Seguridad y directorio

Inicio de sesión único con SAML, y altas y bajas por SCIM

Si tu empresa ya tiene un directorio —Microsoft Entra ID, Okta, Google Workspace, OneLogin, JumpCloud o ADFS—, la gente entra en Ficheo con su cuenta de siempre. Y cuando alguien se va, se le cierra el acceso desde el mismo sitio donde se le cierra todo lo demás.

Crear cuenta gratis Hablar con nosotros

SAML 2.0 y SCIM 2.0 Plan Pro

1440×900 Captura de Empresa › Seguridad con el bloque «Entrar con la cuenta de la empresa (SSO)»: los datos de Ficheo para copiar (Entity ID y URL de respuesta), el directorio ya guardado y el estado «Activo». Sin nombres de clientes reales ni certificados legibles. img/producto-sso-seguridad.webp

Empresa › Seguridad: los cuatro pasos, de copiar nuestros datos a activarlo.

En qué plan entra

SAML y SCIM entran en Pro

Es lo que pide una empresa que ya tiene un directorio de usuarios, y va al lado de la API y los webhooks, que es lo que esa misma empresa suele contratar.

Pro · desde 2,99 €/empleado activo/mes

Cómo se entra en Ficheo según el plan.
Forma de entrar	Gratis	Esencial	Equipo	Pro
Usuario y contraseña, enlace por correo	Sí	Sí	Sí	Sí
Entrar con Google o con Microsoft	Sí	Sí	Sí	Sí
Verificación en dos pasos	Sí	Sí	Sí	Sí
Directorio de la empresa por SAML	No	No	No	Sí
Altas y bajas automáticas por SCIM	No	No	No	Sí

Si se deja Pro, nadie se queda fuera

Al bajar de plan el inicio de sesión por el directorio deja de usarse, y con él la regla de «solo con la cuenta de la empresa»: se vuelve a entrar con contraseña o con el enlace por correo. No se borra nada de la configuración.

Precios por empleado activo y mes, facturados al año y sin IVA. Están todos en la página de precios.

SAML 2.0

Se monta en cuatro pasos, y se prueba antes de que cuente

En Empresa › Seguridad, quien gestiona copia los datos de Ficheo en su directorio, trae aquí los del directorio (la URL de metadatos, el fichero XML o, a mano, la dirección y el certificado), lo prueba y solo entonces lo activa. Hasta que se activa no cambia nada: se sigue entrando como siempre.

La prueba abre el directorio en otra ventana, comprueba la respuesta entera y dice qué ha llegado —correo, nombre, grupos— y quién es esa persona en Ficheo. No abre ninguna sesión.
Sin una prueba buena no se puede activar. Cambiar el directorio o su certificado obliga a probar otra vez.
Sale el botón «Entrar con tu cuenta de empresa» en la página de tu empresa, en el panel y en la app del trabajador.
Quien escribe su correo en ficheo.app/login con el dominio de la empresa va directo a su directorio.
Si la URL de metadatos se deja guardada, se vuelve a leer sola cada pocas horas: cuando el directorio renueva su certificado, Ficheo lo recoge.

1440×900 Captura de la ventana de «Probar la conexión» con el resultado bueno: el correo de una persona de ejemplo, su nombre, dos grupos y la línea «En Ficheo es…». Sin datos de clientes reales ni identificadores de un directorio de verdad. img/producto-sso-prueba.webp

Probar la conexión dice lo que ha llegado sin abrir sesión.

Lo que se comprueba

Cada respuesta del directorio, entera

Con una librería de SAML mantenida, y probado en cada subida contra respuestas firmadas por un directorio de prueba. Una respuesta solo abre sesión si pasa todo esto:

La firma, con el certificado del directorio de tu empresa. Una respuesta firmada por el de otra empresa no vale.
Que va dirigida a tu conexión (audiencia), a tu dirección de respuesta (destino) y viene de tu directorio (emisor).
Que llega dentro de su hora, con dos minutos de margen de reloj.
Que contesta a una petición que hizo Ficheo hace menos de diez minutos, y que no se ha usado antes. Una respuesta copiada no sirve dos veces.
Que la persona está en la plantilla de tu empresa. Si no lo está, solo entra si has encendido «dar de alta al entrar» y su correo es de vuestro dominio.

800×520 Una persona de una oficina de tamaño medio entrando en el portátil por la mañana, con una taza al lado y el teléfono boca abajo sobre la mesa. Luz natural, sin logotipos de ninguna marca y sin texto legible en la pantalla. img/producto-sso-oficina.webp

Solo con la cuenta de la empresa

Cerrar la contraseña, sin quedarse fuera

Puedes dejar que convivan el directorio y la contraseña de Ficheo, o que solo se entre por el directorio. En ese caso dejan de valer la contraseña, Google, Microsoft y el enlace por correo, y las sesiones que se abrieron de otra forma se cierran.

Hay un administrador de rescate, que eliges tú, que sigue entrando con su contraseña por si un día el directorio falla.
La verificación en dos pasos se sigue pidiendo a quien la tenga. Si vuestro directorio ya pide su propio segundo paso, la empresa puede decir que no se pida dos veces.
Cada entrada por el directorio queda en el registro de accesos de la empresa.

Disponibilidad y seguridad

1440×900 Captura del paso «Actívalo» con la opción «Solo con la cuenta de la empresa» marcada y el desplegable del administrador de rescate abierto con dos nombres de ejemplo. Sin correos reales legibles. img/producto-sso-solo-empresa.webp

Solo con la cuenta de la empresa, con un administrador de rescate.

SCIM 2.0

Altas y bajas desde el directorio

Con un token que se genera en el panel, tu directorio da de alta en Ficheo a quien entra en la empresa, le cambia el nombre, el correo o el departamento, y le da de baja cuando se va. Es la API estándar (RFC 7643 y 7644) que usan Entra ID y Okta.

Dar de baja no borra a nadie. El registro de jornada se conserva cuatro años, como manda la ley, y la baja es la misma que la del panel: sin PIN de kiosco, sin sesiones abiertas y sin aprobaciones colgando de esa persona.
Los grupos del directorio pueden ser departamentos de Ficheo.
El token se enseña una sola vez, se guarda solo su huella y se retira desde el panel. Un token solo ve y toca la plantilla de su empresa.
Probado con la forma en que escriben Entra ID y Okta, que no se parecen entre sí.

1440×900 Captura del bloque «Altas y bajas automáticas (SCIM)»: la URL del servicio con su botón de copiar y un token con sus cuatro últimos caracteres y la fecha del último uso. Sin el token completo y sin nombres de clientes. img/producto-sso-scim.webp

La URL del servicio y los tokens, en Empresa › Seguridad.

Claro desde el principio

Lo que hay y lo que no, antes de que lo montes

En esta parte del mercado se anuncian muchos logos. Esto es lo que hace Ficheo hoy.

Lo que hace hoy

SAML 2.0 iniciado desde Ficheo, con la aserción firmada. Si se entra desde el portal del directorio, Ficheo da la vuelta por el camino normal sin que se note.
Metadatos por URL, por fichero o a mano, y los de Ficheo para descargar.
Correo, nombre, grupos y departamento, con los nombres de atributo de Entra ID, Okta y Google reconocidos solos.
Grupos que dan papel (gestor, encargado, empleado) o departamento.
SCIM 2.0 de personas y de grupos, con filtros, paginación y desactivar sin borrar.
Guías paso a paso para Entra ID, Okta y Google Workspace en el manual del panel.

Lo que no hace

No hay aplicación de Ficheo en las galerías de Entra ID, Okta o Google: se da de alta como aplicación propia, con los datos que enseña el panel.
No hay cierre de sesión único (Single Logout): salir del directorio no cierra la sesión de Ficheo.
No se aceptan aserciones cifradas ni se firman las peticiones que manda Ficheo.
Google Workspace no manda altas por SCIM a aplicaciones propias. Con Google, la plantilla se mete en Personas o se da de alta al entrar.
El kiosco con PIN y los terminales de pared siguen fichando como siempre: no pasan por el directorio.

Preguntas

Preguntas frecuentes

¿Con qué directorios funciona?

Con cualquiera que hable SAML 2.0: Microsoft Entra ID, Okta, Google Workspace, OneLogin, JumpCloud o ADFS. El manual del panel trae los pasos para Entra ID, Okta y Google. Para SCIM, con Entra ID y Okta.

¿Qué pasa si se cae el directorio?

Si dejaste que conviva con la contraseña, se sigue entrando con ella. Si es solo con la cuenta de la empresa, entra el administrador de rescate con su contraseña y puede apagarlo desde Empresa › Seguridad hasta que se arregle.

¿Dar de baja por SCIM borra los fichajes de esa persona?

No. La persona queda de baja y sus fichajes se conservan: el registro de jornada se guarda cuatro años. Si el directorio la vuelve a dar de alta, es la misma persona, con su historial.

¿Hace falta la verificación en dos pasos si ya entramos por el directorio?

Por defecto se sigue pidiendo a quien la tenga. Si vuestro directorio ya pide su propio segundo paso, la empresa puede marcar que entrar por él no lo pida otra vez.

Sigue leyendo

API y webhooks

Para que otro programa lea fichajes y jornadas, o los meta desde un torno o un ERP.

Ver la API

Ficha de seguridad

Dónde están los datos, quién los ve y qué se guarda de cada acceso.

Ver la ficha

Con Microsoft 365 o Google Workspace

Si lo que buscas es entrar con la cuenta de Google o de Microsoft, sin montar nada.

Ver cómo

Empieza hoy

Empieza gratis y conecta tu directorio cuando pases a Pro

El fichaje y el registro legal no se pagan. El directorio se conecta el día que lo necesites, y se prueba antes de que cuente.

Crear cuenta gratis Hablar con nosotros