# 12. Authentification candidat L’accès candidat à Passe Marché repose sur un mode de connexion simple, sans création de compte préalable ni mot de passe à mémoriser. L’authentification est conçue pour permettre à un opérateur économique : * d’accéder rapidement à sa candidature, * de reprendre une candidature déjà commencée, * et de sécuriser l’accès à son dossier au moyen d’un lien personnel envoyé par courrier électronique. Cette modalité d’accès vise à concilier **simplicité d’usage** et **sécurisation du parcours candidat**. #### 1. Un accès sans compte préalable Pour se connecter à Passe Marché, le candidat renseigne : * son **numéro SIRET** (peut être récupéré à partir d'un profil acheteur), * et son **adresse email**. Passe Marché envoie un **lien de connexion personnel** par email afin d'accéder au remplissage de la candidature en question. Ce fonctionnement évite la création d’un compte classique avec identifiant et mot de passe, tout en permettant d’associer l’accès à la bonne candidature.
#### 2. Réception d’un lien de connexion personnel Après validation du SIRET et de l’adresse email, le candidat reçoit un email contenant un **lien de connexion sécurisé**. Ce lien permet : * d’ouvrir directement la session candidat, * d’accéder à la candidature concernée, * et de poursuivre le remplissage du formulaire sans ressaisir ses identifiants. Une page de confirmation informe l’utilisateur qu’un lien lui a bien été envoyé et l’invite à consulter sa boîte mail. Exemple d'un mail :
#### 3. Connexion au formulaire de candidature Lorsque le candidat clique sur le lien reçu : * il est **authentifié automatiquement**, * sa session est ouverte, * et il est redirigé vers la **candidature associée**. Le formulaire s’ouvre dans son état courant, avec les informations déjà enregistrées lors des étapes précédentes, sous réserve des règles applicables au dossier concerné. Ce fonctionnement permet au candidat de reprendre son parcours sans rupture et de compléter sa candidature de manière progressive. #### 4. Reprendre une candidature existante Un candidat ayant déjà commencé une candidature peut demander un nouveau lien d’accès en utilisant à nouveau : * le **même SIRET**, * et la **même adresse email** que lors de la création ou de la première connexion. Lorsque ces éléments correspondent à une candidature existante, Passe Marché adresse un nouveau lien de connexion permettant de reprendre l’accès au dossier. Cette reprise d’accès permet au candidat de retrouver sa candidature et de poursuivre sa démarche sans recommencer l’ensemble du parcours. #### 5. Un accès lié à la candidature concernée L’authentification ne donne pas un accès général à l’ensemble des candidatures d’une entreprise.\ Elle permet d’accéder uniquement à la candidature correspondant aux éléments d’identification saisis. Dans le cas simple où un SIRET correspond à une seule candidature, le lien est envoyé directement pour cette candidature. Ce principe permet de limiter les risques d’erreur et de garantir que le candidat accède au bon dossier.\
#### 6. Sécurisation du lien de connexion Le lien envoyé par email est personnel et limité dans le temps. Il est conçu pour garantir un accès sécurisé à la candidature, avec plusieurs principes de fonctionnement : * le lien est envoyé uniquement après vérification du SIRET et de l’adresse email ; * il a une **durée de validité limitée à 30 minutes** ; * lorsqu’un nouveau lien est demandé, le précédent devient invalide. Ainsi, si un candidat demande plusieurs fois un lien de connexion, seul le plus récent reste valable. #### 7. Cas d’expiration ou de lien déjà utilisé Si le candidat clique sur un lien expiré, Passe Marché affiche un message explicite l’informant que le lien n’est plus utilisable. Dans ce cas, l’interface propose de demander un **nouveau lien de connexion**, avec reprise facilitée des informations déjà saisies, notamment : * le SIRET, * l’adresse email. Cette approche permet de limiter les blocages et d’accompagner le candidat vers une reprise rapide de son accès. #### 8. Candidature déjà transmise Si le lien de connexion est valide mais que la candidature concernée a déjà été transmise, le candidat en est informé clairement. Dans cette situation : * la candidature est considérée comme **clôturée**, * aucune modification supplémentaire n’est possible, * et un accès en lecture seule peut être proposé selon le fonctionnement retenu. Cette information permet d’éviter toute ambiguïté sur l’état du dossier.
#### 9. Protection de l’accès aux candidatures L’accès aux pages candidat est protégé par un mécanisme de vérification de session. Concrètement, cela signifie qu’un utilisateur qui tenterait d’accéder directement à une candidature sans être authentifié est redirigé vers l’écran de connexion, puis renvoyé vers la page demandée une fois l’authentification réalisée. Ce fonctionnement garantit que seules les personnes disposant d’un accès valide peuvent consulter ou compléter une candidature.
#### 10. Données visibles et données masquées Lorsqu’un candidat accède ou reprend une candidature, il retrouve les informations qu’il a renseignées dans le formulaire ainsi que les données affichables dans son parcours. En revanche, certaines données récupérées automatiquement via des services externes ou considérées comme sensibles restent **masquées dans l’interface candidat**, même lorsqu’elles sont bien prises en compte dans le traitement de la candidature. Cette logique permet à la fois : * de respecter les règles de confidentialité applicables à certaines données, * et de garantir que l’acheteur dispose des éléments nécessaires à l’instruction du dossier.