Las llaves son tuyas: registras tu propia aplicación en Google Workspace o en Microsoft Entra, y Cereza solo guarda esas llaves. Tu gente entra con la cuenta del trabajo que ya usa todos los días. Son unos quince minutos y aquí está, paso por paso, en qué pantalla de cada consola se saca cada dato y en qué campo de Cereza se pega.
Las dos consolas piden lo mismo con palabras distintas. Si entiendes el baile, los clics se vuelven obvios y los errores se leen solos.
Nadie le entrega a Cereza la contraseña de Google ni la de Microsoft. Lo que ocurre es un intercambio de confianza: Cereza manda a la persona con su proveedor, el proveedor la reconoce y la devuelve con una credencial firmada que dice «esta persona es ana@tuempresa.com y yo lo respaldo». Cereza verifica esa firma y busca ese correo en su padrón. Cuatro tiempos:
Siempre las mismas cuatro, en Google y en Microsoft. Cambian los nombres, no el papel que juegan.
El nombre público de tu aplicación ante el proveedor. No es secreto: viaja en la URL a la vista de todos. Sirve para que el proveedor sepa qué app pide entrar y qué pantalla de consentimiento mostrar.
La contraseña de la aplicación, no de las personas. Solo se usa de servidor a servidor, en el tiempo 3, para canjear el vale. Por eso Cereza lo guarda cifrado y no lo vuelve a mostrar nunca: si se filtrara, alguien podría hacerse pasar por tu Cereza.
La única dirección a la que el proveedor acepta regresar. Es una lista blanca: si no coincide letra por letra, se niega. Y hace bien — si aceptara cualquier dirección, cualquiera podría pedirle que entregue el vale en su propio sitio.
Lo que impide que una cuenta de la calle entre como si fuera de tu empresa: el dominio en Google, el inquilino en Microsoft. Es el dato que hace seguro ligar por correo, y por eso Cereza no deja encender un proveedor sin él.
Esta tabla es, en el fondo, toda la guía. Lo demás es saber en qué pantalla está cada cosa.
| La pieza | En Google se llama | En Microsoft se llama | En Cereza se pega en |
|---|---|---|---|
| Quién pregunta | ID de clienteGoogle Auth Platform › Clientes | Id. de aplicación (cliente)Información general | Client ID |
| Cómo lo prueba | Secreto del clientese ve al crear el cliente; no caduca | Secreto de cliente › columna «Valor»Certificados y secretos; caduca | Client secret |
| A dónde vuelve | URI de redireccionamiento autorizadosen el cliente de tipo Aplicación web | URI de redirección, plataforma Webal registrar, o en Autenticación | se copia de Cereza |
| De quién se fía | tus dominios de Workspaceviajan en el token como hd | Id. de directorio (inquilino)un solo inquilino | Dominios de Workspace · Tenant id de Entra |
| Qué te cuenta de la persona | viene de fábricacorreo y nombre, verificados | hay que pedirlonotificación opcional email | nada que pegar: se activa allá |
Son las que hacen que los pasos no se parezcan. Si las entiendes, no necesitas memorizar nada: cuando algo falle, vas a saber dónde mirar.
Las dos plataformas acotan a tu organización, pero por caminos opuestos.
La app de Google puede, en principio, hablar con cualquier cuenta. La organización llega dentro del papel firmado: el token trae un campo hd con el dominio de Workspace, y Cereza lo compara con tu lista. Por eso puedes tener varios dominios.
Aquí la organización está en la dirección misma: Cereza no habla con el Microsoft genérico, sino con la puerta de tu inquilino, cuya URL lleva tu tenant id. Un token de otro inquilino ni siquiera llega. Por eso solo cabe un tenant id.
hd, así que Google la rechaza; y una cuenta de otra empresa en Entra habla con otra puerta, así que ni se asoma. Es la misma protección contada de dos maneras.Es el paso que se olvida y el error más común de todos.
Con pedir email en los permisos —que Cereza ya hace— el token llega con el correo y con la marca de «verificado». No hay nada que configurar.
Entra es tacaño por omisión: si no se lo pides, no manda el correo. Hay que agregarlo como notificación opcional del token de ID. Sin eso, la persona se autentica bien… y Cereza no tiene cómo saber quién es.
upn o preferred_username: parecen correos, pero son nombres de inicio de sesión y pueden no serlo.La diferencia que se cobra sola, meses después.
El secreto del cliente no caduca. Lo creas una vez y se queda ahí hasta que decidas rotarlo.
El secreto caduca, y Entra no deja pasar de 24 meses. El día que vence, el SSO deja de funcionar sin que nadie haya tocado nada. Además, el valor solo se ve una vez: si cierras la pantalla, hay que generar otro.
Las dos preguntan «¿esta app puede pedir datos de tu gente?», pero en momentos distintos.
Antes de crear el cliente hay que configurar la pantalla de consentimiento y elegir el público. Si eliges Interno, solo entra tu Workspace y Google no te pide verificar la app. Con Externo habría revisión si los permisos fueran sensibles — los de Cereza no lo son.
No hay pantalla que configurar: el registro ya es de tu directorio. Lo que sí conviene es pulsar Conceder consentimiento del administrador, para que tu gente no vea un aviso de permisos la primera vez y lo acepte una por una.
Dos detalles menores que explican mucha frustración.
La app vive dentro de un proyecto de Google Cloud —por eso hay que crear uno, aunque no vayas a usar nada más de Cloud—. Y los cambios en los URI de redireccionamiento pueden tardar de cinco minutos a unas horas en aplicarse.
La app vive directamente en tu directorio de Entra, sin proyecto que la contenga. Los cambios se aplican casi de inmediato.
openid, email, profile—, verifica siempre la firma del proveedor contra sus llaves públicas, y nunca da de alta a nadie. Lo que cambia es dónde se hacen los clics.Dos consolas y una pantalla de Cereza. Si puedes abrir las tres, el resto es copiar y pegar.
En Cereza, alguien que administre el inquilino (permiso iam.sso.manage). En el proveedor, un administrador de Google Workspace o un administrador de Microsoft Entra con permiso para registrar aplicaciones. Suelen ser personas distintas: conviene sentarlas juntas quince minutos.
Entra a tu Cereza y ve a Ajustes → Organización → Inicio de sesión. Verás dos tarjetas, Google y Microsoft, cada una con sus campos y su botón Probar conexión.
En la tarjeta del proveedor que vas a configurar, abajo, está el campo URI de redirección con un botón de copiar. Ese texto es lo primero que vas a necesitar en la consola de Google o de Microsoft. Tiene esta forma:
https://tuempresa-app.cereza.io/api/auth/sso/google/callback
Cópialo de la pantalla, no de aquí: lleva el subdominio exacto de tu empresa, y el proveedor compara letra por letra.
El SSO no da de alta a nadie y no reparte permisos. La persona se da de alta en Cereza como siempre; el proveedor solo responde «sí, este correo es de mi gente». La primera vez que alguien entra con Google o Microsoft, su cuenta invitada se activa sola —ya no necesita el correo de «elige tu contraseña»—. Si el correo no existe en Cereza, la respuesta es «no tienes cuenta en este espacio», y eso es a propósito.
Todo ocurre en Google Cloud Console, en la sección Google Auth Platform. No necesitas facturación ni tarjeta: un proyecto vacío basta.
Entra a console.cloud.google.com con una cuenta de administrador de tu Workspace y, arriba a la izquierda, crea un proyecto llamado por ejemplo Cereza SSO.
Por qué: en Google las aplicaciones viven dentro de un proyecto de Cloud, aunque no uses nada más de Cloud. Tener uno aparte significa que mañana se puede borrar entero sin tocar nada de tu organización.
Ve a Google Auth Platform (console.cloud.google.com/auth) y pulsa Comenzar. Te pide el nombre de la aplicación —pon Cereza, es lo que verá tu gente al entrar— y un correo de asistencia.
En Público (Audience) elige Interno. Si tu organización no permite «Interno», elige Externo y publícala.
Por qué: es la pantalla que verá tu gente la primera vez, así que el nombre importa. Y «Interno» limita la app a tu Workspace, lo que además te ahorra la verificación de Google. Con «Externo» tampoco hay revisión en este caso: los permisos que pide Cereza —nombre y correo— no son sensibles.
En el menú de la izquierda, Clientes → Crear cliente.
· Tipo de aplicación: Aplicación web.
· Nombre: Cereza.
· Orígenes autorizados de JavaScript: déjalo vacío.
· URI de redireccionamiento autorizados → Agregar URI → pega el que copiaste de Cereza (el que termina en /google/callback).
Pulsa Crear.
Por qué «Aplicación web»: el canje del vale lo hace el servidor de Cereza, no el navegador — por eso hace falta un secreto y por eso no se llenan los orígenes de JavaScript, que son para apps que viven solo en el navegador.
Google te muestra en una ventana el ID de cliente y el Secreto del cliente. El secreto se ve bien ahí mismo; también puedes descargar el JSON. Déjalo abierto: lo vas a pegar enseguida.
En la tarjeta de Google: el id en Client ID, el secreto en Client secret, y en Dominios de Workspace los dominios de correo de tu organización separados por comas (acme.com, acme.mx).
Enciende el interruptor de la tarjeta, pulsa Guardar y luego Probar conexión.
Por qué los dominios: son la cota de la que habla la diferencia 1. Cereza compara el dominio que afirma el token con esta lista; sin lista, no te deja encender el proveedor, porque sería abrir la puerta a cualquier cuenta de Google del mundo.
.apps.googleusercontent.com. No es secreto.
GOCSPX-. Cereza lo guarda cifrado y nunca lo vuelve a mostrar: si lo cambias, pégalo otra vez; si lo dejas vacío, conserva el que ya tenía.
redirect_uri_mismatch y estás seguro de que el texto coincide, espera un rato y vuelve a intentar.openid, email y profile: nombre y correo verificado, nada más. Cereza no lee correo, ni Drive, ni calendario — no tiene permiso para hacerlo.Todo ocurre en el centro de administración de Microsoft Entra. Hay un paso que no es obvio y sin el cual nada funciona: el claim de correo (paso 5). No te lo saltes.
Entra a entra.microsoft.com → Identidad → Aplicaciones → Registros de aplicaciones → Nuevo registro.
· Nombre: Cereza (es lo que verá tu gente al entrar).
· Tipos de cuenta admitidos: Solo las cuentas de este directorio organizativo (inquilino único). Cereza se ata a tu inquilino de Entra y rechaza tokens de cualquier otro; por eso no se usa «multiinquilino» ni se admiten cuentas personales de Microsoft.
· URI de redirección: plataforma Web y, en el cuadro de al lado, el URI que copiaste de Cereza (el que termina en /microsoft/callback).
Pulsa Registrar.
Por qué «inquilino único»: es la cota de la diferencia 1. Cereza irá a hablar con la puerta de tu inquilino, no con la de Microsoft en general; un token de otra empresa no tiene por dónde llegar.
Caes en la pestaña Información general (Overview). Ahí están, uno debajo del otro, el Id. de aplicación (cliente) y el Id. de directorio (inquilino). Son los dos primeros datos que van a Cereza.
Certificados y secretos → pestaña Secretos de cliente → Nuevo secreto de cliente. Descripción: Cereza. Vigencia: la que permita tu política (Entra no deja más de 24 meses) — anota la fecha de vencimiento, porque el día que venza el SSO deja de funcionar hasta que generes otro.
⚠️ Copia la columna Valor, no «Id. de secreto». El valor solo se ve en ese momento: si sales de la pantalla, hay que generar uno nuevo.
Por qué hay dos columnas: el «Id. de secreto» solo nombra al secreto dentro de Entra; el «Valor» es el secreto. Pegar el id es el segundo error más común, y el mensaje de error no lo dice.
Configuración del token → Agregar notificación opcional → tipo de token ID → marca email → Agregar. Si te pregunta si quiere activar el permiso de Microsoft Graph necesario, acepta.
Por qué: es la diferencia 2. Entra no manda el correo si no se lo pides, y el correo es justamente lo que Cereza busca en su padrón. Sin él, la persona se autentica perfectamente y aun así no entra.
Permisos de API: deben aparecer openid, email y profile de Microsoft Graph (delegados). Pulsa Conceder consentimiento de administrador para que tu gente no tenga que aceptar nada una por una.
En la tarjeta de Microsoft: el id de aplicación en Client ID, el valor del secreto en Client secret y el id de directorio en Tenant id de Entra. Enciende el interruptor, Guardar y Probar conexión.
00000000-0000-0000-0000-000000000000. No es secreto.
«Probar conexión» verifica que las llaves resuelven contra el proveedor. La prueba de verdad es entrar.
El botón Probar conexión comprueba que el proveedor responde con esas llaves. Si falla ahí, el problema está en la consola, no en tu gente.
En la puerta de tu empresa aparece ahora «Entrar con Google» o «Entrar con Microsoft». Entra con una cuenta real del directorio que además exista en Cereza. Los cambios de configuración pueden tardar hasta un minuto en verse en la puerta.
El SSO liga por correo verificado: el correo de la persona en Cereza tiene que ser el mismo que el de su cuenta de Google o Microsoft. Si alguien quedó dado de alta con un correo personal, cámbialo en su expediente antes de cerrar la contraseña.
Apaga la contraseña para todo el inquilino, administradores incluidos: desde ese momento solo se entra por el proveedor. Para encenderlo, Cereza exige que tu sesión actual haya entrado por SSO — es la prueba de que la puerta nueva funciona antes de cerrar la vieja. Apagarlo no exige nada.
Casi siempre es una de estas seis cosas, y las seis se arreglan sin ayuda.
redirect_uri_mismatchEl URI registrado en la consola no es idéntico al que manda Cereza. Compáralos carácter por carácter: https (nunca http), el mismo subdominio de tu empresa, sin barra al final de más, y el proveedor correcto al final (/google/callback o /microsoft/callback).
Si acabas de corregirlo en Google, recuerda que puede tardar hasta unas horas en aplicarse.
El proveedor autenticó bien a la persona, pero ese correo no existe en tu Cereza. El SSO nunca da de alta: primero se da de alta a la persona (o se carga con la plantilla masiva) y después entra con el botón.
También pasa cuando la persona está en Cereza con un correo distinto del que usa en Google o en Microsoft.
Casi seguro falta el claim de correo: Entra → tu aplicación → Configuración del token → Agregar notificación opcional → token ID → email, aceptando el permiso de Graph que te ofrece.
Sin ese claim, el token llega sin correo y Cereza no tiene cómo saber quién es.
Es el comportamiento correcto. Google solo se acepta si el correo pertenece a uno de los dominios de Workspace que configuraste, y Microsoft solo si la cuenta vive en tu inquilino de Entra.
Eso es justamente lo que hace seguro entrar por correo: la única forma de tener ana@tuempresa.com es ser Ana en tu empresa.
Con Microsoft, lo primero que hay que mirar es el secreto de cliente: caducan (máximo 24 meses) y nadie avisa. Genera uno nuevo en Certificados y secretos, pégalo en Cereza y guarda.
Lo segundo: que nadie haya borrado el registro de aplicación o cambiado los tipos de cuenta admitidos.
Apaga primero «Solo SSO» —si no, dejas a todos afuera— y después apaga el interruptor del proveedor. Los botones desaparecen de la puerta y todo el mundo vuelve a entrar con contraseña. Nadie pierde su cuenta ni su información.
Si quieres que además aprendan a entrar desde la computadora o desde la app, mándales la guía para colaboradores. Y si algo se atoró, escríbenos: lo vemos contigo.