Identidade e SSO
Configure o login único (SSO) da sua organização no Certivant com Google, Microsoft, GitHub, SAML 2.0 ou OIDC para que sua equipe se autentique com a identidade corporativa que já usa.
O que ele faz
O login único (SSO) permite que os membros da sua equipe entrem no Certivant com a identidade corporativa que já têm — Google Workspace, Microsoft 365, Okta, OneLogin etc. — em vez de ter que lembrar mais uma senha. O limite de segurança é o mesmo do seu IdP: quando você desliga alguém lá, essa pessoa também perde o acesso ao Certivant.
Três modos de SSO:
- Provedores sociais — Google, Microsoft, GitHub. Login com um clique para usuários individuais. Cada usuário clica em "Entrar com o Google" uma vez e nós o vinculamos ao registro de membro existente na organização pelo e-mail.
- SAML 2.0 — para IdPs corporativos (Okta, OneLogin, Azure AD, ADFS). Você configura um aplicativo corporativo do lado do IdP, cola os metadados no Certivant e pronto.
- OIDC — OpenID Connect para IdPs que o preferem ao SAML (Auth0, Keycloak, tenants Okta modernos).
Onde encontrar
Configurações → Identidade e SSO na barra lateral esquerda.
Provedores sociais (o modo mais fácil)
Eles são configurados pelo seu superadministrador no nível da plataforma. Você não os configura por organização — eles estão ativados ou desativados em toda a instalação. Se estiverem ativados, os membros da sua equipe verão os botões "Entrar com o Google" / "Entrar com a Microsoft" / "Entrar com o GitHub" na página de login.
Quando um colega entra com um provedor social:
- O IdP devolve o e-mail verificado dele.
- O Certivant associa esse e-mail ao registro de membro que você convidou anteriormente.
- Ele chega à sua organização, sem nenhuma etapa extra.
Se o e-mail do IdP não corresponder a nenhum membro convidado, a pessoa vê a mensagem "Conta não encontrada — peça ao seu administrador que envie um convite".
Se todos na sua organização usam o Google Workspace, peça ao seu superadministrador que ative o SSO do Google e desative o login com e-mail e senha. Uma senha a menos para gerenciar, uma superfície de phishing a menos.
SAML 2.0
Para empresas de médio e grande porte com um IdP que já gerencia o provisionamento de aplicativos.
No Certivant: abra Identidade e SSO
Configurações → Identidade e SSO → SAML. Ative a opção Ativar SAML. A tela exibe:
- Sua URL do ACS (Assertion Consumer Service):
https://app.certivant.com/api/auth/saml/callback/{your-org-id}. Copie. - Seu ID da entidade (Entity ID do SP):
urn:certivant:org:{your-org-id}. Copie. - Enviar metadados do IdP: onde você colará o XML do seu IdP depois da etapa 2.
No seu IdP: crie um novo aplicativo SAML para o Certivant
Cada IdP usa termos diferentes, mas os campos são universais:
- ID da entidade do SP — cole o ID da entidade da etapa 1.
- URL do ACS / de resposta — cole a URL do ACS da etapa 1.
- Formato do Name ID —
EmailAddress(associamos os membros pelo e-mail). - Declarações de atributos (opcionais, mas úteis):
firstName,lastName— usados para preencher previamente o perfil do membro.groups— lista de grupos aos quais a pessoa pertence. Associe-os às funções do Certivant pela lista suspensa no lado do IdP.
Baixe o XML de metadados do IdP.
De volta ao Certivant: envie os metadados
Cole o XML no campo Enviar metadados do IdP da página Identidade e SSO. Salve.
Teste
Abra uma nova janela privativa. Clique em Entrar com SAML e informe seu e-mail. Você deve ser redirecionado ao seu IdP, fazer login e voltar para a sua organização no Certivant.
(Opcional) Restrinja ao SAML
Depois de confirmar que tudo funciona, você pode exigir SAML de todos os membros da sua organização: ative Configurações → Identidade e SSO → Exigir SSO. O login com e-mail e senha continua funcionando para o proprietário da organização (uma saída de emergência), mas fica bloqueado para todos os outros.
Provisionamento just-in-time (JIT)
Quando um novo usuário do IdP entra pela primeira vez, o Certivant pode:
- Bloquear — só entram os membros convidados anteriormente.
- Criar automaticamente como Membro — qualquer usuário do IdP com uma resposta SAML válida passa a ser membro da organização automaticamente.
- Criar automaticamente com a função vinda do atributo de grupo — lê o atributo
groupsda resposta SAML e atribui Proprietário / Administrador / Membro de acordo com um mapeamento que você configura.
Escolha em Configurações → Identidade e SSO → SAML → Provisionamento de novos usuários. O JIT é prático, mas reduz o seu controle — se o seu IdP estiver configurado para enviar TODOS os funcionários, todos serão cadastrados automaticamente, precisem ou não do Certivant.
OIDC
O OIDC funciona de forma parecida, mas com JSON simples em vez de XML.
Configurações → Identidade e SSO → OIDC. Ative.
Copie o URI de redirecionamento: https://app.certivant.com/api/auth/oidc/callback/{your-org-id}.
Crie um aplicativo OIDC no seu IdP. Cole o URI de redirecionamento. Configure os escopos: openid, email, profile, além de groups se você quiser o mapeamento de funções.
No Certivant: cole o URL do emissor, o ID do cliente e o Segredo do cliente do IdP.
Salve. Teste em uma janela privativa com Entrar com SSO.
Remover o SSO
Desative o provedor correspondente em Configurações → Identidade e SSO. Os membros que já estão conectados continuam conectados até a sessão expirar; no próximo login, eles precisarão usar e-mail e senha (ou outro provedor ativado).
Se você exigia SSO anteriormente e agora quer abandoná-lo, desative também Exigir SSO para que os membros possam voltar a usar e-mail e senha.
Solução de problemas
"SSO não configurado para esta organização"
Você ativou o provedor, mas a configuração está incompleta. Abra a seção SAML/OIDC e verifique se todos os campos obrigatórios estão preenchidos.
"Resposta SAML inválida" / "Token OIDC inválido"
Causas comuns:
- Diferença de relógio entre o seu IdP e os nossos servidores. A maioria dos IdPs vem sincronizada por NTP; a sua própria instalação talvez não.
- ID da entidade / Audience incorreto no lado do IdP. Confira se os valores exibidos pelo Certivant são os mesmos do aplicativo no seu IdP.
- Assinatura divergente — você gerou novos certificados no IdP sem enviar os metadados de novo ao Certivant. Cole os metadados mais recentes novamente.
"Conta não encontrada"
O IdP devolveu um e-mail que não corresponde a nenhum membro convidado. Você pode:
- Convidar o usuário primeiro em Configurações → Membros (com o mesmo e-mail que o IdP devolve).
- Ativar o provisionamento JIT para criar a conta automaticamente.
O proprietário da minha organização não consegue entrar via SAML
É proposital — o proprietário sempre pode entrar com e-mail e senha, mesmo com Exigir SSO ativado, para que você tenha uma saída de emergência caso o SSO quebre. Se até isso falhar, entre em contato com o seu superadministrador para corrigir pelo lado da plataforma.
Relacionados
- Convidar colegas de equipe — a lista de membros sustenta a associação do SSO pelo e-mail.
- Funções em resumo — mapeamento de atributo de grupo para função.
- Zona de perigo — desativar o SSO é reversível pela conta do proprietário.
Faturamento e créditos
Gerencie a sua assinatura da Certivant, compre créditos pré-pagos (pay-as-you-go), entenda a expiração do período de teste e os estados de faturamento e resolva problemas com faturas e pagamentos.
Equipes e funções
Organize o seu espaço de trabalho da Certivant em equipes com modos de isolamento de dados (estrito, aberto, somente proprietário) e crie funções personalizadas com pacotes de permissões detalhados.