Inicio de sesión único (SAML) y aprovisionamiento de usuarios (SCIM)

Con el inicio de sesión único, tu equipo entra a Deskwoot con la cuenta de trabajo que ya tiene, así nadie necesita una contraseña aparte para Deskwoot. Tu empresa guarda esas cuentas de trabajo en un proveedor de identidad: el servicio donde administra quién trabaja ahí, como Microsoft Entra ID, Okta o Google Workspace. Deskwoot se conecta con él a través de SAML 2.0, un estándar muy usado que permite que un servicio le diga a otro quién es alguien. Con el aprovisionamiento de usuarios a través de SCIM, otro estándar, tu proveedor de identidad también puede agregar personas a Deskwoot, mantener sus datos al día y quitarlas, todo por su cuenta.

El inicio de sesión único y el aprovisionamiento de usuarios vienen con el plan Enterprise. Solo los administradores pueden configurarlos, en Configuración > Inicio de sesión único. La página te guía por 5 pasos en este orden.

Paso 1: Verifica tu dominio de correo

Tu dominio de correo es la parte que va después de la @ en los correos de tu equipo, por ejemplo tuempresa.com. Solo las personas con una dirección de un dominio verificado pueden iniciar sesión con tu proveedor de identidad. Demuestras que el dominio es tuyo con un registro DNS. El DNS es la libreta de direcciones de internet, y casi siempre lo administras en la empresa donde compraste el dominio.

1. En 1. ¿Qué dominios de correo son de tu empresa?, escribe tu dominio sin la @ y haz clic en Agregar dominio.
2. Deskwoot te muestra el registro que necesitas. Donde administras el DNS de tu dominio, crea un registro nuevo con estos valores:
   • Tipo: TXT
   • Nombre: tu propio dominio. Algunos servicios de DNS piden @ como nombre.
   • Valor: deskwoot-verification= seguido del código de la página. Usa Copiar al lado, para que no falte nada.
3. Haz clic en Comprobar ahora. Cuando Deskwoot encuentra el registro, el dominio muestra Verificado.

Un registro nuevo puede tardar unos minutos, a veces unas horas, hasta que Deskwoot lo vea. Si el registro todavía no aparece, revisa el nombre y el valor, y vuelve a intentarlo más tarde. Puedes agregar más de un dominio. Cada dominio solo puede estar verificado en un espacio de trabajo de Deskwoot.

Paso 2: Conecta tu proveedor de identidad

En 2. ¿Qué proveedor de identidad usa tu empresa?, Deskwoot muestra Valores para tu proveedor de identidad. Funciona con Microsoft Entra ID, Okta, Google Workspace y cualquier otro proveedor SAML 2.0.

1. En tu proveedor de identidad, crea una app SAML para Deskwoot.
2. Copia los valores de Deskwoot en la app:
   • ID de entidad: Microsoft Entra ID lo llama Identificador (Id. de entidad), Okta lo llama Audience URI y Google Workspace lo llama ID de entidad.
   • URL de ACS: la dirección a la que tu proveedor devuelve a las personas después de iniciar sesión. Microsoft Entra ID la llama URL de respuesta, Okta la llama Single sign on URL y Google Workspace la llama URL de ACS.
   • URL de metadatos: algunos proveedores leen todos los valores de Deskwoot de esta dirección de una vez, así no tienes que copiarlos uno por uno.
3. Asegúrate de que tu proveedor envíe el correo de cada persona. Pon el formato de Name ID en dirección de correo, o envía la dirección como un atributo llamado email o mail, o como el claim emailaddress.
4. Tu proveedor tiene que firmar la aserción, la parte de su respuesta que dice quién inició sesión. Microsoft Entra ID y Okta lo hacen de forma predeterminada. En Google Workspace, deja la opción predeterminada. Deskwoot no admite aserciones cifradas, así que deja el cifrado desactivado.
5. De vuelta en Deskwoot, en Configuración de tu proveedor de identidad, haz clic en Agregar la configuración del proveedor y elige cómo quieres agregarla:
   • Pegar el XML de metadatos: tu proveedor lo ofrece como un archivo o una página llamada metadatos, metadatos del IdP o XML de metadatos de federación. Ábrelo y pega todo.
   • Escribir a mano: escribe el ID de entidad del proveedor, la URL de inicio de sesión y el Certificado. Deskwoot necesita la URL de inicio de sesión del enlace HTTP Redirect, y empieza con https://. Pega todo el certificado de firma, con las líneas BEGIN y END.
6. Haz clic en Guardar configuración.

Al guardar cambios en la configuración, el inicio de sesión único se desactiva otra vez. Vuelve a probar el inicio de sesión y actívalo de nuevo.

Paso 3: Prueba el inicio de sesión

En 3. ¿Funciona el inicio de sesión?, haz clic en Probar el inicio de sesión e inicia sesión en tu proveedor de identidad con tu propia cuenta de trabajo. Usa una cuenta cuya dirección esté en uno de tus dominios verificados. La prueba funciona aunque el inicio de sesión único todavía esté desactivado, y sigue desactivado para los demás mientras pruebas. De vuelta en la página, Deskwoot muestra el resultado y la dirección de correo que envió tu proveedor. Si la prueba no funcionó, compara el ID de entidad, la URL de inicio de sesión y el certificado con tu proveedor, y vuelve a probar.

Paso 4: Activa el inicio de sesión único

En 4. Activa el inicio de sesión único, activa Inicio de sesión único. Las personas con una dirección de tus dominios verificados ya pueden hacer clic en Iniciar sesión con SSO en la página de inicio de sesión de Deskwoot. Mientras no hagas obligatorio el inicio de sesión único, también pueden seguir usando su contraseña.

Paso 5: Haz obligatorio el inicio de sesión único (opcional)

En 5. ¿Las personas de tus dominios solo deben iniciar sesión así? (opcional), activa Hacer obligatorio el inicio de sesión único y confirma con Hacerlo obligatorio. Entonces:

• Las personas con una dirección de tus dominios verificados solo pueden iniciar sesión con tu proveedor de identidad. Deskwoot rechaza su contraseña y el inicio de sesión con Google o Apple, y la página de inicio de sesión las lleva al inicio de sesión único.
• Si alguna de ellas inició sesión de otra forma, su sesión se cierra en el momento en que lo activas.
• El propietario del espacio de trabajo siempre puede iniciar sesión también con la contraseña, por si tu proveedor falla.
• Las personas con una dirección fuera de tus dominios, por ejemplo personal externo, mantienen su contraseña.
• Cuando invitas a alguien con una dirección de tus dominios, esa persona no crea una contraseña. Hace clic en Continuar con el inicio de sesión único, y su primer inicio de sesión con tu proveedor acepta la invitación.

Cómo inicia sesión tu equipo

1. En la página de inicio de sesión de Deskwoot, haz clic en Iniciar sesión con SSO.
2. Escribe tu Correo de trabajo y haz clic en Continuar.
3. Deskwoot te lleva a la página de inicio de sesión de tu empresa. Después de iniciar sesión ahí, vuelves a Deskwoot.

Un mosaico de Deskwoot en el panel de Okta o de Microsoft también funciona: Deskwoot inicia entonces un inicio de sesión nuevo con tu proveedor. Después del inicio de sesión único, Deskwoot no pide su propio código de autenticación de dos factores. De ese paso se encarga tu proveedor de identidad.

Personas nuevas

Quien tenga una dirección de tus dominios e inicie sesión por primera vez con el inicio de sesión único entra a tu espacio de trabajo como agente, en un puesto libre. Puedes hacerla administradora en Configuración > Agentes.

• Sin un puesto libre, ve un error. Agrega puestos en Configuración > Facturación, y la persona puede volver a intentarlo. Deskwoot nunca compra puestos por su cuenta.
• Una persona solo puede pertenecer a un espacio de trabajo de Deskwoot. Quien ya pertenece a otro espacio de trabajo de Deskwoot no puede unirse al tuyo de esta forma.

Aprovisionamiento de usuarios (SCIM)

Con el aprovisionamiento de usuarios, tu proveedor de identidad crea, cambia y quita agentes en Deskwoot por ti. Solo funciona para direcciones de tus dominios verificados y solo en puestos libres.

1. En Aprovisionamiento de usuarios (SCIM), haz clic en Crear token. Un token es un código secreto largo que permite que tu proveedor hable con Deskwoot. Cópialo enseguida: Deskwoot lo muestra una sola vez. Luego haz clic en Listo.
2. En tu proveedor de identidad, abre la configuración de aprovisionamiento de tu app de Deskwoot y escribe la URL base de SCIM https://deskwoot.com/api/scim/v2 y el token:
   • Microsoft Entra ID: en Aprovisionamiento, pega la URL como URL de inquilino y el token como Token secreto.
   • Okta: elige SCIM 2.0, pega la URL como SCIM connector base URL, pon el Authentication Mode en HTTP Header y pega el token como Bearer token.
   • Google Workspace: en la Admin console, abre la app de Deskwoot en Apps > Web and mobile apps y haz clic en Configure auto-provisioning en Autoprovisioning. Pega el token y luego la URL como SCIM endpoint URL, asigna Primary email a userName y pon Autoprovisioning en Active. Google todavía lo está lanzando: si la app no muestra Autoprovisioning, tu organización aún no lo tiene, y las personas se unen en su primer inicio de sesión.
3. Asigna a la app las personas que deben usar Deskwoot. Asigna personas, no grupos: Deskwoot no aprovisiona grupos.

Desde ese momento, tu proveedor hace esto por su cuenta:

• Agrega agentes: solo personas con una dirección de tus dominios verificados, y solo en puestos libres. Las personas nuevas son agentes. Los administradores los defines en Configuración > Agentes.
• Actualiza a las personas: los nombres y las direcciones de correo siguen a tu proveedor.
• Quita a las personas: cuando quitas la asignación de alguien o lo desactivas en tu proveedor, sale de tu espacio de trabajo de inmediato. Su acceso a Deskwoot se mantiene, y sus conversaciones quedan sin asignar. El propietario del espacio de trabajo no se puede quitar de esta forma.

Puedes tener hasta 5 tokens. Cada uno muestra cuándo se creó y cuándo se usó por última vez. Para detener un token, haz clic en Revocar al lado y confirma con Revocar token. Las personas que ya están en el espacio de trabajo se quedan.

Resumen

En Configuración > Inicio de sesión único, verifica tu dominio de correo, conecta tu proveedor de identidad, prueba el inicio de sesión y activa el inicio de sesión único. Si quieres, hazlo obligatorio para todas las personas de tus dominios y deja que tu proveedor agregue y quite agentes a través de SCIM. Así tu equipo entra a Deskwoot con la cuenta de trabajo que ya tiene.

Preguntas frecuentes

¿Qué pasa si nuestro plan baja de Enterprise?

El inicio de sesión único y el aprovisionamiento de usuarios se detienen, y las personas vuelven a iniciar sesión con su contraseña. Quien nunca tuvo una contraseña de Deskwoot crea una con ¿Olvidaste tu contraseña? en la página de inicio de sesión.

Deskwoot no encuentra mi registro DNS. ¿Qué puedo hacer?

Un registro nuevo puede tardar unos minutos, a veces unas horas, hasta que Deskwoot lo vea. Revisa que el tipo sea TXT, que el nombre sea tu dominio (o @, si tu servicio de DNS lo pide) y que el valor esté completo. Luego haz clic otra vez en Comprobar ahora.

Alguien ve que el espacio de trabajo no tiene un puesto libre. ¿Y ahora?

Agrega un puesto en Configuración > Facturación, y la persona vuelve a iniciar sesión. Deskwoot nunca compra puestos por su cuenta, tampoco con el aprovisionamiento de usuarios.

¿Qué pasa si nuestro proveedor de identidad falla?

El propietario del espacio de trabajo siempre puede iniciar sesión con la contraseña, aunque el inicio de sesión único sea obligatorio. Las personas con una dirección fuera de tus dominios verificados también mantienen su contraseña.

La prueba dice que mi dirección está fuera de los dominios verificados. ¿Por qué?

Tu proveedor de identidad envió una dirección de correo cuyo dominio no verificaste en Deskwoot. Prueba con una cuenta cuya dirección esté en uno de tus dominios verificados, y revisa que tu proveedor envíe la dirección de correo como Name ID o como atributo de correo.