Login único (SSO)

Conecte o seu provedor de identidade SAML 2.0 ou OpenID Connect (Okta, Microsoft Entra ID, Google Workspace, OneLogin, Ping…) para que a sua equipe entre com as credenciais corporativas. Disponível no plano Enterprise. As contas de usuário podem ser criadas automaticamente no primeiro login (provisionamento just-in-time).

Configurando o SSO

1. Abra Configurações da empresa → Logon único (SSO)
2. Escolha o protocolo (SAML 2.0 ou OpenID Connect)
3. Informe ao seu provedor de identidade os valores exibidos em “Valores para o seu provedor de identidade”: em SAML o Entity ID e o ACS URL (ou simplesmente a URL de metadados), em OIDC o redirect URI
4. No SAML: cole a URL de metadados do seu IdP (ou o XML de metadados). No OIDC: informe a URL de descoberta, o client ID e o client secret
5. Na seção Domínios de e-mail, adicione cada domínio com que seus usuários entram (ex.: acme-corp.com)
6. Publique o registro DNS TXT exibido para esse domínio e clique em "Verificar"
7. Ative "Ativar login por SSO" e clique em "Salvar configuração"

Por que verificar o domínio?

Um domínio só é roteado para o seu provedor de identidade depois que você comprova a propriedade dele por meio de um registro DNS TXT. Isso impede que outra pessoa reivindique o seu domínio e é obrigatório para que a descoberta de SSO funcione para os seus usuários.

Opções de política de login

O provisionamento just-in-time cria automaticamente o usuário (com a função padrão que você escolher) no primeiro login SSO bem-sucedido. A opção "Exigir SSO" bloqueia o login por senha para os usuários de um domínio SSO verificado — recomendada assim que o SSO estiver funcionando, para que a identidade corporativa seja a única fonte de verdade (NIST 800-63).

Como os usuários entram

Na tela de login, os usuários informam o e-mail corporativo e clicam em "Entrar com SSO". Eles são redirecionados ao seu provedor de identidade e retornam ao FreeMaint depois de autenticados — sem precisar de senha do FreeMaint.

O FreeMaint nunca armazena os segredos do seu IdP: eles ficam sob a guarda do broker de identidade dedicado e auto-hospedado. Toda a validação das asserções SAML e a defesa contra signature wrapping são tratadas lá.