Aide / Klepsi / Messagerie

Brancher la messagerie de Klepsi

Les rappels et les comptes rendus d'activité partent par le connecteur de messagerie de Klepsi. Il se règle de deux façons.

1

Choisissez le mode d'envoi

Klepsi envoie tous ses mails depuis une seule adresse. Deux connecteurs existent, dans Paramètres, onglet Messagerie :

  • SMTP : un relais d'envoi, par exemple Brevo. Le plus simple.
  • Microsoft 365 (Graph) : l'envoi part de votre boîte Microsoft 365 et apparaît dans ses éléments envoyés.

Avec Microsoft 365, préférez Graph. L'envoi SMTP par mot de passe y est en fin de vie (voir plus bas).

Option A : un relais SMTP

Choisissez le connecteur SMTP et remplissez les champs avec ce que fournit votre service d'envoi :

  • Serveur SMTP et Port : en général le port 587, avec STARTTLS coché.
  • Identifiant et Mot de passe : ceux du relais. Laissez l'identifiant vide si le relais ne demande pas d'authentification.

L'Expéditeur est l'adresse que verront les destinataires.

Avec Brevo : serveur smtp-relay.brevo.com, port 587, STARTTLS coché. L'identifiant et le mot de passe sont ceux de la page SMTP de votre compte Brevo. Le mot de passe est une clé SMTP, différente de la clé d'API. Le domaine de l'expéditeur doit être validé dans Brevo, sinon les mails finissent en indésirables.

Avec Microsoft 365 en SMTP : serveur smtp.office365.com, port 587, STARTTLS coché, et l'adresse et le mot de passe d'une boîte dont l'envoi SMTP authentifié (SMTP AUTH) est activé.

Microsoft a annoncé la désactivation par défaut de SMTP AUTH par mot de passe fin décembre 2026, puis son retrait. Klepsi ne fait pas d'OAuth en SMTP. Sur Microsoft 365, passez par Graph (option B).

Option B : Microsoft 365 par Graph

Klepsi s'authentifie comme une application, sans utilisateur, puis envoie depuis la boîte de l'expéditeur. Il faut un administrateur Microsoft 365.

1

Déclarez l'application dans Entra

Sur entra.microsoft.com, ouvrez Inscriptions d'applications, puis Nouvelle inscription. Nom : Klepsi. Comptes de cet annuaire uniquement. Pas d'URI de redirection.

Sur la page de l'application, relevez l'ID d'application (client) et l'ID de l'annuaire (locataire).

2

Donnez la permission Mail.Send

Dans Autorisations de l'API, ajoutez Microsoft Graph, type Autorisations d'application(pas déléguées), et cochez Mail.Send. Rien d'autre : Klepsi ne lit aucune boîte.

Cliquez ensuite sur Accorder un consentement d'administrateur. Sans ce consentement, Microsoft refuse l'envoi.

3

Limitez l'application à une seule boîte

Telle quelle, la permission Mail.Send permet d'envoyer depuis n'importe quelle boîte de l'organisation. Restreignez-la à l'expéditeur depuis Exchange Online PowerShell :

Connect-ExchangeOnline
New-ApplicationAccessPolicy -AppId <ID d'application> `
  -PolicyScopeGroupId klepsi@societe.fr `
  -AccessRight RestrictAccess -Description "Klepsi"

# Vérification : Granted sur l'expéditeur, Denied sur une autre boîte
Test-ApplicationAccessPolicy -Identity klepsi@societe.fr -AppId <ID d'application>
Test-ApplicationAccessPolicy -Identity autre@societe.fr -AppId <ID d'application>

Microsoft propose aussi les rôles RBAC pour les applications dans Exchange Online, qui remplacent peu à peu ces stratégies. L'une ou l'autre convient. Comptez jusqu'à une heure, parfois plus, avant que la restriction s'applique.

4

Créez un secret et notez son échéance

Dans Certificats et secrets, créez un Nouveau secret client. Prenez l'échéance la plus longue proposée et notez la date. Copiez la Valeur, pas l'ID du secret : elle ne s'affiche qu'une fois.

Avant l'échéance, créez un second secret, collez-le dans Klepsi, envoyez un mail de test, puis supprimez l'ancien.

5

Renseignez Klepsi

Choisissez le connecteur Microsoft 365 (Graph) :

  • Tenant Microsoft : l'ID de l'annuaire (locataire).
  • Identifiant d'application : l'ID d'application (client).
  • Secret d'application : la valeur du secret.
  • Expéditeur : l'adresse de la boîte autorisée à l'étape 3.

Tester l'envoi

Cliquez sur Enregistrer, puis sur M'envoyer un mail de test. Le mail part vers votre propre adresse. Le test utilise ce qui est enregistré, pas ce qui est à l'écran.

En cas d'échec, Klepsi affiche le code renvoyé. En SMTP, « Le relais a répondu 535 » veut dire identifiant ou mot de passe refusé. Avec Graph :

  • « Azure a refusé la demande de jeton (401) » ou (400) : tenant, identifiant ou secret faux, ou secret expiré.
  • « Graph a répondu 403 sur sendMail » : consentement administrateur absent, ou expéditeur hors de la restriction de l'étape 3.

Besoin d'aide ?

Notre équipe support peut vous accompagner pour ce réglage. Écrivez-nous à support@aleop.eu.