Configuração de SSO

O SurveyNinja oferece login único (SSO) via OpenID Connect (OIDC). Você pode usá-lo de duas formas:

• Login na conta. Os participantes do seu espaço de trabalho entram com a conta corporativa em vez de uma senha.
• Acesso às pesquisas. A pesquisa só abre depois que o respondente entra pelo seu provedor de identidade. O ID, o nome e o e-mail do respondente são adicionados à resposta automaticamente.

Antes de começar

Só o proprietário da conta pode configurar o SSO. No seu provedor de identidade (IdP), crie uma aplicação web que use OpenID Connect e adicione duas URLs de redirecionamento (callback):

A primeira é usada para o login na conta, e a segunda, para as pesquisas. O SurveyNinja solicita os scopes openid, profile, email e offline_access, então a aplicação precisa ter permissão para emiti-los.

Nas configurações da aplicação, copie três valores: a URL de configuração do OpenID Connect (normalmente termina em /.well-known/openid-configuration), o ID do cliente e o segredo do cliente.

Conectar seu provedor de identidade

1. Clique no ícone do seu perfil no canto superior direito e escolha Perfil.
2. Em Entrada e segurança, clique em Entrar via SSO.
3. Na janela Configurações de SSO, preencha os campos:

   Campo	O que informar
   URL de configuração do OpenID Connect (OIDC) (1)	A URL de configuração (discovery) do seu IdP
   ID do cliente (2)	O ID do cliente da aplicação
   Segredo do cliente (3)	O segredo do cliente da aplicação
   Adicionar dados automaticamente à resposta (4)	Os dados salvos com as respostas da pesquisa: ID, Nome, E-mail. Escolha pelo menos um

4. Clique em Salvar (5).
5. Ative a chave Entrar via SSO (6) na parte de baixo da janela.
   

O SSO está ativado. No seu perfil, a linha Entrar via SSO mostra Conectado. O SurveyNinja não verifica as configurações do provedor ao salvá-las, então teste o login logo em seguida.

Entrar com SSO

O login com SSO só funciona para participantes do seu espaço de trabalho. Convide cada funcionário em Participantes com o e-mail corporativo dele. Se o funcionário ainda não tiver conta no SurveyNinja, ela é criada no primeiro login com SSO.

Para entrar, o funcionário:

1. Abre a página de login do SurveyNinja e clica em Entrar com SSO.
2. Digita o Email corporativo e clica em Entrar.
3. Entra no provedor de identidade pela janela pop-up.

A janela fecha, e o funcionário entra na conta.

O SurveyNinja verifica a sessão com o seu provedor de identidade a cada 5 minutos. Se você bloquear um usuário no IdP, ele também perde o acesso ao SurveyNinja.

Proibir o login com senha

Na janela Configurações de SSO, ative Proibir login por senha. A partir daí, todos os participantes do espaço de trabalho só conseguem entrar via SSO. Se tentarem usar a senha, verão a mensagem "SSO está habilitado para a conta. Faça login via SSO".

Importante. Antes de ativar, teste o login com SSO em uma janela anônima do navegador, inclusive com o seu próprio e-mail. Se as configurações do provedor estiverem erradas, ninguém no espaço de trabalho conseguirá entrar com senha.

Restringir uma pesquisa a usuários do SSO

1. Abra a pesquisa e vá para Configurações.
2. Em Identificação e acesso, ative Acessar a pesquisa via SSO (1).
3. Publique a pesquisa para aplicar a mudança.
   

O que os respondentes veem:

1. A pesquisa abre com a tela Entrar via SSO e o botão Entrar.
2. Ao clicar, o respondente entra no seu provedor de identidade em uma janela pop-up.
3. A janela fecha, e a pesquisa começa.

Os respondentes não precisam ser participantes do espaço de trabalho, apenas usuários do seu provedor de identidade. Cada pessoa pode responder uma vez. Se abrir a pesquisa de novo, verá Você já respondeu. Para permitir que alterem uma resposta enviada, ative também Permitir edição de respostas (2) na mesma seção. O respondente passa a ver o botão Editar respostas.

Os dados escolhidos em Adicionar dados automaticamente à resposta são salvos com cada resposta, então os respondentes não precisam digitar o nome nem o e-mail.

Configurar o Okta

1. No Okta Admin Console, vá para Applications → Applications e clique em Create App Integration.
2. Selecione OIDC - OpenID Connect e Web Application e clique em Next.
3. Em Grant type, mantenha Authorization Code e selecione também Refresh Token.
4. Em Sign-in redirect URIs, adicione as duas URLs de callback do SurveyNinja.
5. Em Assignments, escolha quem pode usar a aplicação e clique em Save.
6. Copie o Client ID e o Client secret para as configurações de SSO do SurveyNinja.
7. No campo da URL de configuração, digite o endereço abaixo com o seu domínio do Okta:

Configurar o Microsoft Entra ID

1. No Azure portal, abra Microsoft Entra ID → App registrations e clique em New registration.
2. Digite um nome, por exemplo "SurveyNinja SSO". Em Redirect URI, escolha Web e cole a primeira URL de callback. Clique em Register.
3. Abra Authentication e adicione a segunda URL de callback.
4. Copie o Application (client) ID para o campo ID do cliente.
5. Em Certificates & secrets, crie um novo segredo do cliente e copie o Value dele para o campo Segredo do cliente.
6. Em API permissions, adicione as permissões delegadas do Microsoft Graph openid, profile, email e offline_access e conceda o consentimento do administrador.
7. No campo da URL de configuração, digite o endereço abaixo. Substitua {tenant-id} pelo seu Directory (tenant) ID:

Limites

• Só provedores OpenID Connect são suportados. SAML não é suportado.
• Você pode conectar um único provedor de identidade.
• Acessar a pesquisa via SSO não pode ser combinado com Identificação por email, Pesquisa anônima, Permitir mais de um preenchimento nem Acesso por senha. Enquanto o acesso por SSO estiver ativado, essas chaves ficam vermelhas e não podem ser ligadas. Se alguma delas já estiver ligada, a chave do SSO fica inativa.

Se algo não funcionar

• "Este e-mail não está vinculado ao SSO na conta pessoal." O funcionário não é participante de um espaço de trabalho com SSO. Convide-o em Participantes com esse e-mail.
• "O login único está desativado para sua organização." A chave Entrar via SSO em Configurações de SSO está desligada ou as configurações do provedor estão incompletas. Confira os campos e ative a chave.
• Nada abre ao clicar em Entrar. O navegador bloqueou a janela pop-up. Permita pop-ups para o SurveyNinja.
• O provedor de identidade retorna o erro invalid_scope. A aplicação não tem permissão para emitir todos os scopes. Permita openid, profile, email e offline_access: no Okta, selecione o grant type Refresh Token; no Microsoft Entra ID, adicione a permissão offline_access.
• O botão Salvar em Configurações de SSO está inativo. O segredo do cliente não aparece depois de salvo. Digite-o de novo para salvar qualquer alteração.
• A chave Acessar a pesquisa via SSO está inativa. O SSO não está configurado ou Entrar via SSO está desligado no perfil. A dica da chave diz "SSO não está configurado". Se a dica mencionar outra configuração, desligue essa configuração primeiro (veja Limites).