Descripción general de la federación SSO
La federación SSO permite a tus usuarios acceder a Criteo utilizando el sistema de identidades ya existente de tu organización, sin necesidad de credenciales independientes de Criteo. Una vez configurado, los usuarios de tu dominio federado son redirigidos a la página de inicio de sesión de tu proveedor de identidad (IdP) cuando acceden a Criteo.
Criteo utiliza SAML 2.0 para la federación. Dos sistemas intercambian metadatos para establecer la confianza:
Término | Función | Sistemas de ejemplo |
|---|---|---|
Proveedor de servicios (SP) | Criteo: la app a la que tus usuarios quieren acceder | — |
Proveedor de identidad (IdP) | El sistema de identidad de tu organización, que autentifica a los usuarios y envía a Criteo una aserción SAML | Okta, Microsoft Entra ID (Azure AD), AD FS |
La federación SSO está disponible para todos los clientes. Ponte en contacto con tu representante de Criteo para empezar.
Antes de empezar
Reúne la siguiente información antes de ponerte en contacto con tu representante de Criteo. Tu equipo de Criteo te pedirá esta información como parte del proceso de incorporación:
¿Qué? | Detalles |
|---|---|
Dominios que se van a federar | El dominio o dominios de email con los que iniciarán sesión tus usuarios (por ejemplo, |
Usuarios de prueba | Una breve lista de direcciones de email para comprobar que la integración funciona correctamente antes de ponerla en marcha. Todos los usuarios que vayan a participar en las pruebas deben disponer de una cuenta activa de Criteo antes de que puedan comenzar las pruebas. |
Tipo de IdP | Qué proveedor de identidad utiliza tu organización y qué atributo SAML enviarás para la identificación de usuarios. Criteo recomienda |
Entorno | Tanto si tienes previsto utilizar un archivo de metadatos independiente para tu entorno de producción, como si tus entornos de prueba y de producción comparten los mismos metadatos del IdP. |
Fecha prevista de puesta en marcha | La fecha a partir de la cual deseas que el SSO esté activo para todos los usuarios de los dominios federados. |
Cómo averiguar los valores de tu IdP
Durante el proceso de incorporación, deberás facilitar a Criteo tu certificado de firma, el ID de entidad del IdP y la URL de SSO. La forma más rápida de recopilar los tres a la vez es exportar el archivo XML de metadatos de tu IdP, ya que los contiene todos en un único archivo. Las guías que figuran a continuación te explican cómo localizar estos valores para los proveedores de identidad más habituales.
Okta
La forma más rápida es descargar el archivo XML de metadatos del IdP directamente desde tu app SAML. Contiene el ID de la entidad, la URL del SSO y el certificado de firma en un único archivo.
Desde la app de Okta configurada para Criteo: vete a Iniciar sesión → Certificados de firma SAML → Acciones → Ver metadatos del IdP y, a continuación, guarda el archivo XML.
Referencia:
Microsoft Entra ID (Azure AD)
Hay dos fuentes que proporcionan los datos que necesita Criteo:
Página de SSO de la app empresarial: proporciona la URL de inicio de sesión, el identificador de Entra y la descarga del certificado. Vete a la página de configuración del inicio de sesión único de tu app empresarial.
Punto final de metadatos de la federación para todos los inquilinos: a menudo, la fuente única más rápida. Disponible en:
https://login.microsoftonline.com/<tenant>/FederationMetadata/2007-06/FederationMetadata.xml
Referencias:
AD FS
AD FS es un software local, por lo que no existe una guía única dirigida a los clientes que explique cómo localizar tus valores. Tendrás que seguir dos pasos distintos:
URL de metadatos de la federación: proporciona el ID de la entidad y el punto final de SSO.
Certificado de firma de tokens: se exporta por separado desde la consola de administración de AD FS, en la sección Servicio → Certificados.
Ponte en contacto con tu representante de Criteo si necesitas ayuda para interpretar estas referencias.
Referencias:
Qué ofrece Criteo
Una vez que comienza la incorporación, Criteo comparte un archivo de metadatos del proveedor de servicios (SP). Úsalo para configurar la app de Criteo en tu IdP. Contiene los siguientes valores:
Campo | Descripción |
|---|---|
URI de la audiencia (ID de entidad) | Identificador único para el servicio de inicio de sesión único (SSO) de Criteo |
URL de respuesta (URL ACS) | La URL de destino a la que tu IdP envía la aserción SAML tras un inicio de sesión correcto |
Certificado X509 | Certificado de firma de Criteo |
Proceso de incorporación al SSO
Paso1: Solicitar la incorporación
Ponte en contacto con tu representante de Criteo para iniciar el proceso de federación de SSO. Una vez registrada tu solicitud, tu representante de Criteo te enviará un email de presentación que incluirá:
El archivo de metadatos del SP y sus principales valores, el URI de la audiencia (ID de entidad), la URL de respuesta (URL ACS), el formato NameID y el certificado X509—, que necesitas para configurar Criteo como proveedor de servicios en tu IdP.
Una lista de preguntas que Criteo necesita que respondas antes de poder continuar con la integración.
Reenvía este email a los miembros pertinentes de tu equipo de TI para que puedan comenzar con la configuración del IdP.
Paso 2: Configura tu IdP y responde
Utilizando el archivo de metadatos del proveedor de servicios (SP) facilitado por Criteo, configura Criteo como proveedor de servicios en tu proveedor de identidad. Si tu IdP admite la carga de metadatos, puedes utilizar el archivo directamente. De lo contrario, introduce los valores uno por uno manualmente en tu configuración de SAML.
Cuando tengas lista la configuración de tu IdP, responde al email de presentación con lo siguiente:
Tu archivo de metadatos del IdP: adjunta el archivo XML a tu respuesta. También puedes introducir los valores uno por uno:
ID de entidad del IdP
URL del punto final de SSO
Certificado de firma
Dominios que se van a federar: los dominios de email que deben utilizar el inicio de sesión único (SSO) (por ejemplo,
@tuempresa.com)Proveedor de identidad: el nombre de tu IdP (por ejemplo, Microsoft Entra ID, Okta, AD FS)
Identificador de usuario: el atributo SAML que utilizará Criteo para identificar a los usuarios. Recomendamos utilizar
emailAddressUsuarios de prueba: las direcciones de email de los usuarios que probarán el inicio de sesión único (SSO) antes de la implantación
Entorno: si tienes previsto proporcionar un archivo de metadatos independiente para tu entorno de producción
Fecha prevista de puesta en marcha (opcional)
Paso 3: Criteo valida y configura
El equipo de Criteo revisa tu respuesta y comprueba los detalles técnicos. Si falta algún dato o hay algo que no quede claro, se pondrán en contacto contigo directamente para resolverlo antes de continuar.
Una vez completada la validación, Criteo configura el SSO para los usuarios de prueba que hayas designado y te notifica que ya pueden comenzar las pruebas.
Paso 4: Prueba de activación
Criteo habilita el inicio de sesión único (SSO) únicamente para los usuarios de prueba acordados, pero todavía no para todos los usuarios del dominio. Recibirás una URL por email para empezar a realizar las pruebas.
Para obtener los mejores resultados, cada usuario debería probar el SSO siguiendo los pasos que se indican a continuación:
Abre una ventana de incógnito para evitar que se utilicen las cookies o sesiones existentes.
Vete a account.criteo.com/es e introduce tu dirección de email del trabajo.
Se te redirigirá a la página de inicio de sesión de tu empresa.
Inicia sesión con las credenciales de tu empresa (no con las de tu cuenta de Criteo).
Después de autenticarte correctamente, aparecerá la página Información de la cuenta, en la que se mostrarán tus datos personales. Esto confirma que la prueba de SSO se ha realizado correctamente.
Una vez finalizada la prueba, podrás acceder a tu plataforma habitual de Criteo como de costumbre.
En esta fase se activa el SSO para cada usuario. El resto de usuarios seguirán iniciando sesión con normalidad hasta la puesta en marcha.
Paso 5: Pruebas
Los usuarios de prueba inician sesión a través de la URL facilitada por Criteo y comprueban que:
Se les redirige a la página de inicio de sesión de tu IdP.
Una vez que han iniciado sesión, se les redirige a su cuenta de Criteo.
Pueden ver las cuentas y los datos correspondientes.
Si detectas algún problema, envía capturas de pantalla o mensajes de error a Criteo a través del mismo hilo de email. La integración puede revertirse previa solicitud durante esta fase.
Paso 6: Puesta en marcha
Una vez que todos los usuarios de prueba puedan iniciar sesión correctamente, Criteo activará el SSO para todos los usuarios de tus dominios federados en la fecha acordada.
Si surge algún problema tras la puesta en marcha, ponte en contacto con Criteo para revertir los cambios o corregir la configuración.
Mantenimiento continuo del SSO
Algunos campos se configuran durante el proceso inicial de incorporación y rara vez es necesario modificarlos. Otras requieren actualizaciones periódicas mientras dure la integración.
Rara vez se modifica
Estos parámetros se configuran durante el proceso de incorporación y se mantienen fijos:
ID de entidad SP
SP ACS/URL de respuesta
ID de entidad del IdP
Atributo SAML utilizado para la identificación de usuarios
Actualizadoa lo largo del tiempo
Campo | ¿Por qué cambia? |
|---|---|
Certificado de firma de SP de Criteo | Válido durante cinco años a partir de la fecha de emisión. Criteo te avisará cuando sea necesario renovar. |
Tu certificado de firma del IdP | La duración varía en función de la configuración de tu IdP. Actualízalo antes de que caduque: comparte el archivo de metadatos actualizado con Criteo con antelación. |
Dominios de email federados | Podrás añadir nuevos dominios o eliminar los antiguos una vez que el sitio web esté en funcionamiento. |
Metadatos del IdP | Es posible que sea necesario actualizarlo si migras los sistemas IdP o cambias de entorno. |
Para actualizar cualquiera de estos campos tras la puesta en marcha, ponte en contacto con tu representante de Criteo.