Le raccourcisseur que votre équipe sécurité n'aura pas à rejeter.
Vous mesurez la posture de conformité, le temps de réponse aux incidents et le nombre de questionnaires fournisseurs que vous pouvez supporter. Elido est le raccourcisseur que votre équipe de sécurité n'aura pas à rejeter.
- SAML SSO + SCIM via notre fournisseur SSO ou natif - Okta, Entra ID, Google
- Base de données principale dans l'UE ; pas encore de choix de région par espace de travail
- SOC 2 en préparation, aucun rapport émis
- ISO 27001 non certifiée ; DPA disponible sur demande
Fonctionnement du SSO
Okta ou Entra ID → SAML → Elido. Douze minutes depuis un démarrage à froid.
Le SSO passe par WorkOS, qui normalise les différences de protocoles entre SAML 2.0 et OIDC ainsi que les particularités de chaque IdP que personne ne veut maintenir soi-même. Votre équipe configure l'application SAML une fois dans son IdP ; Elido récupère les utilisateurs par domaine e-mail → mappage de connexion.
- Step 1
User signs in
okta.com / login.microsoftonline.comIdP authenticates against the corporate directory.
- Step 2
SAML assertion
WorkOS connection · domain-routedEmail-domain → IdP connection mapping, no per-user setup.
- Step 3
Elido session
edge auth · 200 OKSession token issued, scope derived from group claims.
- Step 4
Workspace landing
app.elido.app/w/your-orgRole + IP allowlist evaluated; audit row written.
Provisionnement SCIM
Ajoutez un utilisateur dans Okta. Il est dans Elido en cinq minutes.
La synchronisation d'annuaire SCIM 2.0 provisionne et déprovisionne les utilisateurs automatiquement. Le mappage des groupes IdP convertit les groupes en rôles d'espace de travail Elido, de sorte qu'une promotion dans le système RH se répercute dans Elido sans ticket. Les employés partants sont déprovisionés dans le cycle de synchronisation SCIM, avec les sessions actives révoquées et l'action journalisée.
- Provisionnement automatique à l'ajout au groupeAppartenance au groupe IdP → invitation à l'espace de travail, sans étape manuelle
- Mappage de rôles par revendication de groupeengineering-eu → éditeur, finance → lecteur, configurable
- Déprovisionnement = révocation de sessionL'événement DELETE invalide les jetons ; les clés API révoquées par politique
- Chaque événement SCIM est auditéJournal append-only avec acteur, avant/après, IP source
- 1User added in Okta
Joins the elido-eu-engineering directory group as part of HR onboarding.
okta.comPOST /scim/v2/UsersT+75s - 2WorkOS pushes to Elido
SCIM sync cycle picks up the create event; no manual invite needed.
workos.com → elido.appscim.create user@orgT+150s - 3Elido provisions the user
Account created, workspace invitation surfaced in pending state.
api-coreuser.id = usr_01HK…T+225s - 4Group claim → role
engineering → editor; billing-admins → admin. Mapping is configurable.
policyrole: editor (workspace.eu)T+300s - Deprovision is the same flow in reverse - DELETE event revokes sessions and rotates affected API keys per policy.
Modèle d'autorisation
RBAC basé sur Cedar, pas une hiérarchie fixe à trois niveaux.
La matrice ci-dessous est la vue par défaut. Les rôles personnalisés vous permettent d'exprimer des choses comme « créer des liens sur ce domaine uniquement » ou « lecture seule sur les analytics, pas d'accès à la facturation » sous forme de politiques Cedar. Les rôles sont délimités par espace de travail, de sorte que différentes unités métier peuvent avoir des structures de rôles différentes.
Ce que l'IT d'entreprise obtient réellement
- SAML SSO + SCIM via notre fournisseur SSO ou natif - Okta, Entra ID, Google
- Base de données principale dans l'UE ; pas encore de choix de région par espace de travail
- SOC 2 en préparation, aucun rapport émis
- ISO 27001 non certifiée ; DPA disponible sur demande
- BAA sur Business+ pour les charges de travail adjacentes HIPAA
- POPs edge dédiés disponibles pour les contrats Enterprise
Ce dont l'IT d'entreprise a réellement besoin d'un réducteur de liens
Les réducteurs de liens 'Shadow-IT' échouent lors des processus d'achat sur trois questions : qui a accès, où sont les données et pouvons-nous les auditer. Les fonctionnalités ci-dessous comblent ces lacunes.
SSO SAML via WorkOS avec provisionnement d'utilisateurs SCIM
Le SSO passe par WorkOS, qui prend en charge SAML 2.0 et OIDC avec n'importe quel IdP majeur : Okta, Azure AD / Entra ID, Google Workspace, OneLogin, Ping, et autres. Le mappage domaine-e-mail → connexion signifie que les utilisateurs sont redirigés vers le bon IdP sans aucune configuration de leur part. La synchronisation d'annuaire SCIM provisionne et déprovisionne les utilisateurs automatiquement : les nouveaux employés ajoutés au groupe IdP concerné reçoivent une invitation à l'espace de travail Elido en quelques minutes ; les employés partants sont déprovisionnés dans le cycle de synchronisation SCIM sans ticket de départ manuel. Les groupes de l'IdP sont mappés aux rôles de l'espace de travail Elido ; vous configurez le mappage une seule fois. Les changements de rôle dans l'IdP se propagent automatiquement. Il s'agit d'une intégration gérée par WorkOS - nous ne maintenons pas de connecteur par IdP ; WorkOS normalise les protocoles et Elido consomme un point de terminaison SCIM unique.
Rôles personnalisés avec RBAC de style Cedar - au-delà de propriétaire/admin/membre
Le modèle de rôle d'Elido est basé sur Cedar, ce qui signifie que les permissions sont des expressions de politique évaluées au moment de la requête plutôt qu'une hiérarchie fixe à trois niveaux. Par défaut, vous disposez des rôles Propriétaire, Admin, Membre et Visiteur. Les rôles personnalisés vous permettent de définir des politiques telles que 'peut créer des liens sur ce domaine mais ne peut pas supprimer ou modifier les règles de redirection' ou 'accès en lecture seule aux analyses mais pas d'accès aux paramètres de facturation'. Les rôles sont attribués par espace de travail, et non globalement - une entreprise avec plusieurs espaces de travail peut avoir des structures de rôles différentes par unité commerciale. L'IP allowlist (plages CIDR) est évaluée en même temps que les vérifications de rôle : un utilisateur avec le bon rôle mais en dehors de la plage IP autorisée est refusé. Ceci est particulièrement utile pour les équipes hybrides où les prestataires accèdent à un sous-ensemble différent de celui des employés à plein temps.
Journal d'audit en ajout seul diffusé vers votre SIEM en temps réel
Chaque action de l’espace de travail - création, modification, suppression de lien ; changement de paramètres ; invitation de membre et changement de rôle ; émission et rotation de clé d’API ; revendication de domaine personnalisé ; export - est consignée dans un journal d’audit en ajout seul, avec l’acteur, l’horodatage, l’IP source, le diff avant/après et un type d’événement structuré. Les journaux sont conservés 730 jours par défaut, configurable par espace de travail. Le flux SIEM diffuse les événements par webhook (signé HMAC-SHA256) vers Splunk, Datadog, ELK ou tout récepteur HTTP en temps réel. Le journal est consultable dans le tableau de bord mais non modifiable ; il est en ajout seul dans l’application et chaque entrée est chaînée par hachage à la précédente, de sorte que toute altération est détectable. Posture de conformité : le journal d’audit est la preuve principale pour les revues de contrôle d’accès, la gestion des changements et la réponse aux incidents. Un méta-événement « retention purge » est consigné lorsque d’anciennes entrées arrivent à expiration, si bien que le vide est lui-même auditable.
Résidence en UE, IP allowlist et export BigQuery pour les exigences de gouvernance des données
La base de données principale, le stockage analytique et les sauvegardes sont hébergés dans l'UE. Des nœuds de redirection aux États-Unis (Ashburn) et à Singapour traitent aussi les requêtes des visiteurs ; le choix de région par espace de travail n'est pas encore disponible. La liste d'autorisation d'IP (CIDR) sur Business limite l'accès à l'espace de travail à des plages de sortie connues - utile pour les équipes sur VPN ou avec des IP de bureau fixes. L'export BigQuery envoie le flux complet des événements de clic et du journal d'audit vers un jeu de données BigQuery dont vous êtes propriétaire, de façon planifiée ou déclenchée. Snowflake et S3 sont également pris en charge. Pour les charges réglementées qui exigent que les données restent dans une infrastructure précise, l'auto-hébergement est disponible par contrat (Enterprise) ; contactez [email protected]. Le BAA HIPAA est disponible sur Business+ - les garanties techniques (chiffrement, journal d'audit, contrôles d'accès, notification des violations) sont en place ; le BAA n'est que l'enveloppe juridique autour d'elles.
Preuves de conformité : DPA, sous-traitants, état de la sécurité
Les questions des achats, nous y répondons sans longue chaîne d'e-mails : le DPA est disponible sur demande à [email protected] (CCT de l'UE incluses) ; la liste des sous-traitants est publique sur /legal/subprocessors (13 prestataires) ; les signalements de vulnérabilités vont à [email protected] et le security.txt est au chemin standard. État des certifications, sans détour : SOC 2 est en préparation et aucun rapport n'a été émis ; ISO 27001 n'est pas certifiée. Le Trust Center sur /trust suit l'état actuel.
Stack que vous utiliserez
- SSO (SAML / OIDC)
- Provisionnement SCIM
- Rôles personnalisés (RBAC)
- Liste blanche d'IP
- Journal d'audit + flux SIEM
- Résidence des données dans l'UE
- BAA HIPAA
Ce que votre équipe de sécurité mesure
- Nombre de sous-traitants
- 13, liste publique
- Rétention du journal d'audit
- 730 jours par défaut
- Temps de réponse DSAR
- Moins de 30 jours
Elido vs Bitly Enterprise vs Bl.ink pour l'IT d'entreprise
Bitly Enterprise et Bl.ink sont toutes deux des options de classe entreprise avec une présence historique. La comparaison ci-dessous se concentre sur les fonctionnalités que les équipes IT d'entreprise évaluent, et non sur des promesses marketing.
Questions sur l'IT d'entreprise
Quels IdP le SSO prend-il en charge ?
Tout IdP prenant en charge SAML 2.0 ou OIDC - Okta, Azure AD / Entra ID, Google Workspace, OneLogin, Ping, Rippling, et autres. L'intégration se fait via WorkOS, qui normalise les différences de protocoles. Si votre IdP parle SAML ou OIDC, cela fonctionne. La configuration est un flux guidé par WorkOS : configurez l'application SAML dans votre IdP, collez l'URL des métadonnées dans Elido, et c'est terminé.
Comment fonctionne le déprovisionnement SCIM ?
WorkOS gère le point de terminaison SCIM 2.0. Lorsqu'un utilisateur est retiré du groupe concerné dans votre IdP, WorkOS envoie un événement DELETE à Elido. Elido révoque immédiatement les jetons de session de l'utilisateur et marque le compte comme inactif. Les clés API actives associées à cet utilisateur ne sont pas automatiquement révoquées - c'est une étape distincte que vous configurez dans les paramètres SCIM, avec pour défaut la révocation au déprovisionnement. L'action de déprovisionnement apparaît dans le journal d'audit pendant le cycle de synchronisation SCIM (généralement moins de 5 minutes).
Que couvre l'IP allowlist ?
La connexion au tableau de bord, les requêtes API et la confirmation de livraison des webhooks. La notation CIDR est prise en charge ; plusieurs plages sont séparées par des virgules. Les requêtes provenant de l'extérieur de la liste renvoient une erreur 403 avec un événement d'audit consigné - pas de rejet silencieux. L'IP allowlist est évaluée après l'authentification, pas avant, donc une tentative d'authentification échouée depuis l'extérieur de la liste est tout de même enregistrée.
Pouvons-nous obtenir un BAA pour la conformité HIPAA ?
Oui, sur Business+. Le BAA couvre le rôle d'Elido en tant que partenaire commercial pour les espaces de travail où des PHI (données de santé protégées) pourraient transiter via les métadonnées de lien ou les analyses. Les garanties techniques (chiffrement au repos et en transit, piste d'audit, contrôles d'accès, notification de violation) sont déjà en place. Contactez [email protected] pour obtenir le modèle de BAA.
Quel est le statut du SOC 2 ?
SOC 2 est en préparation et aucun rapport n'a été émis. ISO 27001 n'est pas certifiée. Nous ne partageons pas de preuves d'audit que nous n'avons pas ; écrivez à [email protected] pour obtenir les réponses actuelles au questionnaire de sécurité. Le Trust Center sur /trust suit l'état actuel.
Comment fonctionnent les rôles personnalisés - puis-je restreindre une équipe à la lecture seule sur un domaine spécifique ?
Oui. Les rôles personnalisés définissent des politiques basées sur Cedar qui peuvent limiter les permissions à des domaines spécifiques, des dossiers spécifiques ou des opérations spécifiques (créer/lire/mettre à jour/supprimer). Un rôle permettant la création de liens uniquement sur un domaine personnalisé spécifique avec un accès en lecture seule aux analyses est une politique valide. Les rôles sont par espace de travail ; un utilisateur peut avoir des rôles différents dans différents espaces de travail. L'évaluation de la politique se fait au moment de la requête, pas à la connexion.
Existe-t-il une option edge dédiée pour les clients Business ?
Le niveau Business utilise les POP edge partagés d'Elido (région UE, US Est, Asie-Pacifique). Un edge dédié - votre propre flotte de nœuds de redirection, isolée du trafic des autres locataires - relève d'une discussion Enterprise. Contactez [email protected]. L'auto-hébergement est également disponible par contrat (Enterprise).
Quel est le SLA de notification de violation ?
Notification client sous 24 heures pour les violations de données personnelles confirmées ; notification au régulateur sous 72 heures (RGPD Art. 33). La notification couvre ce que nous savons à ce stade - nous n'attendons pas la fin de l'expertise médico-légale. Le processus est détaillé sur /trust/incident-response.
Lecture recommandée pour l'IT d'entreprise
SAML/OIDC géré par WorkOS, déprovisionnement SCIM 2.0, guides IdP.
Nom d'hôte du portail personnalisé, e-mails transactionnels, parité des sous-traitants.
État SOC 2, sous-traitants, divulgation des vulnérabilités.
Avenant de traitement des données RGPD, CCT de l'UE incluses, disponible sur demande.
OpenAPI 3.1, SDKs en TypeScript / Go / Python, webhooks.
Posture de chiffrement, modèle RBAC, journal d'audit, liste d'autorisation IP.
Pas sûr de l'angle qui convient ?
La plupart des équipes commencent par un et évoluent vers les quatre. Notre équipe commerciale peut examiner votre pile spécifique en 20 minutes.