Configuración - SSO con Okta
El inicio de sesión único (SSO) con Okta permite que tu gente entre a Whalemate —tanto al panel de administración como a la Academia— con las credenciales corporativas de Okta, sin una contraseña adicional.
¿Para qué sirve?
Centraliza el acceso: la persona entra con su cuenta de Okta y no necesita una contraseña de Whalemate.
Aplica al ingreso a Whalemate las políticas de seguridad y el MFA que ya tienes configurados en Okta.
Funciona en las dos puertas: el panel de administración y la Academia de tus colaboradores.
Cumple con la política interna de usar un único proveedor de identidad.
El SSO no crea usuarios. Vincula la cuenta de Okta con un usuario que ya existe en Whalemate, comparando el correo electrónico. Si la persona no está cargada en Whalemate, el inicio de sesión falla.
Antes de empezar
Una aplicación OIDC creada en Okta, y permisos de administrador en ese tenant para poder ver sus credenciales.
Las personas que vayan a ingresar por Okta ya cargadas en Whalemate, con el mismo correo electrónico que tienen en Okta.
Ten en cuenta que el SSO con Okta y la importación de empleados desde Okta son dos configuraciones distintas: esta pantalla habilita solo el inicio de sesión. La importación de la nómina se configura aparte y depende de que la integración esté habilitada en tu cuenta.
¿Cómo se usa?
Navegación: Configuración → Integraciones → SSO con Okta
Ve a Configuración → Integraciones y busca la tarjeta SSO con Okta. Haz clic en Configurar: se abre el diálogo de configuración.
Copia la URL de devolución de llamada del aviso azul —el ícono de la derecha la copia al portapapeles— y pégala en tu aplicación de Okta, en Sign-in redirect URIs.
Ese aviso se muestra solo mientras el SSO no está configurado: una vez guardadas las credenciales, el diálogo lo reemplaza por el estado de la configuración. La URL es siempre la misma:
https://back.whalemate.com/okta/oidc/callback.Completa los tres campos, todos obligatorios:
Client ID
Client Secret
Discovery Endpoint
Haz clic en Configurar. El diálogo se cierra al guardar.
Para confirmar que quedó guardado, vuelve a abrir el diálogo: arriba aparece el aviso verde «El inicio de sesión con Okta ya está configurado para esta cuenta».
Ese aviso indica que hay credenciales guardadas, no que sean válidas. Whalemate no las prueba contra Okta al guardarlas: si hay un error de tipeo, lo vas a descubrir en el primer intento de inicio de sesión.
Prueba el ingreso. En la pantalla de inicio de sesión haz clic en Iniciar sesión con Okta, escribe el correo electrónico con el que estás registrado en Whalemate y haz clic en Iniciar sesión: el navegador te lleva a Okta y vuelve con la sesión ya iniciada. En la Academia el recorrido es el mismo.
Los botones de Okta y de Auth0 aparecen siempre en la pantalla de inicio de sesión, incluso si tu empresa no tiene ninguno de los dos configurado.
❓ Preguntas frecuentes
¿Dónde obtengo el Client ID y el Client Secret?
En el portal de Okta, dentro de la aplicación OIDC que creaste para Whalemate.
¿Qué tengo que poner en Discovery Endpoint?
La URL del documento de configuración OIDC de tu tenant de Okta, del estilo
https://tu-tenant.okta.com/.well-known/openid-configuration. Whalemate toma de ahí el dominio de tu tenant para armar el pedido de autorización.¿Qué pasa si los datos están mal?
El guardado no valida las credenciales, así que el error aparece al intentar iniciar sesión, con un cartel rojo en la pantalla de login. Los dos mensajes más comunes son «Tu compañía no tiene configurado este método de inicio de sesión» (falta alguno de los tres campos) y «Tu cuenta de Okta no está vinculada a ningún usuario de Whalemate» (el correo no coincide con ningún usuario, o Okta rechazó las credenciales). Si el Discovery Endpoint no es una URL válida, el ingreso corta con un error del servidor: revisa ese campo primero.
¿Necesito cargar a la gente en Whalemate igual que antes?
Sí. El SSO no crea cuentas: la persona tiene que existir en Whalemate con el mismo correo electrónico que usa en Okta. La vinculación entre las dos cuentas se hace sola en el primer ingreso exitoso.
¿Puedo cambiar solo el Client ID o solo el Discovery Endpoint?
No. Los tres campos son obligatorios cada vez, así que para actualizar cualquiera de ellos tienes que volver a ingresar el Client Secret. Por seguridad, el secret guardado nunca se muestra en pantalla: el campo siempre aparece vacío, aunque ya tengas uno configurado.
¿Cómo desactivo el SSO con Okta?
Desde esta pantalla no se puede: la tarjeta solo permite configurar o reemplazar las credenciales. Si necesitas desconectarlo, escríbenos a soporte.
¿Sirve también para la Academia?
Sí. La misma configuración habilita el ingreso con Okta en el panel de administración y en el portal de tus colaboradores.
¿Tienes feedback o quieres solicitar mejoras? Háznoslo saber en roadmap.whalemate.com/roadmap