Corma repose sur quelques concepts clés qui fonctionnent ensemble pour vous donner de la visibilité et du contrôle sur les logiciels de votre entreprise. Comprendre comment ces concepts s'articulent permet de mieux voir comment les accès circulent dans votre organisation, d'une simple licence à l'ensemble de votre parc SaaS.
Concepts de base
App
Les apps sont les outils logiciels utilisés par votre entreprise. Corma les découvre automatiquement grâce à l'extension navigateur, s'y connecte via une intégration directe, ou un admin les ajoute manuellement.
Chaque app a aussi un statut : Authorized, Tolerated, To review ou Unauthorized. Les apps Authorized ont un owner, la personne responsable de leur gestion ; les apps peuvent aussi être regroupées en bundles pour des équipes ou des rôles spécifiques.
En pratique, la plupart de ce que Corma suit commence par la détection d'une app.
| Statut | Définition |
|---|---|
| Authorized | Une app officielle, validée par les admins. |
| Tolerated | Une app non officielle, mais dont l'utilisation est permise. Les utilisateurs ne reçoivent pas de notification dans leur navigateur lorsqu'ils l'utilisent (si les notifications navigateur sont activées dans les paramètres). |
| To review | Une app détectée par Corma qu'un admin doit encore examiner. |
| Unauthorized | Une app que personne dans l'entreprise ne doit utiliser. Les utilisateurs sont notifiés instantanément s'ils essaient de l'utiliser dans leur navigateur (si les notifications navigateur sont activées dans les paramètres). |
Supprimer une app efface définitivement toutes ses données associées dans Corma (utilisateurs, licences, historique d'utilisation). Cela n'a aucun effet sur l'app ni sur ses données en dehors de Corma.
Utilisateur
Les utilisateurs sont les personnes de votre entreprise qui ont accès à des apps. Le statut RH d'un utilisateur provient de votre outil RH, et son statut IdP (Provisioned, Active, Suspended, Archived, Deprovisioned, Unknown) est synchronisé en temps réel depuis votre fournisseur d'identité.
Un utilisateur passe par l'onboarding à son arrivée et par l'offboarding à son départ, et chacune de ses licences suit le même parcours.
| Statut RH | Définition |
|---|---|
| Employed | L'utilisateur a un contrat de travail en cours. |
| Terminated | Le contrat de travail de l'utilisateur a pris fin. |
| Upcoming | Le contrat de travail de l'utilisateur n'a pas encore commencé. |
| Unknown | Corma ne connaît pas le statut RH de l'utilisateur. |
Licence
Une licence est ce qui relie concrètement un utilisateur à une app : le droit contractuel pour cette personne de l'utiliser.
Les licences ont un type (Standard, Premium, Business/Enterprise, Freemium) et un rôle dans l'app (Admin, Editor, Viewer), et leur statut évolue selon qu'elles sont utilisées, inactives ou révoquées.
| Statut de licence | Définition |
|---|---|
| Active | La licence est active et a été utilisée récemment. Le seuil d'activité peut être défini dans Corma. |
| Inactive | La licence est payée, mais aucune activité récente n'a été détectée. |
| To be revoked | La licence doit être révoquée, soit parce que l'utilisateur est en offboarding, soit suite à une suppression d'accès. |
| Revoked | La licence a bien été révoquée. |
Workspace
Un workspace Corma regroupe tous les utilisateurs, apps, licences et paramètres d'une entreprise ou d'une entité.
Les grandes organisations et les partenaires IT qui gèrent plusieurs clients peuvent utiliser plusieurs workspaces depuis un seul compte, totalement isolés les uns des autres. Rien de ce qui se trouve dans un workspace n'est visible depuis un autre.
Organiser les accès
Demandes et suppressions d'accès
Les demandes et suppressions d'accès permettent d'attribuer ou de retirer des licences en dehors du parcours classique d'onboarding et d'offboarding.
Une demande d'accès peut venir :
d'un collaborateur qui demande un nouvel outil
d'un admin qui attribue un accès pour quelqu'un d'autre
d'un manager qui demande un accès pour son équipe
Une suppression d'accès fonctionne de la même manière, dans l'autre sens, et les deux passent par un circuit de validation avant de prendre effet.
Circuit de validation
Un circuit de validation est la chaîne de personnes qui doivent approuver une demande d'accès avant qu'elle soit accordée.
Chaque workspace dispose d'un circuit de validation par défaut, qui s'applique à toute app sans configuration propre. Chaque app peut aussi avoir un circuit personnalisé, avec ses propres étapes et validateurs : un manager, une personne précise, ou le tool owner de l'app.
Tool owner et access management owner
Le tool owner est la personne responsable d'une app précise : c'est généralement elle qui en approuve les accès et à qui l'on demande de confirmer quand un accès doit être retiré.
Toutes les apps n'ont pas un responsable clairement identifié, et toutes les actions ne peuvent pas être automatisées. Pour ces cas, chaque workspace désigne un access management owner : la personne de référence qui attribue ou retire les accès manuellement lorsque Corma ne peut pas le faire automatiquement.
Source de données
Une source de données est tout système externe auquel Corma se connecte pour récupérer des informations : un fournisseur d'identité, un outil RH, un outil financier, une app SaaS ou un outil de ticketing.
Corma classe chaque source de données dans une catégorie (idp, hr, finance, saas ou itsm), qui lui indique quel type d'information attendre et comment l'utiliser ailleurs dans le produit.
Intégration directe
Une intégration directe est une connexion native à une app précise, plutôt qu'une détection indirecte de son utilisation via le SSO ou l'extension navigateur.
Les intégrations directes permettent le provisionnement et le déprovisionnement en un clic. Lorsque Corma n'en dispose pas, l'accès doit tout de même être traité, et c'est là qu'interviennent les tickets.
Gérer le workspace
Admin
Un admin est un utilisateur qui a un accès complet au workspace : intégrations, utilisateurs, licences, workflows de provisionnement et paramètres. Tout admin peut en inviter un autre.
Membre et rôle
Le rôle d'un membre détermine ce qu'il peut voir et faire dans un workspace. Les rôles s'appliquent à la fois aux personnes qui utilisent Corma et, séparément, au niveau d'accès que Corma suit sur les licences, comme Admin, Editor ou Viewer dans une app donnée.
Domaine de l'entreprise
Un domaine d'entreprise est un domaine email validé pour un workspace. Toute personne qui s'inscrit avec une adresse email sur ce domaine rejoint automatiquement le workspace, sans invitation.
HR Properties
Les HR Properties sont les départements et intitulés de poste synchronisés depuis l'outil RH de l'entreprise, avec leur provenance et le nombre de personnes concernées. Elles permettent à Corma d'organiser les groupes, les circuits de validation et le reporting par équipe ou par rôle, et pas seulement par personne.
Automatiser le travail
Workflow
Un workflow est la suite d'étapes que Corma exécute automatiquement pour l'onboarding et l'offboarding, déclenchée par des événements comme la date d'arrivée ou de départ d'un utilisateur.
Les workflows appartiennent à un workspace, et le moment de chaque déclenchement (combien de jours à l'avance et à quelle heure) est configurable. Le comportement en cas d'échec d'une étape l'est aussi : arrêter tout le processus, ignorer l'étape sans prévenir, ou l'ignorer et la transformer en ticket.
Ticket
Un ticket est l'enregistrement par Corma d'une action unique liée à un accès : une demande d'accès, un changement de licence, une création ou révocation de compte, ou une étape d'onboarding, d'offboarding ou d'automatisation.
Chaque ticket indique son contexte (ce qui l'a déclenché) et son action automatisée (ce que Corma fait réellement pour le traiter), qu'il s'agisse d'une étape automatique ou d'une étape à finaliser manuellement. Les demandes d'accès approuvées génèrent leur propre ticket de provisionnement, pour suivre une demande jusqu'à l'action qu'elle a déclenchée.
OCR (import de factures)
L'OCR est l'une des façons dont Corma récupère vos données de dépenses : au lieu de connecter un outil financier ou de saisir les coûts à la main, vous pouvez importer une facture PDF. Corma la lit, extrait automatiquement le montant, la devise, la date et le fournisseur, et l'associe à la bonne app.
API et clé API
L'API publique de Corma vous permet de récupérer les données de votre workspace (utilisateurs, licences, apps) dans vos propres systèmes, ou de construire vos propres outils dessus. Les clés API se génèrent dans Settings → API. Aujourd'hui, une clé donne un accès complet à tous les endpoints publics : il n'existe pas encore de permissions distinctes pour un accès en lecture seule ou limité.
MCP
Le serveur MCP de l'API Corma permet à un outil d'IA, comme Claude, Cursor ou VS Code, d'interroger directement les données de votre workspace Corma en langage naturel, sans écrire d'appels API à la main.
Agents
Extension navigateur et OS Agent
L'extension navigateur et l'OS Agent sont deux logiciels installés qui remontent des informations à Corma, mais à des niveaux différents.
L'extension navigateur s'installe dans le navigateur du collaborateur et y détecte l'utilisation des apps. Son état pour un utilisateur donné est No Data (aucune donnée récupérée), No Recent Data (aucune donnée récupérée depuis une semaine) ou Live Data (données en cours de récupération). L'OS Agent s'installe directement sur l'appareil et remonte les logiciels installés et l'activité au niveau du système d'exploitation, une visibilité que le navigateur ne peut pas offrir seul.
AI Agent
Un AI Agent est une automatisation qui trouve elle-même comment atteindre un objectif, plutôt que de suivre un script figé. Il prend en charge des tâches comme se connecter, provisionner, déprovisionner ou lire les données de licences pour les apps qui n'ont pas d'intégration directe.
Il s'exécute dans une session de navigateur isolée, dédiée à une seule tâche. Un Custom Agent permet d'en entraîner un vous-même, sans code, en réalisant la tâche une fois pendant que Corma observe.
Risques et sécurité
Score de risque
Corma attribue à chaque app un score de risque, affiché sous forme de niveaux comme "High risk", basé sur quatre facteurs issus du web scraping et d'API de sécurité. Il reflète l'impact potentiel d'une fuite des données de cette app, et non la probabilité qu'une fuite se produise.
Canal de notification
Un canal de notification est l'endroit où Corma envoie ses alertes sur les apps, les demandes et les revues. L'email est activé par défaut ; Slack et Microsoft Teams peuvent être connectés ; Google Chat est prévu mais pas encore disponible.
Mode d'authentification sécurisé de l'extension
Un paramètre optionnel qui limite la collecte de l'extension navigateur aux seuls utilisateurs authentifiés via un SSO vérifié ou une connexion directe à Corma, plutôt que de se fier aux informations présentes dans la session ou le stockage local du navigateur.
Shadow IT
Le Shadow IT désigne les logiciels utilisés par les collaborateurs sans autorisation officielle ni visibilité de l'IT. C'est un risque de conformité et de sécurité au regard de cadres comme DORA et ISO 27001, et c'est au cœur de ce que Corma permet de révéler : le détecter grâce aux données d'utilisation et financières, puis laisser les admins décider de l'autoriser, de le tolérer ou de le bloquer.
Comment ces concepts s'articulent
Pour résumer Corma :
les apps sont les outils utilisés par votre entreprise
les utilisateurs sont les personnes qui ont besoin d'y accéder
les licences relient un utilisateur à une app, et portent le statut qui indique si cet accès est toujours nécessaire
les demandes d'accès et suppressions changent qui détient une licence, en passant par un circuit de validation
les workflows automatisent ces changements pour l'onboarding et l'offboarding, et les tickets prennent le relais pour tout ce qu'un workflow ne peut pas terminer seul
les sources de données et les intégrations directes permettent à Corma de récupérer et d'agir sur les informations du reste de votre stack
l'extension navigateur, l'OS Agent et les AI Agents permettent à Corma de voir et d'agir sur tout cela sans travail manuel
le workspace est le périmètre dans lequel tout cela existe