Visão geral da federação SSO
A federação SSO permite que seus usuários acessem a Criteo usando o sistema de identidade existente da sua organização — sem a necessidade de credenciais separadas da Criteo. Após a configuração, os usuários do seu domínio federado serão redirecionados para a página de login do seu provedor de identidade (IdP) ao acessar a Criteo.
A Criteo usa SAML 2.0 para federação. Dois sistemas trocam metadados para estabelecer confiança:
Prazo | Função | Sistemas de exemplo |
|---|---|---|
Provedor de serviços (SP) | Criteo — o aplicativo que seus usuários desejam acessar | — |
Provedor de identidade (IdP) | O sistema de identidade da sua organização, que autentica os usuários e envia uma declaração SAML para a Criteo. | Okta, Microsoft Entra ID (Azure AD), AD FS |
A federação SSO está disponível para todos os clientes. Fale com seu contato na Criteo para começar.
Antes de começar
Reúna as informações a seguir antes de falar com seu contato na Criteo. Sua equipe Criteo solicitará essas informações como parte do processo de integração:
O quê | Detalhes |
|---|---|
Domínios a federar | Os domínios de email que seus usuários usarão para fazer login (por exemplo, |
Usuários de teste | Uma lista resumida de endereços de email para validar a integração antes do go-live. Todos os usuários de teste devem ter uma conta da Criteo ativa antes de começar os testes. |
Tipo de IdP | Qual provedor de identidade sua organização utiliza e qual atributo SAML você enviará para a correspondência de usuários. A Criteo recomenda |
Ambiente | Se você planeja usar um arquivo de metadados separado para seu ambiente de produção, ou se seus ambientes de teste e produção compartilham os mesmos metadados IdP. |
Data prevista para go-live | A data em que você deseja ativar o SSO para todos os usuários nos domínios federados. |
Encontrando os valores do seu IdP
Durante o processo de integração, você precisará compartilhar seu certificado de assinatura, ID de entidade IdP e URL SSO com a Criteo. A maneira mais rápida de reunir os três de uma só vez é exportar o arquivo XML de metadados do seu IdP — ele contém todos esses dados em um arquivo único. Os guias abaixo orientam você a encontrar esses valores nos provedores de identidade mais comuns.
Okta
A maneira mais rápida é baixar o XML de metadados do IdP diretamente do seu aplicativo SAML. Ele contém o ID da entidade, a URL de SSO e o certificado de assinatura em um arquivo único.
No aplicativo Okta configurado para a Criteo: vá para Login → Certificados de assinatura SAML → Ações → Exibir metadados do IdP e, em seguida, salve o arquivo XML.
Referência:
Microsoft Entra ID (Azure AD)
Duas fontes abrangem os valores que a Criteo precisa:
Página SSO do aplicativo corporativo — fornece a URL de login, o Entra ID e o download do certificado. Vá para o aplicativo da sua empresa → Página de configuração de login único.
Endpoint de metadados de federação entre locatários — frequentemente a fonte única mais rápida. Disponível em:
https://login.microsoftonline.com/<tenant>/FederationMetadata/2007-06/FederationMetadata.xml
Referências:
AD FS
O AD FS é um software instalado localmente; por isso, não existe um guia único que oriente o cliente sobre como localizar seus valores. Você precisará seguir duas etapas separadas:
URL de metadados de federação — fornece o ID da entidade e o endpoint SSO.
Certificado de assinatura de token — exportado separadamente do console de gerenciamento do AD FS em Serviço → Certificados.
Fale com seu contato na Criteo caso precise de ajuda para interpretar essas referências.
Referências:
O que a Criteo oferece
Assim que o processo de integração começa, a Criteo compartilha o arquivo de metadados do provedor de serviços (SP). Utilize-o para configurar a Criteo no seu IdP. Ele contém os seguintes valores:
Campo | Descrição |
|---|---|
URI de audiência (ID de entidade) | Identificador único para o serviço SSO da Criteo |
URL de resposta (URL ACS) | A URL de destino para onde seu IdP envia a declaração SAML após um login bem-sucedido |
Certificado X509 | Certificado de assinatura da Criteo |
Processo de integração do SSO
Etapa 1: Solicitar integração
Fale com seu contato na Criteo para iniciar o processo de federação SSO. Após registrar sua solicitação, um representante da Criteo enviará um email de boas-vindas com:
O arquivo de metadados SP e seus valores-chave — URI de audiência (ID de entidade), URL de resposta (URL ACS), formato NameID e certificado X509 — são necessários para configurar a Criteo como provedor de serviços em seu IdP.
Segue uma lista de perguntas às quais a Criteo precisa que você responda antes de a integração prosseguir.
Encaminhe este email para os responsáveis da sua equipe de TI para que eles iniciem a configuração do IdP.
Etapa 2: Configurar seu IdP e responder
Utilizando o arquivo de metadados do SP fornecido pela Criteo, configure a Criteo como provedor de serviços em seu provedor de identidade. Se o seu IdP permitir o upload de metadados, você poderá usar o arquivo diretamente. Caso contrário, adicione os valores individuais manualmente à sua configuração SAML.
Quando a configuração do seu IdP estiver pronta, responda ao email de boas-vindas com as seguintes informações:
Seu arquivo de metadados IdP — anexe o arquivo XML à resposta. Ou você pode fornecer os valores individualmente:
ID de entidade IdP
URL de endpoint SSO
Certificado de assinatura
Domínios a federar — os domínios de email que devem usar SSO (ex.:
@yourcompany.com)Provedor de identidade — o nome do seu IdP (por exemplo, Microsoft Entra ID, Okta, AD FS)
Identificador de usuário — o atributo SAML que a Criteo usará para identificar usuários. Recomendamos
emailAddressUsuários de teste — os endereços de email dos usuários que testarão o SSO antes da implementação
Ambiente — se você planeja fornecer um arquivo de metadados separado para seu ambiente de produção
Data prevista para go-live (opcional)
Etapa 3: A Criteo valida e configura
A equipe Criteo analisa sua resposta e valida os detalhes técnicos. Caso falte alguma informação ou algo não esteja claro, entraremos em contato diretamente com você para resolver a questão antes de prosseguir.
Após a conclusão da validação, a Criteo configurará o SSO para os usuários de teste designados e notificará você para iniciar os testes.
Etapa 4: Testar a ativação
A Criteo ativa o SSO apenas para usuários de teste autorizados, em vez de aplicá-lo a todo o domínio. Você receberá um link por email para iniciar os testes.
Para obter os melhores resultados, cada usuário deve testar o SSO seguindo as etapas abaixo:
Abra uma janela anônima para impedir o uso de cookies ou sessões existentes.
Vá para account.criteo.com e insira seu endereço de email comercial.
Você será redirecionado para a página de login da sua empresa.
Faça login usando as credenciais da empresa (não as credenciais da sua conta Criteo).
Após a autenticação bem-sucedida, você verá a página Informações da conta, que exibe seus dados pessoais. Isso confirma que o teste de SSO foi concluído com sucesso.
Assim que o teste for concluído, você poderá acessar sua plataforma Criteo normalmente.
O SSO é ativado para cada usuário durante esta fase. Seus outros usuários continuarão a fazer login normalmente até o go-live.
Etapa 5: Teste
Seus usuários de teste fazem login através da URL compartilhada pela Criteo e verificam se:
Eles serão redirecionados para a página de login do IdP.
Após o login, eles são redirecionados para a conta da Criteo.
Eles podem ver as contas e os dados corretos.
Caso haja algum problema, compartilhe capturas de tela ou mensagens de erro com a Criteo através da mesma conversa por email. A integração pode ser revertida mediante solicitação durante esta fase.
Etapa 6: Go-live
Assim que todos os usuários de teste fizerem login com sucesso, a Criteo ativará o SSO para todos os usuários dos domínios federados na data acordada.
Se ocorrer qualquer problema após o go-live, entre em contato para reverter ou corrigir a configuração.
Manutenção contínua do SSO
Alguns campos são definidos durante o processo inicial de integração e raramente precisam ser alterados. Outros exigem atualizações periódicas durante a vida útil da integração.
Raramente alterado
Essas configurações são definidas durante o processo de integração e permanecem estáveis:
ID de entidade SP
SP ACS/URL de resposta
ID de entidade IdP
Atributo SAML usado para correspondência de usuários
Atualizado periodicamente
Campo | Por que muda? |
|---|---|
Certificado de assinatura SP da Criteo | Válido por cinco anos a partir da data de emissão. A Criteo notificará você quando a renovação for necessária. |
Seu certificado de assinatura do IdP | A duração depende da configuração do seu IdP. Atualize antes que expire — compartilhe o arquivo de metadados atualizado com a Criteo com antecedência. |
Domínios de email federados | Você poderá adicionar novos domínios ou remover os existentes após o go-live. |
Metadados do IdP | A atualização é necessária ao migrar sistemas IdP ou alterar ambientes. |
Para atualizar qualquer um desses campos após o go-live, fale com seu contato na Criteo.