Inicio de sesión único (SAML)

Disponible en el plan Enterprise. Solo los propietarios de la organización pueden configurar proveedores de identidad.

Resumen

El SSO permite que tu equipo inicie sesión en Wave Connect a través del proveedor de identidad (IdP) de tu organización. En lugar de gestionar una contraseña separada para Wave Connect, los usuarios se autentican con las mismas credenciales que usan para todo lo demás. Wave Connect admite SAML 2.0 y OpenID Connect (OIDC) y funciona con cualquier proveedor de identidad que cumpla los estándares, incluidos Okta, Microsoft Entra ID, Google Workspace, OneLogin, JumpCloud y Ping Identity. Lo configuras tú mismo en Configuración → Seguridad → Proveedores de identidad.

Cómo funciona

Hay dos rutas de inicio de sesión según si el usuario ya tiene una cuenta de Wave Connect.

Los usuarios también pueden iniciar el SSO directamente con esta URL: https://app.wavecnct.com/auth/sso?org=YOUR_ORG_SLUG. Reemplaza YOUR_ORG_SLUG con la Identificación de la organización, que se encuentra en la configuración de tu organización. La misma URL se muestra como Inicio URL cuando configuras SAML.

Sin cuenta aún: el usuario hace clic en Continuar con SSO en la página de inicio de sesión de Wave Connect e introduce el nombre de usuario de tu organización en el campo Identificación de la organización. Wave Connect lo redirige a tu proveedor de identidad, se autentica y su cuenta se crea automáticamente en el primer inicio de sesión. El correo electrónico que afirma tu IdP debe estar en uno de los dominios verificados de tu organización; de lo contrario, el inicio de sesión se rechaza. Cuenta existente con SSO forzado: el usuario introduce su correo electrónico como de costumbre. Wave Connect detecta que el SSO está forzado para su organización y lo redirige a tu proveedor de identidad para autenticarse.

Recomendamos aprovisionar usuarios por anticipado con SCIM para que las cuentas estén listas, y asignadas al equipo correcto, antes de que tu equipo inicie sesión por primera vez. Si usas Microsoft Entra ID, consulta la guía de Entra ID para configurar ambos en la misma aplicación empresarial.

Las cuentas creadas por SSO leen las reclamaciones (claims) estándar de nombre, apellido y correo electrónico. La reclamación name predeterminada de Microsoft Entra ID, que contiene el correo electrónico, se acepta como correo electrónico. Las reclamaciones de nombre también pueden incluir teléfono, ciudad, cargo, idioma y rol (USER o ADMIN).

Configuración

SAML

Abre Proveedores de identidad

Ve a Configuración → Seguridad → Proveedores de identidad y haz clic en Configurar junto a SAML.

Copia los datos de Wave Connect en tu IdP

El primer paso del modal Configurar SAML muestra los valores que necesita tu IdP:

Entidad ID: wave-connect
URL del Servicio de consumo de aserciones (ACS): https://app.wavecnct.com/__/auth/handler
Inicio URL: https://app.wavecnct.com/auth/sso?org=YOUR_ORG_SLUG

En tu proveedor de identidad, crea una aplicación SAML 2.0 para Wave Connect con estos valores. Establece el formato de Name ID en dirección de correo electrónico. Haz clic en Siguiente.

Introduce los datos de tu IdP

Desde la aplicación SAML de tu IdP, copia:

ID de entidad: el URI identificador de tu proveedor de identidad
SSO URL: la URL de la página de inicio de sesión de tu proveedor de identidad
Certificados x509: el certificado de firma en formato PEM, desde -----BEGIN CERTIFICATE----- hasta -----END CERTIFICATE-----

Guarda y prueba

Deja desactivado Forzar inicio de sesión SSO para sus usuarios, haz clic en Guardar y prueba con un usuario a través de la Inicio URL antes de forzar el SSO para todos.

Solo se puede configurar un proveedor de identidad a la vez. Para cambiar de SAML a OIDC, o a otro IdP, elimina primero el proveedor actual. Eliminarlo devuelve a todos los usuarios al inicio de sesión con código por correo electrónico o teléfono.

OIDC

Crea una aplicación OIDC en tu IdP

Registra una aplicación web para Wave Connect con el URI de redirección https://app.wavecnct.com/__/auth/handler. Establece el tipo de autenticación del cliente en Client Secret Basic.

Abre Proveedores de identidad

Ve a Configuración → Seguridad → Proveedores de identidad y haz clic en Configurar junto a OpenID Connect.

Introduce los datos de tu IdP

En el modal Configurar OIDC, completa La ID del cliente (Client Id), La clave secreta del cliente (Client Secret) e Issuer (la URL del emisor de tu IdP). Mantén Tipo de respuesta en Code. El flujo implícito está disponible, pero no se recomienda.

Guarda y prueba

Deja desactivado Forzar inicio de sesión SSO para sus usuarios, haz clic en Guardar y prueba con un usuario antes de forzar el SSO para todos.

Forzar el SSO

Una vez que el SSO funciona, puedes exigirlo para que todos los usuarios deban iniciar sesión a través de tu proveedor de identidad. Esto deshabilita el inicio de sesión con código por correo electrónico y teléfono para tu organización. Abre Configuración → Seguridad → Proveedores de identidad, edita tu proveedor, activa Forzar inicio de sesión SSO para sus usuarios y haz clic en Actualizar. Los usuarios existentes que intenten iniciar sesión con su correo electrónico son redirigidos a tu proveedor de identidad.

Asegúrate de que el propietario que fuerza el SSO pueda iniciar sesión primero a través del IdP. Una vez forzado, todos los miembros de la organización, incluidos los propietarios, deben autenticarse a través de él.