Authentification ENT91 : comment la connexion fonctionne vraiment

ENT91 ne vérifie pas vos identifiants lui-même : il délègue à ÉduConnect pour les élèves et les responsables légaux, au guichet académique pour les personnels, puis récupère un ticket à usage unique. La plupart des échecs de connexion viennent de ce détour et non de votre mot de passe : cookies bloqués, ticket rejoué en rechargeant la page, ou portail d'un autre département.

Ce que désigne ENT91

ENT91 est le nom d'usage de l'espace numérique de travail des collèges de l'Essonne, le département portant le numéro 91. On y trouve le cahier de textes, les notes, la messagerie interne, les documents partagés et les ressources des éditeurs. Le portail a changé de marque et d'adresse au fil des marchés publics départementaux, et c'est déjà une cause d'échec : un favori vieux de deux ans pointe parfois vers un domaine qui ne répond plus ou qui redirige vers une page d'accueil sans formulaire. Partez du site de votre collège ou de la page numérique du conseil départemental plutôt que d'une URL mémorisée.

Point important pour la suite : l'ENT n'héberge pas votre mot de passe. Il sous-traite la vérification d'identité à un service tiers, puis reçoit une preuve signée que la vérification a eu lieu. Toutes les redirections que vous voyez défiler dans la barre d'adresse viennent de là.

Quatre profils, quatre portes d’entrée

Le formulaire affiché dépend de qui vous êtes. Un élève et un professeur ne s'authentifient pas au même endroit, ce qui explique les conseils contradictoires que se donnent parents et enseignants dans la même conversation.

Pour les élèves et les responsables légaux, le contrôleur d'identité est ÉduConnect, le guichet national du ministère de l'Éducation nationale hébergé sur educonnect.education.gouv.fr. L'identifiant n'est jamais une adresse mail : il ressemble à prenom.nom suivi d'un chiffre, attribué par l'établissement. Le même compte ouvre aussi les téléservices (bourses, orientation, affectation, fiche de renseignements), donc un mot de passe changé d'un côté vaut de l'autre. Les responsables légaux peuvent en plus passer par FranceConnect avec leurs identifiants impôts ou Ameli.

Les personnels de l'établissement utilisent leur compte académique, celui de la messagerie professionnelle, via le guichet de leur académie. C'est un annuaire différent, avec une politique de mot de passe différente et une assistance différente.

Profil	Où l'identité est vérifiée	Forme de l'identifiant	Mot de passe oublié
Élève	ÉduConnect	prenom.nom + un chiffre	Renvoi par SMS si un numéro est enregistré, sinon le collège réinitialise
Responsable légal	ÉduConnect ou FranceConnect	prenom.nom + un chiffre	SMS sur le numéro déclaré à l'établissement
Professeur, CPE, direction	Guichet académique	Souvent initiale du prénom suivie du nom	Assistance académique, pas le collège
Compte local ou invité	Annuaire de l'ENT lui-même	Variable selon l'établissement	Administrateur ENT du collège

Ce qui se passe entre le clic et la page d’accueil

Vous cliquez sur « Se connecter ». Le portail répond par une redirection HTTP 302 vers le service d'authentification, en glissant un paramètre service= qui contient l'URL de retour encodée en pourcentage. Vous saisissez vos identifiants sur ce second domaine, jamais sur celui de l'ENT. En cas de succès, le serveur pose un cookie de session sur son propre domaine et vous renvoie vers l'ENT avec un ticket dans l'URL, du genre :

Location: https://ent.exemple.fr/auth/login?ticket=ST-42-7Qb2xK9pLmN0-cas01

Ce mécanisme s'appelle CAS, un protocole d'authentification unique né à l'université Yale et maintenu aujourd'hui par la fondation Apereo. Il est massivement déployé dans l'enseignement français. L'ENT ne croit pas le ticket sur parole : il ouvre une connexion serveur à serveur vers le point /serviceValidate du guichet et demande confirmation. Le ticket est consommé à cette validation et ne fonctionne plus ensuite. Sa durée de vie est très courte, une dizaine de secondes dans une configuration Apereo par défaut.

Conséquence pratique que peu de gens font le lien : si vous rechargez une page dont l'URL contient encore ticket=, ou si vous l'envoyez à quelqu'un, vous obtenez une erreur d'authentification alors que rien n'est cassé. Pour observer la chaîne vous-même, une seule commande suffit : curl -sI 'https://portail.exemple.fr/' | grep -i '^location'.

• service= : votre point de retour, encodé, présent dans l'URL du formulaire de connexion.
• ST-… : le ticket de service, à usage unique et non rejouable.
• Le cookie de session posé sur le domaine du guichet, qui porte l'authentification unique et permet d'ouvrir un deuxième service sans retaper le mot de passe.
• Le cookie de session de l'ENT, créé seulement après validation du ticket.

Les pannes réelles et ce qui les cause

Avant de changer de mot de passe, identifiez le symptôme. Les cas ci-dessous couvrent la grande majorité des tickets d'assistance remontés par les familles.

Le verrouillage après plusieurs échecs n'est pas une panne, c'est une défense contre les attaques par dictionnaire. Le nombre de tentatives tolérées et la durée du blocage relèvent de la configuration du fournisseur d'identité et ne sont pas publiés : selon le cas, l'attente suffit ou une réinitialisation manuelle par l'établissement devient nécessaire. Insister pendant ce délai prolonge le blocage.

Une idée circule selon laquelle l'accès dépendrait de votre adresse IP. C'est faux pour l'usage courant : le portail reste joignable depuis n'importe quelle connexion, y compris en 4G ou depuis l'étranger. Votre IP est journalisée côté serveur, et certaines fonctions d'administration peuvent être restreintes à des plages précises, mais un élève n'a pas à changer d'IP pour se connecter. En revanche, depuis le réseau pédagogique du collège, un proxy et un filtrage s'intercalent, et la résolution DNS interne peut renvoyer autre chose que la résolution publique. Comparez avec dig +short suivi du nom du portail, depuis le poste concerné puis depuis une connexion extérieure.

Dernier réflexe, celui qui coûte le moins cher : lisez le domaine dans la barre d'adresse avant de taper un mot de passe, et ne vous authentifiez jamais depuis un lien reçu par SMS ou par message. Un compte ÉduConnect ouvre les bulletins, la messagerie et les démarches d'orientation.

Symptôme	Cause la plus fréquente	Ce qui débloque
Aller-retour sans fin entre l'ENT et la page de connexion	Cookies tiers ou cookies de session bloqués, extension anti-pistage, mode privé verrouillé	Autoriser les cookies pour les deux domaines, tester dans un autre navigateur sans extension
Erreur au rechargement ou après un retour arrière	Ticket CAS déjà consommé ou expiré	Repartir de la racine du portail, sans réutiliser l'ancienne URL
Identifiants refusés alors qu'ils sont corrects	Compte temporairement verrouillé, ou saisie sur le portail d'un autre département	Laisser passer le délai, vérifier le domaine affiché
Fonctionne à la maison, pas au collège	Filtrage réseau, proxy, DNS interne divergent	Comparer la résolution avec dig, voir le référent numérique
Avertissement de sécurité du navigateur	Certificat du portail expiré, horloge du poste fausse, interception par un proxy	Vérifier la date et l'heure de la machine avant d'accuser le site

ENT91, ÉduConnect, Pronote, GAR : ne pas confondre

Ces quatre noms apparaissent dans la même session de travail et beaucoup d'utilisateurs les prennent pour des synonymes. Ils ne le sont pas, et la confusion produit de vrais échecs de connexion.

Le cas le plus courant concerne Pronote. C'est un logiciel de vie scolaire édité par une société privée, Index Éducation, atteint depuis l'ENT par authentification unique. Tant que vous passez par le portail, aucun mot de passe supplémentaire n'est demandé. Si vous tapez directement l'adresse Pronote de l'établissement, vous tombez sur un formulaire indépendant qui n'attend pas vos identifiants ÉduConnect, et rien ne vous le dit clairement. Vous concluez que votre compte est cassé alors que vous frappez à la mauvaise porte.

Le GAR, gestionnaire d'accès aux ressources, joue un autre rôle : il distribue les manuels et ressources des éditeurs en leur transmettant une identité pseudonymisée. L'éditeur sait qu'un élève de troisième d'un collège donné consulte sa ressource, sans recevoir son état civil. Une ressource qui refuse de s'ouvrir renvoie donc à un problème d'affectation de licence par le professeur documentaliste, pas à votre mot de passe.

• ENT91 : le portail, la messagerie, le cahier de textes, les documents.
• ÉduConnect : le contrôleur d'identité national des élèves et des responsables légaux, rien d'autre.
• Pronote : la vie scolaire, éditeur privé, atteint par authentification unique depuis l'ENT.
• GAR : le distributeur de ressources, qui ne reçoit qu'une identité pseudonymisée.

Questions fréquentes

Puis-je me connecter avec mon adresse mail ?

Non. L'identifiant ÉduConnect n'est pas une adresse mail, il est de la forme prenom.nom suivi d'un chiffre et il est attribué par l'établissement. Le mail sert seulement, quand il est renseigné, à recevoir certaines notifications. Les personnels, eux, utilisent bien leur identifiant académique, qui reprend souvent l'initiale du prénom et le nom.

J’ai perdu mon mot de passe, qui peut le réinitialiser ?

Si un numéro de téléphone mobile est enregistré sur votre compte ÉduConnect, la procédure « mot de passe oublié » vous envoie un code par SMS et vous reprenez la main seul. Sans numéro valide, seul le collège peut regénérer un identifiant et un mot de passe provisoire. Pour un compte académique, la demande passe par l'assistance de l'académie, pas par l'établissement.

Pourquoi ça marche sur mon téléphone et pas sur l’ordinateur du collège ?

Deux différences se cumulent. Le poste du collège passe par un proxy et un filtrage du réseau pédagogique, avec parfois une résolution DNS interne différente de la résolution publique. Et son navigateur est souvent verrouillé sur une politique de cookies stricte, qui casse la redirection vers le guichet d'authentification. Le téléphone en 4G contourne les deux.

Faut-il un VPN pour se connecter depuis l’étranger ?

Non, il n'y a pas de blocage géographique connu sur ce type de portail. Un VPN a même plus de chances de créer un problème qu'il n'en résout, en changeant votre résolution DNS ou en déclenchant une vérification supplémentaire. Si la page ne charge pas, cherchez d'abord du côté du navigateur et des cookies.

L’application mobile utilise-t-elle le même compte ?

Oui, l'application s'appuie sur le même fournisseur d'identité et affiche généralement la page de connexion officielle dans une vue web intégrée. Installez seulement celle indiquée par votre établissement : une application tierce qui vous réclame vos identifiants dans son propre formulaire, sans passer par le domaine du guichet, ne devrait pas les recevoir.

Testez vos connaissances

À lire aussi

codes statut http · certificat ssl · commande dig · 2fa