---
title: "SSO empresarial"
description: "Permite que tu equipo inicie sesión en ThunderPhone mediante el proveedor de identidad de tu empresa, con aprovisionamiento justo a tiempo y una política de seguridad para toda la organización que tú controlas."
---

El SSO empresarial se encuentra en **Configuración → Organización** (pestaña General), en
la tarjeta **SSO empresarial**. Activa el interruptor **Inicio de sesión único** para
mostrar la configuración. Solo los **administradores** y **propietarios** de la organización
pueden ver o cambiar esta configuración.

## Política de seguridad

Tres interruptores para toda la organización, que se guardan juntos con **Guardar política**:

- **Requerir SSO para iniciar sesión** — los miembros deben autenticarse mediante tu
  proveedor de identidad.
- **Permitir el inicio de sesión de emergencia con contraseña para administradores** — una vía
  de contraseña de emergencia para administradores mientras se aplica SSO (solo configurable
  cuando la aplicación está activada).
- **Requerir claves de acceso para el acceso a la organización** — cada miembro debe
  registrar una [clave de acceso](/es/guides/account-and-security) y superar una verificación de
  clave de acceso posterior al inicio de sesión. Los miembros que no tengan una obtienen un
  **período de gracia de 3 días** para configurarla; el panel de políticas muestra cuántos
  miembros aún necesitan una.

<Note>
  **Las [claves de API](/es/guides/api-keys) de la organización están exentas de este requisito.**
  Las claves de acceso son una verificación humana de 2FA vinculada a una sesión de inicio de sesión;
  las claves de API del servidor (`sk_live_...`) son credenciales de máquina sin una sesión a la cual
  vincular una verificación de clave de acceso, por lo que continúan autenticándose incluso cuando esta
  política está activada — por diseño, no por omisión. Cuando el requisito está habilitado y tu
  organización tiene claves de API activas, el panel de políticas muestra cuántas están exentas, con un
  enlace a **Organización → Claves** para que los administradores puedan auditar o revocar las que ya no
  deberían seguir activas.
</Note>

## Conexiones SSO

El SSO de ThunderPhone cuenta con el respaldo de Stytch. **Agregar conexión** crea una
con:

| Campo | Qué hace |
| --- | --- |
| **Nombre de la conexión** | Una etiqueta, por ejemplo, "SSO del espacio de trabajo Acme". |
| **Rol predeterminado para usuarios nuevos** | Miembro, administrador o propietario para cuentas creadas mediante SSO. |
| **Slug / ID de organización de Stytch** | Identifica tu organización de Stytch que respalda la conexión. |
| **Dominios de correo electrónico permitidos** | Dominios separados por comas que pueden iniciar sesión mediante ella. |
| **Asignaciones de grupo a rol** | Matriz JSON que asigna grupos del IdP a roles, por ejemplo, `[{"group":"it-admins","role":"admin"}]`. |
| **Habilitar aprovisionamiento JIT** | Crea automáticamente cuentas de ThunderPhone en el primer inicio de sesión SSO. |
| **Conexión activa** | Desactívala sin eliminarla. |

Eliminar una conexión la elimina permanentemente — quienes iniciaron sesión
mediante ella ya no pueden usarla.

<Note>
  Configurar el lado del proveedor de identidad requiere una organización de Stytch;
  si no tienes esos identificadores, contacta con
  [soporte](mailto:support@thunderphone.com) para aprovisionar tu organización.
</Note>

## Próximos pasos

<CardGroup cols={2}>
  <Card title="Invita a tu equipo" icon="user-plus" href="/es/guides/invite-your-team">
    Roles e invitaciones para miembros que se unen fuera de SSO.
  </Card>
  <Card title="Cuenta y seguridad" icon="shield" href="/es/guides/account-and-security">
    Cómo se ve el requisito de clave de acceso para cada miembro.
  </Card>
</CardGroup>