- SSO (SAML ou OAuth/OIDC) resolve autenticação; SCIM resolve ciclo de vida do usuário (provisionamento/desprovisionamento).
- Comece com piloto e plano de rollback para evitar parada do time comercial.
- Mapeie grupos do IdP para perfis/papéis do CRM, não para pessoas — isso é o que escala.
- Padronize MFA no IdP e desative logins locais/senhas do CRM quando estiver estável.
- Audite: quem tem acesso, de onde entra, e quais integrações usam contas genéricas.
1) Defina o objetivo (e o que NÃO é objetivo)
Escreva em uma frase: “queremos login único + MFA centralizado + desligamento imediato”. Deixe explícito que SSO não corrige permissões mal desenhadas nem substitui governança de dados. Isso evita o clássico projeto que vira ‘reforma geral’ do CRM.
2) Faça um inventário de identidades e acessos
Liste: usuários internos, terceirizados, parceiros, contas de integração e contas de serviço. Identifique como cada um autentica hoje (senha local, Google/Microsoft, etc.) e quais áreas do CRM acessa. Se existir ‘usuário compartilhado’, trate como dívida técnica prioritária.
3) Escolha o método: SAML vs OAuth/OIDC
SAML ainda é muito comum em CRMs corporativos; OAuth/OIDC costuma ser mais moderno e simples para apps web, mas depende do suporte do CRM. A decisão prática é: use o que o CRM suporta melhor e o IdP opera com menos fricção — o “melhor” padrão é o que você consegue manter.
4) Modele permissões e grupos antes de ligar o SSO
Crie grupos no IdP (por função e nível de acesso) e mapeie para perfis/papéis no CRM. Evite mapear usuário a usuário. Defina também políticas: quem pode acessar via web, mobile, API; e se haverá restrição por localização/rede (quando fizer sentido).
5) Planeje o provisionamento: SCIM (se disponível)
Se o CRM suportar SCIM, habilite para criar, atualizar e remover usuários automaticamente conforme grupos do IdP. Sem SCIM, mantenha um processo formal (com dono e SLA) para onboarding/offboarding — porque desligamento manual é onde a segurança mais falha.
6) Configure em ambiente de teste e prepare rollback
Se houver sandbox, use. Se não houver, crie um piloto com poucos usuários e horários de menor risco. Garanta um caminho de retorno (ex.: manter login local por um período controlado) para o time não ficar bloqueado em caso de falha no IdP.
7) Piloto: valide o que quebra de verdade
Teste: login web e mobile, MFA, troca de senha no IdP, expiração de sessão, reset de acesso, e principalmente acesso a objetos/dados conforme grupos. Valide também integrações: algumas usam tokens/contas que não podem depender de login interativo.
8) Corte gradual: desligue logins locais com critério
Depois do piloto, amplie por área. Só desative logins locais/senha do CRM quando (a) todos os perfis estiverem corretos e (b) você tiver exceções documentadas (ex.: contas de serviço) com dono, motivo e data de revisão.
9) Operação contínua: auditoria e revisão trimestral
Defina rotina: revisão de grupos, checagem de usuários sem grupo, usuários inativos, e permissões elevadas. A cada ciclo, confirme se exceções continuam válidas. Segurança em CRM morre por ‘acesso que ninguém lembra por que existe’.
SSO no CRM: o que muda na prática
SSO (Single Sign-On) desloca a autenticação para um provedor de identidade (IdP). Em vez de cada pessoa ter (e esquecer) uma senha do CRM, ela entra com a identidade corporativa — normalmente com MFA e políticas centralizadas.
O ganho não é só conveniência. É governança: quando alguém sai da empresa, você corta a conta no IdP e, idealmente, o acesso ao CRM cai junto. Sem isso, desligamento vira uma caça ao tesouro entre CRMs, planilhas, integrações e contas “temporárias”.
SAML vs OAuth/OIDC: como escolher sem discussão religiosa
SAML é comum em ambientes corporativos e integra bem com muitos CRMs. OAuth 2.0 com OpenID Connect (OIDC) tende a ser mais moderno e amigável, mas nem todo CRM implementa OIDC de forma completa.
A escolha mais responsável é pragmática: suporte nativo do CRM, maturidade do seu IdP, facilidade de troubleshooting e impacto em mobile/API.
| Decisão | Quando SAML costuma ganhar | Quando OAuth/OIDC costuma ganhar |
|---|---|---|
| Compatibilidade do CRM | CRM mais antigo/corporativo com SSO via SAML bem documentado | CRM com SSO moderno e documentação clara de OIDC |
| Operação e suporte | Time de TI já opera SAML há anos (menos surpresa) | Time já padronizou OIDC para apps internos |
| Mobile e apps | Funciona, mas pode exigir ajustes de sessão/redirect dependendo do app | Geralmente mais suave para apps web/mobile modernos (depende do CRM) |
| Troubleshooting | Problemas comuns: assertion, atributos, relógio/expiração | Problemas comuns: redirect URI, scopes, refresh token |
SCIM: a parte que evita acesso fantasma no CRM
SSO resolve como a pessoa autentica. SCIM resolve se ela existe (ou não) como usuário do CRM, com quais atributos e em quais grupos.
Sem SCIM, é comum ver atrasos em onboarding/offboarding, licenças sobrando e, pior, ex-funcionário ainda ‘ativo’ porque ninguém removeu a conta local no CRM. Se SCIM não existir, trate o processo manual como operação crítica, com dono e auditoria.
Checklist de riscos que derrubam projeto de SSO
Os problemas raramente são ‘o SSO não funciona’. Normalmente é mapeamento de permissão, exceções mal documentadas e integrações esquecidas.
- Grupos no IdP não correspondem a perfis/papéis reais no CRM (e viram gambiarra).
- Contas de integração usando usuário humano (quando a pessoa sai, tudo quebra).
- Exceções sem prazo (“depois a gente arruma”) que viram acesso permanente.
- Falta de plano de rollback em dia de virada (time comercial parado, pressão para voltar ao ‘jeito antigo’).
- MFA inconsistente (alguns com, outros sem) por políticas diferentes no IdP.
Perguntas frequentes
SSO no CRM substitui permissões e perfis?
Preciso de SCIM para ter SSO funcionando?
O que fazer com contas de integração e automações quando ativa SSO?
Como evitar que o SSO trave o time no dia da mudança?
Leia também
RBAC vs ABAC no CRM: qual modelo de permissões escolher (sem travar o time)
Entenda a diferença entre RBAC (por função) e ABAC (por atributos) no CRM, com exemplos de vendas/CS, tabela comparativa e um roteiro prático para decidir sem criar burocracia.
Ler →
Como configurar permissões e perfis no CRM sem travar o time (e sem virar terra de ninguém)
Guia prático para definir perfis, papéis e permissões no CRM com segurança e fluidez: o que restringir, o que liberar e como auditar sem burocracia.
Ler →
Como auditar permissões no CRM sem parar o time: checklist prático e roteiro em 1 semana
Guia prático para revisar perfis, papéis e acessos no CRM sem travar vendas e atendimento: riscos comuns, checklist, roteiro em 1 semana e perguntas frequentes.
Ler →
Governança de dados no CRM: como definir regras sem travar o time
Guia editorial para montar governança de dados no CRM: padrões de cadastro, dono do dado, permissões, qualidade e auditoria. Com passos e FAQ para não virar burocracia.
Ler →