Con el inicio de sesión único, tu equipo entra en el portal con el inicio de sesión de tu propia empresa (Microsoft Entra ID, Google Workspace, Okta o cualquier proveedor OpenID Connect) en lugar del código de acceso que recibe por correo. Forma parte del plan Enterprise y funciona solo con OpenID Connect: SAML y SCIM no están disponibles.
Quién lo configura
Lo hace un administrador de la cuenta en «Ajustes de la cuenta» › «Inicio de sesión único», una página que solo ven los administradores, con un segundo factor demostrado en los últimos 15 minutos. Una cuenta en su periodo de solo lectura no puede cambiar nada, y cada cambio, también los del equipo de MercaMap, aparece en la página «Actividad».
En tu proveedor
Registra MercaMap como aplicación web con la dirección de redirección que muestra la página, que termina en /api/auth/sso/callback, y con los ámbitos openid y email. MercaMap se autentica con un secreto de cliente: los certificados aún no están disponibles.
Microsoft Entra ID
- En «Registros de aplicaciones», registra una aplicación web con esa dirección de redirección y crea un secreto de cliente. Entra limita cuánto dura un secreto: anota su caducidad en tu calendario y sustitúyelo antes, o una conexión exigida dejará fuera a tu equipo.
- «Emisor»:
https://login.microsoftonline.com/<tenant-id>/v2.0, donde<tenant-id>es el «ID de directorio (inquilino)» de la página «Información general» de la aplicación. Se rechaza el nombre de tu dominio ocommon. - Cada persona que entra necesita una dirección de correo en Entra: el atributo «mail» del usuario, o la notificación opcional «email».
- Entra no informa de su propia comprobación de varios factores, así que nunca cuenta como segundo factor de MercaMap: los administradores activan un autenticador en MercaMap para los cambios que lo piden.
Google Workspace
- En la consola de Google Cloud, pon el tipo de usuario de la pantalla de consentimiento OAuth en «Interno», para que solo entren las cuentas de tu organización, y crea un cliente OAuth de tipo «Aplicación web» con esa dirección de redirección.
- «Emisor»:
https://accounts.google.com. MercaMap comprueba además que cada cuenta de Google es de uno de tus dominios en uso. - La comprobación de varios factores de Google cuenta como segundo factor de MercaMap solo cuando Google la indica; si no, los administradores activan un autenticador en MercaMap. Google no vuelve a pedir la contraseña para un inicio de sesión reciente.
Okta
- Crea una integración de aplicación (OIDC, aplicación web, código de autorización) con esa dirección de redirección y asígnale las personas o grupos que usarán MercaMap: Okta rechaza a las demás.
- «Emisor»: tu dominio de Okta,
https://<org>.okta.com, o el emisor de un servidor de autorización propio, comohttps://<org>.okta.com/oauth2/default. - Okta informa de su comprobación de varios factores, que cuenta como segundo factor de MercaMap.
Qué comprueba MercaMap
MercaMap lee el documento de descubrimiento del emisor, que debe nombrar el mismo emisor y endpoints https públicos, ofrecer el flujo con código y firmar los tokens de ID con claves RS, PS, ES o EdDSA. Admite client_secret_basic y client_secret_post. Cada inicio de sesión usa PKCE y un estado que sirve una sola vez, y el token de ID debe llevar como email una dirección de uno de tus dominios en uso, nunca con email_verified: false.
Conectar y demostrar tus dominios
Rellena «Emisor», «ID de cliente», «Secreto de cliente» y «Dominios de correo» (uno por línea, hasta 10) y pulsa «Conectar». Se rechazan los proveedores de correo públicos y los dominios de MercaMap. Una cuenta tiene una sola conexión, y su emisor y su ID de cliente no cambian nunca: para pasar a otro proveedor, desconecta y vuelve a conectar.
Después, cada dominio necesita una prueba. La página muestra un registro TXT, _mercamap-sso.<domain> con el valor mercamap-sso=<token>: añádelo en tu proveedor de DNS y pulsa «Comprobar». Un dominio solo puede demostrarlo una cuenta; si otra cuenta tiene el tuyo, escribe a marcas@mercamap.com. Después, el equipo de MercaMap confirma que el dominio es de tu empresa, lo que suele llevar un día laborable, y el dominio pasa a «En uso». La conexión queda en estado «Activo» en cuanto un dominio está en uso.
Cómo entra tu equipo
En la página de inicio de sesión, cada persona escribe su correo de empresa. Si es de un dominio en uso, la página le ofrece «Continuar con el inicio de sesión de tu empresa» y, mientras la cuenta no lo exija, «Enviarme un código en su lugar». Solo entran los miembros de la cuenta y las personas que la cuenta invitó: no se crea a nadie más, y el propio equipo de MercaMap siempre queda fuera. Cuando el portal pide un inicio de sesión reciente, pide a tu proveedor que vuelva a autenticar a la persona en 15 minutos; si el proveedor no indica que lo ha hecho, MercaMap pide su propio segundo factor.
Una sesión abierta con tu empresa dura 12 horas desde que empieza y termina al cerrar el navegador; una sesión abierta con el código de acceso dura hasta 7 días. Si el token de ID dice que tu proveedor ha comprobado más de un factor (amr con mfa), la sesión cuenta como si hubiera demostrado su segundo factor.
Exigirlo
«Exigirlo» hace que el inicio de sesión de tu empresa sea la única forma de entrar para los miembros cuya dirección es de uno de tus dominios, 12 horas cada vez: quien tu empresa desactive pierde el acceso en 12 horas. Quítalo también en «Personas»: así liberas su puesto, y su dirección puede pasar más adelante a otra persona. MercaMap vincula cada miembro a la identidad que tu proveedor le dio en su primer inicio de sesión y rechaza otra para la misma dirección, así que quien reciba después esa dirección entra con su propia invitación. Los invitados de otros dominios, como una agencia, siguen entrando con el código de acceso, y los quitas como hasta ahora. Puedes exigirlo cuando un inicio de sesión con tu empresa ya haya funcionado; si tu propia dirección es de uno de los dominios, cierra sesión, entra con tu empresa y exígelo desde esa sesión. «Dejar de exigirlo» devuelve el código.
Cambios, suspensiones y límites
- Pulsa «Sustituir el secreto» antes de que caduque o cuando tu proveedor lo renueve; no cambia nada más. La página muestra los últimos inicios de sesión rechazados, con lo que significa cada uno.
- Quitar un dominio termina sus inicios de sesión por la conexión; «Desconectar» borra la conexión y sus dominios, y todos vuelven al código. Ambos preguntan una vez más y dicen qué cambia.
- Si tu proveedor falla, el equipo de MercaMap puede suspender la conexión: deja de exigirse y los miembros usan el código hasta que se reanude.
- Cerrar sesión en el portal no la cierra en el inicio de sesión de tu empresa: en un ordenador compartido, cierra las dos.
- Las claves de API y los webhooks son de la cuenta, no de una persona: cuando alguien se vaya, revoca las claves que creó en «Ajustes de la cuenta» › «API».
- Un miembro que debe entrar con tu empresa no puede dar permiso a un asistente de IA por ahora (Conectar un asistente o agente de IA).