Acesso

Em Portal › Acesso (/dashboard/portal/access) você decide onde o portal do workspace fica e como os usuários entram nele. A tela tem quatro abas:

Aba	O que você configura
Visão Geral	O endereço do portal e as formas de login
Domínio	Um domínio da sua empresa, como portal.suaempresa.com.br
SSO	Login único: o usuário chega do seu sistema já autenticado
OAuth/OIDC	Botões como Entrar com Google na tela de login

Cada workspace tem o seu portal, e cada portal tem a sua configuração de acesso.

Visão Geral

URL do Portal

O Slug do Portal é o identificador do portal nos endereços — na Aurora Energia, aurora-energia. Use só letras minúsculas, números e hífens, até 30 caracteres. Se o campo estiver vazio, o botão Sugerir cria um slug a partir do nome da empresa (definido em Marca).

Sem slug, o portal não tem endereço de login. A tela avisa enquanto ele estiver vazio.

Em Domínio Compartilhado, escolha um dos domínios gratuitos da plataforma. O portal passa a responder em https://<slug>.<domínio compartilhado>, e a tela mostra o endereço completo logo abaixo.

Em URLs do Portal, você copia ou abre os endereços prontos:

• a tela de login no endereço do portal (.../login);
• a tela de login no endereço da plataforma (/portal/<slug>/login);
• com o SSO ligado, os endereços de entrada por SSO (.../sso?token=...).

Quando há um domínio próprio ativo, o portal responde nele, e o slug e o domínio compartilhado ficam travados. Para voltar ao endereço compartilhado, remova o domínio próprio.

Login

Opção	O que faz
Habilitar Login	A chave geral da tela de login. Desligada, a tela mostra que o login está desativado — e esconde o e-mail, a senha, o link mágico e os botões OIDC. O SSO continua funcionando
Login com Senha	O usuário entra com e-mail e senha, com a opção Esqueci a senha
Login por Link Mágico	O usuário recebe por e-mail um link que entra sem senha. O link vale por 15 minutos
Permitir Trocar a Senha	Mostra Trocar senha no menu da conta do portal, para quem entra com senha

Login com Senha e Login por Link Mágico só valem com Habilitar Login ligado. Com os dois desligados e nenhum provedor OIDC, a tela de login avisa que o login está desativado.

As alterações desta aba são salvas sozinhas, um instante depois da última mudança.

Domínio

Com um domínio próprio, o portal fica num endereço da sua empresa — na Aurora Energia, portal.auroraenergia.com.br. O certificado HTTPS é emitido e renovado pela plataforma.

Cadastrar um domínio

1. Na aba Domínio, clique em Adicionar Domínio.
2. Digite o domínio completo, como portal.suaempresa.com.br, e clique em Adicionar e ver registros DNS.
3. A tela do domínio mostra dois registros CNAME: um de Roteamento (leva o endereço até o portal) e um de SSL (prova que o domínio é seu, para emitir o certificado). Copie o Host e o Valor de cada um.
4. Publique os dois registros no provedor de DNS do seu domínio (Registro.br, Cloudflare, Route 53...).
5. Pronto. A plataforma confere o DNS a cada 5 minutos e, quando os dois registros estiverem no ar, emite o certificado e ativa o domínio sozinha.

Não quer esperar? Na tela do domínio, Atualizar status DNS confere os registros na hora (a tela também confere a cada 15 segundos enquanto está aberta) e Validar e emitir SSL inicia a emissão do certificado. A propagação do DNS pode levar alguns minutos.

:::warning Domínio com www Um domínio que começa com www. costuma ser o site principal da empresa. Apontá-lo para o portal tira o site do ar. A tela pede uma confirmação antes de cadastrar. :::

Status do domínio

Status	O que significa
Verificando DNS	A plataforma aguarda os registros CNAME. Se a última verificação falhou, a tela do domínio mostra o motivo — por exemplo, "O CNAME ainda não aponta para o portal"
DNS Verificado	Os registros estão certos; o certificado vai ser emitido
Aguardando SSL / Gerando Certificado	O certificado está sendo emitido. Leva de 1 a 5 minutos
Ativo	O portal já responde no domínio
Falha no Certificado	O certificado não pôde ser emitido. A plataforma tenta de novo
Falha na Verificação	A verificação do DNS falhou. Confira os registros; a plataforma continua tentando

No workspace Aurora Imóveis, o domínio inquilino.auroraimoveis.com.br está em Verificando DNS: o CNAME ainda não aponta para o portal.

Com o domínio Ativo, a tela dele mostra o Certificado SSL. Ele é renovado sozinho antes de vencer — você não precisa fazer nada.

Para remover um domínio, use a lixeira na lista ou Remover domínio na tela dele. O portal para de responder nesse endereço.

observação

Em alguns ambientes (como o sandbox), o domínio próprio não está disponível e a aba Domínio não aparece.

SSO (Single Sign-On)

Com o SSO, quem já está logado no seu sistema entra no portal sem digitar senha. O seu sistema gera um token assinado (um JWT), e o portal confere a assinatura com a chave pública que você cadastra.

Configurar

1. Gere um par de chaves (privada e pública). O botão Como funciona?, na aba, traz os comandos OpenSSL para RSA e ECDSA.

2. Ligue Habilitar Single Sign-On.

3. Preencha:

   Campo	O que é
   Issuer (iss)	Quem emite o token — em geral, a URL do seu sistema. Obrigatório
   Algoritmo	Como o token é assinado: RS256 (recomendado), RS384, RS512, ES256, ES384, ES512, PS256, PS384 ou PS512
   Chave Pública	A chave pública em formato PEM, com as linhas BEGIN PUBLIC KEY e END PUBLIC KEY. Obrigatória

4. Clique em Salvar configuração SSO.

A chave privada fica só no seu servidor. Nunca a cole no dashboard.

Como o usuário entra

O seu sistema assina um token e manda o usuário para:

• https://<endereço do portal>/sso?token=<JWT> — no domínio próprio ou compartilhado; ou
• /portal/<slug>/sso?token=<JWT> — no endereço da plataforma.

Os endereços prontos aparecem em Visão Geral › URLs do Portal.

O que vai no token

Claim	Obrigatório	O que é
iss	Sim	O mesmo Issuer cadastrado
aud	Sim	dashboards/prd em produção
sub	Sim	O tenant ID do usuário
user_id	Sim	Um UUID que identifica o usuário no seu sistema. Vira o ID público do usuário do portal
jti	Sim	Um identificador único. Cada token só pode ser usado uma vez
iat / exp	Sim	Emissão e validade. O token pode valer no máximo 5 minutos
tenant_id	Não	O tenant ID, quando o sub carrega outra coisa
name / email	Não	Nome e e-mail, usados para criar ou atualizar o usuário
upsert	Não	true cria o usuário se ele ainda não existir
workspace_id / portal_slug	Não	Prende o token a este portal. Recomendado

O portal procura o usuário pelo user_id e, se não achar, pelo e-mail. Com upsert, um usuário que não existe é criado já Ativo e marcado como apenas SSO (sem senha). Sem upsert, ele precisa estar cadastrado antes em Usuários do portal.

Um usuário sem tenant ID recebe o do token. Um tenant ID que já existe nunca é trocado pelo SSO. Usuários Suspensos ou Bloqueados não entram, nem com um token válido.

O SSO funciona mesmo com Habilitar Login desligado — assim, você pode deixar o SSO como a única porta do portal.

OAuth/OIDC

Com um provedor OIDC, a tela de login ganha botões como Entrar com Google. No workspace Aurora Imóveis, o portal tem o botão Entrar com Google.

Adicionar um provedor

1. Na aba OAuth/OIDC, clique em Adicionar provedor.

2. Em Provedor, escolha um conhecido — Google, Microsoft, Apple, Auth0, Okta, Keycloak ou Amazon Cognito — para preencher os campos, ou Personalizado.

3. Preencha os campos:

   Campo	O que é
   Ativo	Mostra ou esconde o botão na tela de login
   Nome	Um nome interno, como google
   Texto do botão	O que aparece no botão, como "Entrar com Google"
   Issuer URL	O endereço base do provedor, sem /.well-known. Ex.: https://accounts.google.com
   Client ID e Client Secret	As credenciais do app criado no provedor. O secret é guardado criptografado; ao editar, deixe vazio para manter o atual
   Scopes	Em geral, openid email profile
   Claim de email	O campo do provedor que traz o e-mail. Em geral, email

4. Clique em Testar conexão para conferir o Issuer URL e depois em Salvar.

5. Copie a Redirect URI que aparece e cadastre-a no app do provedor (o nome pode ser "Redirect URI" ou "Callback URL").

A Redirect URI usa o endereço do portal: o domínio próprio ativo ou, sem ele, o domínio compartilhado. Configure o endereço do portal antes.

Quem pode entrar

O login por OIDC não cria usuários. O e-mail que o provedor devolve precisa ser de um usuário já cadastrado em Usuários do portal. Se não for, a pessoa vê uma tela de acesso negado.

Segurança

• Depois de 5 senhas erradas seguidas, o login com senha fica bloqueado por 15 minutos.
• Os links de verificação de e-mail valem por 24 horas; os convites, por 7 dias; o link mágico, por 15 minutos.
• Trocar a senha ou o e-mail encerra as sessões abertas do usuário.
• As senhas são guardadas com hash, nunca em texto.