> ## Documentation Index
> Fetch the complete documentation index at: https://docs.tryprofound.com/llms.txt
> Use this file to discover all available pages before exploring further.

# Preguntas frecuentes sobre SSO

> Preguntas frecuentes sobre la configuración del inicio de sesión único (SSO), los dominios, las organizaciones y el aprovisionamiento de usuarios

<AccordionGroup>
  <Accordion title="Tenemos varias organizaciones de Profound. ¿Cómo configuramos SSO?">
    SSO se configura por organización. Cada organización necesita su propia conexión de SSO, lo que significa su propio dominio verificado y su propia aplicación de Profound en tu IdP. Los usuarios que pertenecen a varias organizaciones suelen ver un mosaico de Profound por organización en su IdP e inician sesión en cada organización a través de su propia conexión.

    Puedes usar el mismo dominio para las conexiones de SSO de varias organizaciones. Antes de configurar SSO para una segunda organización en un dominio que ya está verificado para otra, ponte en contacto con el [servicio de atención al cliente](mailto:support@tryprofound.com): Profound necesita ajustar antes algunos parámetros por su parte. También puedes usar protocolos diferentes para cada conexión, incluso con el mismo proveedor de identidad.

    <img src="https://mintcdn.com/profound-37face47/0oMqQAjfTDxpRjFF/images/enterprise-connections/sso-multiple-organizations.webp?fit=max&auto=format&n=0oMqQAjfTDxpRjFF&q=85&s=45dd57597fb68fd02c8413a34c0e479c" alt="Diagrama que muestra que cada organización de Profound tiene su propia conexión de SSO: el proveedor de identidad A se conecta a la organización 1 mediante OIDC y a la organización 2 mediante SAML, mientras que los proveedores de identidad B y C se conectan cada uno a otra organización" width="2000" height="1481" data-path="images/enterprise-connections/sso-multiple-organizations.webp" />

    Para configurar la conexión de SSO de cada organización, sigue los pasos de [Configurar SSO](/es/platform-config/authentication/configure-sso) o, si usas un servidor de autorización personalizado, consulta [Configurar SSO con una conexión OIDC personalizada](/es/platform-config/authentication/sso-custom-oidc).

    Para agregar personas a la organización correcta a través de la conexión de SSO correcta, invítalas desde la [página People](/es/platform-config/people/add-and-manage-org-members) en la configuración de esa organización.
  </Accordion>

  <Accordion title="¿Dónde obtengo los datos del proveedor de servicios, como el Entity ID, la ACS URL, los metadatos o la URI de redirección?">
    El portal de configuración de SSO los genera para tu organización. Profound no publica valores de conexión fijos y no necesitas solicitarlos al servicio de atención al cliente.

    Para obtenerlos, abre **Settings** > **Organization** > **Enterprise Setup** y selecciona **Configure SSO**. Después de verificar tu dominio y seleccionar tu proveedor de identidad (IdP), el portal muestra los valores que debes copiar en tu IdP:

    * **Security Assertion Markup Language (SAML)**: la ACS URL, el Service Provider Entity ID y la Metadata URL
    * **OpenID Connect (OIDC)**: la Authorized Redirect URI

    Los valores se generan para cada conexión de SSO y no aparecen en ningún otro lugar de Profound. Consulta el [paso 4 de Configurar SSO](/es/platform-config/authentication/configure-sso#step-4).
  </Accordion>

  <Accordion title="¿Por qué se me pide que agregue un registro DNS TXT?">
    La verificación del dominio y la configuración del IdP son pasos independientes. El registro DNS TXT demuestra que tu organización es propietaria del dominio de correo electrónico con el que inician sesión tus usuarios. Conectas tu IdP en el siguiente paso, una vez verificado el dominio.

    Las instrucciones de DNS del portal mencionan el proveedor que aloja los registros DNS de tu dominio, como Cloudflare o AWS Route 53. Ese proveedor no es tu IdP, y verlo ahí no significa que hayas seleccionado mal tu IdP. Consulta [Verificación del dominio para SSO](/es/platform-config/authentication/sso-domain-verification).
  </Accordion>

  <Accordion title="¿Puedo verificar un subdominio o un dominio distinto en lugar del dominio raíz?">
    Verifica el dominio que aparece después de la @ en las direcciones de correo electrónico de tus usuarios, ya sea un dominio raíz o un subdominio. Si tu equipo inicia sesión con `name@example.com`, verifica `example.com`. Si inicia sesión con `name@mail.example.com`, verifica `mail.example.com`. Un dominio diferente, como un dominio de verificación independiente configurado solo para este fin, no puede sustituirlo.

    Verificar un dominio raíz no cubre sus subdominios, y verificar un subdominio no cubre el dominio raíz, así que verifica cada dominio con el que inician sesión tus usuarios. Una vez verificado, tu conexión de SSO lo cubre como cualquier otro dominio verificado. Consulta [Verificar varios dominios](/es/platform-config/authentication/sso-domain-verification#verificar-varios-dominios).
  </Accordion>

  <Accordion title="¿Podemos asociar varios dominios de correo electrónico a una sola conexión de SSO?">
    Sí. Los dominios se verifican para tu organización, y la conexión de SSO de tu organización cubre todos los dominios verificados. Verifica cada dominio con el que inician sesión tus usuarios, y Profound dirigirá a tu IdP a los usuarios de cualquiera de ellos.

    Para agregar un dominio, abre **Settings** > **Organization** > **Enterprise Setup** y selecciona **Add domain** en la tarjeta **Single Sign-On**. El portal se abre en el paso de verificación del dominio. Cada dominio tiene su propio registro TXT, así que agrega cada registro al dominio para el que se emitió. Consulta [Verificar varios dominios](/es/platform-config/authentication/sso-domain-verification#verificar-varios-dominios).
  </Accordion>

  <Accordion title="Una vez activado SSO, ¿pueden los usuarios ajenos a nuestro IdP, como agencias o contratistas, seguir iniciando sesión con correo electrónico y contraseña?">
    Depende de su dominio de correo electrónico.

    * Los usuarios cuyo dominio de correo electrónico es uno de tus dominios verificados van directamente a tu IdP. Al habilitar SSO, se desactiva el inicio de sesión con contraseña para ellos. Para permitir el inicio de sesión con contraseña junto con SSO para estos usuarios, por ejemplo durante una implantación, ponte en contacto con el [servicio de atención al cliente](mailto:support@tryprofound.com).
    * Los usuarios de otros dominios, como las cuentas de agencias o contratistas, siguen iniciando sesión con una dirección de correo electrónico y una contraseña.

    Consulta [Inicio de sesión cuando SSO está habilitado](/es/platform-config/authentication/sign-in-security#inicio-de-sesión-cuando-sso-está-habilitado). Si usas Directory Sync, descubre cómo [seguir agregando usuarios externos](/es/platform-config/people/directory-sync#origen-de-los-miembros) junto con tu directorio.
  </Accordion>

  <Accordion title="¿Qué ocurre si nuestro IdP no está disponible? ¿Cómo accede nuestro administrador?">
    Los usuarios de tus dominios verificados solo inician sesión a través de tu IdP, por lo que no pueden iniciar sesión en Profound hasta que tu IdP vuelva a estar disponible. No hay una contraseña de emergencia independiente para los administradores.

    Si la interrupción se prolonga, ponte en contacto con el [servicio de atención al cliente](mailto:support@tryprofound.com). Profound puede desactivar la aplicación obligatoria de SSO en tu organización para que tus usuarios inicien sesión con correo electrónico y contraseña, y volver a activarla cuando tu IdP se recupere. Los usuarios que siempre han iniciado sesión mediante SSO aún no tienen contraseña y pueden establecer una con **Forgot password?** en la página de inicio de sesión.
  </Accordion>

  <Accordion title="¿Pueden nuestros grupos del IdP asignarse a roles o al acceso a categorías de Profound?">
    Por ahora no. Los roles y el acceso a categorías se gestionan en Profound. Los miembros aprovisionados mediante [Directory Sync](/es/platform-config/people/directory-sync) empiezan con el rol Member, y los Admins [cambian los roles](/es/platform-config/people/roles-and-permissions) y el acceso a categorías en Profound después.
  </Accordion>

  <Accordion title="¿SSO crea cuentas de usuario automáticamente o tenemos que seguir invitando a todo el mundo?">
    SSO solo gestiona el inicio de sesión. No agrega usuarios a tu organización por sí mismo, por lo que un usuario debe ser miembro o tener una invitación pendiente para poder iniciar sesión a través de tu IdP.

    Para dejar de invitar a los usuarios manualmente, configura [Directory Sync (SCIM)](/es/platform-config/people/directory-sync). Aprovisiona a todas las personas que tu IdP asigna a Profound y retira el acceso cuando tu IdP las desasigna o las desactiva. SSO y Directory Sync son independientes: habilita uno de ellos o ambos. Con ambos habilitados, los nuevos miembros inician sesión directamente a través de tu IdP y no se envía ningún correo electrónico de invitación.
  </Accordion>

  <Accordion title="¿Hay una organización de prueba o sandbox donde nuestro equipo de TI pueda probar la configuración antes de tocar producción?">
    No. Las pruebas se realizan en tu propia organización de Profound y no se necesita una organización de prueba independiente.

    Puedes probar la configuración en producción con seguridad:

    * Tu equipo sigue iniciando sesión como de costumbre hasta que habilitas SSO en el último paso de la configuración.
    * El inicio de sesión de prueba del portal solo afecta a la cuenta con la que realizas la prueba, y puedes ejecutarlo tantas veces como necesites.
    * Puedes salir del portal y volver en cualquier momento, y puedes seleccionar **Reset Connection** para empezar de nuevo.
  </Accordion>

  <Accordion title="SAML u OIDC: ¿cuál deberíamos usar y podemos cambiar después de iniciar la configuración?">
    Profound es compatible con ambos. Usa el protocolo que prefieran tu IdP y tu equipo de TI: las instrucciones del portal cubren ambos y, por lo demás, los pasos de configuración son los mismos.

    Para cambiar de protocolo o de IdP, selecciona **Reset Connection** en el portal de configuración de SSO y sigue las indicaciones; después, vuelve a empezar el paso del IdP con la nueva opción. Hazlo antes de habilitar SSO para que el inicio de sesión de tu equipo no se vea afectado.

    Si tus usuarios se autentican a través de un servidor de autorización que gestionas tú mismo, como un servidor de autorización personalizado de Okta, usa la opción de OIDC personalizado. Consulta [Configurar SSO con una conexión OIDC personalizada](/es/platform-config/authentication/sso-custom-oidc).
  </Accordion>

  <Accordion title="¿Podemos aplicar MFA, políticas de contraseñas o restricciones de dispositivo y de red mediante SSO?">
    Sí, en tu IdP. Con SSO, tu IdP autentica al usuario y Profound acepta el resultado. Profound no configura, aplica ni verifica la autenticación multifactor (MFA), los requisitos de dispositivos administrados, las restricciones de red o ubicación ni las reglas de contraseñas para los usuarios de SSO, así que configúralos en tu IdP.

    La MFA no está disponible para el inicio de sesión con contraseña en Profound. Consulta [Controles que gestiona tu proveedor de identidad](/es/platform-config/authentication/sign-in-security#controles-que-gestiona-tu-proveedor-de-identidad).
  </Accordion>
</AccordionGroup>