Guide de l’administrateur : Ascripto et Google Workspace
Dernière mise à jour : 19 octobre 2026
Pour l’administrateur ou le super-administrateur Google Workspace à qui il est demandé d’autoriser quelque chose, et pour quiconque évalue ce à quoi Ascripto accède. Le mécanisme d’abord, dans les termes de Google.
Ce qu’Ascripto demande, et à qui
| Autorisation | Qui l’accorde | Où | Ce qu’elle permet |
|---|---|---|---|
| Connexion | chaque personne qui utilise Ascripto | l’écran de connexion Google | openid, email, profile. L’identité repose sur l’identifiant stable (subject) du compte Google et sur son domaine hébergé, jamais sur l’adresse e-mail |
| Annuaire, en lecture seule | un administrateur Google Workspace | consentement OAuth lancé depuis Ascripto (page Bienvenue ou Paramètres → Connexions) | admin.directory.user.readonly et admin.directory.domain.readonly : les utilisateurs, avec leur nom, leur fonction, leur service, leurs numéros de téléphone, leur unité organisationnelle et leurs attributs personnalisés ; les domaines validés de l’organisation. Les groupes ne sont pas lus |
| Signatures | un super-administrateur | console d’administration → Sécurité → Contrôle des accès et des données → Commandes des API → Gérer la délégation au niveau du domaine | www.googleapis.com/auth/gmail.settings.basic pour le compte de service d’Ascripto, dont l’ID client est affiché sur la page. Utilisé uniquement pour users.settings.sendAs |
Ascripto ne lit, n’envoie et ne supprime jamais d’e-mails. Son utilisation des données Google est encadrée par le Règlement relatif aux données utilisateur dans les services d’API Google, y compris les exigences d’utilisation limitée (Limited Use) ; la déclaration correspondante figure dans la politique de confidentialité, à l’adresse ascripto.com/fr/privacy/.
Pourquoi la délégation au niveau du domaine plutôt qu’une installation depuis Marketplace
Deux raisons, toutes deux encore valables une fois la fiche Marketplace publiée :
- Lire ou écrire la signature d’un alias d’envoi dans une boîte aux lettres autre que celle de l’appelant n’est possible que pour un client de compte de service disposant de l’autorité au niveau du domaine. Le consentement individuel de chaque utilisateur ne le permet pas.
- Google ne propose pas de variante en lecture seule de
gmail.settings.basic. L’audit ne fait que lire, mais l’autorisation permet nécessairement aussi d’écrire.
Google a validé l’application OAuth d’Ascripto (marque et champs d’application sensibles) le 17 octobre 2026 : l’écran de consentement pour l’accès à l’annuaire n’affiche donc aucun avertissement « application non validée ». L’entrée de délégation pour les signatures se crée toujours à la main dans la console d’administration, et les champs d’application sont ceux du tableau ci-dessus.
Fréquence et mécanismes
| Activité | Fréquence | Mécanisme |
|---|---|---|
| Modifications de l’annuaire | dès qu’elles ont lieu : Google signale chaque modification à Ascripto, qui lit la personne aussitôt, une minute puis cinq minutes plus tard | API Directory du SDK Admin : users.watch, un canal par type de modification (ajout, modification, suppression, restauration), renouvelé tous les deux jours et arrêté par channels.stop ; users.get pour la personne |
| Lecture de l’annuaire | toutes les heures ; toutes les 15 minutes tant qu’un canal de notification manque ; et via Lire maintenant | API Directory du SDK Admin : users.list, domains.list |
| Audit | une fois par jour, et via Vérifier à nouveau | sendAs.list pour chaque personne ; la signature de l’adresse principale est comparée à sa fiche d’annuaire |
| Déploiement | lors d’un déploiement, après relecture ; ensuite automatiquement pour les arrivants et les fiches modifiées | sendAs.patch pour chaque personne, environ 20 écritures par seconde. Chaque boîte aux lettres est d’abord lue, et n’est écrite que si sa signature diffère, sauf si Réécrire même les signatures à jour est coché |
| Importation | à la demande | sendAs.get pour la personne choisie ; valeurs rapprochées de sa fiche d’annuaire |
sendAs.patch est utilisé plutôt que sendAs.update : un déploiement n’efface donc jamais le nom d’affichage, l’adresse de réponse ni les indicateurs d’alias d’une personne.
Ce que l’audit compare
Pour chaque personne, la signature que Gmail utilise pour les nouveaux messages, comparée à sa fiche d’annuaire. Constats :
| Constat | Critère |
|---|---|
| aucune signature | la signature est vide |
| nom manquant | le nom de la personne ne figure pas dans le texte |
| fonction manquante | la fonction indiquée dans l’annuaire ne figure pas dans le texte |
| téléphone professionnel manquant | le téléphone professionnel indiqué dans l’annuaire ne figure pas dans le texte |
| aucun logo | la signature ne contient aucune image de logo |
| lecture impossible | Google a refusé l’accès à la boîte aux lettres ; elle est comptée à part, jamais comme conforme ou non conforme |
Ne sont pas examinés, ce qui est indiqué à côté des chiffres : la signature distincte qu’une personne peut choisir pour les réponses et les transferts (Gmail la conserve dans les paramètres web et aucune API n’indique laquelle est utilisée), une Signature mobile définie dans l’application Gmail (locale à l’appareil, invisible pour toute API), les polices, tailles et couleurs, et tout ce qu’une personne ajoute au-delà du contenu déployé.
Ce que le déploiement écrit
Le HTML généré pour cette personne (les images sont hébergées sur img.ascripto.com, car une signature Gmail est une chaîne HTML et ne peut pas incorporer d’images) et le texte brut correspondant. Gmail l’applique sur le web et dans les applications Gmail. Le déploiement ignore les personnes suspendues dans l’annuaire, celles dont l’adresse est en dehors des domaines de l’organisation, et celles qu’aucune signature n’atteint.
Départs
Une personne supprimée de l’annuaire passe dans la corbeille d’Ascripto (7 jours par défaut, réglable jusqu’à un an dans Paramètres → Connexions) et cesse d’être gérée. Ascripto n’écrit plus jamais dans sa boîte aux lettres et n’efface pas la signature qui s’y trouve déjà. Rien n’est écrit pour les utilisateurs suspendus tant qu’ils le restent.
Signatures en double
Si le paramètre Ajouter un pied de page est activé dans la console d’administration (Applications → Google Workspace → Gmail → Conformité), Google ajoute ce pied de page sous la signature de chaque utilisateur, y compris celle qu’écrit Ascripto. Désactivez ce pied de page dans chaque unité organisationnelle où il est défini, dès qu’Ascripto porte les mentions légales.
Cas d’échec, tels que le produit les signale
| Ce qui s’est passé | Ce qu’affiche Ascripto | Solution |
|---|---|---|
| L’entrée de délégation est absente ou a été supprimée | Google a refusé d’ouvrir les boîtes aux lettres. L’accès aux signatures a peut-être été retiré dans votre console d’administration. L’audit ou le déploiement s’arrête ; les compteurs restent là où ils en étaient | Ajoutez de nouveau l’ID client et le champ d’application. Le problème est détecté au point de terminaison de jeton (unauthorized_client) : aucune boîte aux lettres n’est donc touchée entre-temps |
| Le consentement pour l’annuaire a été révoqué, ou l’administrateur qui l’a donné a perdu son rôle | Paramètres → Connexions : La connexion a été retirée. Reconnectez-la pour lire à nouveau l’annuaire. | Cliquez sur Reconnecter en tant qu’administrateur actuel |
| Google met un certain temps à appliquer une nouvelle délégation | Pas encore autorisé, avec une nouvelle vérification toutes les 20 secondes | Patientez : Google indique jusqu’à 24 heures, en général quelques minutes |
| Une vérification ou une lecture échoue du côté d’Ascripto | signalé comme tel, puis relancé | rien |
Révoquer l’accès d’Ascripto
- Signatures : console d’administration → Sécurité → Contrôle des accès et des données → Commandes des API → Gérer la délégation au niveau du domaine → le client Ascripto → Supprimer. Les audits et les déploiements s’arrêtent immédiatement.
- Annuaire : l’administrateur qui a donné son consentement retire Ascripto dans son compte Google → Applications associées (myaccount.google.com/linkedapps) (ou Paramètres → Connexions → la connexion est marquée comme retirée dès que Google refuse la lecture suivante).
- Les signatures déjà écrites restent dans le Gmail des personnes ; Ascripto ne les efface jamais.
Traitement des données
- Ce qui est stocké : les noms, les adresses e-mail et les champs de l’annuaire qu’utilisent les signatures ; les remplacements définis par les administrateurs ; les modèles de signature et leurs versions ; les images de marque ; les constats d’audit ; sur les offres payantes, les personnes comptées dans la facture du mois, et à quelle date. Les images sont servies publiquement depuis
img.ascripto.com, car les clients de messagerie des destinataires doivent pouvoir les charger. - Ce qui n’est pas stocké : les e-mails, leurs objets et leurs en-têtes, ainsi que les jetons Google au-delà de leur utilisation. Les identifiants d’accès à l’annuaire sont conservés dans Azure Key Vault.
- Où : Microsoft Azure, Germany West Central (Francfort). Les e-mails transactionnels (codes de connexion, invitations) sont envoyés depuis le propre serveur de messagerie d’Ascripto, dans l’UE. Les paiements sont traités par Stripe.
- Conservation : champs de l’annuaire tant que la personne figure dans l’annuaire, plus la durée de la corbeille ; journal d’audit des actions des administrateurs, 13 mois ; historique des modifications de signature, 90 jours ; décomptes de facturation, 70 jours ; données d’une organisation supprimées dans les 30 jours suivant la fin du contrat, après une période d’export de 30 jours. Le tableau complet figure dans la politique de confidentialité ; l’accord de traitement des données (DPA), à l’adresse ascripto.com/fr/dpa/, relève de l’article 28 du RGPD et n’a pas besoin d’être signé.
- Accès du personnel : le personnel d’Ascripto ne consulte pas les données des clients. Le support ne peut voir les données d’une organisation qu’au moyen d’un accès d’assistance limité dans le temps, motivé, consigné et visible par l’organisation. Chaque compte du personnel utilise l’authentification multifacteur.
- Sécurité côté navigateur : l’application ne conserve jamais de jeton d’accès dans le navigateur ; un composant côté serveur les garde dans des cookies
httpOnly.
Utilisateurs facturés
Sur Google Workspace, un utilisateur facturé est toute personne dont le Gmail a porté votre signature actuelle à un moment du mois, parce qu’un déploiement l’y a écrite, ou qu’un déploiement ou l’audit l’y a trouvée encore en place. Une personne suspendue ou supprimée pendant tout le mois n’est pas comptée. Le décompte du mois en cours figure dans Paramètres → Facturation.