Configuración de SSO

SurveyNinja admite el inicio de sesión único (SSO) mediante OpenID Connect (OIDC). Puedes usarlo de dos formas:

• Inicio de sesión en la cuenta. Los participantes de tu espacio de trabajo inician sesión con su cuenta corporativa en lugar de una contraseña.
• Acceso a encuestas. La encuesta se abre solo después de que el encuestado inicia sesión en tu proveedor de identidad. El ID, el nombre y el correo electrónico del encuestado se agregan a la respuesta automáticamente.

Antes de empezar

Solo el propietario de la cuenta puede configurar SSO. En tu proveedor de identidad (IdP), crea una aplicación web que use OpenID Connect y agrega dos URL de redirección (callback):

La primera se usa para iniciar sesión en la cuenta y la segunda, para las encuestas. SurveyNinja solicita los scopes openid, profile, email y offline_access, así que la aplicación debe poder emitirlos.

En la configuración de la aplicación, copia tres valores: la URL de configuración de OpenID Connect (normalmente termina en /.well-known/openid-configuration), el ID de cliente y el secreto del cliente.

Conectar tu proveedor de identidad

1. Haz clic en el ícono de tu perfil en la esquina superior derecha y elige Perfil.
2. En Inicio de sesión y seguridad, haz clic en Inicio de sesión a través de SSO.
3. En la ventana Configuración de SSO, completa los campos:

   Campo	Qué ingresar
   URL de configuración de OpenID Connect (OIDC) (1)	La URL de configuración (discovery) de tu IdP
   ID de cliente (2)	El ID de cliente de la aplicación
   Secreto del cliente (3)	El secreto del cliente de la aplicación
   Agregar datos a la respuesta automáticamente (4)	Los datos que se guardan con las respuestas de la encuesta: ID, Nombre, Correo electrónico. Elige al menos uno

4. Haz clic en Guardar (5).
5. Activa el interruptor Inicio de sesión a través de SSO (6) en la parte inferior de la ventana.
   

SSO ya está activado. En tu perfil, la fila Inicio de sesión a través de SSO muestra Conectado. SurveyNinja no comprueba la configuración del proveedor al guardarla, así que prueba el inicio de sesión de inmediato.

Iniciar sesión con SSO

El inicio de sesión con SSO solo funciona para los participantes de tu espacio de trabajo. Invita a cada empleado en Participantes con su correo electrónico corporativo. Si un empleado aún no tiene cuenta en SurveyNinja, se crea en su primer inicio de sesión con SSO.

Para iniciar sesión, el empleado:

1. Abre la página de inicio de sesión de SurveyNinja y hace clic en Iniciar sesión con SSO.
2. Escribe su Correo electrónico corporativo y hace clic en Iniciar sesión.
3. Inicia sesión en el proveedor de identidad en la ventana emergente.

La ventana se cierra y el empleado entra en la cuenta.

SurveyNinja comprueba la sesión con tu proveedor de identidad cada 5 minutos. Si bloqueas a un usuario en el IdP, también pierde el acceso a SurveyNinja.

Prohibir el inicio de sesión con contraseña

En la ventana Configuración de SSO, activa Prohibir inicio de sesión por contraseña. A partir de ese momento, todos los participantes del espacio de trabajo solo pueden iniciar sesión con SSO. Si intentan usar una contraseña, ven el mensaje "SSO está habilitado para la cuenta. Inicia sesión a través de SSO".

Importante. Antes de activarlo, prueba el inicio de sesión con SSO en una ventana privada del navegador, también con tu propio correo. Si la configuración del proveedor es incorrecta, nadie en el espacio de trabajo podrá iniciar sesión con contraseña.

Limitar una encuesta a usuarios de SSO

1. Abre la encuesta y ve a Ajustes.
2. En Identificación y acceso, activa Acceder a la encuesta a través de SSO (1).
3. Publica la encuesta para aplicar el cambio.
   

Qué ven los encuestados:

1. La encuesta se abre con la pantalla Iniciar sesión a través de SSO y el botón Iniciar sesión.
2. Al hacer clic, el encuestado inicia sesión en tu proveedor de identidad en una ventana emergente.
3. La ventana se cierra y empieza la encuesta.

Los encuestados no necesitan ser participantes del espacio de trabajo, solo usuarios de tu proveedor de identidad. Cada persona puede responder una vez. Si vuelve a abrir la encuesta, ve Ya has respondido. Para que pueda cambiar una respuesta enviada, activa también Permitir edición de respuestas (2) en la misma sección. Entonces el encuestado verá el botón Editar respuestas.

Los datos que elegiste en Agregar datos a la respuesta automáticamente se guardan con cada respuesta, así que los encuestados no tienen que escribir su nombre ni su correo.

Configurar Okta

1. En Okta Admin Console, ve a Applications → Applications y haz clic en Create App Integration.
2. Selecciona OIDC - OpenID Connect y Web Application, y haz clic en Next.
3. En Grant type, deja Authorization Code y selecciona también Refresh Token.
4. En Sign-in redirect URIs, agrega las dos URL de callback de SurveyNinja.
5. En Assignments, elige quién puede usar la aplicación y haz clic en Save.
6. Copia el Client ID y el Client secret en la configuración de SSO de SurveyNinja.
7. En el campo de la URL de configuración, ingresa la dirección de abajo con tu dominio de Okta:

Configurar Microsoft Entra ID

1. En Azure portal, abre Microsoft Entra ID → App registrations y haz clic en New registration.
2. Escribe un nombre, por ejemplo "SurveyNinja SSO". En Redirect URI, elige Web y pega la primera URL de callback. Haz clic en Register.
3. Abre Authentication y agrega la segunda URL de callback.
4. Copia el Application (client) ID en el campo ID de cliente.
5. En Certificates & secrets, crea un nuevo secreto de cliente y copia su Value en el campo Secreto del cliente.
6. En API permissions, agrega los permisos delegados de Microsoft Graph openid, profile, email y offline_access, y concede el consentimiento de administrador.
7. En el campo de la URL de configuración, ingresa la dirección de abajo. Reemplaza {tenant-id} por tu Directory (tenant) ID:

Límites

• Solo se admiten proveedores de OpenID Connect. SAML no es compatible.
• Puedes conectar un solo proveedor de identidad.
• Acceder a la encuesta a través de SSO no se puede combinar con Identificación por email, Encuesta anónima, Permitir más de un envío ni Acceso por contraseña. Mientras el acceso con SSO está activado, sus interruptores se ponen en rojo y no se pueden activar. Si alguno de ellos ya está activado, el interruptor de SSO queda inactivo.

Si algo no funciona

• "Este correo electrónico no está vinculado a SSO en la cuenta personal." El empleado no es participante de un espacio de trabajo con SSO. Invítalo en Participantes con ese correo.
• "El inicio de sesión único está desactivado para tu organización." El interruptor Inicio de sesión a través de SSO de Configuración de SSO está desactivado o la configuración del proveedor está incompleta. Revisa los campos y activa el interruptor.
• No se abre nada al hacer clic en Iniciar sesión. El navegador bloqueó la ventana emergente. Permite las ventanas emergentes para SurveyNinja.
• El proveedor de identidad devuelve el error invalid_scope. La aplicación no puede emitir todos los scopes. Permite openid, profile, email y offline_access: en Okta, selecciona el grant type Refresh Token; en Microsoft Entra ID, agrega el permiso offline_access.
• El botón Guardar de Configuración de SSO está inactivo. El secreto del cliente no se muestra después de guardarlo. Vuelve a ingresarlo para guardar cualquier cambio.
• El interruptor Acceder a la encuesta a través de SSO está inactivo. SSO no está configurado o Inicio de sesión a través de SSO está desactivado en el perfil. La información emergente del interruptor dice "SSO no está configurado". Si la información emergente menciona otro ajuste, desactívalo primero (consulta Límites).