Guía de SSO

Tras vincularse, el SSO controla toda la cuenta, incluidos los contenidos privados. Privado significa no compartido con compañeros, no independiente de la empresa. Utiliza otro correo para una cuenta personal independiente.

El SSO solo cambia la forma de acceder: una suscripción Pro personal, contratada en la web o en el iPhone, no impide la vinculación y continúa con normalidad. En Equipos y acceso, la persona aparece con «Pro personal activo hasta el…» y no necesita licencia. Si la cancela, conserva Pro hasta el final del periodo pagado; después, un administrador puede asignarle una licencia. Si la persona deja la organización, se la retira o el directorio la elimina (SCIM), su suscripción personal contratada en la web termina al final del periodo pagado, sin reembolso, y un correo le indica esa fecha. Si vuelve a la organización antes de esa fecha, la cancelación se anula y su suscripción continúa. /billing/recovery permite consultarla, sin acceso al contenido. Una suscripción contratada en el iPhone se cancela en los ajustes del iPhone.

La conexión pasa de Pomlet al proveedor SAML 2.0/OIDC de la empresa y vuelve automáticamente. Una sesión empresarial existente puede evitar cualquier dato adicional. Si no existe, la empresa puede pedir contraseña o MFA.

Cerrar la sesión de Pomlet no siempre cierra la sesión de la empresa. Al volver a entrar, puede reutilizarse la misma cuenta sin contraseña. Para probar otra cuenta en el mismo ordenador, usa una ventana privada o cierra también la sesión empresarial.

El propietario e Informática acceden a Equipo y acceso → Ajustes de la organización → Inicio de sesión único. El propietario asigna Informática, sin necesidad de licencia Pro. Los administradores ordinarios no gestionan SSO.

Hace falta permiso para crear y asignar aplicaciones en el directorio. Un correo profesional no concede ese permiso. La activación inicial requiere suscripción anual activa.

En Dominios de correo, introduce el dominio y copia nombre y valor TXT en su gestión DNS. Pulsa Verificar. El código dura 7 días; añade el dominio de nuevo para renovarlo. Se necesitan permisos DNS de la empresa, no acceso a AWS Pomlet. Después, mantén el registro: Pomlet lo comprueba cada semana y avisa al propietario y al equipo de informática si desaparece. El dominio nunca se retira automáticamente.

La verificación encuentra SSO por correo y permite crear cuentas sin contraseña Pomlet. No concede acceso: se requiere autorización del directorio e invitación salvo JIT. Verifica cada dominio utilizado.

Solo las direcciones de un dominio verificado por la organización pueden convertirse en cuentas profesionales gestionadas por su SSO. Una persona con una dirección de otro dominio, por ejemplo un proveedor externo, sigue siendo miembro con una cuenta Pomlet normal, no gestionada por la empresa. Un dominio nunca convierte una cuenta existente sin su confirmación.

Elige SAML u OIDC con Informática y un nombre libre para la conexión. Las direcciones de solo lectura las genera Pomlet; identifican el servicio, no la empresa.

En Okta, por ejemplo, el administrador crea una integración y la asigna a usuarios/grupos autorizados. Esto permite autenticarse, pero no crea cuentas, invitaciones ni licencias Pomlet.

Copia ACS en ACS / Single sign-on URL e identificador de entidad en Audience URI / SP Entity ID. Envía una identidad estable (NameID persistente, que no cambia cuando cambia el correo) y el correo coincidente. Recupera la URL de metadatos o XML completo y usa solo una opción en Pomlet.

Los metadatos contienen direcciones y certificado. Los campos avanzados indican los atributos exactos de correo/nombre. Vacíos usan URI Microsoft estándar: Informática debe verificar el mapping. No hace falta secreto OIDC.

La conexión comienza desde Pomlet. En el portal empresarial usa un favorito al enlace SSO; no se admite SAML no solicitado iniciado por el directorio.

Crea una aplicación web confidencial con Authorization Code. Registra exactamente el callback OIDC mostrado en Pomlet. El proveedor debe admitir client_secret_post y devolver una identidad estable y el correo. Si email_verified falta o es falso, el dominio del correo debe estar verificado por DNS en Pomlet. Una cuenta existente debe confirmar siempre su vinculación.

Copia Issuer URL, Client ID y Client Secret del directorio. Issuer no es el sitio ni el dominio de correo. Usa openid email profile. El secreto se cifra y no vuelve a mostrarse.

En Okta estos datos vienen de la integración y del servidor de autorización elegido por Informática. No inventes el dominio.

Guardar crea un borrador, sin activar ni sustituir la conexión actual. La prueba lleva a la página empresarial y vuelve.

Para vincular por primera vez, entra antes en una cuenta Pomlet verificada con correo coincidente. No cambies de cuenta durante la prueba. El resultado correcto aparece verde. Si falla, revisa asignaciones, callbacks, protocolo y atributos.

Esta opción se recomienda y está marcada al activar. Desmárcala solo para una transición de las cuentas aún no vinculadas. Exigir SSO protege los contenidos de organización mientras los miembros existentes completan su vinculación. Una cuenta ya vinculada necesita SSO para todo, incluso al desmarcar esta opción. No se convierten cuentas sin consentimiento.

JIT crea la cuenta e incorpora identidades autorizadas por el proveedor al primer acceso, como creadores sin licencia y sin invitación. Una cuenta existente debe confirmar su vinculación. No se mueve a miembros de otra organización.

Las reglas no se guardan automáticamente. Guarda y activa durante la hora indicada tras la prueba, en la misma sesión. Después utiliza Guardar reglas. La sesión dura entre 1 y 24 horas y al caducar requiere volver al proveedor.

Cada intento de acceso a través del proveedor debe completarse en 10 minutos. Si caduca, inicia de nuevo el acceso; se conservan la configuración y las cuentas.

El propietario o un administrador invita su correo y elige el rol en Equipo y acceso; solo el propietario asigna el rol de Informática. Informática también debe asignar la aplicación Pomlet a la persona o grupo en el directorio. La invitación gestiona pertenencia y rol; el directorio autentica.

La persona abre la invitación, elige SSO y acepta la cuenta profesional. Tras autenticarse, Pomlet crea la cuenta, acepta la invitación y abre el panel, sin contraseña Pomlet. Se conserva el rol invitado y no se asigna una licencia de pago automáticamente.

Activar SSO no convierte cuentas automáticamente. Solo puede vincularse una cuenta cuyo correo pertenezca a un dominio verificado por la organización. La primera vez, accede a la cuenta Pomlet existente, confirma su vinculación y autentícate con la empresa. Se conservan contenidos, permisos y licencias.

Después, contraseña Pomlet, Google y restablecimiento no permiten evitar SSO. Las sesiones antiguas se invalidan. Los contenidos privados no se comparten automáticamente.

En el login, elige Acceder con SSO e introduce tu correo profesional. Pomlet encuentra la organización por el dominio del correo, si la organización lo ha verificado. En un dispositivo usado anteriormente, el mismo botón abre directamente la organización recordada, sin escribir el correo. No hace falta pegar un enlace.

El enlace común sigue siendo útil en intranet o como favorito del portal empresarial. El acceso correcto abre el panel automáticamente, igual que una sesión Pomlet vigente.

En un dispositivo nuevo, si el dominio del correo no está verificado, Pomlet no puede adivinar la empresa: abre la invitación recibida por correo o el enlace común de la organización. Un dominio verificado solo sirve para encontrar el SSO: no concede derechos ni vincula sus correos automáticamente.

La tarjeta reúne cuatro acciones: Ajustes para guardar reglas, preparar un reemplazo o desactivar SSO; Compartir para copiar el enlace común; Miembros para gestionar revocaciones en Pomlet; e Historial para consultar la actividad SSO de la organización. El enlace no sustituye una invitación cuando se elige el acceso por invitación.

Retira acceso en el directorio Y retira o revoca al miembro en Pomlet. En cuentas vinculadas se bloquea toda la cuenta, contenidos privados y MCP incluidos. Salir de la organización no reactiva la contraseña. La cuenta sigue bloqueada y su contenido se conserva. Mientras la persona siga siendo miembro de la organización (acceso SSO revocado, desactivada o eliminada por el directorio), la cuenta nunca se elimina por inactividad. Cuando se la retira de la organización, si nadie vuelve a acceder y la cuenta es gratuita, se elimina según la regla de cuentas inactivas (tras 24 meses, con un aviso entregado en su correo); su contenido personal se conserva entonces 30 días antes de borrarse. El contenido creado en la organización se queda en la organización. Para eliminarla antes, la persona o la organización puede escribir al soporte.

Desactivar SSO, recuperar el acceso mediante soporte o disolver la organización cierra las sesiones anteriores de las cuentas vinculadas y revoca sus autorizaciones de asistentes de IA. Las personas autorizadas deben volver a acceder; las sesiones antiguas no se reactivan.

La revocación manual y la suspensión SCIM son independientes. Puedes levantar la revocación en Pomlet mientras la cuenta sigue suspendida en el directorio. El acceso permanece bloqueado hasta que ambos sistemas lo permitan y requiere un nuevo acceso por SSO.

Sin SCIM, retirar el acceso solo en el directorio no cierra inmediatamente las sesiones abiertas. Con SCIM, la desactivación recibida por Pomlet corta el acceso; el retraso depende del directorio. Para una baja urgente, revoca también en Pomlet.

Desactivar voluntariamente todo el SSO devuelve acceso habitual solo a miembros actuales no revocados. Una cuenta creada por SSO puede entonces establecer contraseña mediante restablecimiento. Antiguos miembros y revocados siguen bloqueados. El soporte ofrece recuperación controlada si falla el proveedor.

MCP profesional exige sesión SSO válida. El contenido compartido exige además permiso MCP y los derechos habituales. Tras caducar o vincular, accede con SSO y reconecta el asistente.

Configura, prueba y activa el reemplazo antes de borrar el anterior. La conexión actual se conserva hasta activar la nueva. Los miembros se reconectan y pueden necesitar vincular su identidad nueva. El propietario y los administradores reciben un correo cada vez que el SSO se activa, se sustituye o se desactiva.

Coordina rotaciones antes de caducar. Una URL de metadatos publica cambios; XML pegado puede exigir actualización manual. La papelera elimina conexiones inactivas con confirmación. Primero desactiva o sustituye la activa.

Si la organización deja la suscripción anual (paso a mensual o fin de la suscripción), el SSO existente no se desactiva: los miembros ya vinculados siguen accediendo, pero ningún miembro nuevo puede entrar por SSO hasta volver a la suscripción anual. Pomlet avisa al propietario. Las nuevas configuraciones también pueden bloquearse sin una suscripción anual activa.

Las licencias siguen las reglas de facturación. SSO no asigna licencias de pago automáticamente.

Tras activar SSO y verificar los dominios, abre los ajustes de la conexión → Sincronización del directorio (SCIM). Actívala y copia la URL y el token Bearer, mostrado una vez, al aprovisionamiento del directorio. No es una clave AWS. Tras reemplazar el token, el anterior se sigue aceptando 7 días como máximo, o hasta que lo retires.

En Okta, abre la aplicación Pomlet → Provisioning → Integration, configura SCIM base URL, userName como identificador único y autenticación HTTP Header / Bearer. Activa Create Users, Update User Attributes y Deactivate Users en To App; deja Sync Password desactivado y no uses Push Groups ni Import Groups. En Microsoft Entra, abre la aplicación empresarial → Aprovisionamiento → Automático; completa URL de inquilino y Token secreto y prueba la conexión. Desactiva el aprovisionamiento de grupos y limita el alcance a los usuarios asignados. La marca aadOptscim062020 no es necesaria.

Sincroniza solo usuarios. La dirección de acceso a Pomlet es el correo profesional que envía el directorio (emails[type eq "work"].value), o userName si no hay ninguno: debe coincidir con el correo del token SSO y pertenecer a un dominio verificado. userName puede ser distinto (por ejemplo, el UPN de Entra). Asigna a externalId un identificador estable (en Entra, objectId en lugar de mailNickname) y a active el estado de acceso. También se admiten displayName, name.givenName y name.familyName. Pomlet ignora los demás atributos (cargo, teléfonos, direcciones, extensión empresarial): puedes quitarlos. Las licencias y roles se gestionan en Pomlet.

SCIM crea las cuentas antes del primer acceso como creadores sin licencia ni correo de invitación, hasta 10 cuentas activas por licencia pagada. El primer acceso exige autorización del directorio y consentimiento profesional. JIT puede seguir activo: para evitar una cuenta duplicada, el correo del token SSO debe coincidir con la dirección de acceso aprovisionada. Las cuentas personales existentes deben vincularse explícitamente antes.

Si ya existe una invitación Pomlet válida, su rol se aplica en el primer acceso con consentimiento. Los accesos posteriores no cambian automáticamente el rol del miembro.

La desactivación o eliminación SCIM corta las sesiones, libera la licencia y conserva el contenido sin cambiar la cantidad facturada. Reactivar exige un nuevo acceso SSO y no reasigna licencias. Las revocaciones manuales prevalecen. Transfiere la propiedad antes de desactivar al propietario. Una dirección eliminada por el directorio solo recupera su cuenta con el mismo externalId; si no, un responsable autorizado puede permitir su reutilización en Sincronización del directorio tras comprobar que es la misma persona. Una revocación manual aparece como inactiva para el directorio.

Desactivar la sincronización conserva cuentas y bloqueos. Desactivar SSO o recuperar por Ops invalida también el token SCIM: genera otro al reactivar. Una caída del directorio no elimina cuentas. Al desactivar SSO deliberadamente, los miembros actuales autorizados recuperan el acceso normal; los suspendidos siguen bloqueados.

Prueba con dos usuarios: creación, primer acceso, suspensión con sesión abierta y reactivación. Consulta los registros del proveedor. La sincronización depende del ritmo del directorio, sin garantía de tiempo real.

Organización no encontrada: el correo escrito solo lleva al SSO si la organización ha verificado su dominio. Si no, abre la invitación recibida por correo o el enlace común de la organización; en un dispositivo usado anteriormente, Acceder con SSO vuelve a la organización recordada. Una persona nueva sin invitación necesita dominio verificado y JIT, o una cuenta aprovisionada por SCIM. El enlace de la organización indica el destino pero no concede permisos adicionales.

Rechazo en la página de la empresa: comprueba que la persona tenga asignada la aplicación Pomlet en el directorio. Las solicitudes de contraseña o MFA siguen la política empresarial. Para errores de redirección, copia las direcciones exactas de Pomlet en el directorio y revisa el protocolo y los atributos.

Prueba correcta pero activación rechazada: usa la misma cuenta Pomlet y sesión del navegador; repite la prueba si ha pasado una hora. Reinicia desde Pomlet un acceso interrumpido o caducado; no reutilices una URL de retorno. No elimines una conexión activa para resolver una prueba fallida.

Si el servicio no está disponible temporalmente o limita los intentos, espera antes de reintentarlo. La configuración se conserva. Si ningún responsable autorizado puede acceder, contacta con soporte por el canal habitual de la empresa. Se verifican la identidad y la solicitud antes de recuperar el acceso.

401: revisa la URL de la organización, el token Bearer y el SSO activo. Actualiza el secreto en el directorio tras sustituir el token o reactivar SSO. Un token perdido no puede recuperarse; genera uno nuevo.

400: comprueba que el directorio envía un correo profesional válido y desactiva grupos, roles y contraseñas. 403: suscripción anual necesaria, límite de 10 cuentas activas por licencia pagada alcanzado, acceso revocado en Pomlet o escritura de grupos rechazada. 409: consulta el registro de aprovisionamiento; la dirección puede pertenecer a una cuenta pendiente de vinculación, el externalId o el userName pueden estar ya asignados, una dirección eliminada puede necesitar que se permita su reutilización o el propietario debe transferir la propiedad.

Esta ayuda pública describe el funcionamiento general. Solo los responsables autorizados acceden a las URL y ajustes de su organización. Copia secretos únicamente en el directorio empresarial. No publiques tokens SCIM, secretos OIDC, contraseñas ni respuestas de autenticación SAML/OIDC. Facilita a soporte la hora, el paso y el código de error sin secretos.