SSO (Enterprise)

Precaución

La configuración de SSO solo está disponible en el plan Enterprise. Si no ves la configuración de SSO en Configuración → Organización → Seguridad, asegúrate de que tu organización tenga el plan Enterprise o contacta a tu Capgo.

¿Qué es SSO?

Single Sign-On (SSO) permite que tu equipo inicie sesión en Capgo usando el proveedor de identidad (IdP) de tu empresa. Capgo utiliza SAML 2.0 a través de Supabase Auth. Cuando el dominio del email de un usuario coincide con un proveedor SSO activo, puede autenticarse en tu IdP y se le asigna acceso a la organización durante el callback de SSO.

El SSO no cambia los permisos de los usuarios. Estos se controlan mediante los roles de la organización. El SSO solo cambia su forma de autenticarse.

Requisitos

Antes de empezar:

• Suscripción Enterprise activa en la organización Capgo.
• Un proveedor de identidad que soporte SAML 2.0 y exponga una URL de metadatos del IdP (HTTPS).
• Capacidad para publicar un registro DNS TXT para el dominio de correo (ej. company.com para usuarios que inicien sesión como user@company.com).
• Un miembro de la organización Capgo con permisos para actualizar la configuración.
• Un Admin del IdP contacte con su equipo de IT o seguridad.

Dónde encontrar la configuración de SSO

1. Abrir https://console.capgo.app/
2. Haz clic Configuración en la barra lateral izquierda
3. Selecciona el Organización pestaña
4. Selecciona el Seguridad pestaña
5. Desplázate a configuración de SSO. El formulario solo está disponible si la organización tiene el plan Enterprise.

Paso 1 - Configura tu IdP

En tu proveedor de identidad, crea una nueva aplicación SAML 2.0. Necesitarás lo siguiente: Proveedor de servicios valores mostrados en el panel de configuración de SSO de Capgo:

Campo	Dónde usarlo
URL de ACS	Assertion Consumer Service URL en tu app SAML del IdP
ID de la entidad	Identificador de la entidad del Service Provider
URL de metadata del SP	Opcional: importar si tu IdP permite importar metadata del SP por URL
Formato NameID	Formato esperado para el SAML Name Identifier

Tu IdP debe emitir los datos del usuario dirección de email en la aserción. Capgo usa el dominio del email para resolver el proveedor de SSO activo y vincular las cuentas existentes.

Paso 2 - Añade el proveedor SSO en Capgo

1. En el panel de configuración SSO, haz clic para añadir un nuevo proveedor
2. Introduce el dominio de email (ej. company.com). Debe coincidir con la parte del dominio de los emails de tus usuarios
3. Introduce la URL de metadata de tu IdP (HTTPS)
4. Enviar

El proveedor se ha creado con el estado Pendiente de verificación.

Paso 3 - Verificación de dominio DNS

Capgo verifica que controlas el dominio antes de activar el SSO.

Añade un TXT en tu proveedor de DNS:

Campo	Valor
Tipo	TXT
Nombre / host	_capgo-sso.<your-domain> (ej. _capgo-sso.company.com)
Valor	El token de verificación que aparece en el dashboard

Una vez publicado el registro (la propagación del DNS TTL suele tardar de unos minutos a una hora), haz clic en Verificar DNS en el dashboard. Si tiene éxito, el proveedor pasará a Verified.

Paso 4 - Activar el proveedor

Tras verificar el DNS, haz clic en Activate. El estado del proveedor será Activo. Solo Activo se usan los proveedores durante el flujo de login SSO.

Puedes elegir Desactivar en el dashboard en cualquier momento. Eso pasa el proveedor a Desactivado, lo que pausa el SSO para ese dominio sin borrar la configuración.

Paso 5 - Probar y asignar roles

Cuando un usuario inicia sesión vía SSO por primera vez y no tiene una membresía existente en esa organización, Capgo le asigna el rol de lectura rol.

Una vez que los usuarios piloto inicien sesión:

1. Ve a Configuración → Organización → Miembros
2. Busca cada usuario aprovisionado por SSO
3. Ajusta su rol al nivel adecuado (Upload, Write, Administrador, etc.)

Consulta el desglose completo de permisos lo que cada rol puede hacer.

Nota

Si Supabase crea un usuario de SSO independiente para un email que ya existe en Capgo, Capgo fusiona la identidad SSO en la cuenta existente y pide al usuario que vuelva a iniciar sesión.

Opcional - Forzar SSO

En un Activo proveedor puedes activar Forzar SSO. Cuando está activado, Capgo marca como solo SSO los usuarios de autenticación existentes de ese dominio de email y el flujo de login requiere autenticación con el IdP para ese dominio. Al configurar el proveedor como Desactivado (Desactivar) o desactivar la aplicación eliminará esa bandera de SSO para el dominio.

Precaución

Coordina con el administrador de tu IdP y avisa a los usuarios afectados antes de activar la aplicación. Los usuarios que no puedan completar la autenticación del IdP no podrán iniciar sesión con su contraseña en ese dominio.

Referencia de estado del proveedor

Estado	Significado
Pendiente de verificación	El registro DNS TXT aún no se ha verificado
Verificado	Propiedad del dominio confirmada; listo para activar
Activo	SSO activo para este dominio
Desactivado	Set by Desactivar en el dashboard; SSO no se usa para ese dominio; usa Reactivar para volver a Activo

Checklist de rollout

• Plan Enterprise confirmado
• App SAML creada en el IdP con la ACS URL y Entity ID de Capgo
• IdP configurado para enviar un email claim estable
• Registro DNS TXT publicado y Verificar DNS exitoso
• Proveedor activado
• Usuarios piloto iniciaron sesión con éxito
• Roles elevados desde el valor por defecto lectura as needed
• Decisión de enforcement tomada (y comunicada si está habilitada)

Documentación relacionada

• Organización: roles y permisos
• Seguridad de la organización: 2FA, contraseñas, claves API

Continuar desde SSO (Enterprise)

Si estás usando SSO (Enterprise) para planificar los flujos de autenticación y de cuenta, conéctalo con @capgo/capacitor-social-login para los detalles de implementación en @capgo/capacitor-social-login, @capgo/capacitor-passkey para el detalle de implementación en @capgo/capacitor-passkey, @capgo/capacitor-native-biometric para el detalle de implementación en @capgo/capacitor-native-biometric, Autenticación de dos factores para el detalle de implementación en la autenticación de dos factores, y 5 pasos para implementar OAuth2 en apps Capacitor para el contexto práctico en 5 pasos para implementar OAuth2 en apps Capacitor.