Inicio de sesión único (SSO)

Cómo funciona el inicio de sesión único

1. Una persona abre una aplicación y elige iniciar sesión con la cuenta de la empresa.
2. La aplicación la redirige al proveedor de identidad.
3. El proveedor de identidad comprueba su identidad con sus propias reglas: contraseña, autenticación multifactor, llave de acceso, comprobaciones del dispositivo.
4. La devuelve a la aplicación con una declaración firmada de quién es (una aserción SAML o un token de identidad de OpenID Connect).
5. La aplicación verifica la firma, asocia la identidad a una cuenta e inicia una sesión.

Rol	Qué hace
Proveedor de identidad (IdP)	Guarda las cuentas y autentica a las personas
Proveedor de servicios o relying party	La aplicación que la persona quiere usar
Aserción o token de identidad	La declaración firmada de identidad que se pasan entre sí
Directorio	La lista de personas y grupos que gestiona el proveedor de identidad

SAML 2.0 vs OpenID Connect

Dos estándares llevan la mayor parte del tráfico de SSO.

	SAML 2.0	OpenID Connect
Publicado por	OASIS, como estándar OASIS en 2005	La OpenID Foundation (OpenID Connect Core 1.0, 2014)
Formato de mensaje	Aserciones XML	JSON Web Tokens
Basado en	Su propio protocolo XML	OAuth 2.0 (RFC 6749)
Uso habitual	Aplicaciones web empresariales, directorios más antiguos	Aplicaciones web y móviles, cuentas de consumidores y de empleados
Configuración	Intercambiar archivos de metadatos y certificados de firma	Registrar un ID de cliente, un secreto y una URL de redirección

Para quien inicia sesión, el resultado es el mismo. La mayoría de los proveedores de identidad corporativos admiten ambos, y la elección depende de lo que ofrezca la aplicación.

Aprovisionamiento SCIM

El SSO responde a una pregunta al iniciar sesión: ¿quién es esta persona? No crea, actualiza ni elimina cuentas por adelantado. Eso es trabajo de SCIM 2.0, el System for Cross-domain Identity Management, definido en las RFC 7643 y RFC 7644 (IETF, 2015). Con SCIM, el proveedor de identidad envía los usuarios y la pertenencia a grupos a cada aplicación, y los elimina cuando alguien se va.

Sin SCIM, las aplicaciones usan otros métodos:

• Aprovisionamiento just-in-time: se crea una cuenta la primera vez que alguien inicia sesión con SSO, con un rol predeterminado.
• Invitaciones o importaciones de archivos para las cuentas creadas por adelantado.
• Inicio de sesión bloqueado como principal control de baja: cuando se desactiva la cuenta corporativa, la persona ya no puede iniciar sesión, pero su cuenta en la aplicación permanece hasta que alguien la desactive.

SSO en el trabajo con un DAM y de marketing

• Bajas. Cuando se va un responsable de ventas, desactivar su cuenta corporativa debería poner fin a su acceso a la fotografía de producto sin publicar, además de al correo electrónico.
• Usuarios externos. Las agencias, los freelancers y los distribuidores rara vez están en el directorio de la empresa. Necesitan invitaciones, cuentas de invitado, enlaces para compartir o un portal de marca.
• Roles en el primer inicio de sesión. Con el aprovisionamiento just-in-time, el rol predeterminado decide qué puede ver un empleado nuevo el primer día, así que debería ser el rol útil más restringido.
• Una vía para el administrador. Si el proveedor de identidad está mal configurado o caído, alguien sigue necesitando una forma de entrar para corregir los ajustes.

Errores habituales: exigir el SSO antes de que todos hayan iniciado sesión con él una vez; permitir la creación de cuentas sin restringir los dominios de correo electrónico, lo que deja entrar cuentas personales; y suponer que el SSO anula los tokens de API o las sesiones abiertas, algo que depende de la aplicación.

Inicio de sesión único en Freedam

Freedam ofrece SSO con dos proveedores de identidad: Google (cuentas de Google Workspace y de Gmail) y Microsoft (cuentas de trabajo o de centro educativo de Microsoft Entra ID, y cuentas personales de Microsoft). El inicio de sesión usa OAuth 2.0 con OpenID Connect.

• Los administradores activan Google, Microsoft o ambos en Configuración de acceso. La página de inicio de sesión muestra entonces Continuar con Google o Continuar con Microsoft.
• Cada proveedor se puede limitar a una lista de dominios de correo electrónico. Crear cuentas en el primer inicio de sesión (desactivado de forma predeterminada) da a las cuentas nuevas un rol elegido por proveedor, y los roles definidos por dominio de correo electrónico tienen prioridad.
• Exigir inicio de sesión único rechaza el inicio de sesión con contraseña para todos salvo los administradores, que conservan un enlace de Acceso de administrador para que un proveedor mal configurado no pueda dejar sin acceso al espacio de trabajo.
• Un primer inicio de sesión con SSO con una dirección de correo electrónico que ya tiene una cuenta vincula las dos. Las personas pueden vincular o desconectar una cuenta de Google o de Microsoft en sus ajustes.
• Las cuentas pueden tener una fecha de fin, o desactivarse tras un periodo sin iniciar sesión que fija el administrador. La desactivación cierra las sesiones abiertas y elimina los tokens de API de la cuenta.
• El SSO está incluido en los planes Business y Tailored.

Detalles: Configuración de acceso e Iniciar sesión en la documentación de Freedam, y la página de seguridad.

Preguntas frecuentes

¿Cuál es la diferencia entre SSO y SAML?

El SSO es el resultado: una cuenta de empresa para muchas aplicaciones. SAML 2.0 es uno de los estándares que se usan para lograrlo, junto con OpenID Connect. Una aplicación puede ofrecer SSO sin admitir SAML.

¿El SSO sustituye a la autenticación multifactor?

No, la traslada. Con SSO, el proveedor de identidad aplica sus propias reglas multifactor al iniciar sesión. Las aplicaciones pueden seguir pidiendo un segundo factor propio, por ejemplo para los administradores o para las cuentas que inician sesión con contraseña.

¿Qué es el aprovisionamiento SCIM?

SCIM es una API estándar que permite a un proveedor de identidad crear, actualizar y desactivar automáticamente cuentas en otras aplicaciones. Complementa al SSO: el SSO gestiona el inicio de sesión y SCIM mantiene la lista de cuentas sincronizada con el directorio.