Single Sign-On (SSO)

Gerenciar dezenas de senhas de funcionários é um risco de segurança. O Cord oferece Single Sign-On por meio de SAML 2.0 para organizações no plano Scale ou Developer. Qualquer provedor de identidade que fale SAML serve — Google Workspace, Microsoft Entra ID / Azure AD, Okta e outros —, configurado como aplicação SAML no seu IdP, não como conexão OIDC direta.

Configurar o SSO

1. No seu provedor de identidade, crie uma aplicação SAML para o Cord e copie o XML de metadados dela.
2. No Cord, vá em Configurações › Equipe e permissões › SSO › Conectar provedor e cole esse XML: o Cord extrai o Entity ID, a URL de login e o certificado.
3. Copie para o seu provedor de identidade os três valores que o Cord mostra: ACS URL, Entity ID e Metadata URL.
4. Reivindique o seu domínio corporativo (por exemplo, @suaempresa.com). O Cord fornece um token para você colocar em um registro TXT do seu DNS e verifica a propriedade consultando esse registro por DNS real — não basta colar o token na tela.

Assim que o domínio fica verificado e você ativa Exigir SSO, a senha, o Google e as chaves de acesso deixam de funcionar para os membros da sua organização: o Cord os envia ao seu provedor de identidade. O proprietário da conta sempre mantém a opção de entrar com senha, como saída de emergência se o provedor de identidade falhar.

O requisito é da sua organização, não do login: alguém que também pertence a outra organização com o próprio SSO não pode entrar por ele e depois mudar para a sua. Ao abrir a sua organização, o Cord pede que a pessoa entre com o seu provedor de identidade.

Se você habilitar o acesso pelo portal de aplicativos do seu provedor (Okta, MyApps da Microsoft), o Cord mostra com qual e-mail a pessoa vai entrar e pede que ela confirme com Continuar, porque esse acesso não começou no navegador dela.

O que é automatizado e o que não é

O Cord suporta provisionamento JIT (Just-In-Time): na primeira vez que alguém do seu domínio entra via SSO, o Cord cria automaticamente a conta e a associação dessa pessoa, sem que você precise convidá-la manualmente. O Cord não suporta SCIM: desligar alguém no seu diretório (Google Workspace, Azure AD) não revoga automaticamente o acesso dessa pessoa ao Cord — para isso, revogue-o também em Configurações › Equipe e permissões › Equipe e funções no Cord.