Configurar el inicio de sesión único (SSO)

El inicio de sesión único (SSO) está disponible en los planes Business y Enterprise y permite una autenticación segura y centralizada en toda tu organización. Con SSO, los usuarios pueden acceder a Lovable con un único conjunto de credenciales, lo que simplifica la gestión de accesos y mejora la seguridad.

Solo inicio de sesión iniciado por el proveedor de servicios (SP): los usuarios deben iniciar sesión desde Lovable (SP).El SSO iniciado por el proveedor de identidad (IdP) (empezando desde un acceso directo en el panel del IdP) no es compatible.

Protocolos de SSO compatibles

Lovable es compatible con los protocolos OIDC y SAML 2.0, lo que permite integrarse con los principales proveedores de identidad (IdP), incluidos Okta, Auth0, Microsoft Entra ID (Azure AD) y otros.

OpenID Connect (OIDC): recomendado; una capa de identidad moderna basada en OAuth 2.0 que proporciona verificación de identidad.
SAML (Security Assertion Markup Language) 2.0: protocolo basado en XML para intercambiar datos de autenticación y autorización, ampliamente utilizado en entornos empresariales.

Requisitos previos

Para conectar tu proveedor de identidad con Lovable mediante OIDC o SAML, necesitas:

Acceso de administrador al IdP (Okta, Auth0, Microsoft Entra ID u otro proveedor que estés usando)
Rol de propietario o administrador del espacio de trabajo de Lovable
Un dominio verificado en Lovable

Inicia la configuración de SSO en Lovable

La configuración de SSO es una configuración bidireccional entre Lovable y tu proveedor de identidad:

Lovable → IdP: copia las URL y los ajustes de Lovable en la aplicación de tu IdP.
IdP → Lovable: copia el emisor (issuer), los metadatos y los certificados de tu IdP nuevamente en Lovable.

El propietario o el administrador del espacio de trabajo pueden configurar SSO. Para empezar, ve a Settings → Workspace → Identity → Add SSO provider, luego elige OIDC o SAML.

Referencia de configuración del IdP

Cuando inicias la configuración del proveedor de SSO en Lovable, verás:

Qué configurar en tu IdP (por ejemplo, tipo de aplicación, scopes y asignaciones de atributos)
URLs e identificadores de Lovable que quizá tengas que introducir en el IdP.

Usa la siguiente referencia al configurar OIDC o SAML en tu IdP.

OIDC
SAML

Tipo de aplicación: Web Application
Tipo de concesión (grant type): Authorization Code
Método de token: POST (si es configurable)
URI de redirección para copiar y añadir a tu IdP: https://auth.lovable.dev/__/auth/handler
Scopes de OAuth:
- Obligatorios: openid, email
- Recomendado: profile

URL de ACS (Assertion Consumer Service): https://auth.lovable.dev/__/auth/handler
ID de entidad del SP / URI de audiencia: https://auth.lovable.dev/__/auth/handler
Asignaciones de atributos:
- email (obligatorio): asegúrate de que el formato esté establecido en EmailAddress
- displayName (recomendado): asigna el nombre completo del usuario
- photoURL (recomendado): asigna la URL de la foto de perfil del usuario

Guías de configuración específicas del proveedor

Si usas Okta, Auth0 o Microsoft Entra, puedes encontrar documentación específica de cada proveedor para configurar SSO. Si usas otro proveedor, consulta Configurar otros proveedores. Antes de comenzar, completa Iniciar la configuración de SSO en Lovable para obtener la configuración y los valores que necesitas usar en tu IdP.

Configura Okta como tu proveedor de SSO

OIDC
SAML

Crea una aplicación en Okta Admin Console

En Applications, haz clic en Create App Integration y selecciona OIDC. Luego selecciona el tipo de aplicación Web Application.
Asigna un nombre a la aplicación, por ejemplo Lovable OIDC SSO.

Configura la integración OIDC

Establece Grant type en Authorization Code.
Elimina las URIs de redirección predeterminadas.
Añade la URL de redirección de Lovable en las Sign-in redirect URIs de Okta: https://auth.lovable.dev/__/auth/handler
En Assignments, asigna la aplicación a los usuarios/grupos que deban acceder a Lovable.

Guarda la aplicación

Haz clic en Save. Tu aplicación se ha creado en Okta.

Configura la Okta Issuer URL

En Okta, ve a Sign On → OpenID Connect ID Token, selecciona Okta URL en el menú desplegable Issuer y haz clic en Save.

Proporciona a Lovable la información de tu IdP

En Okta, copia el siguiente valor de la pestaña Sign On e introdúcelo en Lovable.

Okta Issuer URL → Lovable OIDC Issuer URL/Discovery Endpoint

En Okta, copia los siguientes valores de la pestaña General e introdúcelos en Lovable.

Okta Client ID → Lovable OAuth Client ID/Application ID
Okta Client Secret → Lovable OAuth Client Secret

(Opcional) Prueba la configuración en Lovable

En Lovable, haz clic en Test configuration. Si todo está configurado correctamente, la validación debería completarse correctamente.

Finaliza la configuración del proveedor OIDC en Lovable

En Lovable, haz clic en Configure provider para finalizar la configuración de Okta como tu proveedor de SSO OIDC.

Crea una aplicación en Okta Admin Console

En Applications, haz clic en Create App Integration y selecciona SAML 2.0.
Asigna un nombre a la aplicación, por ejemplo Lovable SAML SSO.

Configura los parámetros de SAML

Single sign-on URL: https://auth.lovable.dev/__/auth/handler
Audience URI (SP Entity ID): https://auth.lovable.dev/__/auth/handler
Name ID format: EmailAddress

Guarda la aplicación

Haz clic en Finish. Tu aplicación se ha creado en Okta.

Proporciona a Lovable la información de tu IdP

En Okta, ve a Sign On → SAML 2.0 → Metadata details, copia la Metadata URL y ábrela en una nueva pestaña.Copia los siguientes valores de la Metadata URL e introdúcelos en Lovable:

Okta SingleSignOnService Location → Lovable SAML SSO Sign-on URL from your IdP
Okta EntityID → Lovable Identity Provider Entity ID / Issuer
Okta X509Certificate → Lovable X.509 Signing Certificate (public key)
Pega el valor del certificado entre las líneas -----BEGIN CERTIFICATE----- y -----END CERTIFICATE-----.

Finaliza la configuración del proveedor SAML en Lovable

En Lovable, haz clic en Configure SAML Provider → Confirm & Enable SSO para finalizar la configuración de Okta como tu proveedor de SSO SAML.

Configurar Auth0 como tu proveedor de SSO

OIDC
SAML

Crear una aplicación en Auth0 Admin Dashboard

En Applications, haz clic en Create application. Selecciona el tipo de aplicación Regular Web Applications.
Asigna un nombre a la app, por ejemplo Lovable OIDC SSO.
Haz clic en Create.

Configurar Allowed Callback URLs

En Auth0, ve a la configuración de tu aplicación, agrega las Allowed Callback URLs: https://auth.lovable.dev/__/auth/handler y haz clic en Save.

Proporcionar a Lovable la información de tu IdP

En Auth0, copia los siguientes valores de la pestaña Settings e introdúcelos en Lovable.

Auth0 Domain → Lovable OIDC Issuer URL/Discovery Endpoint (incluye https://)
Auth0 Client ID → Lovable OAuth Client ID/Application ID
Auth0 Client Secret → Lovable OAuth Client Secret

(Opcional) Probar la configuración en Lovable

En Lovable, haz clic en Test configuration. Si configuraste todo correctamente, la validación debería completarse correctamente.

Finalizar la configuración del proveedor OIDC en Lovable

En Lovable, haz clic en Configure provider para finalizar la configuración de Auth0 como tu proveedor de SSO OIDC.

Crear una aplicación en Auth0 Admin Dashboard

En Applications, haz clic en Create application. Selecciona el tipo de aplicación Regular Web Applications.
Asigna un nombre a la app, por ejemplo Lovable SAML SSO.
Haz clic en Create.

Configurar Allowed Callback URLs

En Auth0, ve a la configuración de tu aplicación, agrega las Allowed Callback URLs: https://auth.lovable.dev/__/auth/handler y haz clic en Save.

Configurar SAML2 Web App Add-on

En Auth0, ve a Addons y habilita SAML2 Web app.
En Addon: SAML2 Web app → Settings, configura lo siguiente:
- Application Callback URL: https://auth.lovable.dev/__/auth/handler
- Settings: pega el siguiente JSON de mappings

    {
      "mappings": {
        "email": "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier"
      },
      "nameIdentifierFormat": "urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress"
    }

Haz clic en Enable.

Proporcionar a Lovable la información de tu IdP

En Auth0 → Addon: SAML2 Web app → Usage, copia los siguientes valores de SAML Protocol Configuration Parameter e introdúcelos en Lovable.

Auth0 Identity Provider Login URL → Lovable SAML SSO Sign-on URL from your IdP
Auth0 Issuer → Lovable Identity Provider Entity ID / Issuer
Auth0 X509Certificate → Lovable X.509 Signing Certificate (public key)
Descarga el certificado de Auth0 y copia el valor de X509Certificate. Pega el valor del certificado entre las líneas -----BEGIN CERTIFICATE----- y -----END CERTIFICATE-----.

Finalizar la configuración del proveedor SAML en Lovable

En Lovable, haz clic en Configure SAML Provider → Confirm & Enable SSO para finalizar la configuración de Auth0 como tu proveedor de SSO SAML.

Configura Microsoft Entra ID como tu proveedor de SSO

SAML

Crea una app empresarial en el centro de administración de Microsoft Entra

En Enterprise applications, selecciona New application.
Selecciona Create your own application y elige Integrate any other application you don’t find in the gallery (Non-gallery).
Asigna un nombre a la app, por ejemplo Lovable SAML SSO.
Haz clic en Create. Tu aplicación ya está creada.

Configura SAML SSO

En Microsoft Entra, ve a la página de configuración de Single sign-on y selecciona SAML. En Basic SAML Configuration, introduce lo siguiente:

Identifier (Entity ID): https://auth.lovable.dev/__/auth/handler
Reply URL (Assertion Consumer Service URL): https://auth.lovable.dev/__/auth/handler

Deja los demás valores en blanco y selecciona Save.

Proporciona a Lovable la información de tu IdP

Cuando hayas configurado la aplicación, copia los siguientes valores e introdúcelos en Lovable.

Microsoft Entra Login URL → Lovable SAML SSO Sign-on URL from your IdP
Microsoft Entra Microsoft Entra Identifier → Lovable Identity Provider Entity ID / Issuer
Microsoft Entra X509Certificate → Lovable X.509 Signing Certificate (public key)
Puedes descargar el certificado (Base 64) o abrir la App Federation Metadata URL en una nueva pestaña y copiar el valor de X509Certificate. Pega el valor del certificado entre las líneas -----BEGIN CERTIFICATE----- y -----END CERTIFICATE-----.

Finaliza la configuración del proveedor SAML en Lovable

En Lovable, haz clic en Configure SAML Provider → Confirm & Enable SSO para finalizar la configuración de Microsoft Entra ID como tu proveedor de SAML SSO.

Configurar otros proveedores

Puedes configurar cualquier proveedor compatible con OIDC o SAML con el SSO de Lovable. Antes de comenzar, completa Start SSO setup in Lovable para obtener la configuración y los valores que necesitas usar en tu IdP.

OIDC
SAML

Asignación de proveedorNombres de campos comunes entre proveedores:

Redirect URI: Callback URL, Sign-in redirect URI
Issuer/Domain: Issuer URL, Authority, Okta domain, Auth0 domain, Tenant domain
Client credentials: Client ID y Client Secret

Pasos

Crear una app confidencial OIDC

Crea una nueva aplicación web OIDC en tu proveedor de identidad.

Configurar la Redirect URI

En Redirect/Callback URLs, agrega https://auth.lovable.dev/__/auth/handler

Habilitar los scopes requeridos

Asegúrate de que los scopes openid y email estén habilitados y, si es necesario, se haya otorgado el consentimiento.

Proporcionar a Lovable la información de tu IdP

En tu IdP, copia los siguientes valores e introdúcelos en Lovable:

Domain o Issuer URL → Lovable OIDC Issuer URL/Discovery Endpoint
Client ID → Lovable OAuth Client ID/Application ID
Client Secret → Lovable OAuth Client Secret

Asignación de proveedorNombres de campos comunes entre proveedores:

ACS URL: Single Sign-On URL, SSO URL, Reply URL, Assertion Consumer Service URL
Audience: SP Entity ID, Audience URI, Identifier
Attribute mapping: Attribute Statements, User Attributes & Claims

Pasos

Crear una aplicación SAML 2.0

Crea una nueva aplicación SAML 2.0 en tu proveedor.

Configurar endpoints

ACS URL: https://auth.lovable.dev/__/auth/handler
Audience / Entity ID: https://auth.lovable.dev/__/auth/handler

Mapear atributos

Asegúrate de que email esté incluido en la aserción SAML. displayName es opcional.

Asignar usuarios

Asigna la aplicación a los usuarios/grupos que deban acceder a Lovable.

Solución de problemas

OIDC
SAML

Redirect URI no válida o que no coincide

Asegúrate de que la URL de redirección/callback coincida exactamente con https://auth.lovable.dev/__/auth/handler en tu IdP.

Error en Issuer URL / discovery

Usa la URL de emisor (Issuer) OIDC del proveedor (no solo el dominio).

Para Okta, cópiala desde la pestaña Sign-on
Para Auth0, usa el dominio de tu tenant.

Correo electrónico no devuelto

Concede el scope email y asegúrate de que la cuenta de usuario tenga un correo electrónico principal.

Problemas con el flujo de autorización

Usa Authorization Code con un cliente confidencial y su client secret. Evita los tipos de aplicaciones implícitas o solo PKCE.

ACS o Audience no válidos

Asegúrate de que tanto ACS como Audience/Entity ID coincidan exactamente con https://auth.lovable.dev/__/auth/handler en tu IdP.

Falta la claim de correo electrónico

Asegúrate de asignar (mapear) una claim de correo electrónico.Para Microsoft Entra ID, asigna email a user.mail. Si user.mail está vacío, usa user.userprincipalname.

Credenciales del proveedor no válidas

Pega el certificado X.509 correcto. Si el certificado se rota o renueva, actualízalo en Lovable.

Preguntas frecuentes

Ya tengo una cuenta, pero me estoy uniendo a un espacio de trabajo empresarial que usa SSO. ¿Cómo inicio sesión?

Si creaste tu cuenta usando otro método de inicio de sesión (como correo electrónico/contraseña, Google o GitHub), primero tienes que iniciar sesión de esa manera. Una vez que hayas iniciado sesión, ve a Settings → Your account → Link SSO. Esto vinculará tu cuenta existente con el SSO de tu empresa.

Importante: Si intentas iniciar sesión con SSO antes de vincular tu cuenta existente, verás un error. Esta es una medida de seguridad para evitar accesos no autorizados. Inicia sesión primero usando tu método original para completar el proceso de vinculación.

¿Qué proveedores de SSO admite Lovable?

Lovable admite los protocolos estándar de la industria OIDC y SAML, por lo que puedes integrarte con cualquier proveedor de SSO que los admita.

¿Lovable admite varios proveedores de SSO por espacio de trabajo?

No. Un espacio de trabajo puede tener un único proveedor de SSO activo configurado a la vez.

¿Puedo exigir el uso de SSO para mi espacio de trabajo?

Sí. El propietario o administrador del espacio de trabajo puede habilitar Enforce SSO en Settings → Workspace → Identity y elegir la duración de la sesión para configurar cuánto tiempo permanecen los usuarios conectados antes de requerir una nueva autenticación (24 horas, 48 horas o 7 días).Esto exige que todos los miembros del espacio de trabajo usen SSO para la autenticación. Los colaboradores externos y los enlaces de invitación se deshabilitarán.

¿Lovable admite SSO iniciado por el IdP?

No. El SSO iniciado por el IdP (con acceso desde un tile en el panel del IdP) no es compatible.Lovable admite solo inicio de sesión iniciado por el Proveedor de servicios (SP). Los usuarios deben iniciar sesión desde Lovable.

¿Lovable admite SCIM o el aprovisionamiento automático de usuarios?

Lovable admite aprovisionamiento JIT (just-in-time): las cuentas de usuario se crean automáticamente la primera vez que alguien inicia sesión mediante SSO y se añaden a tu espacio de trabajo de la empresa.También puedes establecer un rol predeterminado para usuarios creados por JIT (admin, editor o viewer) que se aplicará cuando se unan mediante SSO por primera vez.

¿Cómo puedo encontrar mi tenant ID (identificador de inicio de sesión de SSO)?

Tu tenant ID es el valor {tenantId} usado en tu URL de inicio de sesión de SSO:
https://lovable.dev/sso-login/{tenantId}. Coincide con el identificador de inicio de sesión de SSO que definiste al configurar tu proveedor de SSO en Lovable.También puedes encontrarlo en Settings → Workspace → Identity después de haber configurado tu proveedor.

​Protocolos de SSO compatibles

​Requisitos previos

​Inicia la configuración de SSO en Lovable

​Referencia de configuración del IdP

​Guías de configuración específicas del proveedor

​Configura Okta como tu proveedor de SSO

​Configurar Auth0 como tu proveedor de SSO

​Configura Microsoft Entra ID como tu proveedor de SSO

​Configurar otros proveedores

​Solución de problemas

​Preguntas frecuentes

Protocolos de SSO compatibles

Requisitos previos

Inicia la configuración de SSO en Lovable

Referencia de configuración del IdP

Guías de configuración específicas del proveedor

Configura Okta como tu proveedor de SSO

Configurar Auth0 como tu proveedor de SSO

Configura Microsoft Entra ID como tu proveedor de SSO

Configurar otros proveedores

Solución de problemas

Preguntas frecuentes