Müşteri Mesajlaşma Platformunuz İçin Tek Oturum Açma (SSO): Destek Ekipleri İçin OpenID Connect Rehberi

Müşteri mesajlaşma platformunda tek oturum açma (SSO), temsilcilerinizin ayrı bir şifreyle değil, kimlik sağlayıcınızdaki (Microsoft Entra ID, Okta, Keycloak, AD FS veya Google Workspace gibi) şirket hesaplarıyla giriş yapması demektir. Bunun arkasındaki standart OpenID Connect’tir (OIDC). Şirket içi (on-premise) bir MonoChat kurulumunda SSO’yu tüm kurulum için bir kez ayarlar, yalnızca şirketinizin e-posta alan adlarıyla sınırlar ve isterseniz tek giriş yöntemi yaparsınız.

Destek ekiplerinin buna özel bir nedeni var. Bir temsilcinin hesabı, görebildiği tüm WhatsApp, Instagram ve Messenger konuşmalarını açar: adlar, telefon numaraları, sipariş ayrıntıları, bazen sağlık veya ödeme soruları. Bu veriler KVKK (6698 sayılı Kanun) kapsamında kişisel veridir. Bu hesap, şirketin diğer hesaplarıyla aynı kurallara tabi olmalı ve kişi şirketten ayrıldığı gün çalışmayı bırakmalıdır.

Destek ekibi için giriş yöntemi neden önemli?

Çalınan veya kötüye kullanılan kimlik bilgileri, bir şirkete girişin hâlâ en yaygın yoludur. Verizon’un 2025 Veri İhlali Araştırmaları Raporu, 12.195 doğrulanmış ihlali inceledi ve kimlik bilgisi istismarının (%22) ile güvenlik açıklarının kullanılmasının (%20) ilk saldırı vektörlerinin başında geldiğini buldu.

Kendi şifreleriyle çalışan bir mesajlaşma platformu, her temsilciye bir kimlik bilgisi daha ekler: yeniden kullanılacak bir şifre daha, biri ayrıldığında unutulacak bir hesap daha, çok faktörlü doğrulama ve koşullu erişim kurallarınızın kapsamadığı bir giriş daha. SSO ile platform şifreyi hiç görmez. Şifreyi kimlik sağlayıcınız denetler, MFA ve erişim politikalarınızı uygular ve kimin giriş yaptığını platforma bildirir.

OpenID Connect ile giriş nasıl çalışır?

OpenID Connect, OAuth 2.0’ın üzerindeki bir kimlik katmanıdır. MonoChat’in kullandığı akış, yetkilendirme kodu (authorization code) akışıdır:

1. Temsilci giriş sayfasındaki SSO düğmesine tıklar. MonoChat, kimlik sağlayıcınızın giriş sayfasını bir açılır pencerede (pop-up) açar.
2. Temsilci orada, MFA ve politikalarınızla birlikte giriş yapar.
3. Kimlik sağlayıcı tarayıcıyı tek kullanımlık bir kodla MonoChat’e geri yönlendirir.
4. MonoChat sunucusu kodu, sunucudan sunucuya bir kimlik belirteciyle (ID token) değiştirir. Belirteçler tarayıcıdan hiç geçmez.
5. MonoChat kimlik belirtecini denetler ve temsilciyi içeri alır.

OpenID Connect belirtimine göre kimlik belirteci, “bir son kullanıcının kimlik doğrulaması hakkında Claim’ler (talepler) içeren bir güvenlik belirteci”dir (özgün ifade: “a security token that contains Claims about the Authentication of an End-User”). MonoChat belirteci yalnızca şu koşullarda kabul eder:

• kimlik sağlayıcınızın anahtarlarından biriyle imzalanmıştır; anahtarlar her girişte keşif belgesinden (<issuer>/.well-known/openid-configuration) okunur;
• issuer’ı (iss) sizin issuer’ınızdır, audience’ı (aud) MonoChat’in istemci kimliğidir (client ID) ve son kullanma zamanı (exp) geçmemiştir;
• MonoChat’in istekle birlikte gönderdiği nonce değerini taşır; bu değer belirteci bu girişe bağlar ve yeniden oynatma (replay) saldırılarını engeller;
• kişinin e-posta adresini içerir ve sağlayıcı bu adresin doğrulanmadığını söylemez.

İstek ayrıca PKCE (S256) ve bir state değeri kullanır; bir giriş isteği 10 dakika geçerlidir ve yalnızca bir kez kullanılabilir.

SSO’yu açmadan önce şu beş konuya karar verin

Karar	Seçenekler	Destek ekibi için önerimiz
Kimler giriş yapabilir	Her alan adı veya yalnızca şirketinizin e-posta alan adları	Kendi alan adlarınızla sınırlayın
İlk girişte ne olur	Hesabı oluştur veya yalnızca davet edilenleri kabul et	Kimin çalıştığını zaten kimlik sağlayıcınız belirliyorsa hesapları oluşturun
Mevcut hesaplar	E-posta doğrulanmışsa ilk girişte SSO’yu bağla veya bir şifreli girişten sonra bağla	Sağlayıcınızın email_verified gönderip göndermediğine bağlıdır
Diğer giriş yöntemleri	Şifre ve sosyal hesapla girişi koru veya yalnızca SSO	Herkes SSO’yu bağladıktan sonra yalnızca SSO
Yeni çalışma alanını kimler açabilir	Hesabı olan herkes veya yalnızca uygun role sahip kişiler	Şirket kurulumunda serbest çalışma alanı oluşturmayı kapatın

Herhangi bir ayarı değiştirmeden önce bunları yazın. Güvenlik ekibinizin soracağı sorular bunlardır ve cevaplar hangi ayarlara ihtiyacınız olduğunu belirler.

Şirket içi bir MonoChat kurulumunda SSO kurulumu

SSO, çalışma alanı başına değil, tüm kurulum için sunucu ayarlarından yapılır. Tam başvuru kaynağı yardım merkezindeki tek oturum açma sayfasıdır; aşağıda kısa özeti var.

1. MonoChat’i kimlik sağlayıcınıza kaydedin

İstemci gizli anahtarı (client secret) olan bir web uygulaması oluşturun ve şunları tanımlayın:

• yönlendirme URI’si (redirect URI) https://<MonoChat alan adınız>/api/oauth/oidc/redirect;
• yetkilendirme kodu izni (authorization code grant);
• openid email profile kapsamları (scope);
• gizli anahtarın HTTP Basic ile gönderildiği istemci kimlik doğrulaması (client_secret_basic).

Kimlik belirtecinin email claim’ini içerdiğinden emin olun; istemci kimliğini, istemci gizli anahtarını ve issuer’ı not edin.

2. Issuer’ı birebir kopyalayın

Issuer, sağlayıcınızın keşif belgesindeki issuer değeridir. Tipik biçimler:

Kimlik sağlayıcı	Issuer
Microsoft Entra ID	https://login.microsoftonline.com/<tenant id>/v2.0
Okta	https://<your Okta domain>/oauth2/default veya https://<your Okta domain>
Keycloak	https://<your Keycloak host>/realms/<realm>
AD FS 2016 veya üzeri	https://<your AD FS host>/adfs
Google Workspace	https://accounts.google.com

Tarayıcıda <issuer>/.well-known/openid-configuration adresini açın ve değeri, varsa sondaki eğik çizgi dahil, karakter karakter kopyalayın. İkisi farklıysa MonoChat her girişi reddeder; ilk denemenin başarısız olmasının en yaygın nedeni budur.

3. Ayarları ekleyin ve yeniden başlatın

Herkese açık kısım (issuer, istemci kimliği, yönlendirme yolu, kapsamlar ve düğme metni) public.oauth.oidc altına, istemci gizli anahtarı ise oauth.oidc altına girer ve sunucuda kalır. Buradaki iki seçenek, yukarıdaki tablodaki kararlarınızı taşır:

• autoCreateAccounts: true, kayıt yalnızca davetle olsa bile kişinin ilk SSO girişinde MonoChat hesabını oluşturur;
• allowedEmailDomains: ["yourcompany.com"], başka alan adındaki her adresi reddeder. Google Workspace için MonoChat, e-posta adresi yerine hesabın Workspace alan adına (hd claim’i) bakar; çünkü kişisel bir Google hesabı herhangi bir alan adında adres kullanabilir.

Düğme, her kişinin dilinde, Türkçe arayüzde “SSO ile Giriş Yap” yazar; ya da sizin belirlediğiniz etiketi gösterir, örneğin “Northwind SSO ile Giriş Yap”.

4. SSO’yu güvenle tek yöntem yapın

Herkes SSO’yu bağladığında, izin verilen giriş yöntemlerini (public.auth.methods) ["oidc"] olarak ayarlayın. Giriş sayfasında yalnızca SSO düğmesi görünür, sunucu şifre ve sosyal hesapla girişi reddeder. Root süper kullanıcılar /auth/signin?fallback=1 adresinde şifreleriyle yine giriş yapabilir; böylece kimlik sağlayıcı çöktüğünde kurulum kilitlenmez. Yeni SSO hesaplarının kendi çalışma alanlarını açmasını engellemek için public.disableTenantCreation değerini true yapın.

5. Dört girişi test edin

1. Hesabı olan bir kişi: pencere kapanır ve kişi içeridedir.
2. Hesabı olmayan bir kişi: hesap oluşturulur; hesap oluşturmayı açmadıysanız reddedilir.
3. Başka bir alan adından bir kişi: alan adlarını sınırladıysanız reddedilir.
4. Yalnızca SSO açıkken şifreyle giriş: reddedilir, root yedek girişi ise çalışmaya devam eder.

Mevcut temsilciler: hesaplar nasıl bağlanır?

Çoğu ekip SSO’yu, zaten MonoChat hesabı olan temsilcilerle açar. MonoChat, SSO’yu aynı e-posta adresine sahip mevcut bir hesaba iki yoldan biriyle bağlar:

• Otomatik olarak, kurulum birleştirmeye izin veriyorsa ve kimlik belirteci adresin doğrulandığını söylüyorsa (email_verified: true) ilk SSO girişinde.
• Bir şifreli girişten sonra, diğer tüm durumlarda: MonoChat kişiden bir kez şifresiyle giriş yapmasını ister ve SSO’yu o zaman bağlar. Bir çalışma alanı davetini kabul etmek de bağlar.

Microsoft Entra ID ve AD FS email_verified göndermez. Bunlarla, yalnızca SSO’ya geçmeden önce herkes SSO’yu bağlayana kadar şifreyle girişe izin vermeye devam edin ya da kişileri yeniden davet edin.

SSO kimliktir, roller erişimdir

Giriş yapmak kişiye bir hesap verir, konuşmalarınıza erişim vermez. Bir MonoChat hesabı birden fazla çalışma alanına ait olabilir ve kişiler çalışma alanını seçmeden önce giriş yapar. Kişi bir çalışma alanını ancak o çalışma alanı onu davet edip ona bir rol verdikten sonra görür; hangi kanallara, konuşmalara ve ayarlara ulaşacağını rol belirler. Bunları nasıl kuracağınız için ekip gelen kutusu rolleri ve yetkileri yazımıza bakın.

Bir denetçinin görmek isteyeceği ayrım budur:

• İşe giriş: kimlik sağlayıcı kişiyi oluşturur; çalışma alanı yöneticisi onu davet eder ve rolü seçer.
• Görev değişikliği: MonoChat’te rolü veya iş grubunu değiştirin; giriş değişmez.
• İşten ayrılış: kişiyi kimlik sağlayıcıda devre dışı bırakın ve MonoChat’te çalışma alanından kaldırın.

Planlarken hesaba katmanız gereken sınırlar

• Mobil uygulama. MonoChat Android ve iOS uygulaması henüz SSO sunmuyor. Tek giriş yöntemi SSO ise temsilciler telefonlarından giriş yapamaz; bu yüzden mobil kullanıcılar için başka bir yöntemi açık tutun ya da yalnızca masaüstünden çalışılan vardiyalar planlayın.
• Çıkış. MonoChat’ten çıkış yapmak kişiyi kimlik sağlayıcıdan çıkarmaz; kimlik sağlayıcıdan çıkış yapmak da kişiyi henüz MonoChat’ten çıkarmaz. İşten ayrılan birini kimlik sağlayıcıda devre dışı bırakmak yeni girişleri durdurur; kişiyi çalışma alanından da kaldırın.
• Ağ. Kişilerin tarayıcıları /api/oauth/oidc/authorize adresine ve yönlendirme yoluna ulaşabilmeli; MonoChat sunucusu da sağlayıcınızın keşif belgesine, belirteç uç noktasına ve anahtar kümesine HTTPS üzerinden ulaşabilmelidir. Kurulumu ayrıca IP ile kısıtlıyorsanız bu yolları unutmayın.

SSO, MonoChat’in neresinde duruyor?

SSO, bir kurulumun tamamı için sunucu ayarlarından yapılandırılır; bu yüzden bugün şirket içi MonoChat’e aittir. Bu, platformu kendi sunucularında, kendi LLM’i ve vektör veritabanıyla çalıştıran ekipler için Enterprise seçeneğidir. Kurumsal sayfası şirket içi seçeneği anlatır; güvenlik sayfası rol tabanlı erişimi, çalışma alanı yalıtımını ve sertifikaları kapsar. Yapay zekâ projesinin veri tarafı için yapay zekâ chatbot gizlilik kontrol listesine bakın.

Ürünü önce denemek isterseniz, app.monochat.ai adresindeki ücretsiz Basic plan size bir temsilci ve bir kanal verir.

Kaynaklar

• OpenID Connect Core 1.0, OpenID Foundation, 4 Kas 2026’da açıldı
• Verizon 2025 Veri İhlali Araştırmaları Raporu duyurusu, 4 Kas 2026’da açıldı
• MonoChat yardım merkezi: Şirket İçi Kurulum İçin Tek Oturum Açma (SSO), 4 Kas 2026’da açıldı
• MonoChat değişiklik günlüğü 3.8.43, 2 Kas 2026