SSO, passkey și autentificare cu doi factori la rezervări

Gândește-te la Kasia, singurul om de IT dintr-o companie cu 180 de angajați care tocmai a trecut la un birou hibrid. Este luni, ora 8:40. Trei tichete o așteaptă deja: o colegă și-a uitat parola de la instrumentul de rezervare a birourilor, alta nu găsește e-mailul cu codul de autentificare, iar un team leader întreabă dacă colaboratorul extern care a plecat vineri mai poate rezerva un loc de parcare. Kasia a petrecut doi ani mutând fiecare aplicație în spatele furnizorului de identitate al companiei. Instrumentul de rezervare a birourilor este singurul care încă are propriile parole.

Iată cum funcționează autentificarea în Desk & Park, ce ar configura Kasia și singurul loc în care produsul încalcă în mod deliberat regula „totul prin SSO”. Totul este disponibil în toate planurile, inclusiv în planul gratuit Start.

Pasul 1: conectează furnizorul de identitate (SSO prin OpenID Connect)

Desk & Park acceptă single sign-on prin OpenID Connect, standardul vorbit de Microsoft Entra ID, Google Workspace, Okta și majoritatea celorlalți furnizori de identitate. Fluxul este authorization code cu PKCE, varianta recomandată pentru aplicațiile web.

Kasia deschide Setările organizației → Single sign-on (SSO) și completează patru câmpuri:

1. URL-ul emitentului (Issuer URL): pentru Google https://accounts.google.com, pentru Entra https://login.microsoftonline.com/<tenant-id>/v2.0 sau emitentul oricărui alt furnizor OIDC.
2. Client ID și Client secret din înregistrarea aplicației pe care o creează în consola furnizorului. Secretul este stocat criptat și nu mai este afișat niciodată; pentru a-l schimba, introduce unul nou.
3. Domeniul de e-mail permis (opțional). Dacă este setat, doar adresele din acel domeniu se pot autentifica prin SSO, așa că un cont personal care se întâmplă să existe la furnizor nu intră.
4. Cardul afișează Redirect URI, de lipit înapoi în înregistrarea aplicației.

Bifează Activează autentificarea prin SSO și salvează. Pagina de autentificare afișează acum Autentificare prin SSO, iar colega care și-a uitat parola folosește același cont Microsoft sau Google ca pentru e-mail. O organizație conectează un singur furnizor.

Ce nu face SSO de unul singur: nu creează conturi

Prima autentificare prin SSO nu creează un cont. Dacă cineva se autentifică cu succes la furnizor, dar nu are cont în Desk & Park, este trimis înapoi la pagina de autentificare cu un mesaj prin care i se cere să solicite o invitație de la administrator. Conturile sunt create de un administrator: invitate una câte una, importate dintr-o listă sau provizionate automat din Entra ID sau Okta prin SCIM, lucru pe care îl descriem în provizionarea și offboardingul SCIM.

Acest lucru contează pentru al treilea tichet al Kasiei: blocarea cuiva la furnizor este doar jumătate din offboarding. Cealaltă jumătate este dezactivarea contului Desk & Park și încheierea sesiunilor lui, pe care SCIM le face atunci când persoana este dezactivată în director.

Cine verifică al doilea factor la o autentificare SSO

Când cineva se autentifică prin SSO, furnizorul de identitate l-a autentificat deja, așa că Desk & Park nu adaugă un pas propriu cu cod. Al doilea factor este cel pe care îl cere furnizorul tău. Dacă politica ta din Entra sau Okta cere MFA, acesta este MFA-ul prin care trec angajații tăi.

Pasul 2: excepția deliberată, administratorii

Iată partea care surprinde unele echipe IT: conturile de administrator nu se pot autentifica prin SSO. Este intenționat.

O autentificare SSO identifică persoana după adresa de e-mail. Dacă un furnizor de identitate ar fi vreodată configurat greșit sau compromis, cine îl controlează ar putea prezenta adresa de e-mail a unui administrator și ar intra direct în consola de administrare a sistemului de rezervări. Pentru a ține această ușă închisă, administratorii folosesc factorii proprii ai platformei: o parolă, un passkey sau un cod pe e-mail, urmate de codul din aplicația de autentificare după ce au activat autentificarea cu doi factori.

Așadar, regula practică pentru Kasia: fiecare cont de administrator ar trebui să activeze autentificarea cu doi factori în Setări → Securitate, începând cu al ei. Produsul nu o impune, motiv pentru care își are locul pe lista ei de verificare.

Pasul 3: passkey pentru cei care urăsc parolele

Un passkey (cheie de acces WebAuthn) permite cuiva să se autentifice cu amprenta, recunoașterea facială sau PIN-ul dispozitivului, fără vreo parolă de reținut sau de furat prin phishing. Fiecare utilizator își adaugă unul în Setări → Securitate → Passkey („Adaugă un passkey”), opțional cu un nume („MacBook”, „iPhone”). Lista arată când a fost adăugat și când a fost folosit ultima dată fiecare passkey, iar oricare dintre ele poate fi eliminat.

Un detaliu care contează la evaluările de securitate: un passkey folosit cu verificarea utilizatorului (verificarea amprentei, a feței sau a PIN-ului) contează singur ca doi factori și finalizează autentificarea. Un passkey folosit fără verificarea utilizatorului este tratat doar ca posesie, așa că un cont cu autentificarea cu doi factori activată primește în continuare pasul cu cod.

Pasul 4: doi factori cu o aplicație de autentificare

Autentificarea cu doi factori în Desk & Park este TOTP: codul din șase cifre dintr-o aplicație de autentificare. Fiecare utilizator o activează în Setări → Securitate; de atunci, fiecare autentificare prin parolă, cod pe e-mail sau passkey fără verificarea utilizatorului cere codul.

Utilizatorul primește și coduri de recuperare de unică folosință: dacă pierde telefonul, un cod îl lasă să intre și apoi este consumat. Codurile pot fi regenerate, iar activarea sau dezactivarea autentificării cu doi factori este înregistrată în jurnalul de securitate.

Pasul 5: sesiuni pe care le poți vedea și încheia

În Setări → Securitate → Sesiuni active, fiecare utilizator vede unde este autentificat (browser, sistem de operare, adresă IP, ora de început) și poate revoca orice sesiune sau se poate deconecta de peste tot.

În culise, alte două mecanisme lucrează discret:

• Rotirea tokenurilor de reîmprospătare. De fiecare dată când o sesiune este reînnoită, vechiul token este înlocuit. Dacă un token deja folosit este prezentat din nou, semn că a fost copiat, întreaga sesiune este încheiată.
• Blocarea după eșecuri repetate. După încercări eșuate repetate, următoarele încercări sunt blocate pentru o vreme, iar blocarea apare în jurnalul de securitate.

Sfaturi practice pentru implementare

• Începe cu administratorii. Înainte să anunți SSO, asigură-te că fiecare administrator are activată autentificarea cu doi factori și un passkey adăugat. Ei nu vor putea folosi SSO, așa că propria lor autentificare trebuie să fie solidă.
• Setează domeniul de e-mail permis dacă furnizorul tău de identitate conține și conturi de invitați sau conturi personale.
• Decide cum sunt create conturile. Pentru un birou mic, invitațiile sunt suficiente. Pentru orice mai mare, conectează SCIM, astfel încât sosirile și plecările să vină direct din director.
• Păstrează anunțul scurt. „Folosiți Autentificare prin SSO, același cont ca pentru e-mail” este suficient.
• Citește din când în când fluxul de securitate. Autentificările, eșecurile, blocările și modificările autentificării cu doi factori apar în jurnalul de audit al administratorilor; îl descriem în jurnalul de audit și accesul echipei de suport.

Ce nu face

Ca să păstrăm așteptările oneste: single sign-on înseamnă doar OpenID Connect, deci nu există SAML. Nu există o politică la nivelul organizației care să impună autentificarea cu doi factori fiecărui utilizator, niciun timeout de sesiune configurabil, nicio listă de IP-uri permise și niciun mod „doar SSO” care să dezactiveze celelalte metode de autentificare. Autentificarea cu doi factori este alegerea fiecărui utilizator, motiv pentru care lista de mai sus începe cu administratorii. Locul în care sunt păstrate datele propriu-zise este un subiect separat, tratat în de ce datele spațiului de lucru au nevoie de o bază de date izolată.

Planurile și limitele se găsesc pe pagina de prețuri; configurarea unui birou întreg este descrisă în ghidul de onboarding.

Întrebări frecvente