Saltar para o conteúdo principal

​
SSO (Single Sign-On)

Os usuários da sua empresa podem entrar no SalesOS sem uma senha do SalesOS: quem autentica é o provedor de login que a sua empresa já usa. O SalesOS recebe a identidade, confere se a pessoa pertence à sua empresa e abre a sessão. Vale para o SalesOS inteiro — tela inicial, leads, carteira, campanhas, ranking — e o link pode levar a pessoa direto a qualquer uma dessas páginas. Este guia é para quem administra o provedor de login da sua empresa (a equipe de TI).

​
Quem faz o quê

​
Antes de começar

  • Acesso de administrador ao seu provedor de login (OAuth 2.0 / OpenID Connect).
  • A sua empresa já usa o SalesOS e o acesso por SSO foi combinado com a Play2sell.
  • Um usuário de teste no seu provedor que não seja administrador: administradores costumam ter acesso automático a tudo, e o teste passaria sem provar nada.

​
O que o seu provedor precisa ter

Se o seu provedor permite escolher como a aplicação se autentica no endpoint de token, habilite client_secret_post e client_secret_basic.

​
Passo a passo

1

Cadastre a Play2sell no seu provedor

Crie uma aplicação por ambiente (produção e staging) com estes dados:Pronto quando: as duas aplicações existem e o endereço de retorno de cada uma está exatamente como acima, sem barra no fim.
2

Mapeie o perfil

Garanta que o userinfo devolve o identificador estável, o e-mail e o nome do usuário. Anote o nome de cada campo (ex.: sub, email, name, ou dados.cpf).Pronto quando: o usuário de teste tem os três campos preenchidos no perfil.
3

Atribua quem pode entrar

No seu provedor, atribua à aplicação os usuários ou grupos que podem entrar no SalesOS. É o passo que mais se esquece: sem a atribuição, o seu provedor recusa o login antes de ele chegar ao SalesOS.Pronto quando: o usuário de teste está atribuído às duas aplicações.
4

Envie os dados à Play2sell, por canal seguro

Nunca por e-mail ou chat em texto. Para cada ambiente:
  • o caminho da configuração do OpenID Connect (/.well-known/openid-configuration) ou os endereços de autorização, de token e de userinfo do seu provedor;
  • o client ID e o client secret;
  • o nome dos campos do identificador estável, do e-mail e do nome;
  • o usuário de teste e um contato técnico.
Pronto quando: a Play2sell confirma o recebimento.
5

Receba o nome da conexão e o link de entrada

A Play2sell liga o seu provedor ao SalesOS em staging e devolve o nome da conexão e o link de entrada (veja Link de entrada).
6

Teste em staging

Com o usuário de teste (não administrador), abra o link de entrada de staging:Pronto quando: os três resultados acontecem. Se algo falhar, veja Solução de problemas.
7

Produção

Repita o passo 4 com os dados da aplicação de produção. Depois da confirmação da Play2sell, divulgue o link de entrada de produção aos usuários — no portal, na intranet ou em qualquer sistema da sua empresa que leve ao SalesOS.
Cada ambiente tem a sua conexão: o nome de connection em staging é o que a Play2sell informa para a aplicação de staging.
Algumas APIs do SalesOS já devolvem o link de entrada pronto para a página certa. A API de Campanhas, por exemplo, traz access.login_url com o endereço de cada ambiente — use-o em vez de montar o link no seu código.
Quem entrou por esse caminho e tem a sessão vencida dentro do SalesOS volta pelo seu provedor automaticamente, para a mesma página, em vez de cair numa tela de senha que ele não tem.
next só aceita um caminho dentro do SalesOS (começando com /). URL completa, outro host ou caminho de login são ignorados, e o usuário cai na tela inicial.

​
O identificador estável

É o campo que diz quem é a pessoa de um login para o outro. Ele não pode mudar quando o usuário troca de e-mail. A sua empresa escolhe um destes: Campos com namespace (ex.: https://suaempresa.com/cpf) e campos aninhados (ex.: dados.cpf) são aceitos.

​
Quem entra e quem é recusado

O login pelo provedor da sua empresa não abre a conta de quem não é da sua empresa. Usuário novo entra já vinculado à sua empresa, com o cargo padrão combinado com a Play2sell; mudanças de cargo são feitas no SalesOS. Os casos abaixo são recusados, cada um com uma mensagem que diz ao usuário o que fazer:

​
Desligamento e troca do client secret

  • Quem sai da sua empresa: desative a pessoa no seu provedor. O próximo login dela é recusado pelo seu provedor; a sessão que ela já tinha aberta no SalesOS vale até vencer. Para cortar também no SalesOS, peça ao gestor da sua empresa no SalesOS para desativar o acesso dela.
  • Troca do client secret: muitos provedores fazem o secret vencer (em geral entre 6 e 24 meses). Antes do vencimento, gere um novo e envie à Play2sell pelo mesmo canal seguro, com a data para a troca, para o login não parar.

​
Solução de problemas

Ao pedir ajuda à Play2sell, envie: o horário da tentativa, o e-mail do usuário, o ambiente (produção ou staging) e o código ou texto do erro que apareceu na tela.

​
Segurança

  • Código de autorização com troca servidor a servidor: nenhum token de identidade passa pela URL do navegador.
  • PKCE em toda autorização.
  • O client secret fica só no serviço de autenticação da Play2sell; não é guardado no banco do SalesOS nem aparece de volta em tela nenhuma.
  • Negado por padrão: um login por uma conexão que não está liberada, ou de uma empresa com o acesso desligado, é recusado — nunca cai num caminho alternativo.

​
Próximos passos

API de Campanhas

Exemplo de API que devolve o link de entrada pronto (access.login_url)

Chaves de API

Integrações servidor a servidor