Autentificare unică (SSO) pentru platforma de mesagerie cu clienții: ghid OpenID Connect pentru echipele de suport

Autentificarea unică (SSO) pentru o platformă de mesagerie cu clienții înseamnă că agenții dvs. se conectează cu contul companiei din furnizorul de identitate, de exemplu Microsoft Entra ID, Okta, Keycloak, AD FS sau Google Workspace, în loc să folosească o parolă separată. Standardul din spate este OpenID Connect (OIDC). Pe o instalare on-premise MonoChat îl configurați o singură dată pentru toată instalarea, îl limitați la domeniile de e-mail ale companiei și puteți face din el singura metodă de conectare.

Echipele de suport au un motiv aparte să fie atente. Contul unui agent deschide toate conversațiile de pe WhatsApp, Instagram și Messenger pe care le poate vedea: nume, numere de telefon, detalii despre comenzi, uneori întrebări legate de sănătate sau de plăți. Contul ar trebui să urmeze aceleași reguli ca restul conturilor companiei și să înceteze să funcționeze chiar în ziua în care persoana pleacă.

De ce contează conectarea pentru o echipă de suport

Credențialele furate sau folosite abuziv rămân cea mai frecventă cale de intrare într-o companie. Raportul Verizon Data Breach Investigations Report din 2025, care a analizat 12.195 de breșe confirmate, arată că abuzul de credențiale (22%) și exploatarea vulnerabilităților (20%) au fost principalele vectori inițiali de atac.

O platformă de mesagerie cu parole proprii adaugă fiecărui agent încă un set de credențiale: o parolă în plus de reutilizat, un cont în plus de uitat când pleacă cineva, o conectare în plus pe care regulile dvs. de autentificare în mai mulți pași și de acces condiționat nu o acoperă. Cu SSO, platforma nu vede niciodată parola. Furnizorul dvs. de identitate o verifică, aplică politicile de MFA și de acces și comunică platformei cine s-a conectat.

Cum funcționează conectarea prin OpenID Connect

OpenID Connect este un strat de identitate construit peste OAuth 2.0. Fluxul folosit de MonoChat este fluxul cu cod de autorizare (authorization code flow):

1. Agentul apasă butonul SSO din pagina de conectare. MonoChat deschide într-o fereastră pop-up pagina de conectare a furnizorului dvs. de identitate.
2. Agentul se conectează acolo, cu MFA și politicile dvs.
3. Furnizorul de identitate trimite browserul înapoi la MonoChat, cu un cod de unică folosință.
4. Serverul MonoChat schimbă codul pe un token ID, de la server la server. Tokenurile nu trec niciodată prin browser.
5. MonoChat verifică tokenul ID și conectează agentul.

Tokenul ID este, în cuvintele specificației OpenID Connect, „a security token that contains Claims about the Authentication of an End-User”. MonoChat îl acceptă numai când:

• este semnat cu una dintre cheile furnizorului dvs. de identitate, citite la fiecare conectare din documentul de descoperire (<issuer>/.well-known/openid-configuration);
• emitentul (iss) este emitentul dvs., audiența (aud) este ID-ul de client al MonoChat, iar expirarea (exp) nu a trecut;
• conține nonce-ul trimis de MonoChat împreună cu cererea, care leagă tokenul de această conectare și blochează reutilizarea;
• conține adresa de e-mail a persoanei, iar furnizorul nu spune că adresa este neverificată.

Cererea folosește și PKCE (S256) și o valoare state, iar o cerere de conectare este valabilă 10 minute și poate fi folosită o singură dată.

Stabiliți aceste cinci lucruri înainte să activați SSO

Decizie	Opțiuni	Ce recomandăm pentru o echipă de suport
Cine se poate conecta	Orice domeniu sau numai domeniile de e-mail ale companiei	Limitați la domeniile dvs.
Ce se întâmplă la prima conectare	Se creează contul sau sunt acceptate doar persoanele invitate	Creați conturi dacă furnizorul dvs. de identitate controlează deja cine lucrează în companie
Conturi existente	Se leagă SSO la prima conectare, când e-mailul este verificat, sau după o conectare cu parolă	Depinde dacă furnizorul dvs. trimite email_verified
Alte metode de conectare	Păstrați parolele și conturile sociale sau doar SSO	Doar SSO, după ce toți au legat SSO
Cine poate deschide spații de lucru noi	Oricine are un cont sau numai persoanele cu rolul potrivit	Dezactivați crearea liberă de spații de lucru într-o instalare de companie

Notați aceste decizii înainte să schimbați vreo setare. Sunt întrebările pe care le va pune echipa dvs. de securitate, iar răspunsurile stabilesc ce setări vă trebuie.

Configurați SSO pe o instalare on-premise MonoChat

SSO se configurează pentru toată instalarea, în setările de server, nu per spațiu de lucru. Documentația completă este pagina despre autentificarea unică din centrul de ajutor; aici găsiți varianta scurtă.

1. Înregistrați MonoChat la furnizorul dvs. de identitate

Creați o aplicație web cu client secret și setați-i:

• URI-ul de redirecționare https://<domeniul dvs. MonoChat>/api/oauth/oidc/redirect;
• tipul de acordare (grant) cu cod de autorizare;
• domeniile de acces (scopes) openid email profile;
• autentificarea clientului cu secretul trimis ca HTTP Basic (client_secret_basic).

Asigurați-vă că tokenul ID include claim-ul email și notați ID-ul de client, secretul clientului și emitentul.

2. Copiați emitentul exact

Emitentul este valoarea issuer din documentul de descoperire al furnizorului dvs. Forme obișnuite:

Furnizor de identitate	Emitent
Microsoft Entra ID	https://login.microsoftonline.com/<tenant id>/v2.0
Okta	https://<domeniul dvs. Okta>/oauth2/default sau https://<domeniul dvs. Okta>
Keycloak	https://<gazda dvs. Keycloak>/realms/<realm>
AD FS 2016 sau mai nou	https://<gazda dvs. AD FS>/adfs
Google Workspace	https://accounts.google.com

Deschideți <issuer>/.well-known/openid-configuration într-un browser și copiați valoarea caracter cu caracter, inclusiv slash-ul final, dacă există. MonoChat refuză orice conectare când cele două valori diferă, iar aceasta este cea mai frecventă cauză pentru care eșuează primul test.

3. Adăugați setările și reporniți

Partea publică (emitentul, ID-ul de client, calea de redirecționare, scopes și textul butonului) se pune sub public.oauth.oidc; secretul clientului se pune sub oauth.oidc și rămâne pe server. Două opțiuni de acolo poartă deciziile dvs. din tabelul de mai sus:

• autoCreateAccounts: true creează contul MonoChat la prima conectare SSO a unei persoane, chiar și când înregistrarea se face doar pe bază de invitație;
• allowedEmailDomains: ["yourcompany.com"] refuză orice adresă de pe alt domeniu. Pentru Google Workspace, MonoChat verifică domeniul Workspace al contului (claim-ul hd) în locul adresei de e-mail, deoarece un cont Google personal poate folosi o adresă de pe orice domeniu.

Butonul afișează „Conectați-vă cu SSO” în limba fiecărei persoane sau eticheta pe care o setați dvs., de exemplu „Conectați-vă cu Northwind SSO”.

4. Faceți din SSO singura metodă, în siguranță

Când toți au legat SSO, setați metodele de conectare permise (public.auth.methods) la ["oidc"]. Pagina de conectare afișează atunci doar butonul SSO, iar serverul refuză conectarea cu parolă și cu conturi sociale. Super-utilizatorii root se pot conecta în continuare cu parola la /auth/signin?fallback=1, astfel că un furnizor de identitate indisponibil nu blochează niciodată instalarea. Ca să împiedicați conturile SSO noi să deschidă propriile spații de lucru, setați public.disableTenantCreation la true.

5. Testați patru conectări

1. O persoană cu cont: fereastra pop-up se închide și persoana este conectată.
2. O persoană fără cont: contul este creat sau conectarea este refuzată, dacă nu ați activat crearea conturilor.
3. O persoană de pe alt domeniu: refuzată, dacă ați limitat domeniile.
4. O conectare cu parolă când este activ doar SSO: refuzată, în timp ce conectarea de rezervă a utilizatorului root funcționează.

Agenții existenți: cum se leagă conturile

Majoritatea echipelor activează SSO când agenții au deja conturi MonoChat. MonoChat leagă SSO de un cont existent cu aceeași adresă de e-mail în unul dintre două moduri:

• Automat, la prima conectare SSO, când instalarea permite îmbinarea conturilor și tokenul ID confirmă că adresa este verificată (email_verified: true).
• După o conectare cu parolă, în toate celelalte cazuri: MonoChat îi cere persoanei să se conecteze o dată cu parola și leagă SSO atunci. Acceptarea unei invitații într-un spațiu de lucru face și ea legătura.

Microsoft Entra ID și AD FS nu trimit email_verified. Cu ele, păstrați permisă conectarea cu parolă până când toți au legat SSO sau invitați din nou persoanele, înainte să treceți pe doar SSO.

SSO este identitatea, rolurile sunt accesul

Conectarea oferă unei persoane un cont, nu acces la conversațiile dvs. Un cont MonoChat poate aparține mai multor spații de lucru, iar persoanele se conectează înainte să aleagă unul. O persoană vede un spațiu de lucru doar după ce acesta o invită și îi atribuie un rol, iar rolul stabilește la ce canale, conversații și setări ajunge. Despre cum le configurați, vedeți roluri și permisiuni în inboxul echipei.

Această separare este ceea ce va vrea să vadă un auditor:

• Angajare: furnizorul de identitate creează persoana; un administrator al spațiului de lucru o invită și alege rolul.
• Schimbare de post: modificați rolul sau grupul de lucru în MonoChat; conectarea nu se schimbă.
• Plecare: dezactivați persoana la furnizorul de identitate și eliminați-o din spațiul de lucru în MonoChat.

Limite de care să țineți cont

• Aplicația mobilă. Aplicația MonoChat pentru Android și iOS nu oferă încă SSO. Dacă SSO este singura metodă de conectare, agenții nu se pot conecta de pe telefon, așa că păstrați o altă metodă pentru utilizatorii de mobil sau planificați ture doar de pe desktop.
• Deconectarea. Deconectarea din MonoChat nu deconectează persoana din furnizorul de identitate, iar deconectarea de acolo nu o deconectează încă din MonoChat. Dezactivarea unui coleg care pleacă la furnizorul de identitate oprește conectările noi; eliminați-l și din spațiul de lucru.
• Rețeaua. Browserele persoanelor trebuie să ajungă la /api/oauth/oidc/authorize și la calea de redirecționare, iar serverul MonoChat trebuie să ajungă prin HTTPS la documentul de descoperire, la endpointul de tokenuri și la setul de chei ale furnizorului dvs. Dacă restricționați instalarea și pe IP, țineți cont de aceste căi.

Unde se potrivește SSO în MonoChat

SSO se configurează în setările de server ale unei instalări întregi, deci astăzi aparține variantei on-premise a MonoChat: opțiunea Enterprise pentru echipele care rulează platforma pe propriile servere, cu propriul LLM și propria bază de date vectorială. Pagina Enterprise explică opțiunea on-premise, iar pagina de securitate acoperă accesul bazat pe roluri, izolarea spațiilor de lucru și certificările. Pentru partea de date a unui proiect cu AI, consultați lista de verificare pentru confidențialitatea chatbotului AI.

Dacă vreți să încercați mai întâi produsul, planul Basic gratuit de pe app.monochat.ai vă oferă un agent și un canal.

Surse

• OpenID Connect Core 1.0, OpenID Foundation, consultat la 4 nov. 2026
• Verizon 2025 Data Breach Investigations Report announcement, consultat la 4 nov. 2026
• Centrul de ajutor MonoChat: Single Sign-On for an On-Premise Installation, consultat la 4 nov. 2026
• MonoChat changelog 3.8.43, 2 nov. 2026