Preguntas frecuentes sobre SSO
El SSO permite que tu equipo inicie sesión a través de tu propio proveedor de identidad. Forma parte del
plan Enterprise, o del complemento Enterprise en Presenter, Studio HD, Studio 4K y Studio 8K, y lo configura tu equipo en
Panel → Equipo → Seguridad (/dash/team/security). Necesitas el permiso de equipo Gestionar
seguridad (el propietario y los administradores lo tienen de forma predeterminada).
¿Qué proveedores son compatibles?
El SSO de autoservicio usa OpenID Connect (OIDC). Funciona cualquier proveedor OIDC: Okta, Microsoft Entra ID (Azure AD), Google Workspace, Auth0 y otros muchos exponen un endpoint OIDC.
SAML está disponible, pero de forma gestionada: ponte en contacto con Cliqer y lo configuraremos para tu equipo. El formulario de autoservicio solo crea proveedores OIDC.
¿Cómo añado un proveedor?
Añade el proveedor
Ve a Equipo → Seguridad → Inicio de sesión único y haz clic en Añadir proveedor.
Rellena el formulario
- Nombre visible: la etiqueta que aparece en el botón de inicio de sesión.
- URL del emisor: el emisor OIDC de tu proveedor. Cliqer obtiene la configuración de descubrimiento de
<issuer>/.well-known/openid-configurationautomáticamente. - ID de cliente y Secreto de cliente: los de la aplicación que creaste en tu IdP.
- Claim identificador: el claim que se asocia a la cuenta de Cliqer (
email,subopreferred_username). Valor predeterminado:email. - Lista de dominios de correo permitidos (opcional): restringe el inicio de sesión a dominios de correo concretos.
- Crear cuentas automáticamente: crea una cuenta de Cliqer en el primer inicio de sesión.
Guarda
Guarda los cambios. El proveedor aparece ya en la página de inicio de sesión.
¿Qué URI de redirección configuro en mi IdP?
https://<your-cliqer-host>/sso/<slug>/callback
El slug se genera al crear el proveedor. El flujo de inicio de sesión empieza en
/api/auth/sso/<slug>/start y vuelve a la URL de callback anterior.
¿Puedo usar más de un proveedor?
Sí. Puedes añadir varios proveedores, y cada uno muestra su propio botón en la página de inicio de sesión. Usa la lista de dominios de correo permitidos para delimitar a quién acepta cada proveedor.
¿Qué hace «Exigir SSO»?
Al activar Exigir SSO, el inicio de sesión con contraseña y con llave de acceso se rechaza en el servidor para los miembros de tu equipo: deben usar uno de tus proveedores de SSO.
- La aplicación se realiza en los endpoints de inicio de sesión (
/api/auth/loginy el paso de verificación de la llave de acceso), no ocultando un formulario, así que no se puede eludir llamando directamente a la API. - El propietario del equipo está exento (acceso de emergencia): el propietario siempre puede iniciar sesión con contraseña, de modo que una organización nunca puede quedarse sin acceso.
¿Qué pasa con las cuentas existentes?
Los miembros se vinculan a su identidad de SSO mediante el claim identificador (el correo electrónico de forma predeterminada). Las cuentas existentes conservan sus datos y ajustes. Con Crear cuentas automáticamente activado, a un usuario de SSO que entra por primera vez sin una cuenta coincidente se le crea una automáticamente.
¿Cómo desactivo la obligatoriedad?
Desactiva Exigir SSO en la misma página. El inicio de sesión con contraseña y con llave de acceso vuelve a estar disponible de inmediato. Tus proveedores siguen configurados.