Saltar al contenido
ESEN

Inicio de sesión único (SSO)

Tu equipo entra a Cord con la cuenta de la empresa: Google Workspace, Microsoft Entra ID, Okta o cualquier proveedor SAML 2.0.

Qué resuelve

Con el inicio de sesión único, tu equipo deja de tener una contraseña aparte para Cord: entra con la cuenta de trabajo que ya administras en tu proveedor de identidad. Cord habla SAML 2.0 con motor propio: valida la firma de cada respuesta, rechaza una respuesta usada dos veces, crea la cuenta de quien entra por primera vez, asigna su función y tiene una salida de emergencia si tu proveedor se cae.

  • La verificación en dos pasos que ya exiges en tu proveedor se hereda: Cord le deja la autenticación completa y nunca ve ese segundo factor.
  • Con Exigir SSO, nadie entra con contraseña, Google, Apple ni llaves de acceso, salvo el dueño de la cuenta. Quien ya no está en tu proveedor no puede volver a entrar.
  • Quien sale de tu proveedor sale de Cord: su sesión vence en el plazo que elijas y, con SCIM (Microsoft Entra ID y Okta), deja el equipo al momento.
  • Antes de encender una configuración la puedes probar: Cord revisa la respuesta de tu proveedor paso por paso y te dice qué no coincide, sin abrir una sesión.

Antes de empezar

  1. Tu cuenta tiene el plan Scale o Developer. El SSO no está en Gratis, Starter ni Profesional.
  2. Tu función en Cord tiene el permiso Equipo (lo tienen Dueño y Administrador; un rol personalizado también puede tenerlo).
  3. Eres administrador de tu proveedor de identidad (Google Workspace, Microsoft Entra ID, Okta u otro con SAML 2.0).
  4. Puedes agregar un registro TXT en el DNS del dominio de correo de tu equipo.
  5. Estás en la cuenta principal: las subcuentas usan el SSO de la principal (más abajo, Subcuentas).

Dónde está

En Ajustes › Equipo y permisos › SSO. Vive junto a Equipo porque decide quién entra a tu organización, y comparte su permiso. Mientras no hay nada configurado, la pantalla te recibe con Empezar:

Pestaña SSO sin configurar: el titular "Configura el inicio de sesión único", los tres puntos de lo que gana tu equipo y los botones Empezar y Ver documentación; en la ilustración, el proveedor de identidad le pasa a Cord a cada persona del equipo y cada una llega con su marca verde.

El recorrido tiene tres partes, en este orden: dónde se asignan las funciones, el dominio y la configuración de tu proveedor en cuatro pasos.

Paso 1. Elige dónde se asignan las funciones

Al pulsar Empezar, Cord pregunta quién decide qué puede hacer cada persona que entra por SSO.

Diálogo "¿Cómo quieres asignar funciones?" sobre la portada de SSO: dos tarjetas, "En Cord" elegida y "En tu proveedor de identidad" sin elegir, cada una con André Valle como Administrador y Regina Lozano como Vendedor; abajo, el enlace a la documentación por si no sabes cuál te conviene y el botón Continuar.
En Cord En tu proveedor de identidad
Quién decide la función Tú, en Ajustes › Equipo Las reglas de cada configuración, con los atributos SAML que manda tu proveedor
Quien entra por primera vez Recibe la función por defecto de la configuración Recibe la función de la primera regla que coincide, o la función por defecto
Una invitación que ya tenía Conserva su función Toma la que dicen las reglas
Si cambia algo en tu proveedor No toca la función Se aplica en el siguiente inicio de sesión
Una función que cambias a mano en Equipo Se queda Se queda: tu proveedor ya no la reescribe
Te conviene si Tu equipo es chico o las funciones no viven en tu directorio Ya organizas a tu equipo en grupos de tu proveedor

Nadie recibe la función de dueño por SSO, elijas lo que elijas. Lo puedes cambiar después desde la fila Funciones de la misma pantalla.

Paso 2. Verifica tu dominio

Solo un correo de un dominio verificado entra por SSO. Verificarlo prueba que el dominio es tuyo.

Panel "Verifica tu dominio" para materialesdelvalle.mx: el registro TXT con el nombre @ y el código de verificación, recién copiado; el aviso de que tu DNS lo administra Cloudflare con el botón para abrirlo; la línea de que Cord revisa el DNS cada 20 segundos, y los botones Atrás, Cancelar y Verificar ahora.
  1. Escribe el dominio de correo de tu equipo, sin @ ni www: el de ana@tuempresa.com es tuempresa.com. Si pegas una dirección completa o una URL, Cord se queda solo con el dominio.
  2. Crea el registro TXT en tu DNS con los datos del panel: tipo TXT, nombre @ (el dominio mismo) y como valor el código cord-domain-verify=…. Si tu dominio es un subdominio, como ventas.tuempresa.com, el nombre es ventas. Si Cord reconoce a tu proveedor de DNS (Cloudflare, GoDaddy, Amazon Route 53 y otros), te pone el enlace a su panel.
  3. Espera la verificación. Mientras el panel está abierto, Cord revisa tu DNS cada 20 segundos; también puedes pulsar Verificar ahora. Casi siempre tarda unos minutos y puede tardar hasta 24 horas. Si cierras el panel, el dominio queda Pendiente en la lista y lo retomas con Ver registro DNS.

Cord consulta el DNS real: pegar el código en la pantalla no basta. Un dominio verificado pertenece a una sola cuenta de Cord, y puedes verificar varios (por ejemplo, el .mx y el .com de tu empresa).

Paso 3. Crea la configuración

Con un dominio verificado, Crear configuración abre un asistente de cuatro pasos. Una configuración conecta un proveedor de identidad con los dominios que lo usan.

3.1 Datos de tu proveedor de identidad

Paso 1 de 4, "Datos de tu proveedor de identidad": Google Workspace elegido entre los cuatro proveedores, con su URL de SSO, su ID de entidad y el certificado ya pegados, y bajo cada campo dónde encontrar el dato en la consola de Google.

Elige tu proveedor y pega tres datos de la app SAML que creas para Cord en él: la URL del proveedor de identidad (a donde Cord manda a la persona para iniciar sesión), el ID del emisor (cómo se identifica tu proveedor) y el certificado (con el que firma sus respuestas). Debajo de cada campo, Cord te dice cómo se llama ese dato en tu proveedor. Si tienes el XML de metadata, pégalo y Cord saca de ahí los tres.

Al continuar, Cord guarda la configuración apagada: nadie entra por ella todavía.

  1. Entra a admin.google.com con una cuenta de administrador.
  2. Ve a Aplicaciones › Aplicaciones web y móviles › Agregar aplicación › Agregar aplicación SAML personalizada.
  3. Ponle nombre (por ejemplo, Cord) y continúa.
  4. En Detalles del proveedor de identidad de Google están los tres datos:
    • URL de SSO → URL del proveedor de identidad.
    • ID de entidad → ID del emisor.
    • Certificado → certificado del proveedor de identidad (cópialo completo, con las líneas BEGIN y END).
  5. No cierres esa pestaña: en el paso siguiente pegas ahí los datos de Cord.

3.2 Agrega Cord en tu proveedor

Paso 2 de 4, "Agrega Cord en tu proveedor": la URL de ACS, el ID de entidad y el ID de nombre que van en la app SAML de Google Workspace, cada uno con el nombre del campo en Google; los enlaces para copiar los dos primeros y descargar la metadata de Cord, y el aviso de activar el acceso de los usuarios.

Ahora el camino inverso: tu proveedor necesita saber a dónde mandar la respuesta y cómo se llama Cord. Copia estos datos a la app SAML que creaste. Son propios de esta configuración: no los reutilices en otra.

Dato de Cord En Google Workspace En Microsoft Entra ID En Okta
URL de ACS URL de ACS (en Detalles del proveedor de servicios) Dirección URL de respuesta (en Configuración básica de SAML) Single sign-on URL
ID de entidad ID de entidad Identificador (id. de entidad) Audience URI (SP Entity ID)
ID de nombre: el correo Formato de ID de nombre: EMAIL e ID de nombre: Basic Information › Primary email En Atributos y notificaciones, Identificador de usuario único: user.mail con formato de correo Name ID format: EmailAddress y Application username: Email
Dar acceso a tu equipo En la app, Acceso de los usuarios: ACTIVADO para todos Usuarios y grupos: asigna a las personas o grupos Pestaña Assignments: asigna a las personas o grupos

En Google Workspace no olvides el acceso. La app SAML nace apagada para todos. Sin Acceso de los usuarios: ACTIVADO, Google rechaza el inicio de sesión con app_not_configured_for_user y la prueba del paso siguiente no recibe respuesta. Google puede tardar unos minutos en aplicar el cambio.

Si vas a asignar las funciones en tu proveedor, haz que mande también el atributo que leerán tus reglas, como el grupo. En Google Workspace es Asignación de atributos › Pertenencia a grupos; en Microsoft Entra ID, Agregar una notificación de grupo; en Okta, una Group Attribute Statement.

3.3 Prueba la configuración

Paso 3 de 4, "Prueba la configuración": la prueba con andre@materialesdelvalle.mx pasó los cuatro primeros puntos y falló en "La respuesta está dirigida a Cord", con la URL de ACS y el ID de entidad que espera Cord; el último quedó sin revisar, y abajo están el aviso de que la prueba no pasó y el enlace para volver a probar.

Escribe el correo de una persona que pueda entrar en tu proveedor, de un dominio verificado, y pulsa Probar. Se abre una ventana de tu proveedor; en cuanto esa persona inicia sesión, la lista se marca sola:

Lo que revisa Si falla, revisa esto
La solicitud de inicio de sesión sigue vigente Que terminaste en menos de 10 minutos y no usaste una ventana de una prueba anterior. Vuelve a probar.
Llega una respuesta SAML válida Que la app usa SAML 2.0 y firma la aserción (si también firma la respuesta completa, Cord la verifica), y que el ID de nombre no es transitorio (usa EMAIL).
La firma coincide con el certificado del proveedor Que copiaste el certificado completo y es el vigente. Si tu proveedor lo rotó, pega el nuevo.
El ID del emisor coincide Que el ID del emisor en Cord es exactamente el Entity ID o Issuer de tu proveedor.
La respuesta está dirigida a Cord Que la URL de ACS y el ID de entidad en tu proveedor son los de esta configuración.
El correo es de un dominio verificado Que entraste con el correo que escribiste y su dominio está verificado. Si la configuración ya tiene dominios, tiene que ser uno de ellos.

La prueba valida la respuesta con el mismo rigor que un inicio de sesión real, pero nunca abre una sesión ni crea cuentas, y funciona con la configuración apagada. Si tu navegador bloquea la ventana, la prueba corre en la misma pestaña y vuelve sola al asistente.

Si la ventana muestra un error de tu proveedor, la lista sigue esperando. A los 30 segundos Cord te muestra los casos más comunes:

Lo que ves Qué significa Qué hacer
app_not_configured_for_user (Google) La app no está activada para esa persona, o el ID de entidad no coincide Pon Acceso de los usuarios en ACTIVADO y revisa que el ID de entidad sea el de Cord
internal_error con invalid.schemaKey (Google) Suele ser otra cuenta de Google abierta en el navegador Prueba en una ventana de incógnito y entra con el correo de la prueba
AADSTS50105 (Microsoft) La persona no está asignada a la aplicación Asígnala en Usuarios y grupos
AADSTS700016 (Microsoft) El identificador no coincide con el de Cord Corrige Identificador (id. de entidad)
Okta dice que no tienes acceso a la app La app no está asignada a esa persona Asígnala en Assignments
Entra una cuenta distinta Tu navegador tiene otra sesión abierta en tu proveedor Prueba en una ventana de incógnito

Puedes continuar sin probar, pero no podrás activar Exigir SSO hasta que la configuración pase una prueba.

3.4 Dominios y funciones

Paso 4 de 4, "Dominios y funciones": materialesdelvalle.mx marcado y materialesdelvalle.com sin marcar, Solo lectura como función de quien entra por primera vez, la creación de cuentas y la configuración encendidas, y el botón Guardar y encender.
  • Dominios: marca los dominios verificados que usan esta configuración. Cada dominio usa a lo más una; si eliges uno que ya usa otra, se mueve a esta.
  • Funciones: con las funciones en Cord, eliges la función de quien entra por primera vez. Con las funciones en tu proveedor, escribes las reglas (más abajo, Reglas de funciones) y la función si ninguna coincide.
  • Crear la cuenta la primera vez que alguien entra (aprovisionamiento JIT), encendido por defecto: Cord crea la cuenta de quien entra por primera vez desde un dominio verificado y la agrega a tu equipo, con lo que ocupa un asiento. Si lo apagas, solo entra quien ya está en tu equipo o tiene una invitación.
  • Encender la configuración: si la dejas encendida, tu equipo puede entrar con SSO en cuanto guardes. Si no pasó la prueba, Cord te lo advierte.

La pantalla después de configurar

Pestaña SSO configurada: materialesdelvalle.mx verificado y conectado a Google Workspace, materialesdelvalle.com verificado y todavía sin configuración; la configuración de Google Workspace activa, con su último inicio de sesión y la prueba hecha con andre@materialesdelvalle.mx; las funciones asignadas "En Cord" con Cambiar, y Exigir SSO encendido con el botón Desactivar por 1 hora.
  • Dominios: cada dominio con su estado (Verificado o Pendiente), la configuración que lo usa (o No configurado) y cuándo lo agregaste.
  • Configuraciones: cada una con el logo de su proveedor, su último inicio de sesión, su última prueba y su estado. Si su certificado vence en 30 días o menos, lo dice en ámbar; si ya venció, en rojo.
  • Funciones: dónde se asignan, con Cambiar.
  • Exigir SSO y su salida de emergencia.
  • Duración de la sesión de quien entra por SSO.
Estado de una configuración Qué quiere decir
Activa Encendida y probada desde el último cambio de sus datos
Activa · sin probar Encendida, pero sin una prueba que pasara desde el último cambio
Probada · apagada Pasó la prueba y nadie entra por ella todavía
Apagada Ni encendida ni probada. Si no tiene dominios, aparece Continuar configuración

La ficha de una configuración

Ficha de la configuración de Google Workspace: la pastilla Activa, el botón Probar y el interruptor encendido; el resumen con el último inicio de sesión (hoy, 09:14), la última prueba del 1 oct 2026 con andre@materialesdelvalle.mx y el dominio materialesdelvalle.mx, y debajo "Agrega Cord en tu proveedor", con la URL de ACS, el ID de entidad y el ID de nombre para pegar en Google.

Desde la ficha puedes:

  • Probar la configuración cuando quieras, con la misma lista del asistente.
  • Encenderla o apagarla al momento. Encender una que no pasó la prueba pide confirmarlo.
  • Ver y copiar otra vez los datos de Cord para tu proveedor.
  • Editar los datos del proveedor. Si cambias la URL, el ID del emisor, el certificado, el formato del ID de nombre, la firma o los atributos, la prueba anterior deja de contar.
  • Ver cuándo vence el certificado de tu proveedor y conectar la URL de la metadata para que Cord lo mantenga al día (ver El certificado de tu proveedor).
  • Crear el token de Aprovisionamiento con SCIM (ver Aprovisionamiento con SCIM).
  • Elegir sus dominios y sus funciones.
  • En Opciones avanzadas, permitir entrar desde el panel de tu proveedor (el portal de aplicaciones de Okta o MyApps de Microsoft). Como ese acceso no empezó en el navegador de la persona, Cord le muestra con qué correo va a entrar y le pide confirmarlo con Continuar antes de abrir la sesión. Ahí también se configura el cierre de sesión único.
  • Eliminarla. Sus dominios siguen verificados y quedan como No configurado.

Si el último intento de inicio de sesión falló, la ficha lo avisa con su fecha y te ofrece probar.

Reglas de funciones

Cuando las funciones vienen de tu proveedor, cada regla compara un atributo SAML con un valor y asigna una función. Se evalúan en orden y gana la primera que coincide; si ninguna coincide, se usa la función por defecto.

Atributo Condición Valor Función
groups contiene finanzas-admin Administrador
department es igual a Ventas Vendedor
title coincide con la expresión ^Director Administrador
  • El nombre del atributo es el que manda tu proveedor en la respuesta SAML.
  • Cord vuelve a aplicar las reglas en cada inicio de sesión de quien entró por SSO, salvo a quien le cambiaste la función a mano en Ajustes › Equipo.
  • Nadie recibe la función de dueño por SSO, aunque una regla lo pida.

Exigir SSO

Para activarlo necesitas una configuración encendida y probada con un correo de uno de sus dominios verificados. Desde ese momento:

  • Contraseña, Google, Apple y llaves de acceso quedan bloqueados para todos los miembros, excepto el dueño de la cuenta, que siempre conserva su contraseña: es el único camino de entrada que no depende de que tu proveedor esté disponible.
  • El requisito es de tu organización: alguien que también pertenece a otra organización con su propio SSO no puede entrar por ese y luego cambiarse a la tuya. Al abrir tu organización, Cord lo manda a tu proveedor.
  • Cord no te deja apagar, eliminar ni dejar sin dominio la última configuración que funciona. Para hacerlo, apaga primero Exigir SSO.

Duración de la sesión

Una sesión abierta por SSO dura lo que elijas en Duración de la sesión: 8 horas, 12 horas, 24 horas (la de fábrica), 3 días o 7 días. Al vencer, la persona vuelve a entrar con tu proveedor de identidad; si su sesión del proveedor sigue abierta, es un clic.

  • Así, quien ya no está en tu proveedor pierde el acceso a Cord dentro de ese plazo, aunque tuviera Cord abierto.
  • Acortar la duración también acorta las sesiones que ya están abiertas.
  • Vale para las sesiones abiertas por SSO, también en las subcuentas. El cierre por inactividad de Ajustes › Equipo y permisos › Seguridad aplica además a todas las sesiones.

Aprovisionamiento con SCIM

Con SCIM, Microsoft Entra ID u Okta dan de alta a las personas en Cord sin esperar a su primer inicio de sesión, y al quitarlas de tu proveedor pierden el acceso al momento. Google Workspace no ofrece SCIM para apps SAML personalizadas: ahí las personas entran con su primer inicio de sesión, y la duración de la sesión cierra el acceso de quien ya no está.

  1. En la ficha de la configuración, en Aprovisionamiento con SCIM, pulsa Crear token y confirma tu identidad. Copia el token en ese momento: no lo volverás a ver.
  2. En tu proveedor, pega la URL base de SCIM y el token, como se indica abajo.
  3. Asigna la app a las personas o los grupos que deben estar en Cord.

En la app de Cord, abre Aprovisionamiento y elige Modo de aprovisionamiento: Automático. En Credenciales de administrador, pega la URL base en URL del inquilino y el token en Token secreto, y pulsa Probar conexión. En Asignaciones, deja solo el aprovisionamiento de usuarios y apaga el de grupos. Termina con Estado de aprovisionamiento: Activado.
Lo que hace tu proveedor Lo que pasa en Cord
Asigna la app a una persona Cord crea su cuenta si no existe y la suma al equipo con la función por defecto de la configuración. Ocupa un asiento
Le cambia el nombre Cord lo completa si su cuenta no lo tenía
La desactiva, le quita la app o la elimina Sale del equipo en la cuenta principal y en sus subcuentas, igual que al quitarla en Ajustes › Equipo, y se cierran sus sesiones abiertas por SSO
La vuelve a activar o a asignar Regresa a la cuenta principal con la función que tenía. En las subcuentas se la vuelves a dar en Ajustes › Equipo
  • Cord recibe personas, no grupos: las funciones se siguen asignando como elegiste en el paso 1.
  • Solo entran correos de los dominios verificados que usa la configuración.
  • El dueño de la cuenta nunca sale del equipo por SCIM.
  • A quien quitaste a mano en Ajustes › Equipo, SCIM no lo vuelve a sumar: invítalo de nuevo.
  • Crear un token nuevo invalida el anterior al momento, y Revocar lo invalida sin crear otro. En los dos casos, las personas que ya están en tu equipo se quedan.

El certificado de tu proveedor

Tu proveedor firma cada inicio de sesión con su certificado, y los certificados vencen: los de Microsoft Entra ID, por ejemplo, duran tres años. Lo que deja fuera al equipo es el día en que tu proveedor empieza a firmar con un certificado nuevo que Cord todavía no tiene.

  • La ficha muestra cuándo vence. A 30 días o menos se marca en ámbar, en la ficha y en la lista de configuraciones; al vencer, en rojo.
  • Cord avisa por correo al dueño y a los administradores a 30 días, a 7 días y al vencer.
  • Para cambiarlo sin cortar el acceso, pega el certificado nuevo en el campo del certificado, debajo del actual y separado por una línea en blanco, y guarda. Después actívalo en tu proveedor: mientras tanto, Cord acepta los dos. Como cambiaste el certificado, vuelve a probar la configuración.
  • URL de la metadata (Entra ID y Okta): conéctala en la ficha y Cord la revisa cada día. Cuando tu proveedor publica un certificado nuevo, Cord lo agrega solo antes de que lo actives, sin borrar la prueba. Si al conectarla trae un certificado que Cord no tenía, vuelve a probar la configuración, como al pegarlo a mano. Si el ID del emisor de esa metadata no es el de la configuración, Cord no aplica nada y lo avisa en la ficha. En Entra ID está en Certificados SAML › URL de metadatos de federación de aplicación; en Okta, en Sign On › Metadata URL. Google Workspace no publica una URL de metadata.

Cierre de sesión único y aserciones cifradas

Con Microsoft Entra ID y Okta, al salir de Cord la persona también sale de tu proveedor, y si sale desde tu proveedor, Cord cierra la sesión que abrió con él. Google Workspace no ofrece cierre de sesión único.

  1. En Opciones avanzadas de la ficha, copia la URL de cierre de sesión de Cord y pégala en tu proveedor: en Entra ID, en Configuración básica de SAML › URL de cierre de sesión; en Okta, en SAML Settings › Show Advanced Settings, con Enable Single Logout, en Single Logout URL.
  2. Pega la URL de cierre de tu proveedor en URL de cierre de sesión de tu proveedor y guarda. En Entra ID está en Configurar Cord; en Okta, en Sign On › SAML 2.0 › More details.
  3. Okta también pide el certificado de Cord en Signature Certificate: descárgalo con Descargar el certificado de Cord.
  • Cord firma su petición de cierre, y solo acepta la de tu proveedor si viene firmada con su certificado, una sola vez y dentro de los 10 minutos desde que se emitió.
  • Aserciones cifradas: si tu proveedor cifra la aserción (en Entra ID, Cifrado de token), sube ahí el mismo certificado de Cord. Cord la descifra y valida su firma igual que siempre; la metadata de Cord ya publica ese certificado.

Subcuentas

El SSO se configura en la cuenta principal. Una subcuenta (la que creas con Agrupar bajo desde el selector de cuentas) no tiene configuraciones propias: usa el proveedor de identidad y el requisito Exigir SSO de la cuenta principal de su árbol, aunque esté anidada en varios niveles.

  • En Ajustes › Equipo y permisos › SSO de una subcuenta verás Gestionado por con el nombre de la cuenta principal y el estado que hereda, sin botones para configurar. Hacerlo desde la API también responde que se hace en la principal.
  • Si la cuenta principal exige SSO, el requisito también aplica en sus subcuentas; el único que conserva su contraseña es el dueño de la cuenta principal.
  • Quien solo es miembro de una subcuenta entra por el SSO de la principal y llega a su subcuenta, sin que se le cree un asiento en la cuenta principal.

Si tu proveedor de identidad falla (break-glass)

Con Exigir SSO activo, un proveedor de identidad caído deja fuera a toda la organización, excepto al dueño de la cuenta. Si necesitas que el resto del equipo entre con contraseña temporalmente, el dueño puede usar Desactivar por 1 hora en la misma pantalla: confirma su identidad y el requisito se apaga una hora. Pasada la hora (o si lo reactivas antes a mano), el requisito vuelve solo.

Solución de problemas

Lo que pasa Por qué Qué hacer
Crear configuración está deshabilitado No hay ningún dominio verificado Verifica uno en Dominios
El dominio sigue Pendiente El registro TXT no aparece todavía, o tiene otro nombre o valor Revisa que el nombre sea @ (o el subdominio) y el valor el código exacto, sin comillas de más. Espera unos minutos
“Este dominio ya está verificado bajo otra cuenta de Cord.” Otra cuenta de Cord ya lo verificó Usa esa cuenta o escríbenos
No se activa Exigir SSO Falta una configuración encendida y probada con un correo de uno de sus dominios Prueba la configuración con un correo de un dominio que use
No puedes quitar un dominio, apagar o eliminar una configuración Exigir SSO está activo y es la última que funciona Apaga Exigir SSO antes
La lista de la prueba sigue esperando Tu proveedor mostró un error en su ventana, o la ventana se cerró Revisa la tabla de errores de la prueba y usa Abrir otra vez la ventana
Alguien entra con una función que no esperabas Las funciones vienen de tu proveedor y una regla coincidió, o su función se fijó a mano Revisa el orden de las reglas, o cambia su función en Ajustes › Equipo
En una subcuenta no puedes configurar nada El SSO se configura en la cuenta principal Cámbiate a la cuenta principal
Nadie puede entrar por SSO de un día para otro Tu proveedor empezó a firmar con un certificado nuevo que Cord no tiene Pega el certificado nuevo en la ficha, o conecta la URL de la metadata
Tu proveedor dice que el token de SCIM no es válido Creaste un token nuevo o lo revocaste Crea uno en la ficha y pégalo en tu proveedor
SCIM rechaza a una persona Su correo no es de un dominio verificado de la configuración, o la quitaste a mano en Ajustes › Equipo Verifica el dominio, o invítala de nuevo desde Ajustes › Equipo
Okta no cierra la sesión al salir de Cord Falta el certificado de Cord en Signature Certificate Descárgalo en Opciones avanzadas de la ficha y súbelo en Okta

Prueba antes de exigir. La prueba revisa la respuesta de tu proveedor sin abrir una sesión: un error en el certificado, el ID del emisor o el ID de entidad se ve ahí y no deja fuera a nadie. Activa Exigir SSO solo cuando la configuración esté Activa.