O que é Software de SSO? Glossário Prático para Compradores Brasileiros

Single sign-on (SSO) é um vocabulário que se sobrepõe a MFA, IAM, IGA, PAM e CIAM de formas que confundem times de procurement no Brasil. Fornecedores trocam rótulos no meio da conversa, RFPs reutilizam o termo errado, e o que se compra muitas vezes não é exatamente o que se queria. Este glossário define os termos centrais que um comprador brasileiro deve levar para a primeira reunião com o fornecedor e mapeia tudo às realidades da LGPD, Resolução BCB e regulamentos setoriais. O objetivo não é ensinar engenharia de identidade — é remover ambiguidade da conversa de compra.

O que este glossário cobre

• Single sign-on (SSO): a definição central
• Autenticação multifator (MFA) e MFA adaptativo
• Federação, SAML, OIDC e os protocolos por baixo do SSO
• SCIM e automação de ciclo de vida
• IAM, IGA, PAM e CIAM — como se relacionam
• Identidade de força de trabalho vs identidade de cliente
• Autenticação vs autorização
• Just-in-time access e zero standing privilege
• Termos comuns no procurement brasileiro (LGPD, ANPD, BCB, Gov.br)
• Mitos comuns na compra de SSO

Single sign-on (SSO): a definição central

SSO é um padrão de autenticação no qual o usuário entra uma vez em um provedor de identidade (IdP) e obtém acesso a múltiplas aplicações sem se autenticar de novo. O IdP emite uma asserção criptográfica (resposta SAML ou token OIDC) que a aplicação confia. Para o comprador brasileiro, o efeito prático é que um lugar — não 50 — decide quem está logado. Esse lugar vira o gargalo onde MFA é imposta, onde a duração da sessão é definida e onde os ex-funcionários são bloqueados. SSO não é uma feature isolada; é o framework que torna MFA, auditoria e offboarding consistentes.

Autenticação multifator (MFA) e MFA adaptativo

MFA é o controle que exige dois ou mais fatores antes do acesso. Os fatores vêm de três categorias: algo que você sabe (senha), algo que você tem (chave de hardware, app autenticador), algo que você é (biometria). LGPD e diretrizes da ANPD tratam MFA em sistemas com dados pessoais como praticamente obrigatória. Para fintechs e instituições financeiras, a Resolução BCB nº 4.893 e o normativo de manejo de risco em TI dão peso adicional, e SMS como fator único deixa de ser aceitável.

MFA adaptativo — também chamado risk-based — ajusta o desafio conforme sinais do login. Um dispositivo confiável em rede confiável pode passar em silêncio; um IP estrangeiro ou comportamento anômalo dispara step-up. Cada plataforma implementa diferente: Entra ID exige P2 para Identity Protection, Okta empacota como Adaptive MFA ou Identity Threat Protection, JumpCloud usa Conditional Policies. O rótulo importa menos do que quais sinais são avaliados e como o step-up é apresentado.

Federação, SAML, OIDC e os protocolos por baixo do SSO

Federação é a prática de um domínio de identidade confiar em outro. SSO entre uma empresa e um SaaS é uma federação: o SaaS confia no IdP da empresa. SAML 2.0 e OpenID Connect (OIDC) são os dois protocolos dominantes. SAML é o padrão XML mais velho, ainda comum em SaaS enterprise; OIDC é o padrão moderno baseado em JSON Web Tokens, comum em apps novos e contextos mobile.

Para o comprador brasileiro, a implicação prática é que quase todo SaaS moderno suporta um ou ambos os protocolos. O trabalho no projeto SSO não é design de protocolo — é configurar cada app corretamente: onde está o metadata do IdP, quais atributos são mapeados (email, grupo, gestor), o que acontece quando um usuário entra pela primeira vez. SCIM (próximo) lida com o complemento de ciclo de vida.

SCIM e automação de ciclo de vida

System for Cross-domain Identity Management (SCIM) é o protocolo que automatiza criar, atualizar e deletar contas entre o IdP e os SaaS downstream. Enquanto SAML/OIDC trata da autenticação, SCIM trata do provisionamento. Para o comprador brasileiro, SCIM é o que torna a promessa de offboarding real: um evento HRIS flui pelo IdP até os SaaS, e SCIM é o mensageiro que diz 'este usuário saiu, desative.'

Nem todo SaaS suporta SCIM. A cauda longa brasileira de RH, contábil e sistemas construídos localmente (TOTVS, Senior, Sólides) frequentemente não suporta. Quando SCIM falta, as alternativas são provisioning via script, integração custom liderada pelo fornecedor ou aceitação de deprovisioning manual com controles compensatórios documentados. Confirme suporte SCIM para suas 20 principais apps antes de assinar.

IAM, IGA, PAM e CIAM — como se relacionam

Identity and access management (IAM) é o guarda-chuva que cobre identidade do usuário, autenticação, autorização e ciclo de vida. SSO é uma capacidade dentro do IAM — provavelmente a mais visível para o usuário final. As outras grandes capacidades são identity governance and administration (IGA), privileged access management (PAM) e customer identity and access management (CIAM).

IGA cobre revisões de entitlement, certificação de acesso e segregação de funções. Para compradores brasileiros sob escrutínio BCB ou ANPD, IGA é a camada que produz evidência para revisões trimestrais. Okta Identity Governance, Microsoft Entra ID Governance e SailPoint são as plataformas comuns. PAM cobre contas privilegiadas: credenciais em cofre, gravação de sessão e acesso just-in-time. CyberArk e BeyondTrust dominam PAM enterprise no Brasil. CIAM cobre identidade de cliente — registro, MFA para usuários finais, gestão de consentimento. Ping, ForgeRock e Okta Customer Identity Cloud são as principais opções. São disciplinas distintas que muitas vezes compartilham plataforma mas raramente compartilham SKU.

Identidade de força de trabalho vs identidade de cliente

Compradores brasileiros devem sempre saber em qual lado da linha estão. Identidade de força de trabalho é para funcionários, contratados e parceiros — pessoas que a organização gerencia. Identidade de cliente é para usuários finais — consumidores registrados, empresas comprando online, cidadãos usando portal de governo. Os dois têm requisitos muito diferentes de escala, branding e consentimento. CIAM deve lidar com perfilamento progressivo, consentimento de marketing e fluxos de login com marca; identidade de força de trabalho deve lidar com integração HR, RBAC e auditoria. Maioria dos fornecedores oferece os dois, mas em SKUs diferentes. Tratar como o mesmo projeto é erro frequente no mid-market brasileiro — especialmente em fintechs com funcionários e usuários finais.

Autenticação vs autorização

Autenticação confirma quem o usuário é. Autorização decide o que esse usuário pode fazer. SSO está claramente no campo da autenticação; autorização é tratada pelo modelo de papéis do app, pelo motor de políticas da plataforma (Conditional Access, Adaptive MFA, PingAccess) ou por serviço de autorização separado. Compradores brasileiros descobrem essa distinção na prova de conceito — um usuário que faz login não é necessariamente um usuário que pode executar tudo. Confirme durante a avaliação como sua plataforma SSO passa atributos de papel e grupo aos apps downstream, e como esses apps consomem. Desalinhamento aqui é causa frequente de incidentes 'SSO funciona mas as permissões estão erradas.'

Just-in-time access e zero standing privilege

Just-in-time (JIT) é a prática de conceder permissões elevadas por tempo limitado, sob demanda. Zero standing privilege (ZSP) é o princípio mais amplo: nenhum usuário tem direitos de admin por padrão; ele solicita, recebe temporariamente e perde automaticamente. Para compradores brasileiros sob BCB, JIT e ZSP cada vez mais fazem parte do que se espera de PAM. SSO é um componente, não a resposta completa — JIT geralmente exige um PIM ou PAM em camada com o IdP. Microsoft Entra ID Privileged Identity Management é padrão comum em ambientes Microsoft-heavy; CyberArk e BeyondTrust cobrem estados mistos.

Termos comuns no procurement brasileiro (LGPD, ANPD, BCB, Gov.br)

RFPs brasileiros trazem vocabulário recorrente que fornecedores devem conseguir responder. LGPD — Lei Geral de Proteção de Dados — exige identificação única, controles de acesso adequados, MFA em sistemas com dados pessoais e logs de auditoria suficientes para investigar incidentes. A ANPD é a autoridade de fiscalização. BCB (Banco Central) supervisiona instituições financeiras, e a Resolução BCB nº 4.893 e regulamentos correlatos exigem autenticação forte, gestão de acesso privilegiado e relatos de incidente.

Gov.br não é diretamente um produto de SSO, mas vem à tona em discussões de identidade — para verificação de usuário final, KYC e como prova adicional em recuperação de MFA crítica. Para setor público, a Estratégia de Governo Digital e os marcos de interoperabilidade exigem padrões de identidade interoperáveis. Confirme durante o procurement que sua plataforma se integra ao Gov.br quando necessário, via broker ou conector dedicado.

Mitos comuns na compra de SSO

Mito um: 'Se temos MFA, não precisamos de SSO.' Realidade: MFA por app, isoladamente, ainda deixa offboarding fragmentado. SSO centraliza autenticação para que um ex-funcionário perca acesso em um só lugar. Mito dois: 'SSO cobrirá todo o SaaS no dia um.' Realidade: 30-50 apps integram limpamente; outros 5-15 exigem trabalho custom. Mito três: 'Entra ID Free é suficiente para LGPD.' Realidade: sem P1 (Conditional Access) ou P2 (Identity Protection), não dá para impor MFA baseado em risco nem por aplicação — ambos cada vez mais esperados pela ANPD. Mito quatro: 'SSO é projeto único.' Realidade: SSO é compromisso operacional de longo prazo. Cada novo SaaS, mudança HRIS e rotação MFA volta à plataforma. Trate como contínuo, não como um deal.

Conheça os produtos em detalhe

Ponte do glossário para a compra

Além das definições, dois pontes específicas ajudam o procurement brasileiro nas primeiras reuniões. Primeira: pedir ao fornecedor que mapeie a plataforma proposta para o quadrante IAM/IGA/PAM/CIAM e identifique quais SKUs cobrem cada capacidade — isso impede a conversa de derrapar entre disciplinas e torna o custo por capacidade visível. Segunda: solicitar tabela escrita de mapeamento LGPD / BCB / setor público cobrindo residência de dados, força de MFA, automação de ciclo de vida, retenção de auditoria e formatos de exportação para o Encarregado (DPO). Fornecedores que entregam essas tabelas sob demanda costumam integrar bem aos ciclos de auditoria brasileiros.