Configurar o single sign-on (SSO) - Lovable Documentation

O single sign-on (SSO) está disponível nos planos Business e Enterprise e permite autenticação centralizada e segura em toda a sua organização. Com SSO, os usuários podem acessar o Lovable com um único conjunto de credenciais, simplificando o gerenciamento de acesso e melhorando a segurança.

Login iniciado pelo Provedor de Serviço (SP) apenas: os usuários devem iniciar o login a partir do Lovable (SP).SSO iniciado pelo Provedor de Identidade (IdP) (ao iniciar a partir de um bloco no painel do IdP) não é compatível.

Protocolos de SSO compatíveis

Lovable oferece suporte aos protocolos OIDC e SAML 2.0, permitindo integração com todos os principais provedores de identidade (IdP), incluindo Okta, Auth0, Microsoft Entra ID (Azure AD) e outros.

OpenID Connect (OIDC): recomendado; uma camada de identidade moderna construída sobre o OAuth 2.0 que fornece verificação de identidade.
SAML (Security Assertion Markup Language) 2.0: protocolo baseado em XML para a troca de dados de autenticação e autorização, amplamente utilizado em ambientes corporativos.

Pré-requisitos

Para conectar seu provedor de identidade ao Lovable usando OIDC ou SAML, você precisa de:

Acesso de administrador ao IdP (Okta, Auth0, Microsoft Entra ID ou qualquer outro provedor que você estiver usando)
Papel de proprietário ou administrador da área de trabalho no Lovable
Um domínio verificado no Lovable

Iniciar a configuração de SSO no Lovable

A configuração de SSO é uma configuração bidirecional entre o Lovable e seu provedor de identidade:

Lovable → IdP: copie as URLs e configurações do Lovable para o aplicativo do seu IdP.
IdP → Lovable: copie o emissor, metadados e certificados do seu IdP de volta para o Lovable.

O proprietário ou administrador da área de trabalho pode configurar o SSO. Para começar, vá em Settings → Workspace → Identity → Add SSO provider e escolha OIDC ou SAML.

Referência de configuração do IdP

Quando você inicia a configuração do provedor de SSO no Lovable, verá:

O que configurar no seu IdP (por exemplo, tipo de aplicativo, escopos e mapeamentos de atributos)
URLs e identificadores do Lovable que talvez você precise inserir no IdP.

Use a referência abaixo ao configurar OIDC ou SAML no seu IdP.

OIDC
SAML

Tipo de aplicação: Web Application
Tipo de concessão (grant type): Authorization Code
Método de envio do token: POST (se configurável)
URI de redirecionamento para copiar e adicionar ao seu IdP: https://auth.lovable.dev/__/auth/handler
Escopos OAuth:
- Obrigatórios: openid, email
- Recomendado: profile

URL do ACS (Assertion Consumer Service): https://auth.lovable.dev/__/auth/handler
SP Entity ID / Audience URI: https://auth.lovable.dev/__/auth/handler
Mapeamentos de atributos:
- email (obrigatório): certifique-se de que o formato esteja definido como EmailAddress
- displayName (recomendado): faça o mapeamento para o nome completo do usuário
- photoURL (recomendado): faça o mapeamento para a URL da foto de perfil do usuário

Guias de configuração específicos do provedor

Se você usa Okta, Auth0 ou Microsoft Entra, pode encontrar documentação específica do provedor para configurar o SSO. Se você usa outro provedor, consulte Configurar outros provedores. Antes de começar, conclua Iniciar configuração de SSO no Lovable para obter as configurações e os valores que você precisa usar no seu IdP.

Configure Okta como seu provedor de SSO

OIDC
SAML

Crie um aplicativo no Okta Admin Console

Em Applications, clique em Create App Integration e selecione OIDC. Em seguida, selecione o tipo de aplicação Web Application.
Dê um nome ao app, por exemplo Lovable OIDC SSO.

Configure a integração OIDC

Defina Grant type como Authorization Code.
Remova os URIs de redirecionamento padrão.
Adicione a URL de redirecionamento da Lovable no Okta em Sign-in redirect URIs: https://auth.lovable.dev/__/auth/handler
Em Assignments, atribua o aplicativo aos usuários/grupos que devem acessar a Lovable.

Salve o aplicativo

Clique em Save. Seu aplicativo foi criado no Okta.

Configure a Okta Issuer URL

No Okta, vá para Sign On → OpenID Connect ID Token, selecione Okta URL na lista suspensa Issuer e clique em Save.

Forneça à Lovable as informações do seu IdP

No Okta, copie o seguinte valor da aba Sign On e insira-o na Lovable.

Okta Issuer URL → Lovable OIDC Issuer URL/Discovery Endpoint

No Okta, copie os seguintes valores da aba General e insira-os na Lovable.

Okta Client ID → Lovable OAuth Client ID/Application ID
Okta Client Secret → Lovable OAuth Client Secret

(Opcional) Teste a configuração na Lovable

Na Lovable, clique em Test configuration. Se tudo estiver configurado corretamente, a validação deverá ser bem-sucedida.

Conclua a configuração do provedor OIDC na Lovable

Na Lovable, clique em Configure provider para concluir a configuração do Okta como seu provedor de SSO OIDC.

Crie um aplicativo no Okta Admin Console

Em Applications, clique em Create App Integration e selecione SAML 2.0.
Dê um nome ao app, por exemplo Lovable SAML SSO.

Configure as configurações SAML

Single sign-on URL: https://auth.lovable.dev/__/auth/handler
Audience URI (SP Entity ID): https://auth.lovable.dev/__/auth/handler
Name ID format: EmailAddress

Salve o aplicativo

Clique em Finish. Seu aplicativo foi criado no Okta.

Forneça à Lovable as informações do seu IdP

No Okta, vá para Sign On → SAML 2.0 → Metadata details, copie a Metadata URL e abra-a em uma nova aba.Copie os seguintes valores da Metadata URL e insira-os na Lovable:

Okta SingleSignOnService Location → Lovable SAML SSO Sign-on URL from your IdP
Okta EntityID → Lovable Identity Provider Entity ID / Issuer
Okta X509Certificate → Lovable X.509 Signing Certificate (public key)
Cole o valor do certificado entre as linhas -----BEGIN CERTIFICATE----- e -----END CERTIFICATE-----.

Conclua a configuração do provedor SAML na Lovable

Na Lovable, clique em Configure SAML Provider → Confirm & Enable SSO para concluir a configuração do Okta como seu provedor de SSO SAML.

Configurar o Auth0 como seu provedor de SSO

OIDC
SAML

Criar um aplicativo no painel de administração do Auth0

Em Applications, clique em Create application. Selecione o tipo de aplicativo Regular Web Applications.
Dê um nome ao app, por exemplo Lovable OIDC SSO.
Clique em Create.

Configurar Allowed Callback URLs

No Auth0, acesse as configurações do seu aplicativo, adicione as Allowed Callback URLs: https://auth.lovable.dev/__/auth/handler e clique em Save.

Fornecer à Lovable as informações do seu IdP

No Auth0, copie os valores a seguir na aba Settings e insira-os na Lovable.

Auth0 Domain → Lovable OIDC Issuer URL/Discovery Endpoint (inclua https://)
Auth0 Client ID → Lovable OAuth Client ID/Application ID
Auth0 Client Secret → Lovable OAuth Client Secret

(Opcional) Testar a configuração na Lovable

Na Lovable, clique em Test configuration. Se você tiver configurado tudo corretamente, a validação deverá ser bem-sucedida.

Concluir a configuração do provedor OIDC na Lovable

Na Lovable, clique em Configure provider para concluir a configuração do Auth0 como seu provedor de SSO via OIDC.

Criar um aplicativo no painel de administração do Auth0

Em Applications, clique em Create application. Selecione o tipo de aplicativo Regular Web Applications.
Dê um nome ao app, por exemplo Lovable SAML SSO.
Clique em Create.

Configurar Allowed Callback URLs

No Auth0, acesse as configurações do seu aplicativo, adicione as Allowed Callback URLs: https://auth.lovable.dev/__/auth/handler e clique em Save.

Configurar o SAML2 Web App Add-on

No Auth0, acesse Addons e ative SAML2 Web app.
Em Addon: SAML2 Web app → Settings, defina:
- Application Callback URL: https://auth.lovable.dev/__/auth/handler
- Settings: cole o seguinte JSON de mappings

    {
      "mappings": {
        "email": "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier"
      },
      "nameIdentifierFormat": "urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress"
    }

Clique em Enable.

Fornecer à Lovable as informações do seu IdP

Em Auth0 → Addon: SAML2 Web app → Usage, copie os seguintes valores de SAML Protocol Configuration Parameter e insira-os na Lovable.

Auth0 Identity Provider Login URL → Lovable SAML SSO Sign-on URL from your IdP
Auth0 Issuer → Lovable Identity Provider Entity ID / Issuer
Auth0 X509Certificate → Lovable X.509 Signing Certificate (public key)
Faça o download do certificado do Auth0 e copie o valor de X509Certificate. Cole o valor do certificado entre as linhas -----BEGIN CERTIFICATE----- e -----END CERTIFICATE-----.

Concluir a configuração do provedor SAML na Lovable

Na Lovable, clique em Configure SAML Provider → Confirm & Enable SSO para concluir a configuração do Auth0 como seu provedor de SSO via SAML.

Configurar o Microsoft Entra ID como seu provedor de SSO

SAML

Criar um aplicativo corporativo no centro de administração do Microsoft Entra

Em Enterprise applications, selecione New application.
Selecione Create your own application e escolha Integrate any other application you don’t find in the gallery (Non-gallery).
Dê um nome ao app, por exemplo Lovable SAML SSO.
Clique em Create. Seu aplicativo será criado.

Configurar SAML SSO

No Microsoft Entra, acesse a página de configuração de Single sign-on e selecione SAML. Em Basic SAML Configuration, insira o seguinte:

Identifier (Entity ID): https://auth.lovable.dev/__/auth/handler
Reply URL (Assertion Consumer Service URL): https://auth.lovable.dev/__/auth/handler

Deixe os outros valores em branco e selecione Save.

Fornecer ao Lovable as informações do seu IdP

Quando o aplicativo estiver configurado, copie os seguintes valores e insira-os no Lovable.

Microsoft Entra Login URL → Lovable SAML SSO Sign-on URL from your IdP
Microsoft Entra Microsoft Entra Identifier → Lovable Identity Provider Entity ID / Issuer
Microsoft Entra X509Certificate → Lovable X.509 Signing Certificate (public key)
Você pode baixar o certificado (Base 64) ou abrir a App Federation Metadata URL em uma nova guia e copiar o valor de X509Certificate. Cole o valor do certificado entre as linhas -----BEGIN CERTIFICATE----- e -----END CERTIFICATE-----.

Concluir a configuração do provedor SAML no Lovable

No Lovable, clique em Configure SAML Provider → Confirm & Enable SSO para concluir a configuração do Microsoft Entra ID como seu provedor de SAML SSO.

Configurar outros provedores

Você pode configurar qualquer provedor compatível com OIDC ou SAML com o SSO da Lovable. Antes de começar, conclua Iniciar configuração de SSO na Lovable para obter as configurações e valores que você precisa usar no seu IdP.

OIDC
SAML

Mapeamento do provedorNomes de campos comuns entre provedores:

Redirect URI: Callback URL, Sign-in redirect URI
Issuer/Domain: Issuer URL, Authority, Okta domain, Auth0 domain, Tenant domain
Client credentials: Client ID e Client Secret

Etapas

Criar um aplicativo confidencial OIDC

Crie um novo aplicativo Web OIDC no seu provedor de identidade.

Configurar a Redirect URI

Em Redirect/Callback URLs, adicione https://auth.lovable.dev/__/auth/handler.

Ativar escopos obrigatórios

Certifique-se de que os escopos openid e email estejam habilitados e com consentimento concedido, se necessário.

Fornecer as informações do seu IdP para a Lovable

No seu IdP, copie os seguintes valores e insira-os na Lovable:

Domain ou Issuer URL → Lovable OIDC Issuer URL/Discovery Endpoint
Client ID → Lovable OAuth Client ID/Application ID
Client Secret → Lovable OAuth Client Secret

Mapeamento do provedorNomes de campos comuns entre provedores:

ACS URL: Single Sign-On URL, SSO URL, Reply URL, Assertion Consumer Service URL
Audience: SP Entity ID, Audience URI, Identifier
Attribute mapping: Attribute Statements, User Attributes & Claims

Etapas

Criar um aplicativo SAML 2.0

Crie um novo aplicativo SAML 2.0 no seu provedor.

Configurar endpoints

ACS URL: https://auth.lovable.dev/__/auth/handler
Audience / Entity ID: https://auth.lovable.dev/__/auth/handler

Mapear atributos

Certifique-se de que email esteja incluído na asserção SAML. displayName é opcional.

Atribuir usuários

Atribua o aplicativo aos usuários/grupos que devem acessar a Lovable.

Solução de problemas

OIDC
SAML

Redirect URI inválida ou incompatível

Certifique-se de que a URL de redirecionamento/callback corresponda exatamente a https://auth.lovable.dev/__/auth/handler no seu IdP.

Falha na URL do Issuer / discovery

Use a URL do emissor (Issuer) OIDC do provedor (não apenas o domínio).

Para Okta, copie na guia Sign-on
Para Auth0, use o domínio do seu tenant.

Email não retornado

Conceda o escopo email e verifique se a conta do usuário tem um email principal.

Problemas no fluxo de autorização

Use Authorization Code com um cliente confidencial e client secret. Evite tipos de aplicativo implícitos ou somente PKCE.

ACS ou Audience inválidos

Certifique-se de que tanto o ACS quanto o Audience/Entity ID correspondam exatamente a https://auth.lovable.dev/__/auth/handler no seu IdP.

Email claim ausente

Certifique-se de mapear uma declaração (claim) de email.Para Microsoft Entra ID, faça o mapeamento de email para user.mail. Se user.mail estiver vazio, use user.userprincipalname.

Credenciais do provedor inválidas

Cole o certificado X.509 correto. Se o certificado for renovado/rotacionado, atualize-o no Lovable.

Perguntas frequentes

Se você criou sua conta usando outro método de login (como email/senha, Google ou GitHub), você precisa fazer login dessa forma primeiro. Depois de entrar, vá até Settings → Your account → Link SSO. Isso vai vincular sua conta existente ao SSO da sua empresa.

Importante: Se você tentar fazer login com SSO antes de vincular sua conta existente, verá uma mensagem de erro. Isso é uma medida de segurança para evitar acesso não autorizado. Faça login usando seu método original primeiro para concluir o processo de vinculação.

Quais provedores de SSO são compatíveis com o Lovable?

O Lovable oferece suporte aos protocolos OIDC e SAML, que são padrões do setor, para que você possa integrar com qualquer provedor de SSO que os suporte.

O Lovable oferece suporte a vários provedores de SSO por área de trabalho?

Não. Uma área de trabalho pode ter apenas um provedor de SSO ativo configurado por vez.

Posso exigir o uso de SSO na minha área de trabalho?

Sim. O owner ou admin da área de trabalho pode ativar Enforce SSO em Settings → Workspace → Identity e escolher a session duration para configurar por quanto tempo os usuários permanecem conectados antes de exigir uma nova autenticação (24 horas, 48 horas ou 7 dias).Isso exige que todos os membros da área de trabalho usem SSO para autenticação. Colaboradores externos e links de convite serão desativados.

O Lovable oferece suporte a SSO iniciado pelo IdP (IdP-initiated)?

Não. IdP-initiated SSO (iniciado a partir de um bloco/ícone no painel do IdP) não é compatível.O Lovable oferece suporte apenas a SP-initiated sign-in. Os usuários devem iniciar o login a partir do Lovable.

O Lovable oferece suporte a SCIM ou provisionamento automático de usuários?

O Lovable oferece suporte a provisionamento JIT (just-in-time): as contas de usuário são criadas automaticamente na primeira vez que alguém faz login via SSO, e são adicionadas à área de trabalho da sua empresa.Você também pode definir uma função padrão para usuários criados via JIT (admin, editor ou viewer), que será aplicada quando eles entrarem via SSO pela primeira vez.

Seu tenant ID é o valor {tenantId} usado na sua SSO login URL:
https://lovable.dev/sso-login/{tenantId}. Ele corresponde ao SSO login identifier que você definiu ao configurar seu provedor de SSO no Lovable.Você também pode encontrá-lo em Settings → Workspace → Identity depois de configurar seu provedor.

​Protocolos de SSO compatíveis

​Pré-requisitos

​Iniciar a configuração de SSO no Lovable

​Referência de configuração do IdP

​Guias de configuração específicos do provedor

​Configure Okta como seu provedor de SSO

​Configurar o Auth0 como seu provedor de SSO

​Configurar o Microsoft Entra ID como seu provedor de SSO

​Configurar outros provedores

​Solução de problemas

​Perguntas frequentes

Protocolos de SSO compatíveis

Pré-requisitos

Iniciar a configuração de SSO no Lovable

Referência de configuração do IdP

Guias de configuração específicos do provedor

Configure Okta como seu provedor de SSO

Configurar o Auth0 como seu provedor de SSO

Configurar o Microsoft Entra ID como seu provedor de SSO

Configurar outros provedores

Solução de problemas

Perguntas frequentes