SCIM permet à votre fournisseur d’identité (IdP), comme Okta ou Microsoft Entra ID, de gérer les membres de votre équipe lemlist. Quand vous affectez une personne à l’application lemlist dans votre IdP, lemlist crée son compte et l’ajoute à votre équipe. Si vous retirez cette affectation ou désactivez son compte dans votre IdP, lemlist la retire de l’équipe et libère son siège.

Cet article présente d’abord les paramètres communs à tous les IdP, puis la procédure détaillée pour Okta et Microsoft Entra ID.

À noter : le provisionnement des utilisateurs via SCIM est en bêta et disponible avec le plan Enterprise. Demandez à votre responsable de compte lemlist de l’activer pour votre équipe.

Limites

Les groupes ne sont pas pris en charge. Il n’y a pas de groupes dans lemlist. Vous pouvez affecter des personnes à l’application individuellement ou par l’intermédiaire de groupes dans votre IdP, mais n’activez ni le transfert ni la synchronisation des groupes.
La gestion des rôles n’est pas prise en charge. Chaque personne ajoutée via SCIM rejoint l’équipe avec le rôle Membre. Pour qu’une personne devienne administratrice, modifiez son rôle dans lemlist.
L’adresse email de la personne (userName) est son identifiant de connexion lemlist. Elle ne peut pas être modifiée via SCIM.
SCIM ajoute et retire des membres. Il ne configure pas l’authentification. Pour que les membres de votre équipe se connectent avec votre IdP, configurez aussi le SSO dans Paramètres → Team → Log in with your organization (SSO) for your entire team.
Suspendre un utilisateur dans Okta ne le retire pas de votre équipe lemlist.
lemlist ne retire jamais le dernier administrateur de l’équipe.
Si vous affectez à nouveau une personne à l’application, les boîtes mail et les numéros de téléphone retirés de l’équipe ne sont pas réintégrés. Une personne qui était administratrice revient en tant que membre.
Par défaut, une équipe peut compter jusqu’à 200 membres actifs ajoutés via SCIM et effectuer jusqu’à 600 requêtes SCIM par minute (voir Sièges et limites).

Avant de commencer

Votre équipe lemlist utilise le plan Enterprise et votre responsable de compte lemlist a activé SCIM pour votre équipe.
Vous êtes administrateur de l’équipe lemlist. Seuls les administrateurs peuvent créer ou révoquer le jeton SCIM.
Vous êtes administrateur de votre IdP et avez les droits nécessaires pour créer une application et configurer le provisionnement.
Le domaine email de votre entreprise est vérifié dans Paramètres → Team → Log in with your organization (SSO) for your entire team. Pour créer un compte ou ajouter à votre équipe un compte que votre IdP ne suit pas pour cette équipe, lemlist exige que l’adresse email utilise un domaine vérifié par votre équipe. Le compte d’une personne qui a quitté l’équipe d’elle-même ou que votre IdP a supprimée est considéré comme un compte que votre IdP ne suit pas.
Votre équipe dispose d’assez de sièges pour les personnes que vous comptez affecter à l’application. Chaque personne ajoutée via SCIM occupe un siège lemlist.

Important : vous pouvez vérifier un domaine par email ou à l’aide d’un enregistrement DNS. Une fois le domaine vérifié, la fenêtre de configuration SSO affiche la liste de vos domaines. Si vous souhaitez seulement vérifier le domaine, fermez la fenêtre à ce stade. Si certains membres de votre équipe ont une adresse sur un autre domaine, un clic sur Suivant depuis cette liste affiche les membres concernés. Un deuxième clic sur Suivant les retire de votre équipe.

Partie 1 : générer votre jeton SCIM dans lemlist

Dans lemlist, allez dans Paramètres → Team.
Repérez le bloc Provisionnement des utilisateurs (SCIM), juste sous le bloc SSO.
Cliquez sur Générer un jeton.
La fenêtre Votre token SCIM affiche deux valeurs. Copiez-les toutes les deux :
- URL de base SCIM : https://api.lemlist.com/api/scim/v2
- jeton SCIM : une longue chaîne qui commence par lemscim_
Cliquez sur J’ai copié le token.
✅ À vérifier : le bloc Provisionnement des utilisateurs (SCIM) affiche les quatre derniers caractères du jeton, ainsi que sa date de création et celle de sa dernière utilisation.

Important : le jeton ne s’affiche qu’une seule fois. Si vous le perdez, cliquez sur Régénérer le jeton : l’ancien jeton cesse aussitôt de fonctionner. Collez donc immédiatement le nouveau dans votre IdP. Le bouton Révoquer interrompt le provisionnement jusqu’à ce que votre IdP reçoive un nouveau jeton. Révoquer ou régénérer le jeton n’a aucun effet sur les personnes déjà présentes dans votre équipe. Votre équipe ne peut avoir qu’un seul jeton SCIM à la fois.

Partie 2 : connecter votre fournisseur d’identité

Quel que soit votre IdP, les informations à renseigner sont les mêmes :

URL de base SCIM (également appelée « Tenant URL » ou « connector base URL ») : https://api.lemlist.com/api/scim/v2
Authentification : par jeton bearer, avec le jeton lemscim_... généré dans la partie 1. Okta exige le mot Bearer avant le jeton. Microsoft Entra ID attend uniquement le jeton.
Identifiant unique des utilisateurs : userName (l’adresse email de la personne)
Actions de provisionnement à activer : création des utilisateurs, mise à jour de leurs attributs, désactivation des utilisateurs
Groupes : non pris en charge. N’activez ni le transfert ni la synchronisation des groupes.

Connecter Okta

Okta propose une application prête à l’emploi pour SCIM 2.0 avec authentification par jeton bearer : SCIM 2.0 Test App (Header Auth). Utilisez-la pour connecter lemlist.

Dans la console d’administration Okta, ouvrez Applications, puis Browse App Integration Catalog.
Recherchez SCIM 2.0 Test App (Header Auth), ouvrez l’application et cliquez sur Add Integration.
Dans Application label, entrez un nom, par exemple « lemlist SCIM », cliquez sur Next, puis sur Done.
Ouvrez l’onglet Provisioning et cliquez sur Configure API Integration.
Cochez Enable API integration, puis renseignez les champs suivants :
- Base URL : https://api.lemlist.com/api/scim/v2
- API Token : le mot Bearer, un espace, puis votre jeton, par exemple Bearer lemscim_.... Le jeton seul est refusé.
Cliquez sur Test API Credentials, puis sur Save.
✅ À vérifier : Okta affiche SCIM 2.0 Test App (Header Auth) was verified successfully!
Dans Provisioning → To App, cliquez sur Edit, cochez Create Users, Update User Attributes et Deactivate Users, puis cliquez sur Save.
Ouvrez l’onglet Assignments et cliquez sur Assign → Assign to People (ou Assign to Groups) pour choisir les personnes qui auront un compte lemlist.

Okta n’envoie jamais de demande de suppression d’utilisateur. Quand vous retirez l’affectation d’une personne ou la désactivez, Okta la marque comme inactive et lemlist la retire de l’équipe. Suspendre un utilisateur dans Okta ne le retire pas de votre équipe lemlist.

Connecter Microsoft Entra ID

Créez une application d’entreprise qui ne figure pas dans la galerie.

Dans le centre d’administration Microsoft Entra, allez dans Entra ID → Enterprise apps, puis cliquez sur New application.
Cliquez sur Create your own application, donnez-lui un nom (par exemple « lemlist »), sélectionnez Integrate any other application you don't find in the gallery, puis confirmez.
Dans l’application, ouvrez Provisioning et cliquez sur Connect your application.
Choisissez l’authentification par jeton bearer (jeton secret), et non OAuth, puis renseignez les champs suivants :
- Tenant URL : https://api.lemlist.com/api/scim/v2
- Secret Token : votre jeton lemscim_..., sans le mot Bearer
Cliquez sur Tester la connexion, puis sur Create.
Sous Attribute mapping, vérifiez la correspondance des champs utilisateur : userName reprend la valeur de userPrincipalName, qui doit être l’adresse email utilisée dans lemlist. givenName correspond à name.givenName et surname à name.familyName. Désactivez la correspondance pour les groupes.
Sous Settings, réglez Scope sur Sync only assigned users and groups.
Allez dans Users and groups et affectez les personnes qui doivent obtenir un compte lemlist.
Pour vérifier le provisionnement d’une personne sans attendre, utilisez Provision on-demand. Cliquez ensuite sur Start provisioning.

Entra exécute un cycle de provisionnement environ toutes les 40 minutes. Les modifications peuvent donc mettre jusqu’à 40 minutes à apparaître dans lemlist.
L’affectation individuelle des utilisateurs est disponible avec tous les plans Entra ID. L’affectation de groupes nécessite Entra ID P1 ou P2.
Quand vous retirez l’affectation d’une personne, Entra la marque comme inactive et lemlist la retire de l’équipe.
Quand vous supprimez un utilisateur dans Entra, Entra le désactive d’abord, puis envoie une demande de suppression 30 jours plus tard.

Partie 3 : vérifier que tout fonctionne

Affectez un utilisateur de test à l’application dans votre IdP.
Dans lemlist, ouvrez la liste des membres de votre équipe.
✅ À vérifier : l’utilisateur apparaît avec le rôle Membre. Lorsque SCIM crée un nouveau compte, les administrateurs de votre équipe reçoivent également un email les informant de l’arrivée d’un nouveau membre.
Retirez l’affectation de cet utilisateur.
✅ À vérifier : il ne fait plus partie de votre équipe et son siège est à nouveau disponible.

Ce que fait lemlist quand vous modifiez un utilisateur dans votre IdP

Vous affectez une nouvelle personne à l’application

Si son adresse email utilise un domaine vérifié par votre équipe, lemlist crée son compte avec une adresse email déjà vérifiée et sans mot de passe, puis l’ajoute à votre équipe avec le rôle Membre. La personne occupe un siège. Sinon, l’IdP affiche une erreur (voir Problèmes courants et solutions).

Vous affectez une personne qui a déjà un compte lemlist dans une autre équipe

lemlist ajoute ce compte à votre équipe uniquement si le domaine de son adresse email est vérifié dans les paramètres SSO de votre équipe. Sinon, l’IdP affiche une erreur (voir Problèmes courants et solutions).

Vous modifiez le prénom ou le nom de famille

lemlist met à jour le prénom ou le nom. Si la personne appartient aussi à une autre équipe lemlist et que le domaine de son adresse email n’est pas vérifié dans vos paramètres SSO, lemlist les laisse inchangés.

Vous retirez l’affectation d’un utilisateur ou le désactivez

lemlist retire la personne de votre équipe et libère son siège. Le compte n’est pas supprimé. Votre équipe conserve ses données. Les boîtes mail de la personne sont retirées de l’équipe : les campagnes qui les utilisaient pour leurs envois perdent donc l’expéditeur correspondant.

La personne dont vous avez retiré l’affectation n’a pas d’autre équipe lemlist

Son équipe personnelle compte aussi comme une équipe. Si son adresse email utilise un domaine vérifié par votre équipe, son compte est également bloqué : ses sessions sont fermées et les clés API qu’elle a créées cessent de fonctionner. Sinon, lemlist la retire de votre équipe comme le ferait un administrateur, sans bloquer le compte. Les très anciennes clés API que lemlist n’associe pas à la personne qui les a créées ne sont pas affectées par ce blocage.

Vous affectez à nouveau la personne à l’application

lemlist réintègre la personne dans votre équipe en tant que membre, lui attribue un siège et débloque son compte. Les boîtes mail et les numéros de téléphone retirés de l’équipe ne sont pas réintégrés. Une personne qui était administratrice revient en tant que membre.

Votre IdP supprime l’utilisateur

Le résultat est le même qu’un retrait d’affectation, et la personne n’est plus visible pour votre IdP. Si vous l’affectez à nouveau à l’application par la suite, lemlist considère son compte comme extérieur à votre équipe.

Un administrateur retire une personne de l’équipe dans lemlist

La personne reste visible pour votre IdP, avec le statut inactif. Si elle est encore affectée à l’application dans votre IdP, celui-ci peut la réintégrer dans l’équipe sans vérifier le domaine. Retirez donc aussi son affectation dans votre IdP.

Une personne quitte votre équipe d’elle-même dans lemlist

La personne n’est plus visible pour votre IdP. Si vous l’affectez à nouveau à l’application, lemlist la considère comme un nouvel utilisateur.

Quand lemlist ne peut pas retirer une personne de l’équipe

This user is the last administrator of the lemlist team. ... lemlist ne retire jamais le dernier administrateur. Donnez d’abord le rôle d’administrateur à un autre membre dans lemlist.
This user is the last member of a paying lemlist team and cannot be removed from it. Conservez au moins un membre dans l’équipe ou contactez l’équipe support lemlist.
The lemlist team has a failed payment; members cannot be removed until it is settled. Régularisez le paiement dans la rubrique de facturation de lemlist, puis réessayez.

Comment se connectent les personnes ajoutées via SCIM

Les personnes dont le compte a été créé par SCIM n’ont pas de mot de passe lemlist. Elles se connectent avec le SSO de votre équipe ou à l’aide d’un lien de connexion sans mot de passe. Elles peuvent aussi définir un mot de passe en cliquant sur Forgot password sur la page de connexion. Si votre équipe impose la connexion SSO pour leur domaine email, elles ne peuvent se connecter que par SSO.

Attributs pris en charge

userName : l’adresse email et l’identifiant de connexion lemlist de la personne. Cet attribut ne peut pas être modifié via SCIM.
name.givenName, name.familyName : prénom et nom de famille.
active : true pour faire partie de l’équipe, false pour en être retiré.
externalId : l’identifiant que votre IdP attribue à la personne. lemlist le conserve et permet à votre IdP de rechercher la personne avec cet identifiant.
displayName, emails : en lecture seule. lemlist les génère à partir du nom et de l’identifiant de connexion.

Sièges et limites

Sièges. Chaque personne ajoutée via SCIM occupe un siège lemlist. Lorsqu’il ne reste plus de siège dans votre équipe, l’IdP affiche : The lemlist team has no seat left. Buy more seats in lemlist, then retry. Achetez des sièges dans lemlist, puis relancez l’affectation dans votre IdP.
Limite de provisionnement. Par défaut, une équipe peut compter jusqu’à 200 membres actifs ajoutés via SCIM. Au-delà, l’IdP affiche : This lemlist team may provision at most 200 members over SCIM. Contact lemlist support to raise the limit.
Limite de débit. Votre équipe peut effectuer jusqu’à 600 requêtes SCIM par minute. Au-delà, lemlist renvoie le code HTTP 429 avec un en-tête Retry-After indiquant un délai de 60 secondes.

Exemple concret

Un employé quitte votre entreprise. Vous retirez son affectation à l’application lemlist dans Okta. Okta le marque comme inactif, et lemlist le retire de votre équipe et libère son siège. Votre équipe conserve ses données. Ses boîtes mail sont retirées de l’équipe : les campagnes qui les utilisaient pour leurs envois perdent donc l’expéditeur correspondant. Vérifiez ces campagnes avant de retirer l’affectation de la personne.

Problèmes courants et solutions

Problème : erreur 401 « Missing or invalid bearer token » lors du test de connexion

Cause : le jeton n’est pas le dernier généré, est incomplet ou n’a pas le format attendu par votre IdP.

Solution :

Utilisez le dernier jeton généré dans lemlist et copiez-le en entier.
Dans Okta, ajoutez Bearer suivi d’un espace avant le jeton. Dans Microsoft Entra ID, collez uniquement le jeton.
Si le problème persiste, demandez à votre responsable de compte de vérifier que SCIM est activé pour votre équipe.

Problème : « ... already has a lemlist account outside this team. Verify its domain in the team's SSO settings, or invite it from lemlist. »

Cause : cette personne utilise déjà lemlist dans une autre équipe.

Solution : vérifiez le domaine de son adresse email dans les paramètres SSO de votre équipe ou invitez-la depuis lemlist.

Problème : « ... is not on a domain this team verified for its SSO. ... »

Cause : l’adresse email de la personne utilise un domaine que votre équipe n’a pas vérifié.

Solution : vérifiez le domaine dans les paramètres SSO de votre équipe, puis relancez l’affectation. Vous pouvez aussi inviter la personne depuis lemlist.

Problème : « The lemlist team has no seat left. Buy more seats in lemlist, then retry. »

Cause : tous les sièges de votre équipe sont occupés.

Solution : achetez des sièges supplémentaires dans lemlist, puis relancez l’affectation dans votre IdP.

Autres cas de figure

Si vous souhaitez que les membres de votre équipe se connectent avec Okta, Microsoft Entra ID ou Google, consultez Configurer l’authentification SSO/SAML dans lemlist.
Si vous souhaitez ajouter une personne sans passer par votre IdP, invitez-la depuis lemlist.

Ajouter et retirer automatiquement des membres de votre équipe lemlist depuis Okta ou Microsoft Entra ID (SCIM)