Inicio de sesión único (SSO)

Con el inicio de sesión único, tus usuarios inician sesión con la cuenta que ya usan en el trabajo: en Microsoft Entra ID (Microsoft 365), Google Workspace o un proveedor OpenID Connect propio como Okta, Keycloak o Auth0. Así ya no necesitan una contraseña propia en allverto.

#Qué necesitas

• El permiso Gestionar usuarios (solo un propietario activa o desactiva el SSO obligatorio).
• En Microsoft, el Id. de inquilino de tu directorio; en Google, el dominio de Workspace; en un proveedor propio, la URL del emisor (Issuer), el ID de cliente y el secreto de cliente.
• Los dominios de correo con los que inicia sesión tu equipo (p. ej. empresa.es).

#Configurar

Abre rueda dentada → Seguridad y desplázate hasta la tarjeta Inicio de sesión único.

1. Activar el inicio de sesión único.
2. En Proveedor, elige Microsoft Entra ID, Google Workspace o Proveedor OpenID Connect propio. Si un proveedor aparece en gris, allverto aún no lo ha configurado; al tocarlo verás el motivo.
3. Introduce los datos del proveedor (ver abajo).
4. En Dominios de correo permitidos, añade tus dominios. Solo las direcciones con estos dominios inician sesión mediante inicio de sesión único. No se admiten proveedores públicos como gmail.com o web.de.
5. Guardar y después Probar inicio de sesión.

#Microsoft Entra ID

allverto tiene su propia aplicación multiinquilino en Microsoft. Solo indicas qué directorio se aplica:

1. En el Centro de administración de Microsoft Entra, copia el Id. de inquilino en Información general.
2. Pégalo en allverto en Id. de inquilino (Id. de directorio).
3. En el primer inicio de sesión, Microsoft pide consentimiento para la aplicación «allverto». Si las personas no pueden darlo por sí mismas, una administradora lo concede una vez para toda la organización (Aplicaciones empresariales → allverto → Permisos → Conceder consentimiento de administrador).

allverto usa como dirección de correo el nombre de inicio de sesión (UPN) de la cuenta, p. ej. erika@empresa.es. Debe coincidir con la dirección con la que la persona está invitada en allverto. allverto rechaza cuentas de otros directorios, también las cuentas de invitado.

#Google Workspace

1. En Dominio de Google Workspace, introduce el dominio principal de tu Workspace, p. ej. empresa.es.
2. Listo: allverto usa su propia aplicación en Google. El inicio de sesión de Google solo muestra cuentas de esta organización; las cuentas privadas de Gmail se rechazan.

#Proveedor OpenID Connect propio (Okta, Keycloak, Auth0 …)

1. En el proveedor, crea una nueva aplicación de tipo Web (Authorization Code con PKCE).
2. Como URI de redirección, introduce la dirección de la tarjeta (botón Copiar junto a URI de redirección).
3. Permite los ámbitos (scopes) openid, email y profile.
4. En allverto, introduce la URL del emisor (Issuer) (dirección https, p. ej. https://empresa.okta.com), el ID de cliente y el secreto de cliente y, si quieres, un Texto del botón (p. ej. «Okta»).
5. Guardar. Después, cada dominio muestra un registro TXT: créalo en tu proveedor de DNS y haz clic en Comprobar. Solo los dominios confirmados pueden iniciar sesión.

El secreto de cliente se guarda cifrado en allverto y no se vuelve a mostrar. Si dejas el campo vacío, se mantiene el secreto guardado.

#Probar inicio de sesión

Probar inicio de sesión abre el inicio de sesión del proveedor en una ventana emergente. Después, allverto muestra lo que ha recibido (p. ej. correo, nombre, directorio) y si el inicio de sesión funcionaría; no se inicia tu sesión. Los motivos de un rechazo aparecen en el resultado, p. ej. «Este dominio de correo no está permitido para el inicio de sesión único de esta empresa».

Guarda antes de probar; si cambias la configuración, necesitas una nueva prueba antes de que se aplique el SSO obligatorio.

#Iniciar sesión

• En la página de inicio de sesión, introduce primero la dirección de correo. Si el dominio pertenece a tu empresa, aparece Iniciar sesión con Microsoft (o Google, o el texto que hayas definido).
• En Enlace directo de inicio de sesión hay una dirección como allverto.cloud/login/sso/tu-empresa que lleva directamente al proveedor; práctica como marcador o en la intranet.
• allverto asigna la cuenta por la dirección de correo (da igual mayúsculas o minúsculas). La persona debe ser miembro de tu empresa o crearse automáticamente (ver abajo). Quien trabaja en varias empresas cambia como siempre desde el menú de empresas.
• La sesión dura lo mismo que con contraseña; el cierre de sesión automático por inactividad también se aplica.

#SSO obligatorio

Con SSO obligatorio, todos los usuarios de la empresa inician sesión solo mediante inicio de sesión único. Al activarlo, terminan las sesiones con contraseña abiertas de los demás usuarios. Quien también trabaje en una empresa sin SSO obligatorio puede seguir entrando allí con contraseña; para cambiar a tu empresa necesitará entonces el inicio de sesión único.

Requisitos:

Acceso de emergencia: los propietarios pueden seguir iniciando sesión con contraseña pese al SSO obligatorio, pero solo con el inicio de sesión en dos pasos configurado. Así podéis entrar en allverto aunque el proveedor falle. Para ello, la página de inicio de sesión muestra Iniciar sesión como propietario con contraseña (acceso de emergencia).

#Crear usuarios automáticamente

Por defecto solo inician sesión las personas invitadas en allverto. Con Crear usuarios automáticamente, cualquier persona con un dominio permitido recibe acceso con el Rol predeterminado elegido en su primer inicio de sesión. El rol Propietario no se puede elegir. Los usuarios desactivados siguen desactivados.

Ten en cuenta: cada nuevo usuario activo cuenta para la suscripción.

#Registro

Cada inicio de sesión mediante inicio de sesión único queda en el Registro del sistema. Los inicios de sesión rechazados aparecen además en el Cortafuegos, siempre con el motivo, p. ej. dominio no permitido, cuenta de otro directorio o sin acceso en la empresa. allverto nunca guarda tokens ni secretos.

#Preguntas frecuentes

#En la página de inicio de sesión no aparece el botón «Iniciar sesión con …».

Comprueba que el inicio de sesión único esté activado, que el dominio del correo figure en Dominios de correo permitidos y, con un proveedor propio, que esté confirmado por DNS. El enlace directo funciona igualmente.

#«No hay acceso en la empresa para esta dirección de correo.»

La persona no está invitada. Invítala en Usuarios o activa Crear usuarios automáticamente. En Microsoft: ¿coincide el nombre de inicio de sesión (UPN) con la dirección de correo en allverto?

#¿Qué pasa si cambiamos de plan?

Sin el plan Flotte, el inicio de sesión único está desactivado, también el SSO obligatorio. Todos vuelven a iniciar sesión con contraseña («¿Has olvidado la contraseña?» establece una nueva si hace falta). La configuración se conserva.