Inicio de sesión único (SSO) en Claude

El inicio de sesión único (SSO, Single Sign-On) en Claude es la función de los planes empresariales que delega la autenticación de los usuarios en el proveedor de identidad (IdP) de la organización, como Okta, Microsoft Entra ID o Google Workspace. En lugar de crear contraseñas o depender de enlaces mágicos por correo, cada empleado entra en Claude con su cuenta corporativa, y es el equipo de IT quien decide quién tiene acceso y cuándo lo pierde.

Cómo funciona

El SSO se apoya en protocolos estándar de federación de identidad, principalmente SAML 2.0 y, según el proveedor, OIDC. El flujo típico es:

1. El usuario introduce su correo corporativo en la pantalla de acceso de Claude.
2. Claude reconoce el dominio como perteneciente a una organización con SSO y redirige al IdP de la empresa.
3. El IdP autentica al usuario aplicando sus propias políticas: MFA, acceso condicional, restricciones por dispositivo o ubicación.
4. El IdP devuelve una aserción firmada a Claude, que abre la sesión dentro del espacio de trabajo de la organización.

Para activarlo, un administrador de la organización configura la conexión desde los ajustes de administración de Claude y, habitualmente, verifica la propiedad del dominio mediante un registro DNS. Esa verificación es la que habilita funciones asociadas como la captura de dominio (que las cuentas creadas con el correo corporativo queden bajo la organización) y, en Enterprise, el aprovisionamiento automático de usuarios mediante SCIM. La disponibilidad exacta de cada función depende del plan contratado y conviene revisarla en la documentación vigente de Anthropic.

Por qué importa

• Bajas inmediatas: cuando alguien deja la empresa y se desactiva en el IdP, pierde el acceso a Claude, incluidas conversaciones, proyectos y conocimiento compartido. Sin SSO, esa baja depende de que alguien se acuerde de hacerla a mano.
• Políticas de seguridad heredadas: la MFA y el acceso condicional que ya exige la empresa se aplican también a Claude, sin configurar nada aparte.
• Control del uso no autorizado: junto con la captura de dominio, evita que los empleados usen cuentas personales con datos de la empresa fuera de la vista de IT.
• Auditoría y cumplimiento: los inicios de sesión quedan registrados en el IdP, lo que simplifica auditorías ISO 27001, ENS o revisiones de RGPD.

Ejemplo práctico

Una consultora de 300 personas despliega Claude. Sin SSO, cada consultor se registra con su correo y el administrador invita y elimina usuarios uno a uno. Con SSO y SCIM, IT asigna la aplicación Claude a un grupo del directorio, por ejemplo "Consultoría", y las altas y bajas se sincronizan solas. Si un consultor cambia de departamento y sale del grupo, su acceso se ajusta sin tickets manuales.

Errores comunes

• Confundir SSO con SCIM: el SSO resuelve cómo se autentica el usuario; SCIM resuelve quién existe en la organización. Sin SCIM, desactivar a alguien en el IdP bloquea su próximo acceso, pero su cuenta puede seguir apareciendo en Claude hasta que se elimine.
• Pensar que cubre la API: el SSO protege el acceso a la aplicación de Claude y a la consola de administración. Las llamadas a la API se autentican con claves de API, que deben gestionarse y rotarse por separado.
• No dejar un administrador de respaldo: si el IdP falla o se configura mal el certificado SAML, conviene tener un procedimiento de recuperación definido antes de forzar el SSO a todos.
• Asumir que lo incluye cualquier plan: los planes individuales no ofrecen SSO; es una función de los planes de organización.