Inicio de sesión único (SSO)

#Qué obtienes

• Auth centralizada. Eliminar a un usuario en tu IdP retira su acceso a CustomerHero en su próximo inicio de sesión.
• Enrutamiento por dominio. Quien inicie sesión con un email de un dominio verificado se envía por tu conexión SSO automáticamente.
• Aprovisionamiento SCIM. (Business+) Crea cuentas y roles desde tu IdP para que los nuevos miembros nunca vean una pantalla de "solicitar acceso".
• Auditoría. Cada inicio de sesión, cambio de rol y evento SCIM queda en el log de auditoría con retención hasta 365 días (Business) o ilimitada (Enterprise).

#Requisitos previos

• Plan Business o Enterprise.
• Rol de administrador en la org de CustomerHero. Solo los admins pueden configurar conexiones SSO.
• Acceso de admin a tu proveedor de identidad (Okta, Azure AD / Entra ID, Google Workspace, JumpCloud, OneLogin, o cualquier IdP SAML 2.0 / OIDC genérico).
• Uno o más dominios de email verificados. CustomerHero verifica la propiedad del dominio mediante un registro DNS TXT antes de enrutar inicios de sesión.

#Resumen de la configuración

1. Verifica tu dominio. Desde Ajustes → SSO → Dominios, añade el dominio del email y copia el registro DNS TXT que generamos. Añádelo en tu registrador; la verificación suele tardar menos de un minuto.
2. Crea la conexión. Desde Ajustes → SSO → Nueva conexión, elige SAML u OIDC. La página muestra los metadatos que tu IdP necesita: ACS URL, Entity ID y el mapeo de atributos para email, given_name, family_name.
3. Configura tu IdP. Crea la aplicación correspondiente en tu IdP, copia la URL de metadatos o el certificado de firma y pégalo en la conexión de CustomerHero.
4. Prueba antes de imponer. Usa el botón Probar inicio de sesión en la página de la conexión. CustomerHero abre una ventana privada que pasa por tu IdP y muestra los atributos resueltos.
5. Imponer. Activa Obligatorio para este dominio cuando una prueba haya funcionado de extremo a extremo. Las sesiones existentes con email/contraseña siguen vigentes hasta que expiren — los admins pueden forzar un cierre de sesión global desde la misma página si necesitas un cambio inmediato.

#SCIM 2.0 (Business+)

SCIM permite a tu IdP enviar eventos de ciclo de vida de usuarios a CustomerHero, sin depender del aprovisionamiento perezoso al primer inicio de sesión. En Ajustes → SSO → SCIM, genera un token SCIM y copia la URL del endpoint. Configura tu IdP con ambos y mapea:

• userName → email de CustomerHero (debe coincidir con un dominio verificado)
• name.givenName, name.familyName → nombre visible
• roles → rol en CustomerHero (admin o agent). Por defecto agent si no se establece.

Desactivar un usuario en tu IdP hace un soft-delete de su membresía en CustomerHero: sus sesiones se revocan al instante y su atribución en conversaciones pasadas se preserva.

#Solución de problemas

La página de la conexión muestra los últimos 20 intentos de inicio de sesión con estado, atributos devueltos por el IdP y mensaje de error. Soluciones comunes:

• "Dominio no verificado". Vuelve a comprobar el registro DNS TXT. Algunos registradores tardan hasta 24 h en propagar.
• "No hay email en la aserción". Tu IdP no está enviando el atributo email. Mapea email (SAML) o incluye email en los scopes OIDC.
• "Falló la verificación de firma". El certificado de firma del IdP ha rotado. Vuelve a importar la URL de metadatos.