Messagerie ac-strasbourg : authentification, identifiant et erreurs de connexion

Ce qui se passe quand vous ouvrez webmail.ac-strasbourg.fr

Le webmail de l’académie de Strasbourg ne vérifie aucun mot de passe. Quand vous chargez https://webmail.ac-strasbourg.fr, le serveur (nginx) répond par un 302 vers /iwc/, l’interface du webmail, puis renvoie aussitôt vers https://login.ac-strasbourg.fr/proxy-sso/auth/basic avec un paramètre CT_ORIG_URL qui mémorise la page demandée. C’est ce portail, baptisé « Accès aux applications de l’académie de Strasbourg », qui affiche le formulaire de connexion. Ses pages techniques (chargement de session, erreur) sont titrées « Authentification - … », d’où la formulation que les agents tapent ensuite dans Google.

Techniquement, la chaîne enchaîne un proxy SSO, une autorisation OAuth 2.0 (RFC 6749) en mode OpenID Connect, puis un fournisseur d’identité Shibboleth, reconnaissable à ses URL /idp/profile/oidc/authorize?execution=e1s1 et à ses champs de formulaire j_username et j_password. La demande d’autorisation exige une valeur acr parmi password ou timesynctoken : c’est la trace, dans l’URL, des deux méthodes de connexion proposées. Une fois le code échangé contre un jeton, le proxy vous renvoie sur l’URL mémorisée dans CT_ORIG_URL avec une session ouverte. Le même couple identifiant et mot de passe ouvre ARENA (https://si.ac-strasbourg.fr) et les applications métier, le portail le dit en toutes lettres.

L’identifiant académique : la règle exacte et ses exceptions

Le formulaire porte le libellé « Identifiant académique ou adresse mail » : les deux fonctionnent. L’adresse est de la forme prenom.nom@ac-strasbourg.fr. L’identifiant, lui, se construit à partir de la première lettre du prénom et du nom de famille, en minuscules, sauf exception d’homonymie ; dans ce cas seul le module « Connaître son identifiant » de si.ac-strasbourg.fr donne la valeur réelle.

Le mot de passe initial se définit avec le NUMEN, l’identifiant à 13 caractères de chaque agent de l’Éducation nationale, que communiquent la DPE ou la DPAE selon le profil. La politique publiée par la DSIGE impose 12 caractères avec au moins une majuscule, une minuscule, un chiffre et un caractère spécial, et un renouvellement obligatoire tous les 18 mois. Un mot de passe expiré ne produit pas forcément un message explicite : si la connexion échoue au retour d’une longue absence, commencez par là.

• Jean Dupont devient jdupont
• Prénom composé : seule l’initiale du premier prénom compte, Jean-Paul Dupont donne jdupont
• Nom composé : un tiret entre les deux noms, Jean Dupont-Durand donne jdupont-durand
• Particule : initiale, particule entière, tiret, nom ; Jean de Paris donne jde-paris

Mot de passe ou OTP : deux méthodes, un seul compte

Sous le champ d’identifiant, le portail propose « Je me connecte avec mon mot de passe » et, dans un second onglet, « Je me connecte avec mon OTP » avec un bouton « Se connecter par OTP ». Le mot de passe correspond à l’acr password de la requête OIDC ; l’OTP à timesynctoken, autrement dit un code à usage unique produit par un jeton synchronisé sur l’horloge, le principe des clés OTP remises aux personnels qui accèdent aux applications sensibles.

Pour lire son courrier, le mot de passe suffit. L’OTP n’est pas un second facteur empilé sur le mot de passe : c’est une méthode alternative, choisie au moment de la connexion. Ce n’est donc pas une validation en deux étapes au sens strict, où le code s’ajoute au mot de passe. Si vous n’avez jamais reçu de jeton, ignorez cet onglet.

« Authentification - Erreur technique » : ce que le message veut dire

Ce titre de page, souvent recopié tel quel dans Google, ne signale ni un mot de passe faux ni un compte bloqué. Le texte affiché le dit d’ailleurs : « Vous avez peut-être cliqué sur le bouton de retour à la page précédente ou utilisé une adresse enregistrée dans vos favoris ou marque-pages ». La cause est mécanique. Chaque étape du SSO est liée à une session côté serveur, matérialisée par un cookie JSESSIONID (chemin /proxy-sso) puis un __Host-JSESSIONID sur le fournisseur d’identité, et par le compteur execution=e1s1, e1s2 dans l’URL. Un favori pointant sur l’une de ces URL intermédiaires arrive sans session valide, et le portail répond par cette page.

Autre cause classique : JavaScript bloqué. La première étape, titrée « Authentification - Chargement des Informations de Session », lit le stockage local du navigateur via un script ; sans lui, on reste sur un bouton « Continue » à cliquer à la main. La correction tient en une ligne : repartir de https://webmail.ac-strasbourg.fr (ou de si.ac-strasbourg.fr pour ARENA) et refaire la chaîne complète. Si l’erreur persiste, fermez l’onglet et supprimez les cookies du domaine ac-strasbourg.fr, y compris BALANCER_ROUTE_ID_proxy-sso et BALANCER_ROUTE_ID_idp, qui collent la session à un nœud précis derrière le répartiteur de charge. Test du 19 septembre 2026 : un curl -I sur /iwc/ sans cookies traverse quatre redirections 302 puis se termine sur un 500, exactement le parcours d’un favori mal placé.

Configurer Thunderbird ou un smartphone : IMAP 993 et SMTPS 465

Le webmail n’est pas obligatoire. Le manuel DSIGE de juillet 2024 (utilisation_webmail_strasbourg_v5) publie les paramètres pour un client de messagerie, avec le mot de passe du compte en authentification « normale », c’est-à-dire PLAIN ou LOGIN sur une connexion TLS (RFC 4616 pour SASL PLAIN). Les deux ports retenus sont ceux du TLS implicite, celui que recommande la RFC 8314 plutôt que STARTTLS sur 143 ou 587.

Deux pièges relevés. Le serveur sortant est smtps.ac-strasbourg.fr, avec un s, alors que Thunderbird prérenseigne smtp.ac-strasbourg.fr : les deux noms résolvent aujourd’hui vers 194.254.206.30, mais la documentation demande de corriger. Le manuel donne aussi l’adresse mail comme identifiant dans la section Thunderbird et l’identifiant académique dans la section iPhone ; si l’un est refusé, essayez l’autre. Ensuite, lors du test du 19 septembre 2026 depuis une connexion hors de France, les ports 143, 993, 465 et 587 de cette adresse ne répondaient pas du tout, alors que le webmail était joignable. Un client qui affiche « délai d’attente dépassé » depuis l’étranger ou certains réseaux ne prouve donc rien sur le mot de passe : testez d’abord le webmail, puis la couche réseau avec openssl s_client -connect imap.ac-strasbourg.fr:993, qui doit afficher une bannière « * OK » avant toute saisie d’identifiants.

Protocole	Serveur	Port	Chiffrement	Identifiant
IMAP (entrant)	imap.ac-strasbourg.fr	993	SSL/TLS	adresse mail complète
SMTP (sortant)	smtps.ac-strasbourg.fr	465	SSL/TLS	adresse mail complète

Mot de passe perdu, compte bloqué, boîte pleine : les modules en libre-service

Le portail de connexion renvoie vers https://si.ac-strasbourg.fr/identifiant/, un module à quatre entrées : connaître son identifiant, réinitialiser son mot de passe ou débloquer son compte, changer son mot de passe, renseigner ses informations de récupération. La réinitialisation ne fonctionne que si ces informations de récupération ont été saisies avant la perte, la page le rappelle en gras ; sinon le passage par l’assistance académique est obligatoire.

La boîte est limitée à 100 Mo par défaut, extensible jusqu’à 5 Go depuis le lien « Gérer le quota de sa boîte aux lettres » de la page d’accueil, avec un délai d’application qui peut atteindre 24 heures. Une boîte pleine bloque la réception sans empêcher la connexion : le courrier entrant transite d’abord par les relais du ministère, msg-a85.education.gouv.fr (priorité 10) et msg-b85.education.gouv.fr (priorité 15) d’après l’enregistrement MX de ac-strasbourg.fr, et c’est l’expéditeur qui reçoit l’avis de non-remise, pas vous. Enfin, l’académie tient une page « Suivi des alertes messageries en cours » sur ssi.ac-strasbourg.fr : avant de conclure à un compte piraté, vérifiez qu’aucun incident n’y est déclaré, et méfiez-vous des courriels qui imitent cette page de connexion pour récolter des identifiants académiques, ce que la page elle-même rappelle via son lien « Luttons ensemble contre les attaques informatiques ».

Testez vos connaissances

Questions fréquentes

Quel identifiant taper sur la messagerie ac-strasbourg ?

L’identifiant académique (première lettre du prénom suivie du nom, jdupont pour Jean Dupont) ou l’adresse complète prenom.nom@ac-strasbourg.fr. Le champ du portail accepte les deux. En cas d’homonymie ou de nom composé, le module « Connaître son identifiant » de si.ac-strasbourg.fr/identifiant donne la valeur exacte.

Pourquoi la page affiche-t-elle « Authentification - Erreur technique » ?

Parce que vous êtes arrivé sur une URL intermédiaire du SSO (favori, bouton Précédent, lien copié) sans la session que le portail attendait. Repartez de https://webmail.ac-strasbourg.fr ; si cela persiste, supprimez les cookies du domaine ac-strasbourg.fr et vérifiez que JavaScript n’est pas bloqué.

Le mot de passe de la messagerie est-il le NUMEN ?

Non. Le NUMEN sert à définir ou à réinitialiser le mot de passe, il n’est pas le mot de passe lui-même. Celui-ci doit compter 12 caractères avec majuscule, minuscule, chiffre et caractère spécial, et il expire tous les 18 mois.

Peut-on lire la messagerie ac-strasbourg dans Thunderbird ou sur un téléphone ?

Oui, en IMAP sur imap.ac-strasbourg.fr port 993 (SSL/TLS) et en SMTP sur smtps.ac-strasbourg.fr port 465 (SSL/TLS), avec le mot de passe du compte. Le webmail reste la référence en cas de doute, car l’accès IMAP peut être filtré selon le réseau d’origine.

La connexion par OTP est-elle obligatoire ?

Non. C’est une alternative au mot de passe, réservée aux agents équipés d’un jeton, et le portail la présente dans un onglet distinct. Pour la messagerie seule, le mot de passe suffit.

À lire aussi

client email · authentification deux facteurs · attaques par mot de passe · certificat ssl