Acceso

En Portal › Acceso (/dashboard/portal/access) decides dónde queda el portal del workspace y cómo entran los usuarios. La pantalla tiene cuatro pestañas:

Pestaña	Qué configuras
Visión general	La dirección del portal y las formas de login
Dominio	Un dominio de tu empresa, como portal.tuempresa.com
SSO	Login único: el usuario llega desde tu sistema ya autenticado
OAuth/OIDC	Botones como Entrar con Google en la pantalla de login

Cada workspace tiene su portal, y cada portal tiene su configuración de acceso.

Visión general

URL del portal

El Portal Slug es el identificador del portal en las direcciones — en Aurora Energia, aurora-energia. Usa solo letras minúsculas, números y guiones, hasta 30 caracteres. Si el campo está vacío, el botón Suggest crea un slug a partir del nombre de la empresa (definido en Marca).

Sin slug, el portal no tiene dirección de login. La pantalla avisa mientras esté vacío.

En Shared Domain, elige uno de los dominios gratuitos de la plataforma. El portal pasa a responder en https://<slug>.<dominio compartido>, y la pantalla muestra la dirección completa justo debajo.

En Portal URLs, puedes copiar o abrir las direcciones listas:

• la pantalla de login en la dirección del portal (.../login);
• la pantalla de login en la dirección de la plataforma (/portal/<slug>/login);
• con el SSO activado, las direcciones de entrada por SSO (.../sso?token=...).

Cuando hay un dominio propio activo, el portal responde en él, y el slug y el dominio compartido quedan bloqueados. Para volver a la dirección compartida, elimina el dominio propio.

Login

Opción	Qué hace
Habilitar Inicio de Sesión	El interruptor general de la pantalla de login. Desactivado, la pantalla muestra que el login está desactivado — y oculta el correo, la contraseña, el enlace mágico y los botones OIDC. El SSO sigue funcionando
Login con Contraseña	El usuario entra con correo y contraseña, con la opción Olvidé mi contraseña
Login con Enlace Mágico	El usuario recibe por correo un enlace que entra sin contraseña. El enlace vale por 15 minutos
Allow Changing Password	Muestra Cambiar contraseña en el menú de la cuenta del portal, para quien entra con contraseña

Login con Contraseña y Login con Enlace Mágico solo valen con Habilitar Inicio de Sesión activado. Con los dos desactivados y ningún proveedor OIDC, la pantalla de login avisa que el login está desactivado.

Los cambios de esta pestaña se guardan solos, un instante después del último cambio.

Dominio

Con un dominio propio, el portal queda en una dirección de tu empresa — en Aurora Energia, portal.auroraenergia.com.br. El certificado HTTPS lo emite y lo renueva la plataforma.

Registrar un dominio

1. En la pestaña Dominio, haz clic en Add Domain.
2. Escribe el dominio completo, como portal.tuempresa.com, y haz clic en Agregar y ver registros DNS.
3. La pantalla del dominio muestra dos registros CNAME: uno de Enrutamiento (lleva la dirección hasta el portal) y uno de SSL (prueba que el dominio es tuyo, para emitir el certificado). Copia el Host y el Valor de cada uno.
4. Publica los dos registros en el proveedor de DNS de tu dominio (Registro.br, Cloudflare, Route 53...).
5. Listo. La plataforma revisa el DNS cada 5 minutos y, cuando los dos registros estén activos, emite el certificado y activa el dominio sola.

¿No quieres esperar? En la pantalla del dominio, Actualizar estado del DNS revisa los registros en el momento (la pantalla también revisa cada 15 segundos mientras está abierta) y Validar y emitir SSL inicia la emisión del certificado. La propagación del DNS puede tardar algunos minutos.

:::warning Dominio con www Un dominio que empieza con www. suele ser el sitio principal de la empresa. Apuntarlo al portal saca el sitio del aire. La pantalla pide una confirmación antes de registrarlo. :::

Estado del dominio

Estado	Qué significa
Verifying DNS	La plataforma espera los registros CNAME. Si la última verificación falló, la pantalla del dominio muestra el motivo — por ejemplo, "El CNAME aún no apunta al portal"
DNS Verified	Los registros están correctos; se va a emitir el certificado
Esperando SSL / Generating Certificate	El certificado se está emitiendo. Tarda de 1 a 5 minutos
Active	El portal ya responde en el dominio
Certificate Failed	No se pudo emitir el certificado. La plataforma lo intenta de nuevo
Verification Failed	Falló la verificación del DNS. Revisa los registros; la plataforma sigue intentando

En el workspace Aurora Imóveis, el dominio inquilino.auroraimoveis.com.br está en Verifying DNS: el CNAME aún no apunta al portal.

Con el dominio Active, su pantalla muestra el Certificado SSL. Se renueva solo antes de vencer — no necesitas hacer nada.

Para eliminar un dominio, usa la papelera en la lista o Remove domain en su pantalla. El portal deja de responder en esa dirección.

nota

En algunos entornos (como el sandbox), el dominio propio no está disponible y la pestaña Dominio no aparece.

SSO (Single Sign-On)

Con el SSO, quien ya inició sesión en tu sistema entra al portal sin escribir contraseña. Tu sistema genera un token firmado (un JWT), y el portal verifica la firma con la clave pública que registras.

Configurar

1. Genera un par de claves (privada y pública). El botón How does it work?, en la pestaña, trae los comandos OpenSSL para RSA y ECDSA.

2. Activa Enable Single Sign-On.

3. Completa:

   Campo	Qué es
   Issuer (iss)	Quién emite el token — en general, la URL de tu sistema. Obligatorio
   Algorithm	Cómo se firma el token: RS256 (recomendado), RS384, RS512, ES256, ES384, ES512, PS256, PS384 o PS512
   Public Key	La clave pública en formato PEM, con las líneas BEGIN PUBLIC KEY y END PUBLIC KEY. Obligatoria

4. Haz clic en Save SSO configuration.

La clave privada queda solo en tu servidor. Nunca la pegues en el dashboard.

Cómo entra el usuario

Tu sistema firma un token y envía al usuario a:

• https://<dirección del portal>/sso?token=<JWT> — en el dominio propio o compartido; o
• /portal/<slug>/sso?token=<JWT> — en la dirección de la plataforma.

Las direcciones listas aparecen en Visión general › Portal URLs.

Qué va en el token

Claim	Obligatorio	Qué es
iss	Sí	El mismo Issuer registrado
aud	Sí	dashboards/prd en producción
sub	Sí	El tenant ID del usuario
user_id	Sí	Un UUID que identifica al usuario en tu sistema. Se convierte en el ID público del usuario del portal
jti	Sí	Un identificador único. Cada token solo puede usarse una vez
iat / exp	Sí	Emisión y validez. El token puede valer como máximo 5 minutos
tenant_id	No	El tenant ID, cuando el sub lleva otra cosa
name / email	No	Nombre y correo, usados para crear o actualizar al usuario
upsert	No	true crea al usuario si aún no existe
workspace_id / portal_slug	No	Ata el token a este portal. Recomendado

El portal busca al usuario por el user_id y, si no lo encuentra, por el correo. Con upsert, un usuario que no existe se crea ya Active y marcado como solo SSO (sin contraseña). Sin upsert, debe estar registrado antes en Usuarios del portal.

Un usuario sin tenant ID recibe el del token. Un tenant ID que ya existe nunca es reemplazado por el SSO. Los usuarios Suspended o Locked no entran, ni siquiera con un token válido.

El SSO funciona incluso con Habilitar Inicio de Sesión desactivado — así, puedes dejar el SSO como la única puerta del portal.

OAuth/OIDC

Con un proveedor OIDC, la pantalla de login gana botones como Entrar con Google. En el workspace Aurora Imóveis, el portal tiene el botón Entrar con Google.

Agregar un proveedor

1. En la pestaña OAuth/OIDC, haz clic en Añadir proveedor.

2. En Proveedor, elige uno conocido — Google, Microsoft, Apple, Auth0, Okta, Keycloak o Amazon Cognito — para completar los campos, o Personalizado.

3. Completa los campos:

   Campo	Qué es
   Activo	Muestra u oculta el botón en la pantalla de login
   Nombre	Un nombre interno, como google
   Texto del botón	Lo que aparece en el botón, como "Entrar con Google"
   Issuer URL	La dirección base del proveedor, sin /.well-known. Ej.: https://accounts.google.com
   Client ID y Client Secret	Las credenciales de la app creada en el proveedor. El secret se guarda cifrado; al editar, déjalo vacío para mantener el actual
   Scopes	En general, openid email profile
   Claim de email	El campo del proveedor que trae el correo. En general, email

4. Haz clic en Probar conexión para revisar el Issuer URL y luego en Guardar.

5. Copia la Redirect URI que aparece y regístrala en la app del proveedor (el nombre puede ser "Redirect URI" o "Callback URL").

La Redirect URI usa la dirección del portal: el dominio propio activo o, sin él, el dominio compartido. Configura antes la dirección del portal.

Quién puede entrar

El login por OIDC no crea usuarios. El correo que devuelve el proveedor debe ser de un usuario ya registrado en Usuarios del portal. Si no lo es, la persona ve una pantalla de acceso denegado.

Seguridad

• Después de 5 contraseñas incorrectas seguidas, el login con contraseña queda bloqueado por 15 minutos.
• Los enlaces de verificación de correo valen por 24 horas; las invitaciones, por 7 días; el enlace mágico, por 15 minutos.
• Cambiar la contraseña o el correo cierra las sesiones abiertas del usuario.
• Las contraseñas se guardan con hash, nunca en texto plano.