Single Sign-On (SSO)

Collega il tuo provider di identità SAML 2.0 o OpenID Connect (Okta, Microsoft Entra ID, Google Workspace, OneLogin, Ping…) così il tuo team accede con le credenziali aziendali. Disponibile nel piano Enterprise. Gli account utente possono essere creati automaticamente al primo accesso (provisioning just-in-time).

Configurazione dell'SSO

1. Apri Impostazioni Azienda → Single Sign-On
2. Scegli il protocollo (SAML 2.0 o OpenID Connect)
3. Fornisci al tuo provider di identità i valori mostrati in «Valori per il tuo provider di identità»: per SAML l’Entity ID e l’ACS URL (o semplicemente l’URL dei metadati), per OIDC la redirect URI
4. Per SAML: incolla l'URL dei metadati del tuo IdP (o l'XML dei metadati). Per OIDC: inserisci l'URL di discovery, il client ID e il client secret
5. Nella sezione Domini email, aggiungi ogni dominio con cui accedono i tuoi utenti (es. acme-corp.com)
6. Pubblica il record DNS TXT indicato per quel dominio, poi fai clic su «Verifica»
7. Attiva «Attiva l'accesso SSO» e fai clic su «Salva configurazione»

Perché verificare il dominio?

Un dominio viene instradato al tuo provider di identità solo dopo che ne hai dimostrato la proprietà con un record DNS TXT. Questo impedisce a chiunque altro di rivendicare il tuo dominio ed è necessario perché la scoperta SSO funzioni per i tuoi utenti.

Opzioni della politica di accesso

Il provisioning just-in-time crea automaticamente l'utente (con il ruolo predefinito che scegli) al primo accesso SSO riuscito. «Richiedi SSO» blocca l'accesso con password per gli utenti di un dominio SSO verificato: consigliato una volta che l'SSO funziona, così l'identità aziendale è l'unica fonte di verità (NIST 800-63).

Come accedono gli utenti

Nella pagina di accesso gli utenti inseriscono la e-mail di lavoro e premono «Accedi con SSO». Vengono reindirizzati al tuo provider di identità e riportati in FreeMaint una volta autenticati, senza bisogno di una password FreeMaint.

FreeMaint non memorizza mai i secret del tuo IdP: sono custoditi dall'identity broker dedicato e self-hosted. Tutta la validazione delle asserzioni SAML e la difesa dal signature wrapping avvengono lì.