Para que serve
O SSO permite que sua equipe entre no painel web com o provedor de identidade da empresa: Google Workspace, Microsoft Entra ID ou qualquer provedor OIDC. Sem senha separada, com o MFA e as políticas de acesso herdados do seu IdP.
O SSO cobre o login dos gestores no painel. Colaboradores continuam entrando no agente desktop por OTP no e-mail, e podem ser sincronizados por SCIM. Veja Provisionamento SCIM.
Como funciona
A qlture atua como Service Provider via OpenID Connect (OIDC); o seu IdP autentica. O fluxo é o padrão:
- O gestor acessa o painel e clica em Entrar com SSO da empresa.
- É redirecionado ao seu IdP, autentica lá (com o MFA que você já usa).
- O IdP devolve o token de identidade para a qlture na Redirect URI.
- A qlture valida, localiza o usuário pelo e-mail e emite a sessão.
sequenceDiagram
participant G as Gestor
participant Q as qlture
participant I as Seu IdP
G->>Q: Entrar com SSO da empresa
Q->>I: Redireciona para autenticar
I->>I: Login + MFA
I-->>Q: Token de identidade (Redirect URI)
Q->>Q: Valida e localiza pelo e-mail
Q-->>G: Sessão emitida
O SSO é configurado por tenant, em Configurações → SSO (acesso TENANT_ADMIN).
Configurar
A tela tem dois lados: à direita, o que você leva para o seu provedor; à esquerda, as credenciais que você traz de volta.
1. Registre o app no seu provedor
Copie a Redirect URI exibida no painel e cadastre-a como URI de redirecionamento autorizada na aplicação OAuth/OIDC do seu provedor. É por ela que o login volta para a qlture.
2. Cole as credenciais
Escolha o provedor no seletor (Google Workspace, Microsoft Entra ou Outro (OIDC)) e preencha:
| Campo | O que é |
|---|---|
| Issuer (URL do provedor) | A URL base do provedor OIDC. Para Google, exatamente https://accounts.google.com |
| Client ID | O ID do cliente OAuth gerado no provedor |
| Client Secret | A chave secreta do cliente (write-only — deixe em branco para manter a atual) |
| Domínios de email | Domínios da empresa que usam este SSO, separados por vírgula |
Clique em Salvar. Quando o SSO está ativo, o painel mostra “SSO habilitado — sua equipe já pode entrar pelo botão de SSO.”
Provisionamento no primeiro acesso (JIT)
A opção Criar usuário no primeiro acesso controla o just-in-time: se o e-mail que entra por SSO ainda não existe no tenant, a qlture cria a conta automaticamente como colaborador no primeiro login. Desligue se preferir que só entrem usuários já provisionados (por convite ou SCIM).
Por provedor
Google Workspace: no Google Cloud Console → APIs e serviços → Credenciais, crie um ID do cliente OAuth do tipo “Aplicativo da Web”, adicione a Redirect URI, e copie o Client ID (termina em .apps.googleusercontent.com) e o Client Secret (começa com GOCSPX-). Issuer = https://accounts.google.com.
Para o Microsoft Entra ID, registre um app em Entra → App registrations, adicione a Redirect URI como plataforma Web, crie um client secret e use o Issuer do seu tenant.
Outro (OIDC) — qualquer provedor compatível: informe o Issuer (que expõe .well-known/openid-configuration), Client ID e Secret.
Boas práticas
- Restrinja por domínio. Só e-mails dos domínios cadastrados entram por SSO; nunca deixe domínios que você não controla.
- MFA no IdP. O segundo fator vive no seu provedor; mantenha-o obrigatório lá.
- Ciclo de vida no SCIM. Se você usa SCIM, deixe o SCIM criar e desativar contas e use o SSO só para autenticar — assim o desligamento no IdP corta o acesso de verdade.
Relacionado
- Provisionamento SCIM — sincronize a base de usuários automaticamente.
- Primeiros passos — papéis e modelo de autenticação.
