Inicio de sesión único (SSO)

Enterprise añade el inicio de sesión único para todos los miembros del equipo. Lo eliges en Ajustes → Suscripción y facturas como los demás planes. Antes, verifica un dominio de empresa en Ajustes → Gestión de acceso. Sin un dominio verificado aparece el mensaje “Verifica un dominio de empresa antes de elegir Enterprise”.

Hasta que haya una conexión activada, todo el mundo entra con el enlace por correo, una clave de acceso, o Google, Apple y Microsoft.

Los cambios en Ajustes → Gestión de acceso solo funcionan durante las 2 horas posteriores a iniciar sesión, y solo con tu propio acceso: no mientras un revendedor o nuestro soporte trabaja en tu cuenta. Consulta Cambios que piden volver a iniciar sesión.

Verificar un dominio

1. Abre Ajustes → Gestión de acceso. Esta pestaña está disponible para administradores, también sin Enterprise: el dominio se reclama antes de elegir Enterprise.
2. Escribe el dominio de la empresa, por ejemplo ejemplo.com, y elige Añadir dominio. El dominio queda con el estado Esperando DNS.
3. Crea un registro DNS TXT en ese dominio, o en _yarla.ejemplo.com, con el valor yarla-verify= y el token de la página.
4. Elige Comprobar DNS. Si la comprobación aún no encuentra el registro, espera unos minutos y vuelve a intentarlo. Cuando funciona, el estado es Verificado.
5. En Ajustes → Suscripción y facturas, elige Enterprise.

No se pueden reclamar buzones públicos como gmail.com. Un dominio solo pertenece a una empresa cuando supera la comprobación de DNS: una reclamación que sigue esperando el DNS en otra empresa no bloquea la tuya, y quien supera primero la comprobación se queda con el dominio. Después, ninguna otra empresa puede verificarlo. Una reclamación que lleva 30 días esperando el DNS caduca; vuelve a añadir el dominio para seguir.

Conectar el proveedor de identidad

Una empresa puede guardar varias conexiones, hasta diez. Elige Nueva conexión y selecciona el servicio en Proveedor. La lista incluye Microsoft Entra, Okta, OneLogin, Ping Identity, Auth0, JumpCloud y Keycloak, cada uno con SAML u OpenID Connect, y Google Workspace, AD FS, Duo y AWS IAM Identity Center con SAML. Lo demás es SAML personalizado u OpenID Connect personalizado. El nombre sale de esa elección.

SAML. Pega la URL de metadatos (debe empezar por https://). Debajo del campo aparece la URL habitual del proveedor elegido. En el proveedor de identidad, pon como dirección de respuesta la que aparece en esta página mientras el formulario está abierto. Termina en /saml2/idpresponse.

OpenID Connect. Pega el Emisor (debe empezar por https://), el Id de cliente y el Secreto de cliente. El secreto no se vuelve a mostrar después de guardarlo. Si dejas el campo vacío en Editar, se conserva el secreto guardado. En el proveedor de identidad, pon como URI de redirección la misma dirección que la de respuesta, pero terminada en /oauth2/idpresponse.

El proveedor debe enviar el correo en el atributo email y el nombre en name. En Atributo de grupos, indica el atributo o claim que trae los nombres de grupo. Por defecto es groups.

Usar esta conexión para el inicio de sesión único ya viene marcado en una conexión nueva. Desmárcalo mientras el proveedor no esté listo. Después elige Guardar: este formulario no se guarda automáticamente.

Con una conexión activada, la página de acceso envía directamente al proveedor cualquier dirección de un dominio verificado en cuanto se escribe el correo, aunque el inicio de sesión único no sea obligatorio. Si hay más de una activada, el miembro elige una ahí. La conexión marcada como Predeterminada es solo una señal en la lista del panel. Con Hacer predeterminada la cambias.

Los miembros empiezan en la página de acceso. Empezar desde el portal del proveedor no completa el inicio de sesión. Si alguien ya tiene cuenta con la misma dirección, creada con el enlace por correo o una invitación, su primer acceso por el proveedor termina con “El inicio de sesión se canceló o fue rechazado. Inténtalo de nuevo.” La cuenta queda vinculada y el siguiente intento funciona. Una cuenta que se empezó con Google, Apple o Microsoft no se vincula; aun así, se reconoce al miembro por la dirección. Una dirección que ya pertenece a la cuenta de otra empresa nunca se vincula ni se traslada: ese acceso termina con “Esta dirección pertenece a otra cuenta”. Esa persona sale primero de aquella cuenta (o su administrador la quita) y después vuelve a entrar.

En Reglas de inicio de sesión, en la misma página, los cambios se guardan automáticamente. Elige qué ocurre cuando una dirección del dominio de empresa que aún no está en el equipo entra por primera vez por el proveedor: Crear una cuenta automáticamente (la opción por defecto) o Solo por invitación. Con la segunda, esa persona ve el mismo mensaje hasta que la invites, y un primer acceso con Google, Apple o Microsoft en el dominio tampoco crea una cuenta. Las cuentas nuevas reciben el Rol para cuentas nuevas, por defecto Lector.

Exigir inicio de sesión único en los dominios verificados está disponible cuando un dominio está verificado y una conexión está activada. Esas direcciones ya no pueden usar el enlace por correo ni una clave de acceso, y se rechaza un acceso con Google, Apple o Microsoft, también de un inicio de sesión que ya existía pero aún no está en el equipo. Los miembros invitados con otra dirección sí pueden usar el enlace por correo. Si invitas a una dirección de un dominio verificado con esta opción activada, ves “Entra con el proveedor de identidad de tu empresa”. El miembro se ha añadido igualmente y aparece en la lista al recargar la página, pero no se envía ninguna invitación: entra por el proveedor. En Correos de emergencia pon hasta tres direcciones, separadas por comas, que pueden seguir usando el enlace por correo o una clave de acceso. En una dirección de un dominio verificado, cada uso queda en el registro de auditoría. Una dirección de otro dominio no entra en esta regla de todos modos, y sus accesos no se registran.

En Asignar grupos a roles asigna hasta veinte nombres de grupo a Administrador, Editor o Lector, con una regla por grupo. Se aplica la primera regla que coincide. Las mayúsculas no importan. En una cuenta creada por un primer acceso por el proveedor, el rol se vuelve a calcular en cada acceso por el proveedor: si el proveedor envía grupos sin ninguna regla que coincida, el miembro recibe el Rol para cuentas nuevas. Si el proveedor no envía grupos, el rol no cambia. Una cuenta que ya existía y se vinculó (invitada, creada por SCIM o que ya entraba de otra forma) queda fuera: su rol sigue siendo el de Ajustes → Equipo, o sigue los grupos de SCIM que se explican abajo. Pide al proveedor que envíe solo esos nombres, no todos los grupos del directorio. El último administrador nunca se degrada.

SCIM

En SCIM, dentro de Ajustes → Gestión de acceso, crea un token con Crear token. El token se muestra una sola vez, así que cópialo enseguida. El proveedor de identidad llama a /scim/v2/Users y /scim/v2/Groups en la dirección de tu panel con Authorization: Bearer scim_….

Crear un usuario añade un miembro con el Rol para cuentas nuevas. userName debe ser el correo, en uno de tus dominios verificados (otra dirección se rechaza), y no se envía ninguna invitación. Poner active en false desactiva al miembro. Un miembro desactivado no puede abrir el panel y aparece como Desactivado en Ajustes → Equipo. Borrar un usuario en SCIM también lo desactiva. Para hacerlo tú, usa Desactivar en Ajustes → Equipo. Quitar a alguien del equipo solo se puede hacer ahí, con Quitar. El único administrador activo no se puede desactivar ni borrar por SCIM: el proveedor recibe la respuesta 409. Haz antes administrador a otro miembro. Los usuarios creados, desactivados o reactivados por SCIM, y los cambios de rol por grupos de SCIM, quedan en el registro de auditoría.

Los miembros de un grupo reciben el rol de Asignar grupos a roles. Solo se incluyen si el proveedor los envía con POST o PUT a /scim/v2/Groups. Un PATCH con Operations no cambia los miembros de un grupo.

Reglas de seguridad

Cada regla de Reglas de seguridad empieza apagada. Los cambios se guardan automáticamente.

• Terminar las sesiones tras estas horas es un número de horas desde el inicio de sesión, de 1 a 720. Vacío significa que no hay límite.
• Exigir un segundo factor en el panel lleva al miembro a Mi cuenta → Seguridad hasta que configure una app de autenticación, una clave de acceso o una llave de hardware. Un código por SMS no cuenta.
• Aceptar la MFA ya hecha en el proveedor de la empresa omite ese segundo factor para quien tiene una cuenta creada por un primer acceso por el proveedor de la empresa. Márcalo si el proveedor de identidad ya exige MFA. Quien tiene una cuenta vinculada (invitada, creada por SCIM o que ya entraba de otra forma) sigue teniendo que configurar el segundo factor, igual que quien entra con el enlace por correo, por ejemplo con un correo de emergencia.
• Rangos de IP permitidos del panel limita el panel a esos rangos: un CIDR por línea, hasta 50. Vacío significa cualquier dirección. Una dirección IPv6 solo coincide si está en la lista por sí sola, no a través de un rango. Añade tu propia dirección, porque fuera de la lista no puedes abrir el panel, ni siquiera como administrador. Los webhooks, el widget de chat y las llamadas siguen abiertos.
• Limitar también las claves de API a estos rangos aplica la misma lista a las peticiones con una clave de API. Sin esta casilla no quedan incluidas.

El Registro de auditoría, al final de la página, muestra los últimos 20 accesos y cambios de administración, incluida la dirección IP cuando se conoce. Descargar CSV da hasta 500. Ambos llegan hasta el número de días de Conservar las conversaciones (días) en Ajustes → Empresa. Un acceso por el proveedor con una cuenta vinculada no aparece. Sí aparecen un acceso rechazado (una dirección que pertenece a la cuenta de otra empresa), un cambio de rol por grupos del proveedor o de SCIM, y un cambio en las reglas de seguridad, con las reglas que cambiaron.

Si indicas una URL del webhook de auditoría en Reglas de seguridad, debe ser una dirección https://; otra dirección no se guarda. Cada evento va entonces a esa dirección como POST con JSON (id, businessId, at, action, actor, summary, ip). Esa petición se firma con X-Yarla-Signature, con el mismo secreto que los demás webhooks (Ajustes → Conexiones, en Secreto de webhook). En Webhooks se explica cómo comprobarla. Una petición que tarda más de 3 segundos se corta, y una petición fallida no se reintenta; la entrada se mantiene en el registro de auditoría.

El acceso condicional, la conformidad del dispositivo y las comprobaciones de riesgo se quedan en el proveedor de identidad. Cerrar sesión aquí termina la sesión en esta aplicación. No termina la sesión en el proveedor de identidad.

Si dejas Enterprise o hay un pago pendiente

Si cambias a un plan más barato, primero ves qué se detiene y lo confirmas. En la fecha de renovación (o cuando termina una suscripción cancelada), Exigir inicio de sesión único en los dominios verificados y las reglas de seguridad se desactivan y los tokens SCIM se revocan. Todos vuelven a entrar con el enlace por correo, una clave de acceso, o Google, Apple y Microsoft, y conservan su cuenta. El acceso por el proveedor se detiene para todos, también para los miembros que ya lo usaban: entran con el enlace por correo con la misma dirección. Las conexiones se guardan, inactivas, en Ajustes → Gestión de acceso: vuelven si eliges Enterprise de nuevo y abres esa página, y puedes borrarlas. El registro de auditoría sigue disponible. Los administradores y el contacto de facturación reciben un correo con lo que ha cambiado. Consulta Suscripción y facturas.

Mientras haya un pago pendiente (vencido o en pausa), nada se vuelve menos estricto: el inicio de sesión único, las reglas de seguridad, SCIM y los miembros desactivados siguen aplicándose. Podrás cambiarlos de nuevo cuando la factura esté pagada.