Single Sign-on (SSO)

Single Sign-on lässt alle in deinem Team sich mit eurem bestehenden Unternehmens-Identity-Provider bei CrunchJunkie anmelden — Microsoft Entra ID (Azure AD), Google Workspace, Okta oder jeder OpenID-Connect-Provider — statt mit einem separaten Passwort. Neue Teammitglieder werden beim ersten Login automatisch in deinen Workspace aufgenommen. SSO ist in den Tarifen Pro, Agency und Scale verfügbar und wird von einem Inhaber oder Admin unter Einstellungen → SSO konfiguriert. Ohne aktiven Pro-, Agency- oder Scale-Tarif ist Single Sign-on pausiert: Dein Team meldet sich dann mit Passwort oder Google an, und wer bisher nur SSO genutzt hat, legt über „Passwort vergessen“ ein Passwort fest. Dieses Passwort ist vorübergehend. Sobald der Tarif wieder aktiv ist und SSO funktioniert, wird es entfernt, Sitzungen, die damit angemeldet waren, enden innerhalb von etwa einer Minute, und die Person meldet sich wieder mit SSO an; wir schicken ihr dann einmal eine E-Mail. Ein Passwort, das jemand schon vorher hatte, bleibt. Solange sich jemand mit einem solchen vorübergehenden Passwort anmeldet, lässt sich seine E-Mail-Adresse nicht ändern. API-Schlüssel gehören zum Workspace, nicht zu einem Passwort, und werden deshalb nicht entfernt: Wird ein vorübergehendes Passwort entfernt, nennt das Admin-Audit-Protokoll die API-Schlüssel, die diese Person in der Zwischenzeit erstellt hat, und Inhaber oder Admins können sie unter Einstellungen → API prüfen und nicht benötigte widerrufen. Inhaber oder Admins können SSO weiterhin ausschalten, Domains entfernen oder die Verbindung löschen; sobald der Tarif wieder aktiv ist, funktioniert SSO wieder. Wir unterstützen heute OpenID Connect, das die große Mehrheit der Enterprise-IdPs abdeckt. Wenn euer Provider nur SAML spricht, meldet euch – SAML gibt es im Scale-Plan auf Anfrage.

Lege in deinem Identity Provider eine neue OIDC-Anwendung (OpenID Connect) an. Setze die Redirect-URI auf den in Einstellungen → SSO angezeigten Wert — sie sieht aus wie https://app.crunchjunkie.io/api/auth/sso/callback. Fordere die Standard-Scopes openid, email und profile an. Dein IdP gibt dir drei Dinge: eine Issuer-URL, eine Client-ID und ein Client-Secret. Füge sie in Einstellungen → SSO ein und speichere. Das Secret wird verschlüsselt gespeichert und nie wieder angezeigt — zum Ändern speicherst du einfach ein neues. Zwei häufige Fälle. Google Workspace: Lege in der Google-Cloud-Konsole eine OAuth-Client-ID vom Typ „Webanwendung“ an, trage dort die Redirect-URI ein und nutze https://accounts.google.com als Issuer-URL. Microsoft Entra ID: Registriere eine App, füge die Redirect-URI als Plattform „Web“ hinzu und nutze https://login.microsoftonline.com/<deine Tenant-ID>/v2.0 als Issuer-URL. Meldet dein IdP „redirect_uri_mismatch“, weicht die dort eingetragene Adresse von der unter Einstellungen → SSO angezeigten ab — kopiere sie erneut, Zeichen für Zeichen.

SSO leitet einen Login anhand der E-Mail-Domain des Nutzers, du gibst uns also an, welche Domains zu dir gehören, und weist deren Besitz nach. Füge eine Domain (z. B. acme.com) unter Einstellungen → SSO hinzu, und wir zeigen einen DNS-TXT-Eintrag — trage ihn im DNS dieser Domain ein und klicke auf Verifizieren. Eine Domain leitet erst nach der Verifizierung Logins, und jede Domain kann nur zu einem Workspace gehören, sodass niemand sonst deine beanspruchen kann. Eine Domain, die 30 Tage lang nicht verifiziert wird, wird wieder freigegeben, damit ein unfertiger Anspruch den echten Inhaber nicht blockiert; um sie danach zu verifizieren, füge sie erneut hinzu und du erhältst einen neuen TXT-Eintrag. Lege ihn als neuen TXT-Eintrag auf der Domain selbst an (Host @ oder leer), zusätzlich zu den TXT-Einträgen, die es schon gibt — SPF- und andere Verifizierungseinträge bleiben, wie sie sind. Füge den vollständigen Wert ein, einschließlich des Codes nach dem Gleichheitszeichen: Manche DNS-Oberflächen schneiden einen eingefügten Wert am „=“ ab. DNS-Änderungen brauchen ein paar Minuten; schlägt die Verifizierung fehl, warte kurz und versuche es erneut.

Sobald mindestens eine Domain verifiziert ist, aktiviere SSO. Ab dann öffnet ein Nutzer die Login-Seite, klickt auf „Continue with single sign-on (SSO)“ — oder geht direkt auf app.crunchjunkie.io/auth/sso —, gibt seine geschäftliche E-Mail ein und wird zu deinem IdP geleitet; nach der Authentifizierung dort (einschließlich eines zweiten Faktors, falls dein IdP ihn verlangt) landet er angemeldet auf seiner CrunchJunkie-Startseite. Beim ersten Login von einer verifizierten Domain wird die Person automatisch deinem Workspace hinzugefügt. Im Hintergrund validieren wir das signierte Token des Identity Providers (Signatur, Issuer, Audience und eine Nonce pro Login), bevor wir der E-Mail vertrauen — nur eine echte Antwort deines IdP kann also jemanden anmelden. Und dein IdP kann nur Adressen auf den Domains anmelden, die du verifiziert hast: Eine Adresse auf jeder anderen Domain wird abgelehnt, auch wenn das Token selbst echt ist. Du kannst SSO jederzeit deaktivieren, was das Weiterleiten von Logins an deinen IdP sofort stoppt (bestehende Passwort-Logins bleiben unberührt). SSO einzuschalten schaltet Passwörter nicht ab: Wer schon ein Passwort hat, kann es weiter nutzen. Solange SSO für eine Domain aktiv ist, legt das Registrierungsformular für ihre Adressen kein Konto mit Passwort an: Die Adresse bekommt stattdessen eine E-Mail mit dem Link zur SSO-Anmeldung, und das Formular antwortet wie immer, verrät also nicht, ob es zu der Adresse ein Konto gibt, und ein Link zum Bestätigen einer Adresse auf dieser Domain wird nicht verschickt. Und hat jemand ein Konto für eine Adresse angelegt, bevor ihr Inhaber sie je bestätigt hat, werden Passwort und Sitzungen dieses Kontos entfernt, sobald sich die richtige Person zum ersten Mal per SSO oder mit einem Google-Konto anmeldet, das die Adresse belegt (Gmail oder Google Workspace). So kann niemand vorab ein Konto für die Adresse eines Kollegen einrichten. Zwei-Faktor-Einstellungen, API-Schlüssel und weitere verknüpfte Anmeldungen werden ebenfalls entfernt, außer die Google-Anmeldung, die die Adresse belegt, ist die einzige verknüpfte: Dann hat dieselbe Person sie eingerichtet, behält sie und bekommt eine E-Mail, dass das Passwort entfernt wurde. Wer seine Adresse schon früher bestätigt hat, behält sein Passwort.

Ein fehlgeschlagener Versuch führt mit einer kurzen Meldung zurück zur Login-Seite (die Meldungen dort sind auf Englisch). Was sie bedeuten: „isn't available for that email domain“ — die Domain ist nicht verifiziert, SSO ist für sie nicht aktiviert, oder der Workspace hat keinen aktiven Pro-, Agency- oder Scale-Tarif. Die Meldung ist in allen drei Fällen dieselbe, die Login-Seite verrät also niemandem den Tarif eines Workspace; melde dich so lange mit Passwort oder Google an (noch kein Passwort? Leg über „Passwort vergessen“ eins fest). „Couldn't reach your company's identity provider“ — die Issuer-URL unter Einstellungen → SSO stimmt nicht oder der IdP ist nicht erreichbar. „Couldn't verify the response“ oder „didn't return a sign-in token“ — Client-ID oder Client-Secret passen nicht zur App im IdP. „Expired or was opened in a different browser“ — der Versuch hat länger als zehn Minuten gedauert oder Cookies sind blockiert; starte neu. „Hasn't verified your email address“ — der IdP bestätigt dieses Postfach nicht, also melden wir es nicht an. „Domain isn't verified for your workspace's single sign-on“ — dein IdP hat eine Adresse auf einer Domain geliefert, die du nicht verifiziert hast (zum Beispiel eine Alias-Domain oder eine Subdomain); verifiziere auch diese Domain oder lass den IdP die Adresse auf deiner verifizierten Domain senden. „Your company's single sign-on is active again“ — das Passwort, mit dem du dich anmelden wolltest, wurde festgelegt, während SSO nicht verfügbar war, und ist entfernt, seit SSO wieder funktioniert: Klick auf „Continue with single sign-on (SSO)“. Eine Fehlermeldung des IdP selbst (zum Beispiel „redirect_uri_mismatch“) heißt: Die dort registrierte App muss korrigiert werden, nicht CrunchJunkie.