Single Sign-On untuk Platform Pesan Pelanggan: Panduan OpenID Connect untuk Tim Customer Service

Single sign-on (SSO) di platform pesan pelanggan berarti agen Anda masuk dengan akun perusahaan di penyedia identitas, seperti Microsoft Entra ID, Okta, Keycloak, AD FS, atau Google Workspace, bukan dengan kata sandi terpisah. Standar di baliknya adalah OpenID Connect (OIDC). Di instalasi MonoChat on-premise, Anda menyiapkannya sekali untuk seluruh instalasi, membatasinya pada domain email perusahaan Anda, dan bisa menjadikannya satu-satunya cara masuk.

Tim customer service punya alasan khusus untuk peduli. Akun seorang agen membuka setiap percakapan WhatsApp, Instagram, dan Messenger yang bisa ia lihat: nama, nomor telepon, detail pesanan, kadang pertanyaan soal kesehatan atau pembayaran. Data pribadi pelanggan seperti itu dilindungi UU PDP (UU No. 27/2022). Akun agen harus tunduk pada aturan yang sama dengan akun perusahaan lainnya, dan harus berhenti berfungsi di hari orangnya keluar.

Mengapa cara login penting bagi tim support

Kredensial yang dicuri atau disalahgunakan masih menjadi pintu masuk paling umum ke sebuah perusahaan. Laporan Verizon 2025 Data Breach Investigations Report, yang menganalisis 12.195 pelanggaran data terkonfirmasi, menemukan bahwa penyalahgunaan kredensial (22%) dan eksploitasi kerentanan (20%) menjadi vektor serangan awal yang paling utama.

Platform pesan dengan kata sandi sendiri menambah satu set kredensial untuk setiap agen: satu kata sandi lagi yang bisa dipakai ulang, satu akun lagi yang terlupa saat karyawan keluar, satu login lagi yang tidak tercakup aturan multi-factor dan conditional access Anda. Dengan SSO, platform tidak pernah melihat kata sandinya. Penyedia identitas Anda yang memeriksanya, menerapkan MFA dan kebijakan akses Anda, lalu memberi tahu platform siapa yang masuk.

Cara kerja login OpenID Connect

OpenID Connect adalah lapisan identitas di atas OAuth 2.0. Alur yang dipakai MonoChat adalah authorization code flow:

1. Agen mengklik tombol SSO di halaman masuk. MonoChat membuka halaman masuk penyedia identitas Anda di jendela pop-up.
2. Agen masuk di sana, lengkap dengan MFA dan kebijakan Anda.
3. Penyedia identitas mengembalikan browser ke MonoChat dengan kode sekali pakai.
4. Server MonoChat menukar kode itu dengan ID token, dari server ke server. Token tidak pernah melewati browser.
5. MonoChat memeriksa ID token dan memasukkan agen.

ID token, dalam kata-kata spesifikasi OpenID Connect, adalah “a security token that contains Claims about the Authentication of an End-User”. MonoChat hanya menerimanya jika:

• ditandatangani dengan salah satu kunci penyedia identitas Anda, yang dibaca dari discovery document-nya (<issuer>/.well-known/openid-configuration) pada setiap login;
• issuer-nya (iss) adalah issuer Anda, audience-nya (aud) adalah client ID MonoChat, dan masa berlakunya (exp) belum lewat;
• membawa nonce yang dikirim MonoChat bersama permintaan, yang mengikat token pada login ini dan mencegah replay;
• berisi alamat email orang tersebut, dan penyedia tidak menyatakan alamat itu belum terverifikasi.

Permintaan juga memakai PKCE (S256) dan nilai state, dan sebuah permintaan masuk berlaku selama 10 menit serta hanya bisa dipakai sekali.

Putuskan lima hal ini sebelum mengaktifkan SSO

Keputusan	Pilihan	Saran kami untuk tim support
Siapa yang boleh masuk	Semua domain, atau hanya domain email perusahaan Anda	Batasi pada domain Anda
Apa yang terjadi saat login pertama	Membuat akun, atau hanya menerima orang yang sudah diundang	Buat akun otomatis jika penyedia identitas Anda sudah mengendalikan siapa yang bekerja di perusahaan
Akun yang sudah ada	Hubungkan SSO saat login pertama jika email terverifikasi, atau setelah satu kali login dengan kata sandi	Tergantung apakah penyedia Anda mengirim email_verified
Metode masuk lainnya	Pertahankan kata sandi dan login sosial, atau khusus SSO	Khusus SSO, setelah semua orang menghubungkan SSO
Siapa yang boleh membuka workspace baru	Siapa pun yang punya akun, atau hanya orang dengan peran yang sesuai	Matikan pembuatan workspace terbuka di instalasi perusahaan

Tuliskan kelima keputusan ini sebelum mengubah pengaturan apa pun. Inilah pertanyaan yang akan diajukan tim keamanan Anda, dan jawabannya menentukan pengaturan mana yang Anda perlukan.

Menyiapkan SSO di instalasi MonoChat on-premise

SSO diatur untuk seluruh instalasi di pengaturan server, bukan per workspace. Rujukan lengkapnya ada di halaman single sign-on di help center; berikut versi ringkasnya.

1. Daftarkan MonoChat di penyedia identitas Anda

Buat aplikasi web dengan client secret, lalu atur:

• redirect URI https://<your MonoChat domain>/api/oauth/oidc/redirect;
• authorization code grant;
• scope openid email profile;
• autentikasi klien dengan secret yang dikirim sebagai HTTP Basic (client_secret_basic).

Pastikan ID token menyertakan claim email, dan catat client ID, client secret, dan issuer.

2. Salin issuer persis seperti aslinya

Issuer adalah nilai issuer di discovery document penyedia Anda. Bentuk yang umum:

Penyedia identitas	Issuer
Microsoft Entra ID	https://login.microsoftonline.com/<tenant id>/v2.0
Okta	https://<your Okta domain>/oauth2/default atau https://<your Okta domain>
Keycloak	https://<your Keycloak host>/realms/<realm>
AD FS 2016 atau lebih baru	https://<your AD FS host>/adfs
Google Workspace	https://accounts.google.com

Buka <issuer>/.well-known/openid-configuration di browser dan salin nilainya karakter demi karakter, termasuk garis miring di akhir jika ada. MonoChat menolak setiap login jika keduanya berbeda, dan ini penyebab paling umum uji coba pertama gagal.

3. Tambahkan pengaturan dan restart

Bagian publik (issuer, client ID, redirect path, scope, dan teks tombol) ditaruh di public.oauth.oidc; client secret ditaruh di oauth.oidc dan tetap berada di server. Dua opsi di sana membawa keputusan Anda dari tabel di atas:

• autoCreateAccounts: true membuat akun MonoChat saat login SSO pertama seseorang, meskipun pendaftaran hanya lewat undangan;
• allowedEmailDomains: ["yourcompany.com"] menolak setiap alamat di domain lain. Untuk Google Workspace, MonoChat memeriksa domain Workspace dari akun tersebut (claim hd), bukan alamat email, karena akun Google pribadi bisa memakai alamat di domain apa pun.

Tombolnya bertuliskan “Masuk dengan SSO” dalam bahasa masing-masing pengguna, atau label yang Anda tentukan, misalnya “Masuk dengan Northwind SSO”.

4. Jadikan SSO satu-satunya metode, dengan aman

Setelah semua orang menghubungkan SSO, atur metode masuk yang diizinkan (public.auth.methods) ke ["oidc"]. Halaman masuk lalu hanya menampilkan tombol SSO, dan server menolak login dengan kata sandi dan akun sosial. Super user root tetap bisa masuk dengan kata sandi di /auth/signin?fallback=1, sehingga penyedia identitas yang sedang gangguan tidak mengunci instalasi. Agar akun SSO baru tidak membuka workspace sendiri, atur public.disableTenantCreation ke true.

5. Uji empat skenario login

1. Orang yang sudah punya akun: pop-up tertutup dan ia langsung masuk.
2. Orang yang belum punya akun: akun dibuat, atau ditolak jika Anda belum mengaktifkan pembuatan akun.
3. Orang dari domain lain: ditolak, jika Anda membatasi domain.
4. Login dengan kata sandi saat mode khusus SSO aktif: ditolak, sementara jalur cadangan root tetap berfungsi.

Agen yang sudah ada: cara akun dihubungkan

Sebagian besar tim mengaktifkan SSO ketika agennya sudah punya akun MonoChat. MonoChat menghubungkan SSO ke akun yang sudah ada dengan alamat email yang sama dengan salah satu dari dua cara:

• Otomatis, saat login SSO pertama, jika instalasi mengizinkan penggabungan dan ID token menyatakan alamat tersebut terverifikasi (email_verified: true).
• Setelah satu kali login dengan kata sandi, dalam semua kasus lainnya: MonoChat meminta orang tersebut masuk dengan kata sandinya sekali, lalu menghubungkan SSO saat itu. Menerima undangan ke sebuah workspace juga menghubungkannya.

Microsoft Entra ID dan AD FS tidak mengirim email_verified. Dengan keduanya, tetap izinkan login dengan kata sandi sampai semua orang menghubungkan SSO, atau undang orangnya sekali lagi, sebelum Anda beralih ke khusus SSO.

SSO adalah identitas; peran adalah akses

Berhasil masuk memberi seseorang sebuah akun, bukan akses ke percakapan Anda. Satu akun MonoChat bisa tergabung di beberapa workspace, dan orang masuk lebih dulu sebelum memilih workspace. Seseorang baru melihat sebuah workspace setelah workspace itu mengundangnya dan memberinya peran, dan peran itu menentukan kanal, percakapan, dan pengaturan yang bisa ia buka. Lihat peran dan izin inbox tim untuk cara mengaturnya.

Pemisahan itulah yang ingin dilihat auditor:

• Karyawan baru: penyedia identitas membuat akun orangnya; admin workspace mengundang dan memilih perannya.
• Pindah tugas: ubah peran atau workgroup di MonoChat; login tidak berubah.
• Karyawan keluar: nonaktifkan orangnya di penyedia identitas, dan keluarkan dari workspace di MonoChat.

Batasan yang perlu diperhitungkan

• Aplikasi mobile. Aplikasi MonoChat untuk Android dan iOS belum menawarkan SSO. Jika SSO menjadi satu-satunya metode masuk, agen tidak bisa masuk di ponsel mereka, jadi pertahankan metode lain untuk pengguna mobile atau rencanakan shift yang hanya memakai desktop.
• Keluar (sign-out). Keluar dari MonoChat tidak mengeluarkan orang itu dari penyedia identitas, dan keluar di sana belum mengeluarkannya dari MonoChat. Menonaktifkan karyawan yang keluar di penyedia identitas menghentikan login baru; keluarkan juga dari workspace.
• Jaringan. Browser pengguna harus bisa menjangkau /api/oauth/oidc/authorize dan redirect path, dan server MonoChat harus bisa menjangkau discovery document, token endpoint, dan key set penyedia Anda lewat HTTPS. Jika Anda juga membatasi instalasi berdasarkan IP, perhatikan jalur-jalur tersebut.

Posisi SSO di MonoChat

SSO diatur di pengaturan server untuk seluruh instalasi, jadi saat ini SSO merupakan bagian dari MonoChat on-premise: opsi Enterprise bagi tim yang menjalankan platform di server sendiri, dengan LLM dan vector database sendiri. Halaman Enterprise menjelaskan opsi on-premise, dan halaman keamanan membahas akses berbasis peran, isolasi workspace, dan sertifikasi. Untuk sisi data dalam penerapan AI, lihat checklist privasi data chatbot AI.

Untuk mencoba produknya lebih dulu, paket Basic gratis di app.monochat.ai memberi Anda satu agen dan satu kanal.

Sumber

• OpenID Connect Core 1.0, OpenID Foundation, diakses 4 Nov 2026
• Pengumuman Verizon 2025 Data Breach Investigations Report, diakses 4 Nov 2026
• Help center MonoChat: Single Sign-On for an On-Premise Installation, diakses 4 Nov 2026
• Changelog MonoChat 3.8.43, 2 Nov 2026