Login corporativo (SSO) com o provedor de identidade da empresa

Em Configurações, Organização, Provedores de SSO, clique em "Cadastrar provedor" e escolha Microsoft 365, Google Workspace ou Outro (avançado). No avançado, escolha também o padrão: OpenID Connect ou SAML 2.0.

Defina o identificador: letras minúsculas, números e hífen, com pelo menos dois caracteres, como okta-empresa. Ele entra nas URLs que o seu TI vai registrar no provedor e não pode mudar depois; mudar exigiria refazer o cadastro dos dois lados.

A tela mostra, com botão de copiar, o que deve ser registrado no provedor. No OpenID Connect:

URL de redirecionamento

https://hr.walljobs.ai/api/auth/sso/callback/ seguido do identificador.

Escopos

openid email profile offline_access, os quatro.

Tipo de aplicativo

Web, com código de autorização e PKCE.

No SAML 2.0:

URL de resposta (ACS)

https://hr.walljobs.ai/api/auth/sso/saml2/sp/acs/ seguido do identificador.

Identificador da entidade

O mesmo endereço dos metadados da plataforma, que a tela mostra para importar no provedor.

Formato do NameID

emailAddress.

Microsoft 365

Identificador do tenant (ID do diretório, ou o domínio onmicrosoft.com), mais o client ID e o client secret do registro de aplicativo. Os valores genéricos common, organizations e consumers são recusados, porque aceitariam contas de qualquer empresa.

Google Workspace

Client ID e client secret do ID do cliente OAuth 2.0.

Outro, OpenID Connect

Issuer, que é o endereço base do provedor, mais client ID e client secret.

Outro, SAML 2.0

O conteúdo do XML de metadados do provedor. O certificado é lido do próprio arquivo.

O client secret fica guardado cifrado e não é exibido depois de salvo, nem em parte. Para trocar, cadastre o provedor de novo.

O domínio não é detalhe: é ele que autoriza a entrada. O e-mail de quem faz login precisa terminar no domínio informado. Vários domínios vão separados por vírgula. Subdomínios entram junto, mas cada terminação diferente precisa ser listada: empresa.com cobre rh.empresa.com e não cobre empresa.com.br.

No OpenID Connect, "Testar conexão" confere se o endereço do provedor responde e publica os endereços de autorização e token. Se falhar, a mensagem diz o motivo, como endereço sem https ou issuer errado; no Entra ID o issuer inclui o identificador do tenant. Com o teste certo, clique em "Cadastrar".

O provedor entra no ar no momento do cadastro, sem aprovação separada. O WallJobs é avisado de toda ativação e pode desativar um provedor se houver sinal de uso indevido. Faça o primeiro login com uma pessoa da equipe de TI antes de avisar todo mundo.

Depois de ativo, a tela mostra o link de entrada da organização, no formato hr.walljobs.ai/sso seguido do identificador da organização. Ele vai junto em todo convite, e quem clica no atalho da plataforma dentro do provedor também cai ali.