Solucionar problemas de inicio de sesión con SSO
Todos los mensajes de inicio de sesión único en Clevera, sus causas y cómo solucionarlos: en la página de inicio de sesión, después de pasar por tu proveedor de identidad, al guardar la configuración, en Ejecutar prueba y al cerrar sesión.
Este artículo enumera todos los mensajes que muestra Clevera sobre el inicio de sesión único (SSO), sus causas y cómo solucionarlos: en la página de inicio de sesión, después de que tu proveedor de identidad (IdP) redirija a alguien, al guardar la configuración y en Ejecutar prueba.
La mayoría de los problemas de inicio de sesión se deben a una de estas cinco causas: el dominio de correo electrónico de la persona no está en tu lista, ya tiene una cuenta de Clevera fuera de tu espacio de trabajo, el IdP solo firma una parte de la respuesta SAML, se copió un valor incorrectamente o el inicio de sesión comenzó en un lugar distinto a la página de inicio de sesión de Clevera.
Comprobaciones rápidas
| Comprobación | Ubicación |
|---|---|
| Habilitar SSO está activado y el distintivo dice Activo | Configuración del equipo → Seguridad |
| El dominio de correo electrónico exacto de la persona está en Dominios de correo electrónico permitidos (los subdominios cuentan por separado) | Configuración del equipo → Seguridad |
| La persona está asignada a la aplicación en tu IdP | Tu IdP |
| La persona es miembro de tu espacio de trabajo o aún no tiene una cuenta de Clevera | Configuración del equipo → Miembros |
| Comenzaron en la página de inicio de sesión de Clevera y escribieron su correo electrónico de trabajo, no en un icono del panel de control de tu IdP | La página de inicio de sesión |
| El espacio de trabajo sigue en un plan personalizado | Facturación |
La página de inicio de sesión no ofrece SSO
Cuando alguien escribe su correo electrónico, la página de inicio de sesión muestra "Tu organización usa Okta" (el nombre de tu proveedor, o "SSO" para un proveedor personalizado) y un botón Continuar con una vez que reconoce el dominio. Si no aparece:
- El dominio no está en Dominios de correo electrónico permitidos o hay un error tipográfico en el correo electrónico.
- Habilitar SSO está desactivado o la configuración no está completa.
- El espacio de trabajo ya no tiene un plan que incluya SSO.
Hacer clic en el icono de Clevera en tu IdP no inicia sesión
Clevera solo acepta inicios de sesión que comiencen en la página de inicio de sesión de Clevera. Cuando alguien hace clic en el icono de Clevera en el panel de control de Okta, en Microsoft My Apps o en el menú de aplicaciones de Google, el IdP envía una respuesta que Clevera nunca solicitó. Clevera la rechaza y muestra su página de inicio de sesión con "Sesión de SSO caducada. Por favor, inténtalo de nuevo."
Esto es intencional: cada inicio de sesión SAML está vinculado al navegador que lo inició y solo se puede usar una vez, para que nadie pueda introducir su propio inicio de sesión en el navegador de otra persona. Pide a los usuarios que vayan a la página de inicio de sesión de Clevera, escriban su correo electrónico de trabajo y hagan clic en Continuar con tu proveedor. Puedes ocultar el icono en tu IdP para que nadie intente usarlo.
Mensajes en la página de inicio de sesión
| Mensaje | Causa | Solución |
|---|---|---|
| "No hay inicio de sesión SSO disponible para esta dirección de correo electrónico. Usa tu método de inicio de sesión habitual." | No hay ninguna conexión SSO activa que cubra el dominio de este correo electrónico. | Comprueba el dominio y Habilitar SSO. |
| "SSO no está disponible para este equipo. Es posible que la suscripción del equipo haya cambiado." | El plan del espacio de trabajo ya no incluye SSO. | Contáctanos sobre tu plan personalizado. Mientras tanto, los miembros usan su contraseña o ¿Olvidaste tu contraseña?. |
| "Por favor, introduce una dirección de correo electrónico válida." | El campo de correo electrónico no es una dirección válida. | Vuelve a escribirla. |
| "Error al iniciar sesión con SSO. Por favor, inténtalo de nuevo o usa correo electrónico/contraseña." | Clevera no pudo crear la solicitud de inicio de sesión, generalmente porque no se puede cargar una URL de descubrimiento OIDC en este momento. | Haz clic en Ejecutar prueba. Comprueba que la URL de descubrimiento sea pública y correcta. |
| "No pudimos iniciar el inicio de sesión único. Inténtalo de nuevo." | La solicitud falló o hubo demasiados intentos en un minuto. | Espera un minuto e inténtalo de nuevo. |
| "No pudimos contactar con Clevera. Comprueba tu conexión e inténtalo de nuevo." | No hay conexión con Clevera. | Comprueba la red o la VPN. |
| "Tu organización requiere inicio de sesión único. Usa el botón de SSO para continuar." | Un miembro intentó usar su contraseña mientras Requerir SSO está activado. | Usa Continuar con tu proveedor. |
| "Tu organización requiere inicio de sesión único. Por favor, usa la opción de SSO en la página de inicio de sesión." | Un miembro, o alguien nuevo en tu dominio, intentó usar Continuar con Google mientras Requerir SSO está activado. | Escribe el correo electrónico de trabajo y usa el botón de SSO. |
Con Requerir SSO activado, la página de inicio de sesión también oculta Crear una cuenta para las direcciones de tus dominios.
En la página de registro
| Mensaje | Causa | Solución |
|---|---|---|
| "Tu organización inicia sesión con inicio de sesión único (SSO). Ve a Iniciar sesión, introduce este correo electrónico y elige Continuar con SSO." | Alguien en un dominio con Requerir SSO activado intentó crear una cuenta con una contraseña. | Ve a la página de inicio de sesión, escribe el correo electrónico de trabajo y haz clic en Continuar con tu proveedor. La cuenta se crea en el primer inicio de sesión SSO si Crear cuentas en el primer inicio de sesión está activado; de lo contrario, el propietario debe invitarlos primero. |
Mensajes después del proveedor de identidad
Estos aparecen en la parte superior de la página de inicio de sesión de Clevera cuando el IdP redirige a la persona de vuelta.
| Mensaje | Causa | Solución |
|---|---|---|
| "Sesión de SSO caducada. Por favor, inténtalo de nuevo." | Clevera no pudo hacer coincidir la respuesta con un inicio de sesión que inició. Por lo general, la persona hizo clic en el icono de Clevera en el panel de control del IdP, cambió de navegador, usó el botón de retroceso o actualizó para reenviar el inicio de sesión, o tardó más de 10 minutos en el IdP. | Empieza de nuevo desde la página de inicio de sesión de Clevera en el mismo navegador. Consulta Hacer clic en el icono de Clevera. |
| "Error en la validación de la sesión de SSO. Por favor, inténtalo de nuevo." | Solo OIDC. La respuesta pertenece a un intento de inicio de sesión diferente, por ejemplo, después de usar el botón de retroceso o iniciar sesión desde dos pestañas. | Cierra otras pestañas de inicio de sesión de Clevera y empieza de nuevo. |
| "La autenticación SSO fue cancelada o denegada. Por favor, inténtalo de nuevo." | Solo OIDC. El IdP devolvió un error: la persona canceló, no está asignada a la aplicación o se denegó el consentimiento. | Asígnalos a la aplicación en tu IdP; inténtalo de nuevo. |
| "No se recibió el código de autorización." | Solo OIDC. El IdP regresó sin un código de inicio de sesión. | Comprueba que la aplicación esté configurada en la concesión de Código de autorización. |
| "Configuración de SSO no encontrada o deshabilitada." | El SSO se desactivó o eliminó mientras la persona iniciaba sesión. | Vuelve a activar Habilitar SSO. |
| "Tu dominio de correo electrónico no está autorizado para el SSO de este equipo." | El correo electrónico que envió el IdP usa un dominio que no está en Dominios de correo electrónico permitidos. Común con alias, dominios secundarios o un nombre de inicio de sesión que difiere del correo electrónico. | Añade el dominio o cambia lo que el IdP envía como correo electrónico (Name ID o notificación email). |
| "Esta cuenta ya no está disponible." | La cuenta se está eliminando. | No puede volver a iniciar sesión. Usa otro correo electrónico. |
| "Error en la autenticación SSO. Por favor, contacta con el administrador de tu equipo o usa otro método de inicio de sesión." | Se rechazó la respuesta. Consulta las causas a continuación. | Revisa la lista a continuación. |
"Error en la autenticación SSO"
Este mensaje cubre todos los casos en los que Clevera rechaza la respuesta, así que comprueba esto en orden:
| Causa | Solución |
|---|---|
| La persona ya tiene una cuenta de Clevera pero no es miembro de tu espacio de trabajo. El SSO nunca toma el control de una cuenta externa. | Invítalos. Una vez que acepten, el SSO funcionará. |
| La persona no tiene cuenta y Crear cuentas en el primer inicio de sesión está desactivado. | Invítalos o activa la configuración. |
| El propietario está iniciando sesión a través de una conexión que otra persona guardó (por ejemplo, después de una transferencia de propiedad). | El propietario actual abre Editar y guarda la conexión una vez. Hasta entonces, inicia sesión con la contraseña. |
| SAML: solo se firma la aserción (o solo la respuesta). | Haz que el IdP firme ambos. |
| SAML: el certificado en Clevera no es el certificado de firma actual del IdP. | Pega el certificado actual (Editar → paso 2) y guarda. |
| SAML: la audiencia o el destinatario del IdP no coinciden. | La audiencia debe ser exactamente el ID de entidad / URI de audiencia de Clevera, y el destinatario o destino exactamente https://app.clevera.ai/sso/saml/callback. |
| SAML: la aserción está cifrada. | Desactiva el cifrado de aserción. |
SAML: no hay correo electrónico. El Name ID no es un correo electrónico y no hay atributo email. |
Establece el formato Name ID en EmailAddress con el correo electrónico de la persona. |
| SAML: el ID de entidad del IdP en Clevera no coincide con el emisor en la respuesta. | Copia el emisor de nuevo desde el IdP. |
| OIDC: el secreto del cliente es incorrecto o ha caducado, o el URI de redireccionamiento no coincide. | Pega un nuevo secreto (Editar); el URI de redireccionamiento debe ser exactamente el URI de redireccionamiento (URL de devolución de llamada) que se muestra en el cuadro de diálogo de configuración, https://app.clevera.ai/sso/oidc/callback. |
OIDC: no hay un correo electrónico válido en las notificaciones email, preferred_username o upn. |
Añade la notificación de correo electrónico en tu IdP o dale a la persona una dirección de correo electrónico. |
| OIDC: el emisor no coincide con la URL de descubrimiento, por ejemplo, una URL multiinquilino. | Usa la propia URL de descubrimiento de tu inquilino. |
Cuando tu IdP rota sus claves de firma OIDC, Clevera obtiene las nuevas claves una vez antes de rechazar un inicio de sesión, por lo que la rotación por sí sola no causa este mensaje.
Si nada de esto encaja, contacta con el soporte técnico indicando el correo electrónico que falló y la hora del intento. Podemos ver la razón exacta en nuestros registros.
Mensajes durante la configuración
| Mensaje | Solución |
|---|---|
| "SSO is available on the Custom plan." | Se muestra cuando guardas mientras el espacio de trabajo no tiene un plan Custom, por ejemplo, después de que el plan cambiara con la página abierta. Contáctanos para añadir SSO. |
| "Identity provider Entity ID is required." / "Identity Provider Entity ID is required." | Rellena el IdP Entity ID. |
| "SSO sign-in URL is required." / "Identity Provider SSO URL is required." | Rellena la SSO sign-in URL. |
| "SSO sign-in URL must be a valid URL." / "Logout URL must be a valid URL." | Pega la dirección completa, empezando por https://. |
| "X.509 certificate is required." / "An IdP certificate is required." | Pega el certificado de firma del IdP. |
| "Client ID is required." / "OIDC Client ID is required." | Rellena el Client ID. |
| "Client secret is required." / "OIDC Client Secret is required." | Rellena el Client secret. |
| "A valid authorization URL is required." / "A valid token URL is required." | Rellena los puntos de conexión (endpoints) o, en su lugar, una Discovery URL. |
| "Discovery URL must be a valid URL." / "UserInfo URL must be a valid URL." | Pega la dirección completa. |
| "Add at least one allowed domain." | Añade un dominio en Allowed email domains. |
| "Enter a company domain such as example.com." | Escribe solo el dominio, por ejemplo acme.example. |
| "This domain is already on the list." | Ya se ha añadido. |
| "The domain acme.example is already assigned to another team." | Otro espacio de trabajo de Clevera utiliza ese dominio. Contacta con el soporte si es el tuyo. |
| "Automatically provisioned users cannot be granted the Administrator role by default." | Elige Editor o Creador de contenido, o desactiva Create accounts on first sign-in. |
| "Fix the highlighted fields before saving." | El cuadro de diálogo salta al paso que tiene el problema. |
| "Finish the SSO configuration before enabling sign-in for your team." | Completa los campos obligatorios y luego activa Enable SSO. |
| "SSO must be enabled before enforcement can be turned on." | Activa primero Enable SSO. |
| "Only the team owner can change SSO settings." | Pídeselo al propietario. Los administradores no pueden cambiar la configuración de SSO. |
| "SSO settings did not load" | Haz clic en Inténtalo de nuevo o recarga la página. |
| "Copying is blocked here. Select the value instead." | Tu navegador bloqueó el botón de copiar. Selecciona el texto y cópialo manualmente. |
Resultados de la prueba de ejecución
Run test comprueba la configuración guardada, no un inicio de sesión real. Muestra "SSO configuration is valid and ready to use." o "SSO configuration has issues that need to be resolved." con estos problemas:
| Problema | Solución |
|---|---|
| "IdP Entity ID is required." / "IdP SSO URL is required." / "IdP X.509 certificate is required." | Rellena el campo SAML que falta. |
| "IdP SSO URL is not a valid URL." | Pega la URL de inicio de sesión completa. |
| "IdP certificate is not a valid X.509 certificate." | Pega el texto Base64 (PEM) del certificado, no un archivo binario ni una huella digital. |
| "IdP certificate has expired." | Obtén el certificado de firma actual del IdP y pégalo. |
| "OIDC Client ID is required." / "OIDC Client Secret is required." | Rellena el campo OIDC que falta. |
| "Either a Discovery URL or manual endpoint URLs are required." | Añade una Discovery URL o los puntos de conexión. |
| "Discovery URL is not a valid URL." | Pega la dirección completa. |
| "Could not load the OIDC discovery document. Check that the URL is correct and publicly reachable over HTTPS." | Abre la URL en un navegador; debería mostrar JSON. Debe ser accesible desde Internet, no solo desde tu red interna. |
| "Discovery document does not contain an authorization endpoint." | La URL no es una configuración de OpenID. Usa la que termina en /.well-known/openid-configuration. |
| "No SSO configuration found. Please configure SSO first." | Guarda una configuración primero. |
| "The test could not run." | Comprueba tu conexión e inténtalo de nuevo. |
Cerrar sesión
| Mensaje | Significado |
|---|---|
| "You have been signed out via SSO." | Tu IdP cerró tu sesión en Clevera (cierre de sesión único SAML). |
| "Single Logout is not available for this session." | El IdP envió una solicitud de cierre de sesión, pero el cierre de sesión único SAML no está configurado para tu espacio de trabajo (no hay Logout URL). |
| "Single Logout could not be completed." | No se pudo verificar la solicitud de cierre de sesión. Cierra la sesión en Clevera directamente. |
Otras situaciones
Alguien a quien eliminaste en el IdP sigue con la sesión iniciada. Clevera no sincroniza usuarios desde tu IdP, y las sesiones de SSO permanecen iniciadas hasta que la persona cierra la sesión. Elimínalos en Configuración del equipo → Miembros.
Alguien de tu dominio se registró con una contraseña antes de unirse. Su cuenta está fuera de tu espacio de trabajo, por lo que el SSO la rechaza. Invítalos; después de que acepten, el SSO funcionará y, con Require SSO activado, su contraseña dejará de funcionar.
Un nuevo miembro de SSO es Editor, no Creador de contenido. Tu rol predeterminado es Creador de contenido, pero cada plaza de creador estaba ocupada cuando iniciaron sesión por primera vez, por lo que se unieron como Editor. Añade una plaza y luego cambia su rol en Configuración del equipo → Miembros.
Un miembro creado por SSO necesita una contraseña (el SSO se desactivó o tu plan cambió). Deben hacer clic en ¿Olvidaste tu contraseña? en la página de inicio de sesión para establecer una.
Iniciar sesión en la aplicación de escritorio con SSO. La aplicación de escritorio abre la página de inicio de sesión en tu navegador. Escribe tu correo electrónico de trabajo, haz clic en Continue with tu proveedor e inicia sesión en tu IdP: el navegador te devolverá a la aplicación. Si no lo hace, inicia el proceso de inicio de sesión en la aplicación de nuevo; como el navegador ya tiene la sesión iniciada, se conectará directamente. Consulta Iniciar sesión en la aplicación de escritorio.