Single sign-on voor uw berichtenplatform: een OpenID Connect-gids voor supportteams

Single sign-on (SSO) voor een berichtenplatform in de klantenservice betekent dat uw medewerkers inloggen met hun bedrijfsaccount bij uw identiteitsprovider, zoals Microsoft Entra ID, Okta, Keycloak, AD FS of Google Workspace, in plaats van met een apart wachtwoord. De standaard daarachter heet OpenID Connect (OIDC). Op een on-premise MonoChat-installatie stelt u het één keer in voor de hele installatie, beperkt u het tot de e-maildomeinen van uw bedrijf en kunt u het de enige manier van inloggen maken.

Supportteams hebben daar een bijzondere reden voor. Het account van een medewerker opent elk WhatsApp-, Instagram- en Messenger-gesprek dat hij mag zien: namen, telefoonnummers, bestelgegevens, soms vragen over gezondheid of betalingen. Dat account moet dezelfde regels volgen als de andere accounts in het bedrijf en moet ophouden te werken op de dag dat iemand vertrekt.

Waarom inloggen ertoe doet voor een supportteam

Gestolen of misbruikte inloggegevens zijn nog steeds de meest voorkomende route naar binnen bij bedrijven. Het Data Breach Investigations Report 2025 van Verizon, waarin 12.195 bevestigde datalekken zijn geanalyseerd, constateerde dat misbruik van inloggegevens (22%) en het uitbuiten van kwetsbaarheden (20%) de belangrijkste eerste aanvalsvectoren waren.

Een berichtenplatform met eigen wachtwoorden voegt bij elke medewerker een stel inloggegevens toe: nog een wachtwoord dat hergebruikt kan worden, nog een account dat u vergeet als iemand vertrekt, nog een login waar uw meerfactorauthenticatie en regels voor voorwaardelijke toegang niet voor gelden. Met SSO ziet het platform het wachtwoord nooit. Uw identiteitsprovider controleert het, past uw MFA en toegangsbeleid toe en laat het platform weten wie er is ingelogd.

Zo werkt inloggen met OpenID Connect

OpenID Connect is een identiteitslaag bovenop OAuth 2.0. MonoChat gebruikt de authorization code flow:

1. De medewerker klikt op de SSO-knop op de inlogpagina. MonoChat opent de inlogpagina van uw identiteitsprovider in een pop-up.
2. De medewerker logt daar in, met uw MFA en beleid.
3. De identiteitsprovider stuurt de browser terug naar MonoChat met een eenmalige code.
4. De MonoChat-server wisselt de code in voor een ID-token, van server naar server. De tokens lopen nooit via de browser.
5. MonoChat controleert het ID-token en logt de medewerker in.

Het ID-token is, in de woorden van de OpenID Connect-specificatie, “a security token that contains Claims about the Authentication of an End-User”. MonoChat accepteert het alleen wanneer:

• het is ondertekend met een van de sleutels van uw identiteitsprovider, die bij elke aanmelding uit het discovery-document (<issuer>/.well-known/openid-configuration) worden gelezen;
• de issuer (iss) uw issuer is, de audience (aud) de client-ID van MonoChat is en de verloopdatum (exp) niet is verstreken;
• het de nonce bevat die MonoChat met het verzoek heeft meegestuurd, die het token aan deze aanmelding bindt en herhaling blokkeert;
• het het e-mailadres van de persoon bevat en de provider niet aangeeft dat dat adres niet is geverifieerd.

Het verzoek gebruikt ook PKCE (S256) en een state-waarde, en een inlogverzoek is 10 minuten geldig en kan één keer worden gebruikt.

Beslis deze vijf dingen voordat u SSO aanzet

Beslissing	Opties	Ons advies voor een supportteam
Wie mag inloggen	Elk domein, of alleen de e-maildomeinen van uw bedrijf	Beperk het tot uw eigen domeinen
Wat gebeurt er bij de eerste aanmelding	Het account aanmaken, of alleen uitgenodigde personen toelaten	Maak accounts aan als uw identiteitsprovider al bepaalt wie er werkt
Bestaande accounts	SSO koppelen bij de eerste aanmelding als het e-mailadres is geverifieerd, of na één keer inloggen met een wachtwoord	Hangt ervan af of uw provider email_verified meestuurt
Andere inlogmethoden	Wachtwoord en sociaal inloggen houden, of alleen SSO	Alleen SSO, zodra iedereen SSO heeft gekoppeld
Wie nieuwe workspaces mag openen	Iedereen met een account, of alleen mensen met de juiste rol	Zet het vrij aanmaken van workspaces uit in een bedrijfsinstallatie

Schrijf deze keuzes op voordat u een instelling wijzigt. Het zijn de vragen van uw securityteam en de antwoorden bepalen welke instellingen u nodig hebt.

SSO instellen op een on-premise MonoChat-installatie

SSO wordt voor de hele installatie ingesteld in de serverinstellingen, niet per workspace. De volledige uitleg staat op de Single Sign-On-pagina in het helpcentrum; hier de korte versie.

1. Registreer MonoChat bij uw identiteitsprovider

Maak een webapplicatie met een client secret aan en geef die:

• de redirect-URI https://<uw MonoChat-domein>/api/oauth/oidc/redirect;
• de authorization code grant;
• de scopes openid email profile;
• clientauthenticatie met het secret als HTTP Basic (client_secret_basic).

Zorg dat het ID-token de claim email bevat en noteer de client-ID, het client secret en de issuer.

2. Kopieer de issuer exact

De issuer is de waarde issuer in het discovery-document van uw provider. Gangbare vormen:

Identiteitsprovider	Issuer
Microsoft Entra ID	https://login.microsoftonline.com/<tenant id>/v2.0
Okta	https://<your Okta domain>/oauth2/default of https://<your Okta domain>
Keycloak	https://<your Keycloak host>/realms/<realm>
AD FS 2016 of nieuwer	https://<your AD FS host>/adfs
Google Workspace	https://accounts.google.com

Open <issuer>/.well-known/openid-configuration in een browser en kopieer de waarde teken voor teken, inclusief een slash aan het eind als die er staat. MonoChat weigert elke aanmelding wanneer de twee verschillen, en dat is de meest voorkomende reden dat een eerste test mislukt.

3. Voeg de instellingen toe en herstart

Het openbare deel (issuer, client-ID, redirect-pad, scopes en de knoptekst) komt onder public.oauth.oidc; het client secret komt onder oauth.oidc en blijft op de server. Twee opties daar bevatten uw keuzes uit de tabel hierboven:

• autoCreateAccounts: true maakt het MonoChat-account aan bij de eerste SSO-aanmelding van een persoon, ook als registratie alleen op uitnodiging kan;
• allowedEmailDomains: ["yourcompany.com"] weigert elk adres op een ander domein. Bij Google Workspace controleert MonoChat het Workspace-domein van het account (de claim hd) in plaats van het e-mailadres, omdat een persoonlijk Google-account een adres op elk domein kan hebben.

De knop luidt “Inloggen met SSO” in de taal van elke gebruiker, of de tekst die u zelf instelt, zoals “Inloggen met Northwind SSO”.

4. Maak SSO veilig de enige methode

Wanneer iedereen SSO heeft gekoppeld, zet u de toegestane inlogmethoden (public.auth.methods) op ["oidc"]. De inlogpagina toont dan alleen de SSO-knop en de server weigert inloggen met een wachtwoord of een sociaal account. Root-superusers kunnen nog steeds met hun wachtwoord inloggen op /auth/signin?fallback=1, zodat een uitgevallen identiteitsprovider de installatie nooit op slot zet. Om te voorkomen dat nieuwe SSO-accounts eigen workspaces openen, zet u public.disableTenantCreation op true.

5. Test vier aanmeldingen

1. Een persoon met een account: de pop-up sluit en hij is binnen.
2. Een persoon zonder account: het account wordt aangemaakt, of geweigerd als u het aanmaken van accounts niet hebt aangezet.
3. Een persoon met een ander domein: geweigerd, als u domeinen hebt beperkt.
4. Inloggen met een wachtwoord terwijl alleen SSO aanstaat: geweigerd, terwijl de root-noodroute nog werkt.

Bestaande medewerkers: zo worden accounts gekoppeld

De meeste teams zetten SSO aan met medewerkers die al een MonoChat-account hebben. MonoChat koppelt SSO op twee manieren aan een bestaand account met hetzelfde e-mailadres:

• Automatisch, bij de eerste SSO-aanmelding, wanneer de installatie samenvoegen toestaat en het ID-token zegt dat het adres is geverifieerd (email_verified: true).
• Na één keer inloggen met een wachtwoord, in alle andere gevallen: MonoChat vraagt de persoon één keer met zijn wachtwoord in te loggen en koppelt SSO dan. Ook het accepteren van een uitnodiging voor een workspace koppelt het.

Microsoft Entra ID en AD FS sturen email_verified niet mee. Laat bij die twee wachtwoordinlog toe totdat iedereen SSO heeft gekoppeld, of nodig de mensen opnieuw uit, voordat u overstapt op alleen SSO.

SSO is de identiteit, rollen zijn de toegang

Inloggen geeft iemand een account, geen toegang tot uw gesprekken. Een MonoChat-account kan bij meerdere workspaces horen en mensen loggen in voordat ze er een kiezen. Iemand ziet een workspace pas nadat die hem uitnodigt en een rol geeft, en de rol bepaalt welke kanalen, gesprekken en instellingen hij bereikt. Zie rollen en rechten in de teaminbox voor hoe u die inricht.

Die scheiding is wat een auditor wil zien:

• Instroom: de identiteitsprovider maakt de persoon aan; een workspacebeheerder nodigt hem uit en kiest de rol.
• Doorstroom: wijzig de rol of de werkgroep in MonoChat; het inloggen verandert niet.
• Uitstroom: zet de persoon uit bij de identiteitsprovider en verwijder hem in MonoChat uit de workspace.

Beperkingen om rekening mee te houden

• De mobiele app. De MonoChat-app voor Android en iOS biedt nog geen SSO. Is SSO de enige inlogmethode, dan kunnen medewerkers niet op hun telefoon inloggen. Laat dus een andere methode toe voor mobiele gebruikers of plan diensten alleen op de desktop.
• Uitloggen. Uitloggen bij MonoChat logt de persoon niet uit bij de identiteitsprovider, en uitloggen daar logt hem nog niet uit bij MonoChat. Een vertrokken medewerker uitzetten bij de identiteitsprovider stopt nieuwe aanmeldingen; verwijder hem ook uit de workspace.
• Netwerk. De browsers van uw mensen moeten /api/oauth/oidc/authorize en het redirect-pad kunnen bereiken, en de MonoChat-server moet het discovery-document, het tokenendpoint en de sleutelset van uw provider via HTTPS kunnen bereiken. Beperkt u de installatie ook op IP-adres, houd die paden dan in gedachten.

Waar SSO past binnen MonoChat

SSO wordt ingesteld in de serverinstellingen van een hele installatie en hoort daarom nu bij on-premise MonoChat: de Enterprise-optie voor teams die het platform op hun eigen servers draaien, met hun eigen LLM en vectordatabase. De Enterprise-pagina legt de on-premise optie uit en de beveiligingspagina behandelt toegang op basis van rollen, isolatie van workspaces en certificeringen. Voor de gegevenskant van een AI-uitrol, zie de privacychecklist voor AI-chatbots.

Wilt u het product eerst zelf proberen, dan geeft het gratis Basic-abonnement op app.monochat.ai u één medewerker en één kanaal.

Bronnen

• OpenID Connect Core 1.0, OpenID Foundation, geraadpleegd op 4 nov 2026
• Verizon 2025 Data Breach Investigations Report announcement, geraadpleegd op 4 nov 2026
• MonoChat-helpcentrum: Single Sign-On for an On-Premise Installation, geraadpleegd op 4 nov 2026
• MonoChat-changelog 3.8.43, 2 nov 2026