Início de sessão único (SSO)

Ligue o seu fornecedor de identidade SAML 2.0 ou OpenID Connect (Okta, Microsoft Entra ID, Google Workspace, OneLogin, Ping…) para que a sua equipa entre com as credenciais da empresa. Disponível no plano Enterprise. As contas de utilizador podem ser criadas automaticamente no primeiro início de sessão (aprovisionamento just-in-time).

Configurar o SSO

1. Abra Definições da Empresa → Início de sessão único
2. Escolha o protocolo (SAML 2.0 ou OpenID Connect)
3. Indique ao seu fornecedor de identidade os valores apresentados em «Valores para o seu fornecedor de identidade»: em SAML o Entity ID e o ACS URL (ou simplesmente o URL dos metadados), em OIDC o redirect URI
4. Para SAML: cole o URL de metadados do seu IdP (ou o XML de metadados). Para OIDC: introduza o URL de descoberta, o ID de cliente e o segredo de cliente
5. Na secção Domínios de e-mail, adicione cada domínio com que os seus utilizadores iniciam sessão (ex. acme-corp.com)
6. Publique o registo DNS TXT apresentado para esse domínio e clique em "Verificar"
7. Ative "Ativar o início de sessão SSO" e clique em "Guardar configuração"

Porquê verificar o domínio?

Um domínio só é encaminhado para o seu fornecedor de identidade depois de provar que lhe pertence através de um registo DNS TXT. Isto impede que outra pessoa reivindique o seu domínio e é indispensável para que a deteção de SSO funcione para os seus utilizadores.

Opções da política de início de sessão

O aprovisionamento just-in-time cria automaticamente o utilizador (com o perfil predefinido que escolher) no primeiro início de sessão SSO bem-sucedido. «Exigir SSO» bloqueia o início de sessão com palavra-passe para utilizadores de um domínio SSO verificado — recomendado assim que o SSO estiver a funcionar, para que a identidade da empresa seja a única fonte de verdade (NIST 800-63).

Como os utilizadores iniciam sessão

Na página de início de sessão, os utilizadores escrevem o e-mail profissional e clicam em «Iniciar sessão com SSO». São reencaminhados para o seu fornecedor de identidade e regressam ao FreeMaint depois de autenticados — sem necessidade de palavra-passe do FreeMaint.

O FreeMaint nunca guarda os segredos do seu IdP: ficam no broker de identidade dedicado e alojado por nós. Toda a validação das asserções SAML e a defesa contra signature wrapping acontecem aí.