Saltar al contenido principal

​
SSO (Single Sign-On)

Los usuarios de su empresa pueden entrar a SalesOS sin una contraseña de SalesOS: quien autentica es el proveedor de inicio de sesión que su empresa ya usa. SalesOS recibe la identidad, verifica que la persona pertenece a su empresa y abre la sesión. Vale para todo SalesOS — pantalla inicial, leads, billetera, campañas, ranking — y el enlace puede llevar a la persona directo a cualquiera de esas páginas. Esta guía es para quien administra el proveedor de inicio de sesión de su empresa (el equipo de TI).

​
Quién hace qué

​
Antes de empezar

  • Acceso de administrador a su proveedor de inicio de sesión (OAuth 2.0 / OpenID Connect).
  • Su empresa ya usa SalesOS y el acceso por SSO fue acordado con Play2sell.
  • Un usuario de prueba en su proveedor que no sea administrador: los administradores suelen tener acceso automático a todo, y la prueba pasaría sin probar nada.

​
Lo que su proveedor necesita

Si su proveedor permite elegir cómo la aplicación se autentica en el endpoint de token, habilite client_secret_post y client_secret_basic.

​
Paso a paso

1

Registre a Play2sell en su proveedor

Cree una aplicación por entorno (producción y staging) con estos datos:Listo cuando: las dos aplicaciones existen y la dirección de retorno de cada una es exactamente la de arriba, sin barra al final.
2

Mapee el perfil

Asegúrese de que el userinfo devuelve el identificador estable, el correo y el nombre del usuario. Anote el nombre de cada campo (ej.: sub, email, name o dados.cpf).Listo cuando: el usuario de prueba tiene los tres campos completos.
3

Asigne quién puede entrar

En su proveedor, asigne a la aplicación los usuarios o grupos que pueden entrar a SalesOS. Es el paso que más se olvida: sin la asignación, su proveedor rechaza el inicio de sesión antes de que llegue a SalesOS.Listo cuando: el usuario de prueba está asignado a las dos aplicaciones.
4

Envíe los datos a Play2sell por un canal seguro

Nunca por correo o chat en texto plano. Para cada entorno:
  • la ruta de la configuración de OpenID Connect (/.well-known/openid-configuration) o las direcciones de autorización, de token y de userinfo de su proveedor;
  • el client ID y el client secret;
  • el nombre de los campos del identificador estable, del correo y del nombre;
  • el usuario de prueba y un contacto técnico.
Listo cuando: Play2sell confirma la recepción.
5

Reciba el nombre de la conexión y el enlace de entrada

Play2sell conecta su proveedor a SalesOS en staging y devuelve el nombre de la conexión y el enlace de entrada (vea Enlace de entrada).
6

Pruebe en staging

Con el usuario de prueba (no administrador), abra el enlace de entrada de staging:Listo cuando: ocurren los tres resultados. Si algo falla, vea Solución de problemas.
7

Producción

Repita el paso 4 con los datos de la aplicación de producción. Tras la confirmación de Play2sell, difunda el enlace de entrada de producción a los usuarios — en el portal, la intranet o cualquier sistema de su empresa que lleve a SalesOS.

​
Enlace de entrada

Cada entorno tiene su conexión: el nombre de connection en staging es el que Play2sell informa para la aplicación de staging.
Algunas APIs de SalesOS ya devuelven el enlace de entrada listo para la página correcta. La API de Campañas, por ejemplo, devuelve access.login_url con la dirección de cada entorno — úselo en lugar de armar el enlace en su código.

​
Qué pasa cuando el usuario abre el enlace

Quien entró por este camino y tiene la sesión vencida dentro de SalesOS vuelve por su proveedor automáticamente, a la misma página, en lugar de una pantalla de contraseña que no tiene.
next solo acepta una ruta dentro de SalesOS (que empiece con /). Una URL completa, otro host o una ruta de inicio de sesión se ignoran, y el usuario llega a la pantalla inicial.

​
El identificador estable

Es el campo que dice quién es la persona de un inicio de sesión al siguiente. No puede cambiar cuando el usuario cambia de correo. Su empresa elige uno de estos: Se aceptan campos con namespace (ej.: https://suempresa.com/cpf) y campos anidados (ej.: dados.cpf).

​
Quién entra y quién es rechazado

El inicio de sesión por el proveedor de su empresa no abre la cuenta de quien no es de su empresa. Un usuario nuevo entra ya vinculado a su empresa, con el cargo predeterminado acordado con Play2sell; los cambios de cargo se hacen en SalesOS. Los casos de abajo se rechazan, cada uno con un mensaje que le dice al usuario qué hacer:
Las pantallas están en portugués; la tabla muestra el título de cada una.

​
Baja de usuarios y cambio del client secret

  • Alguien deja su empresa: desactive a la persona en su proveedor. Su próximo inicio de sesión lo rechaza su proveedor; la sesión que ya tenía abierta en SalesOS vale hasta vencer. Para cortarla también en SalesOS, pida al gerente de su empresa en SalesOS que desactive su acceso.
  • Cambio del client secret: muchos proveedores hacen vencer el secret (en general entre 6 y 24 meses). Antes del vencimiento, genere uno nuevo y envíelo a Play2sell por el mismo canal seguro, con la fecha del cambio, para que el inicio de sesión no se detenga.

​
Solución de problemas

Al pedir ayuda a Play2sell, envíe: la hora del intento, el correo del usuario, el entorno (producción o staging) y el código o texto del error que apareció en pantalla.

​
Seguridad

  • Código de autorización con intercambio servidor a servidor: ningún token de identidad pasa por la URL del navegador.
  • PKCE en toda autorización.
  • El client secret queda solo en el servicio de autenticación de Play2sell; no se guarda en la base de datos de SalesOS ni vuelve a aparecer en ninguna pantalla.
  • Denegado por defecto: un inicio de sesión por una conexión no habilitada, o de una empresa con el acceso apagado, se rechaza — nunca cae en un camino alternativo.

​
Próximos pasos

API de Campañas

Una API que devuelve el enlace de entrada listo (access.login_url)

Claves de API

Integraciones servidor a servidor