FAQ de Procurement para SSO com Microsoft Entra ID

O cenário repete-se em quase todas as negociações de SaaS para retalho: o contrato está pronto para assinatura, o preço foi fechado, e então a equipa de segurança de TI envia um e-mail com uma única pergunta — "isto suporta SSO com o nosso Entra ID?". Se a resposta for vaga, o processo de compra para durante semanas. Se a resposta for "sim, mas apenas no plano Enterprise", o orçamento aprovado deixa de chegar. Este FAQ existe para que compradores, equipas de suporte e parceiros façam as perguntas certas antes da assinatura, e não depois.

O que devo pedir exatamente ao fornecedor: SSO, SAML ou OIDC?

SSO é o resultado; SAML 2.0 e OpenID Connect (OIDC) são os protocolos que o tornam possível. O Microsoft Entra ID suporta ambos, por isso a pergunta correta ao fornecedor não é "têm SSO?", mas sim: "que protocolo usam, é uma integração via galeria de aplicações Entra ou uma app registada manualmente, e suportam metadados de federação atualizados automaticamente?". Um fornecedor que responde a estas três perguntas em detalhe já implementou isto muitas vezes. Um fornecedor que responde apenas "sim, temos SSO" merece uma segunda ronda de perguntas por escrito.

O SSO tem custo adicional? A questão do "SSO tax"

Muitos fornecedores de SaaS reservam o SSO para o escalão de preço mais alto — prática conhecida no setor como "SSO tax". Para procurement, isto significa duas coisas práticas. Primeiro, peça o preço com SSO incluído logo na primeira proposta; um upgrade forçado a meio do contrato pode custar 30–50% mais do que o valor negociado inicialmente. Segundo, inclua no caderno de encargos uma cláusula simples: autenticação federada via Microsoft Entra ID sem custo adicional por utilizador. Se o fornecedor recusar, pelo menos ficará a saber antes de comprometer orçamento.

SSO resolve o onboarding, mas quem trata do offboarding?

Aqui está a observação que qualquer implementador experiente confirmará: a maioria dos problemas de segurança pós-implementação não vem do login, vem do logout definitivo. Um fornecedor pode suportar SAML na perfeição e, ainda assim, manter contas ativas de colaboradores que saíram da empresa há seis meses — porque o SSO autentica, mas não desprovisiona. A pergunta decisiva para o vosso questionário de compras é: "suportam provisionamento e desprovisionamento automático via SCIM a partir do Entra ID, ou a remoção de utilizadores é manual?". Se for manual, alguém na vossa equipa de suporte terá de manter uma lista paralela — e essas listas falham sempre.

E o acesso condicional e a MFA?

Uma das grandes vantagens de federar via Entra ID é que as políticas de acesso condicional da vossa organização — MFA obrigatória, restrições por localização, bloqueio de dispositivos não geridos — aplicam-se automaticamente à aplicação do fornecedor. Mas há um detalhe que apanha muitas equipas: contas de serviço e integrações API. Dashboards partilhados em ecrãs de loja, feeds de dados para o BI, contas técnicas de parceiros — nada disto passa pelo fluxo interativo de MFA. Pergunte ao fornecedor como autentica acessos não humanos: tokens de API com rotação? Certificados? Uma conta partilhada com password fixa é um sinal de alarme em 2025.

Que perguntas específicas colocar a um fornecedor de people counting?

Plataformas de analytics de retalho têm um perfil de risco particular: muitos utilizadores com acessos leves (gestores de loja que consultam contagens) e poucos utilizadores com acessos pesados (administradores que configuram sensores e exportam dados). O vosso questionário deve cobrir:

• Mapeamento de perfis: os grupos do Entra ID podem ser mapeados para papéis na plataforma (viewer, gestor regional, admin), ou os papéis são geridos à parte?
• Modelo de alojamento: a solução corre em cloud alojada ou em private cloud, e isso altera a arquitetura de autenticação? A Vemco, por exemplo, oferece ambos os modelos e integra-se com os sistemas de TI existentes — pergunte como o SSO funciona em cada cenário.
• Natureza dos dados: se a plataforma trabalha apenas com contagens agregadas e sem identificação pessoal — como acontece no people counting conforme ao RGPD, com exclusão de staff —, o risco de dados é menor, mas o risco de acesso mantém-se. SSO continua a justificar-se.
• Prazos de implementação: quantos dias úteis demora a configuração SAML do lado do fornecedor, e o que precisam da vossa equipa de identidade?
• Fallback: se o Entra ID estiver indisponível, existe acesso de emergência controlado, ou a operação de loja fica sem dashboards?

Quanto tempo devo reservar no plano de projeto?

A configuração técnica de uma federação SAML entre o Entra ID e um SaaS maduro demora normalmente entre duas horas e dois dias. O que consome semanas é tudo o resto: o consentimento de administrador na app registration (exige um Global Administrator ou Application Administrator do vosso lado — agende-o cedo), a definição dos grupos e do modelo de papéis, os testes com utilizadores piloto e a comunicação às lojas. Regra prática de planeamento: uma semana de calendário para a parte técnica, três a quatro semanas para governança e adoção. Compradores que só orçamentam a primeira parte acabam com um projeto "concluído" que ninguém usa.

Que evidências pedir por escrito antes de assinar?

Não aceite afirmações verbais em temas de identidade. Peça documentação da integração SAML/OIDC, confirmação escrita sobre SCIM, a política de retenção de dados e residência dos dados, e o estado atual de certificações de segurança do fornecedor. Sobre certificações, seja exigente nos dois sentidos: fornecedores sérios dizem-lhe claramente o que têm e o que está em curso, em vez de listar siglas sem contexto. E se está a avaliar plataformas de contagem de visitantes, aplique o mesmo rigor às métricas do produto: um fornecedor honesto compromete-se contratualmente com um mínimo de precisão — no caso da Vemco, 96% —, sendo os 98–99% valores típicos quando a iluminação, o layout da loja e o comportamento dos visitantes o permitem. Desconfie de quem garante números redondos sem condições.

Resumo prático para o vosso RFP

Três linhas que valem a pena copiar para o próximo caderno de encargos: (1) autenticação federada via Microsoft Entra ID incluída no preço base; (2) provisionamento e desprovisionamento automáticos ou processo documentado de remoção de utilizadores com SLA; (3) autenticação de contas de serviço e APIs sem passwords partilhadas. Estas três cláusulas eliminam 80% dos problemas que as equipas de suporte herdam depois da assinatura.

Está a avaliar uma plataforma de people counting e precisa de respostas concretas sobre integração com o vosso Microsoft Entra ID, modelos de alojamento e requisitos de segurança? Fale com a equipa da Vemco em vemcogroup.com/contact-us — traga o vosso questionário de procurement e receberá respostas técnicas, por escrito, antes de qualquer compromisso contratual.