Authentification PCN ENT : comprendre et débloquer la connexion

PCN, c’est Paris Classe Numérique

Dans un contexte scolaire, « PCN ENT » renvoie à Paris Classe Numérique, l’espace numérique de travail des écoles maternelles et élémentaires publiques de Paris. C’est un ENT du premier degré : familles, élèves, enseignants et directions y trouvent le cahier de liaison, les documents de classe et la messagerie interne. L’authentification y est nominative, un compte par personne, jamais un compte partagé par classe.

Le sigle sert ailleurs à autre chose. Point de Contact National dans les programmes de recherche européens, par exemple. Si votre PCN n’a rien de scolaire, la procédure décrite ici ne vous concerne pas.

La confusion la plus coûteuse en temps porte sur les comptes voisins. EduConnect est le service national d’identité destiné aux responsables et aux élèves. Le compte académique, du type prenom.nom, appartient aux personnels de l’Éducation nationale et se gère au rectorat. Le GAR (Gestionnaire d’Accès aux Ressources) ne sert pas à vous authentifier mais à vous distribuer les ressources des éditeurs une fois la session ouverte. Aucun des trois n’est un compte PCN, même si l’un d’eux peut être la porte d’entrée selon la manière dont l’ENT est raccordé localement. Le raccordement exact varie d’un déploiement à l’autre et n’est pas publié côté utilisateur : fiez-vous à ce qu’affiche réellement la page de connexion, pas à un tutoriel trouvé pour une autre académie.

Ce qui se passe entre le formulaire et la page d’accueil

Ouvrez les outils de développement du navigateur, onglet Réseau, cochez « Conserver le journal », puis connectez-vous. Vous ne verrez pas une requête mais une chaîne : le GET sur la page de connexion, le POST du formulaire, une ou deux redirections 302, et le 200 final de la page d’accueil. Presque toutes les pannes d’authentification se lisent dans cette chaîne.

Le mécanisme derrière ces redirections est un SSO de type CAS. Le serveur vérifie le couple identifiant/mot de passe, dépose un cookie de session (nommé CASTGC sur une implémentation Apereo), puis renvoie le navigateur vers le service demandé avec un paramètre ticket=ST-… dans l’URL. Ce ticket de service est à usage unique, et sa durée de vie par défaut sur Apereo CAS est de 10 secondes. D’où un symptôme que tout le monde a déjà provoqué : une URL de connexion copiée puis recollée cinq minutes plus tard ne marche jamais, et l’erreur affichée parle d’un ticket invalide, pas d’un mot de passe.

Le cookie de session porte normalement les attributs Secure et HttpOnly. Depuis Chrome 80, sorti en 2020, un cookie sans SameSite=None; Secure n’est plus renvoyé lors d’une requête inter-site. Une extension anti-pistage ou une politique de navigateur trop stricte suffit alors à faire tourner la boucle de redirection à l’infini, sans le moindre message d’erreur lisible.

Code HTTP	Ce que vous voyez	Interprétation
302	Redirection vers /login?service=…	Étape normale du SSO. Anormale si elle se répète plus de deux ou trois fois.
401	Identifiant ou mot de passe incorrect	Mauvais couple, ou compte verrouillé après échecs répétés.
403	Page refusée, sans formulaire	Accès filtré : proxy de l’établissement, ou ressource réservée à certaines adresses IP.
429	Trop de tentatives, réessayez plus tard	Limitation anti-bourrage. Attendre, pas relancer.
502 / 504	Page blanche ou erreur de passerelle	Panne côté ENT. Rien à corriger sur votre poste.

D’où viennent les identifiants

Ils ne s’auto-créent pas, et c’est le premier malentendu. Pour les familles, la direction de l’école génère et distribue les comptes, en général sur un feuillet remis en début d’année, parfois assorti d’un code d’activation à saisir à la première connexion seulement. Ce code sert une fois. Ensuite, seul compte le mot de passe que vous avez choisi.

Les enseignants passent par leur compte académique, dont le mot de passe initial est souvent le NUMEN. L’école ne peut rien y faire : ce compte se réinitialise auprès des services informatiques du rectorat.

Un ENT du premier degré ne propose pas toujours de « mot de passe oublié » en libre-service, parce que la réinitialisation suppose de vérifier votre identité, et seule l’école est en mesure de le faire. Prévoyez un délai réel, de quelques heures à quelques jours selon la période. Le support technique de l’ENT ne vous rendra pas votre accès, la direction si.

Le formulaire de connexion reste une cible classique de bourrage d’identifiants. Les ENT limitent donc les tentatives, affichent un captcha après quelques échecs, ou verrouillent temporairement le compte. Un message « identifiant ou mot de passe incorrect » qui persiste alors que vous êtes certain de votre saisie est souvent un verrouillage déjà en place. Attendez une dizaine de minutes plutôt que d’enchaîner les essais, qui prolongent le blocage.

Diagnostiquer un refus de connexion depuis le poste

Avant d’accuser l’ENT, séparez ce qui vient du réseau de ce qui vient du compte. Un compte cassé produit la même erreur partout, y compris depuis le partage de connexion d’un téléphone. Un problème réseau, lui, change de tête selon l’endroit d’où vous vous connectez. Ce seul test élimine la moitié des cas en trente secondes.

Testez ensuite en navigation privée. Cela écarte d’un coup les cookies périmés, les extensions et une redirection permanente restée en cache dans le navigateur. Si la connexion passe en privé mais pas en fenêtre normale, videz les cookies du seul domaine de l’ENT plutôt que tout l’historique. Sur Chrome, une entrée HSTS mémorisée se supprime depuis chrome://net-internals/#hsts.

• `dig +short ent.parisclassenumerique.fr` : si rien ne sort, le problème est la résolution DNS, pas votre mot de passe.
• `curl -sI https://ent.parisclassenumerique.fr/ | head -n 5` : la première ligne doit être un 200 ou un 302. Un 403 signe un filtrage réseau, un 502 une panne serveur.
• `openssl s_client -connect ent.parisclassenumerique.fr:443 -servername ent.parisclassenumerique.fr /dev/null | openssl x509 -noout -issuer -dates` : si l’émetteur du certificat est un boîtier de filtrage et non une autorité publique, le réseau déchiffre le trafic, ce qui fait échouer l’application mobile même quand le navigateur passe.
• `ipconfig` sous Windows ou `ifconfig` sous macOS et Linux : une adresse en 169.254.x.x signifie que le serveur DHCP n’a pas répondu et que le poste n’a aucun accès réseau réel.
• `date` : une horloge décalée de plus de quelques minutes fait rejeter les jetons signés, notamment le champ NotOnOrAfter d’une assertion SAML. Un poste qui revient de plusieurs mois d’extinction est un suspect sérieux.

À l’école et à la maison, le réseau ne se comporte pas pareil

Le réseau d’une école est filtré. Un proxy académique ou un boîtier local inspecte le trafic, bloque des domaines, et remplace parfois le certificat du site par le sien. Une application mobile qui vérifie strictement le certificat refusera cette substitution et affichera une erreur de connexion incompréhensible, pendant que le navigateur du même poste fonctionne.

À la maison, vous n’avez rien de tout cela, mais vous héritez du résolveur DNS de votre box et de son cache. Quand un ENT change d’hébergement, l’ancienne adresse IP peut rester en cache pendant toute la durée du TTL de l’enregistrement. Vider le cache DNS du poste, ou basculer temporairement sur un résolveur public, tranche la question en une minute.

Reste un point que peu de gens ont en tête : certaines ressources accessibles depuis l’ENT sont réservées à des plages d’adresses IP déclarées par l’établissement auprès de l’éditeur. Elles s’ouvrent en classe et se ferment à la maison, avec exactement la même session et le même mot de passe. Ce n’est pas un défaut d’authentification, et changer votre mot de passe n’y changera rien.

Symptôme observé	Piste à vérifier en premier
La page de connexion ne s’affiche pas du tout	Résolution DNS et portail captif du réseau. Rejouez le lien en partage de connexion mobile.
Boucle de redirections sans fin	Cookies du domaine bloqués ou périmés, horloge du poste, extension anti-pistage.
Connexion acceptée puis déconnexion immédiate	Cookie de session non conservé, ou deux onglets ouverts sur deux comptes différents.
Le manuel numérique refuse l’accès alors que l’ENT est ouvert	Le passage par le GAR ou l’affectation de la ressource, pas le mot de passe.

Testez vos connaissances

Questions fréquentes

Quelle est l’adresse de connexion de PCN ?

L’ENT parisien est servi sur le domaine parisclassenumerique.fr, la page de connexion étant portée par le sous-domaine ent. Passez par le lien communiqué par l’école ou par un favori que vous avez créé vous-même. Si un courriel vous envoie saisir vos identifiants sur un autre domaine, même très ressemblant, ne remplissez rien : c’est le schéma de phishing le plus courant sur les ENT en période de rentrée.

J’ai perdu le mot de passe de mon enfant, comment le récupérer ?

Par l’école, qui a généré les comptes et peut les réinitialiser. Il n’existe pas systématiquement de procédure automatique en libre-service sur un ENT du premier degré, parce qu’un lien de réinitialisation envoyé par courriel supposerait une adresse vérifiée pour chaque responsable, ce qui n’est pas garanti. Écrivez à la direction plutôt qu’au support technique de l’ENT.

PCN et EduConnect, est-ce la même chose ?

Non. EduConnect est un service national d’identité pour les responsables et les élèves ; PCN est un ENT, c’est-à-dire l’application dans laquelle vous travaillez une fois authentifié. Selon le raccordement en place, EduConnect peut servir à ouvrir la session PCN, mais ce sont deux briques distinctes, avec deux supports distincts.

Pourquoi la page de connexion tourne-t-elle en boucle sans jamais s’ouvrir ?

C’est presque toujours un problème de cookie, pas de mot de passe. Le serveur redirige vers le SSO, le SSO redirige vers le service, et le cookie de session n’est pas conservé au passage : la boucle se referme. Testez en navigation privée, désactivez temporairement les extensions de blocage, puis supprimez les cookies du seul domaine de l’ENT. Vérifiez aussi l’horloge du poste, un décalage important produit exactement ce comportement.

Peut-on activer une double authentification sur l’ENT ?

Rarement sur un ENT du premier degré, et jamais de votre propre initiative : l’option dépend du déploiement académique ou territorial, pas d’un réglage dans votre profil. À défaut, utilisez un mot de passe propre à l’ENT, non réutilisé ailleurs, stocké dans un gestionnaire. Un mot de passe recyclé depuis un autre service reste la faille la plus exploitée sur ce type de plateforme.

À lire aussi

codes statut http · commande dig · certificat ssl · authentification a deux facteurs 2fa