Inicio de sesión único (SSO)

Con el inicio de sesión único (SSO), tu equipo inicia sesión en PDF Redaction con el proveedor de identidad (IdP) de tu empresa, en lugar de usar contraseñas separadas o cuentas personales de Google y Microsoft. Cuando alguien deja la empresa y lo desactivas en tu IdP, ya no puede iniciar sesión.

PDF Redaction admite SAML 2.0 y OpenID Connect (OIDC). Eso incluye Okta, Microsoft Entra ID (Azure AD), Google Workspace, OneLogin, JumpCloud, Auth0, Keycloak y la mayoría de los demás proveedores.

Requisitos

• El espacio de trabajo tiene el plan Pro Plus. Consulta Planes y facturación.
• Eres Propietario o Administrador del espacio de trabajo.
• Puedes añadir un registro TXT de DNS para el dominio de correo de tu empresa.
• Puedes crear una aplicación en tu proveedor de identidad, o tienes a alguien que puede hacerlo.

Cómo funciona

1. Conectas tu proveedor de identidad y verificas tu dominio de correo, por ejemplo example.com.
2. En la página de inicio de sesión, las personas eligen Continuar con SSO y escriben su correo de trabajo. Las direcciones de tu dominio verificado se redirigen a tu proveedor de identidad.
3. Después de iniciar sesión allí, vuelven a PDF Redaction con la sesión iniciada. La primera vez se crea una cuenta y se unen a tu espacio de trabajo.

El SSO se configura por espacio de trabajo. Cada dominio de correo solo puede pertenecer a un espacio de trabajo.

Configurar el SSO

Abre Gestionar espacios de trabajo, elige tu espacio de trabajo y abre la pestaña SSO. La lista de comprobación de la parte superior muestra tu progreso.

Opciones de inicio de sesión

Exigir SSO

Cuando Exigir SSO está activado, las personas con una dirección de tus dominios verificados ya no pueden usar códigos por correo, enlaces de inicio de sesión, contraseñas, Google, Microsoft ni LinkedIn. Si lo intentan, se les redirige a tu proveedor de identidad.

• Solo puedes activarlo cuando el SSO está activado, hay al menos un dominio verificado y se ha superado un inicio de sesión de prueba.
• El propietario del espacio de trabajo siempre puede usar las demás opciones de inicio de sesión. Si tu proveedor de identidad no funciona o está mal configurado, el propietario puede seguir iniciando sesión y corregir la configuración.
• Las sesiones ya abiertas siguen activas hasta que caducan.
• Si eliminas tu último dominio verificado, Exigir SSO se desactiva.

Dónde funciona el SSO

El inicio de sesión siempre empieza en PDF Redaction. Todavía no se admite abrir PDF Redaction desde un icono del panel de tu proveedor de identidad (inicio de sesión iniciado por el IdP).

Si cambia tu plan

El SSO forma parte de Pro Plus. Si el espacio de trabajo pasa a otro plan, el SSO y Exigir SSO dejan de funcionar de inmediato y todo el mundo vuelve a iniciar sesión con las demás opciones. Tu configuración de SSO y tus dominios verificados se conservan. Vuelven a funcionar en cuanto el espacio de trabajo vuelve a tener Pro Plus.

Guías de proveedores de identidad

Los nombres de menú que aparecen a continuación pueden variar ligeramente entre versiones de cada consola de administración. Se muestran en inglés, tal como aparecen en cada consola.

Okta

OIDC

1. En la Okta Admin Console, ve a Applications → Applications → Create App Integration.
2. Elige OIDC - OpenID Connect y Web Application.
3. En Sign-in redirect URIs, pega el URI de redirección de la pestaña SSO. Elimina el URI de cierre de sesión predeterminado.
4. En Assignments (asignaciones), elige quién puede usar la aplicación y guarda.
5. Copia el Client ID y el Client secret. La URL del emisor es tu dominio de Okta, por ejemplo https://example.okta.com.

SAML

1. Ve a Applications → Applications → Create App Integration y elige SAML 2.0.
2. Single sign-on URL: la URL de ACS. Audience URI (SP Entity ID): el Entity ID del SP.
3. Name ID format: EmailAddress. Application username: Email.
4. Declaraciones de atributos opcionales: firstName → user.firstName, lastName → user.lastName.
5. Termina, asigna a las personas y abre la pestaña Sign On y View SAML setup instructions (ver instrucciones de configuración de SAML). Copia la Identity Provider Single Sign-On URL, el Identity Provider Issuer y el X.509 Certificate.

Microsoft Entra ID (Azure AD)

OIDC

1. En el Entra admin center, ve a App registrations → New registration.
2. Elige quién puede iniciar sesión (normalmente Accounts in this organizational directory only, solo cuentas de este directorio organizativo). En Redirect URI, elige Web y pega el URI de redirección.
3. Copia el Application (client) ID y el Directory (tenant) ID.
4. En Certificates & secrets, crea un New client secret y copia su Value.
5. La URL del emisor es https://login.microsoftonline.com/<tenant-id>/v2.0, con el ID de tu directorio (tenant).

SAML

1. Ve a Enterprise applications → New application → Create your own application y elige Integrate any other application you don't find in the gallery.
2. Abre Single sign-on y elige SAML.
3. En Basic SAML Configuration, establece Identifier (Entity ID) en el Entity ID del SP y Reply URL en la URL de ACS.
4. En SAML Certificates, descarga Certificate (Base64) y pega su contenido.
5. En la sección Set up, copia la Login URL (URL de inicio de sesión único del IdP) y el Microsoft Entra Identifier (Entity ID del IdP).
6. En Users and groups, asigna a las personas que pueden usar PDF Redaction.

Las notificaciones (claims) predeterminadas ya incluyen la dirección de correo, el nombre y los apellidos.

Google Workspace

SAML (recomendado)

1. En la Google Admin console, ve a Apps → Web and mobile apps → Add app → Add custom SAML app.
2. En Google Identity Provider details, copia la SSO URL, el Entity ID y el Certificate.
3. En Service provider details, pega la URL de ACS y el Entity ID del SP. Establece Name ID format en EMAIL y Name ID en Basic Information → Primary email.
4. Asignación de atributos opcional: First name → firstName, Last name → lastName.
5. Pon la aplicación en ON para las unidades organizativas o los grupos que deban usarla.

OIDC

1. En la Google Cloud console, abre APIs & Services → Credentials → Create credentials → OAuth client ID y elige Web application.
2. En Authorized redirect URIs, pega el URI de redirección.
3. Copia el Client ID y el Client secret. La URL del emisor es https://accounts.google.com.

Otros proveedores

Funciona cualquier proveedor que admita SAML 2.0 u OpenID Connect.

• OIDC: crea una aplicación web que use el flujo de código de autorización, añade el URI de redirección y permite los scopes openid email profile. La URL del emisor es la dirección en la que tu proveedor publica /.well-known/openid-configuration.
• SAML: configura la URL de ACS y el Entity ID del SP, usa HTTP-POST para la respuesta y firma la respuesta o la aserción. Envía la dirección de correo como Name ID o como atributo email. El nombre y los apellidos son opcionales (firstName/lastName, givenName/surname o los URI de claims estándar).

Solución de problemas

¿Sigues sin poder resolverlo? Contacta con soporte e indícanos el nombre del espacio de trabajo y la hora a la que lo intentaste.

Siguientes pasos