Microsoft Office 365 : e-mail OAuth

Avant de commencer

Ce guide authentifie un compte Outlook dans Frappe. L’utilisateur doit se connecter au site avec le même compte que la boîte : pour [email protected], la session Frappe est [email protected]. La fiche Connected App est décrite dans Connected App.

Application Entra ID

1. Nouvelle Connected App : saisir le nom, enregistrer, copier la Redirect URI.
2. Dans Microsoft Azure, ouvrir Microsoft Entra ID (ancien Azure Active Directory).
3. Add, App registration. Nom, type de compte, URI de redirection collée, plateforme Web. Les types de compte sont expliqués par Microsoft.
4. Après Register, copier l’Application ID : c’est le Client ID de la Connected App.
5. API Permission : permissions déléguées Microsoft Graph IMAP.AccessAsUserAll, SMTP.Send et offline_access, puis Add permissions.
6. Certificates & Secrets : créer un secret, copier la colonne Value dans Client Secret.
7. Endpoints : copier OpenID Connect metadata document dans OpenID Configuration, puis Get OpenID Configuration, qui remplit les points de terminaison.
8. Ajouter ces portées et enregistrer : https://outlook.office.com/IMAP.AccessAsUser.All, https://outlook.office.com/SMTP.Send, offline_access.
9. Le bouton Connect to {nom} lance le flux. Le compte autorisé doit être celui qui sera ajouté dans Frappe.
10. De retour sur la Connected App, un Token Cache doit montrer un jeton d’accès et un jeton de rafraîchissement.

Compte e-mail

Nouveau Email Account, méthode Oauth, la Connected App et l’utilisateur qui a créé le cache, puis le reste du compte comme d’habitude. IMAP et POP doivent être autorisés chez Microsoft. Les serveurs Outlook sont décrits dans leur article POP, IMAP et SMTP.

Microsoft n’envoie que depuis l’adresse qui s’est authentifiée. La page montre deux cases sur le document Email Account, sans les nommer dans le texte. Le complément officiel est l’authentification IMAP, POP et SMTP par OAuth.

Compte de service

Un Email Account a besoin d’un accès utilisateur. Une boîte partagée dédiée à Frappe exigeait alors un Full Access pour la personne qui se connecte. La fonction annoncée permet à Frappe de s’authentifier, par exemple auprès d’Exchange Online, pour envoyer et recevoir depuis la boîte partagée, sans déléguer Full Access à chaque utilisateur du site. La page indique une case sur Email Account, visible seulement sur l’image : le nom du champ n’est pas dans le texte.

Point d’attention

La permission Graph de l’étape 7 s’écrit IMAP.AccessAsUserAll. La portée ajoutée ensuite s’écrit IMAP.AccessAsUser.All, avec un point. Le secret à copier est la Value, pas un autre identifiant de l’écran Certificates.