Single sign-on (SSO)

Guia: Single sign-on em Configurações.

Liga o login do TAGGUIRH ao provedor de identidade da empresa (Keycloak, Microsoft Entra ID, Okta ou outro compatível com OpenID Connect). Com Exigir SSO ligado, quem tem e-mail nos domínios cadastrados entra pela página de login da empresa, na plataforma web e no app TagguiRH.

Visão geral

Aspecto	Detalhe
Quem configura	Quem tem Acessar Configurações (ou é administrador do sistema)
Protocolo	OpenID Connect, com authorization code e PKCE
Dados do provedor	Issuer, client ID e client secret ficam cifrados e não aparecem de novo depois de salvos
Salvar x Exigir SSO	Salvar não muda o login de ninguém. Só Exigir SSO muda
Onde vale	Plataforma web e app TagguiRH, com o mesmo cadastro no provedor
URL direta	/configuracoes/?tab=sso

Imagens

Esta página ainda não tem imagens da tela. A aba segue os quatro passos descritos abaixo, na mesma ordem.

Configurar

A aba mostra quatro passos numerados. O número vira uma marca de concluído quando o passo está completo.

1. Cadastre a Taggui no provedor

No provedor da empresa (normalmente a TI cuida disso):

1. Crie um cliente confidencial com fluxo authorization code e PKCE.
2. Registre a URI de redirecionamento mostrada neste passo. Use o botão Copiar para não errar.
3. Garanta que o ID token traga o claim email, igual ao e-mail profissional do colaborador no TAGGUIRH.

O app usa o mesmo cadastro

O app TagguiRH passa pelo mesmo cliente e pela mesma URI de redirecionamento. Não é preciso criar outro cliente nem outra URI para o celular.

Se o provedor marcar o e-mail como não confirmado, o login é recusado com a mensagem O provedor da sua empresa não confirmou o seu e-mail.

2. Conecte o provedor

Campo	Regra
Issuer	Endereço do realm ou tenant (ex.: https://sso.empresa.com/realms/externo). Precisa ser HTTPS público. Se não bater, o teste de conexão mostra o valor exato
Client ID	Identificador do cliente criado no passo 1
Client secret	Segredo do cliente criado no passo 1
Escopos	Padrão openid email profile. Precisa conter openid e email

Depois de salvos, issuer, client ID e client secret mostram só a marca Salvo. Campo em branco mantém o valor salvo. Para trocar, cole o valor novo.

3. Domínios de e-mail

Digite o domínio e tecle Enter (ex.: empresa.com.br).

• Use só o host, sem @, sem * e sem caminho.
• O host é exato: empresa.com não cobre mail.empresa.com. Cadastre cada domínio usado.
• Domínios públicos (Gmail, Outlook…) não são aceitos.
• Um domínio só pode pertencer a uma empresa. Se houver colaboradores de outra empresa com e-mail nesse domínio, fale com o suporte Taggui.

4. Política de acesso: Exigir SSO

Exigir SSO só fica disponível depois do passo 2 completo e de pelo menos um domínio. Ao ligar e salvar, a tela pede confirmação.

Com Exigir SSO ligado, quem tem e-mail nos domínios cadastrados só entra pelo provedor:

Onde	O que muda
Plataforma web	Depois de digitar o e-mail e clicar em Continuar, a pessoa vai para a página de login da empresa. Senha, Google, Microsoft e Esqueci a senha deixam de funcionar para ela
App TagguiRH	Depois de digitar o e-mail e tocar em Continuar, o app abre a página de login da empresa no navegador do celular e volta já conectado. Senha, Google, Microsoft e CPF deixam de funcionar para ela
Versões antigas do app	Mostram a mensagem pedindo para atualizar o aplicativo

Quem já estava conectado continua conectado até sair ou até a sessão expirar.

Desligar Exigir SSO vale na hora: a senha, o Google e o Microsoft voltam a funcionar para o domínio.

Antes de ligar

Marque a exceção no cadastro de quem precisa manter a senha — pelo menos uma conta administrativa. Rode o teste de conexão antes de salvar.

Passo a passo do colaborador no celular: Guia do Colaborador — Login corporativo (SSO).

Teste de conexão

O botão Testar conexão, ao lado do formulário, confere o provedor sem gravar nada e sem precisar de usuário. Usa o que está digitado; campo vazio usa o valor salvo.

Etapas conferidas:

1. Documento de descoberta do provedor
2. Issuer confere
3. Endpoints no host do issuer
4. Chaves de assinatura (JWKS)
5. PKCE, escopos e método de autenticação
6. Client ID e client secret

Quando uma etapa falha, as seguintes aparecem como puladas. Muitos testes seguidos pedem para aguardar um minuto.

O teste não substitui um login real: depois de exigir o SSO, confirme com uma conta de teste na web e no app.

Exceção na ficha do colaborador

Na ficha do colaborador, em modo de edição, na seção Informações de Trabalho, o RH marca Permitir acesso com senha, Google e Microsoft.

Regra	Detalhe
Quando vale	Só quando a empresa exige SSO. Sem Exigir SSO, o campo é ignorado
Efeito	A pessoa volta a entrar com senha, Google e Microsoft, na web e no app. O provedor da empresa continua disponível para ela
Quem vê o campo	Quem tem Acessar Configurações, depois que a empresa cadastrou o provedor
Histórico	A alteração fica registrada no log do cadastro do colaborador

Auditoria

O quadro Auditoria mostra os 50 eventos mais recentes, do mais novo para o mais antigo, com data, hora e quem fez a alteração.

Evento	Quando aparece
Configuração criada	Primeiro salvamento
Issuer alterado, Client ID alterado, Client secret alterado	Troca de algum dado do provedor. O valor nunca aparece
Escopos alterados	Troca dos escopos
Domínios alterados	Troca da lista de domínios, mostrando a lista nova
Exigir SSO ligado / Exigir SSO desligado	Mudança da política
Teste de conexão aprovado / reprovado	Cada teste executado
Login pelo provedor	Login concluído pelo provedor da empresa, com o e-mail
Login pelo provedor falhou	Login recusado, com o e-mail e o motivo

Nos logins feitos pelo app TagguiRH, a linha de detalhe começa com App (ex.: App · [email protected]). Os logins pela web não têm essa marca.

Esses eventos também aparecem na guia Auditoria, sem o limite de 50, com filtro por período e exportação em CSV. As mudanças na configuração ficam no módulo Configurações. Os logins, inclusive os feitos pelo provedor, ficam no módulo Acessos, junto com os demais logins da plataforma (ligue Acessos em Tipo).

Boas práticas

1. Configure e rode o teste de conexão com Exigir SSO desligado. Salvar não muda o login de ninguém.
2. Marque a exceção de pelo menos uma conta administrativa antes de ligar Exigir SSO.
3. Depois de ligar, faça um login real com uma conta de teste na web e no app, e confira a Auditoria.
4. Avise os colaboradores para atualizar o app pela loja: as versões antigas não abrem o login corporativo.

Relação com outras guias

• Guia do Colaborador — App Mobile: login com e-mail primeiro no celular
• Mobile — Visão geral
• Colaboradores (cadastro): ficha do colaborador