Comprende el inicio de sesión único (SSO) en Clevera
Qué hace el inicio de sesión único en Clevera: qué plan lo incluye, SAML 2.0 frente a OpenID Connect, quién puede iniciar sesión con él, Requerir SSO, y qué sucede con los miembros y contraseñas existentes.
El inicio de sesión único (SSO) permite que tu equipo inicie sesión en Clevera con su cuenta de empresa de Okta, Microsoft Entra ID, Google Workspace o cualquier proveedor de SAML 2.0 u OpenID Connect. Este artículo explica qué hace el SSO en Clevera, quién puede configurarlo y qué cambia para tus miembros.
Antes de empezar
- Plan: El SSO es parte de los planes personalizados. En otros planes, el propietario ve Se requiere plan personalizado en Configuración del equipo → Seguridad, con un enlace de Contáctanos. Consulta Elige un plan.
- Quién lo configura: solo el Propietario del espacio de trabajo. Los administradores no pueden ver ni cambiar la configuración de SSO.
- Tu proveedor de identidad: alguien que pueda crear una aplicación en tu proveedor de identidad (IdP), o que pueda enviarte sus valores.
- Tus dominios de correo electrónico: cada dominio de empresa con el que inician sesión tus empleados, como
acme.example.
Qué hace el SSO en Clevera
| Qué sucede | |
|---|---|
| Inicio de sesión | Las personas escriben su correo electrónico de trabajo en la página de inicio de sesión de Clevera y hacen clic en Continuar con tu proveedor. Inician sesión en tu IdP y regresan al espacio de trabajo ya autenticados. |
| Nuevas personas | Con Crear cuentas en el primer inicio de sesión activado, alguien sin cuenta de Clevera obtiene una la primera vez que inicia sesión y se une a tu espacio de trabajo con el rol predeterminado que elegiste (como Editor si ese rol requiere un asiento de creador y no hay ninguno libre). |
| Miembros existentes | Los miembros cuyo dominio de correo electrónico esté en tu lista pueden iniciar sesión con SSO de inmediato. Nada cambia en sus videos o roles. |
| Requerir SSO | Con Requerir SSO activado, los miembros de tus dominios ya no pueden iniciar sesión con una contraseña o Google, y las nuevas personas en tus dominios no pueden registrarse con una contraseña. |
| Propietario | El propietario siempre puede iniciar sesión con su contraseña, por lo que no puedes bloquearte el acceso a ti mismo. |
El SSO funciona por espacio de trabajo: la conexión, sus dominios y sus reglas pertenecen al espacio de trabajo en el que lo configures.
SAML 2.0 u OpenID Connect
Clevera admite ambos. Elige el que prefiera tu administrador de IdP; el resultado para tus miembros es el mismo.
| SAML 2.0 | OpenID Connect (OIDC) | |
|---|---|---|
| Qué introduces en Clevera | ID de entidad del IdP, URL de inicio de sesión SSO, certificado X.509, URL de cierre de sesión opcional | ID de cliente, secreto de cliente y una URL de descubrimiento (o los puntos finales manualmente) |
| Qué le das a tu IdP | ID de entidad / URI de audiencia y URL de ACS (URL de respuesta) | URI de redireccionamiento (URL de callback) |
| Cierre de sesión único desde el IdP | Compatible, si añades una URL de cierre de sesión | No compatible |
| Guía | Configurar SSO con SAML | Configurar SSO con OpenID Connect |
Guías de proveedores: Okta, Microsoft Entra ID, Google Workspace. OneLogin (SAML u OIDC) y JumpCloud (solo SAML) también están en la lista de proveedores; sigue la guía general de SAML u OIDC para ellos.
Cómo funciona la configuración
Crea una aplicación en tu IdP
Usa los valores que Clevera muestra en el primer paso del cuadro de diálogo de configuración, cada uno con un botón de copiar: el ID de entidad y la URL de ACS para SAML, o el URI de redireccionamiento para OIDC.
Conéctalo en Clevera
Abre el menú del espacio de trabajo en la parte superior de la barra lateral, elige Configuración del equipo y luego Seguridad. En Inicio de sesión único, haz clic en Configurar SSO y completa los cuatro pasos: Proveedor, Proveedor de identidad, Dominios y roles, Revisar. Haz clic en Guardar configuración.
Pruébalo
Haz clic en Ejecutar prueba, luego inicia sesión con un miembro de prueba en una ventana de navegador privada.
Actívalo
Activa Habilitar SSO. Cuando todos puedan iniciar sesión, activa Requerir SSO si quieres que el SSO sea la única forma de entrar.
Guardar nunca activa el SSO por sí solo, por lo que puedes preparar la conexión sin afectar a nadie.
Cómo inician sesión las personas después
- En la página de inicio de sesión de Clevera, escriben su correo electrónico de trabajo.
- Clevera reconoce el dominio y muestra "Tu organización usa Okta" (el nombre de tu proveedor) con un botón Continuar con Okta. Con Proveedor SAML/OIDC personalizado, dice "Tu organización usa SSO" y el botón dice Continuar con SSO. Con Requerir SSO activado, añade "Los miembros de esta organización inician sesión con Okta."
- Hacen clic en el botón, inician sesión en tu IdP y aterrizan en su página de inicio de Clevera en tu espacio de trabajo. Si estaban abriendo un enlace de Clevera cuando se les pidió iniciar sesión, aterrizan en esa página en su lugar.
Permanecen con la sesión iniciada en ese navegador hasta que cierran sesión. Cerrar sesión en Clevera no cierra su sesión en tu IdP.
Aplicación de escritorio: la aplicación de escritorio inicia sesión a través de tu navegador. En la página de inicio de sesión del navegador, escribe tu correo electrónico de trabajo y haz clic en Continuar con tu proveedor. Después de iniciar sesión en tu IdP, el navegador te devuelve a la aplicación de escritorio, que finaliza el inicio de sesión. Consulta Iniciar sesión en la aplicación de escritorio.
Quién puede usar SSO
| Persona | ¿Puede iniciar sesión con SSO? |
|---|---|
| Un miembro del espacio de trabajo cuyo dominio de correo electrónico está en tu lista | Sí |
| Alguien en tu dominio sin cuenta de Clevera | Sí, si Crear cuentas en el primer inicio de sesión está activado. De lo contrario, invítalos primero. |
| Alguien en tu dominio que ya tiene una cuenta de Clevera pero no es miembro de este espacio de trabajo | No. Invítalos y, una vez que acepten, el SSO funcionará para ellos. |
| El propietario | Sí, si ellos mismos guardaron la configuración de SSO. También pueden usar su contraseña siempre. |
| Cualquiera cuyo dominio de correo electrónico no esté en tu lista | No. Siguen iniciando sesión como lo hacen ahora. |
La tercera y cuarta fila son medidas de seguridad: debido a que los dominios de correo electrónico en Clevera no están verificados, el SSO nunca toma el control de una cuenta que no esté ya en tu espacio de trabajo, y nunca inicia la sesión del propietario a través de una conexión que alguien más guardó.
Asientos de creador
Una persona creada por SSO obtiene el Rol predeterminado para nuevos miembros de SSO que elegiste. Si es Creador de contenido y cada asiento de creador en tu plan está ocupado, se unen como Editor en su lugar, lo cual no usa ningún asiento. Añade un asiento y cambia su rol en Configuración del equipo → Miembros. Consulta Comprende los espacios de trabajo, roles y asientos de creador.
Qué sucede con las contraseñas
- Los miembros existentes conservan su contraseña. Mientras Requerir SSO esté desactivado, pueden usar cualquiera. Con él activado, un miembro que inicia sesión con la contraseña correcta ve "Tu organización requiere inicio de sesión único. Usa el botón de SSO para continuar."
- Las nuevas personas en tus dominios no pueden crear una cuenta con una contraseña mientras Requerir SSO esté activado. El formulario de registro responde "Tu organización inicia sesión con inicio de sesión único (SSO). Ve a Iniciar sesión, introduce este correo electrónico y elige Continuar con SSO." Su cuenta se crea la primera vez que inician sesión con SSO (con Crear cuentas en el primer inicio de sesión activado; de lo contrario, invítalos).
- Las cuentas creadas por SSO no tienen una contraseña que la persona conozca. Si el SSO se desactiva o elimina más tarde, usan ¿Olvidaste tu contraseña? en la página de inicio de sesión para establecer una.
- El inicio de sesión con Google está bloqueado para los miembros en tus dominios mientras Requerir SSO esté activado.
Eliminar el acceso de alguien
Clevera no sincroniza usuarios desde tu IdP. Desasignar a alguien en tu IdP detiene los nuevos inicios de sesión por SSO, pero un navegador que ya tiene la sesión iniciada la mantiene. Para cortar el acceso de inmediato, elimínalos también en Configuración del equipo → Miembros.