – Étiquette affichée dans le menu sur l’appareil client. Gardez-la courte pour faciliter la lecture sur mobile.
• Minimum PIN Length – Longueur minimale autorisée du code PIN pour ce domaine. Un PIN plus court déclenchera une erreur côté client.
• Passcode Lifetime – Durée de vie maximale (en secondes) du code à usage unique généré pour ce domaine. Après N secondes écoulées, le code devient invalide.
• Server Code – Adresse IP zéro-padée (12 chiffres) du serveur ou préfixe wikidsystems.net. Doit contenir exactement 12 chiffres.
• Max Bad PIN Attempts – Nombre maximal de tentatives de PIN erronées par appareil avant désactivation de l’appareil pour ce domaine.
• Max Bad Passcode Attempts – Nombre maximal de codes à usage unique erronés saisis pour un identifiant utilisateur avant désactivation du compte dans ce domaine.
• Max Sequential Offlines – Nombre maximum de fois où un appareil peut utiliser le mode hors-ligne challenge/réponse avant d’être forcé à se reconnecter en ligne. Utilisé par la version Enterprise pour clients sans couverture réseau.
• Use TACACS+ – Cochez pour activer l’utilisation de TACACS+ pour ce domaine.

Après avoir renseigné ces paramètres, cliquez sur Create pour ajouter le domaine. L’interface confirme généralement la création avec un message de succès.

Après ajout, revenez à l’option [Domains] pour vérifier que le domaine apparaît sous Current Domains.

Figure 14 – Domaines courants

En sélectionnant [Main] dans la barre d’en-tête, l’écran résumé indiquera que le serveur gère maintenant le nouveau domaine.

Figure 15 – Écran récapitulatif après la configuration du domaine

Bonnes pratiques de configuration

• Testez toujours un nouveau domaine sur un serveur de staging avant mise en production.
• Documentez le mapping Server Code ↔ adresse IP réelle et le préfixe wikidsystems.net utilisé.
• Limitez Device Domain Name à 12–20 caractères pour lisibilité mobile.
• Définissez Minimum PIN Length en fonction de votre politique de sécurité (ex. 6 chiffres minimum pour des usages sensibles).
• Configurez Max Bad PIN Attempts et Max Bad Passcode Attempts pour équilibrer sécurité et support utilisateur.

Quand cela peut échouer (contre-exemples)

• Le Server Code est mal formé (moins ou plus de 12 chiffres) : l’appareil ne pourra pas se provisionner.
• L’adresse IP zéro-padée n’est pas routable et vous n’utilisez pas de préfixe wikidsystems.net : les appareils hors réseau ne se connecteront pas.
• DNS personnalisé non déployé sur le token logiciel : le nom de domaine attendu ne résout pas.
• Trop de tentatives hors-ligne autorisées (Max Sequential Offlines élevé) : risque de dépassement de sécurité pendant une période prolongée hors réseau.

Approches alternatives

• Utiliser uniquement des préfixes wikidsystems.net si vos appareils ne disposent pas d’une IP publique fixe.
• Gérer les domaines au niveau d’un service DNS interne et déployer un jw.properties global pour rediriger les tokens.
• Intégrer l’authentification via TACACS+ si vous possédez déjà une infrastructure TACACS+ pour centraliser les logs et les politiques.

Mini-méthodologie de déploiement (étapes rapides)

1. Préparez un serveur de staging et une adresse IP test.
2. Créez un nouveau domaine avec Server Code test et paramètres par défaut.
3. Provisionnez un appareil de test avec le code 12 chiffres.
4. Vérifiez l’enregistrement, l’authentification en ligne et hors-ligne.
5. Ajustez Min PIN, durées et limites d’erreur selon les retours.
6. Répétez pour la production et documentez.

Checklist opérationnelle (par rôle)

Administrateur système:

• Vérifier l’accessibilité réseau de l’adresse IP zéro-padée.
• Confirmer le Server Code et la correspondance DNS.
• Déployer jw.properties si nécessaire.

Opérateur sécurité:

• Valider Minimum PIN Length et Passcode Lifetime.
• Mettre en place alertes sur Max Bad PIN/Passcode Attempts.

Support utilisateur:

• Préparer procédure de réactivation des appareils désactivés.
• S’assurer que les utilisateurs connaissent le Device Domain Name.

Critères d’acceptation

• Le domaine apparaît sous Current Domains après création.
• Un appareil de test peut se provisionner avec le code 12 chiffres et s’authentifier en ligne.
• Le mode hors-ligne fonctionne jusqu’à Max Sequential Offlines défini, puis exige une authentification en ligne.
• Les limites de tentatives (PIN et passcode) provoquent la désactivation conformément aux paramètres.

Notes de sécurité et confidentialité

• Ne modifiez pas Passcode Lifetime sans évaluer l’impact sur l’expérience utilisateur et les risques d’usurpation.
• Conservez des logs d’administration pour toute modification de domaine.
• Si des données personnelles transitent via la solution, respectez les obligations locales relatives à la conservation et à la notification.

Glossaire (1 ligne par terme)

• Domaine d’authentification : ensemble de règles et d’identifiants appliqués aux appareils et utilisateurs.
• Server Code : code de 12 chiffres représentant l’IP ou le préfixe wikidsystems.net.
• Passcode : code à usage unique généré par l’appareil.

Résumé

• Un domaine WiKID segmente l’autorité d’authentification et se reconnaît via un code de 12 chiffres.
• Configurez correctement Server Code, PIN minimal, durées et limites d’erreur avant mise en production.
• Testez systématiquement en staging et documentez les mappings DNS/IP.

Important: procédez à des tests complets (online/offline) et préparez la procédure de réactivation en cas de blocage d’appareil.

FAQ

Q: Que se passe-t-il si j’entre un Server Code non valide ? A: L’appareil ne pourra pas se provisionner. Vérifiez que le code contient exactement 12 chiffres et qu’il pointe vers une IP routable ou un préfixe wikidsystems.net.

Q: Puis-je modifier Device Domain Name après création ? A: Oui, mais cela peut nécessiter une mise à jour côté client. Documentez tout changement avant déploiement et prévenez les utilisateurs.