Configurar o single sign-on (SSO)

Configure o single sign-on (SSO) do Lovable usando OIDC ou SAML 2.0 com seu provedor de identidade para uma autenticação centralizada e segura da área de trabalho.

O single sign-on (SSO) está disponível nos planos Business e Enterprise e permite autenticação centralizada e segura em toda a sua organização. Com SSO, os usuários podem acessar o Lovable com um único conjunto de credenciais, simplificando o gerenciamento de acesso e melhorando a segurança.

Login iniciado pelo Provedor de Serviço (SP) apenas: os usuários devem iniciar o login a partir do Lovable (SP).

SSO iniciado pelo Provedor de Identidade (IdP) (ao iniciar a partir de um bloco no painel do IdP) não é compatível.

​

Protocolos de SSO compatíveis

Lovable oferece suporte aos protocolos OIDC e SAML 2.0, permitindo integração com todos os principais provedores de identidade (IdP), incluindo Okta, Auth0, Microsoft Entra ID (Azure AD) e outros.

• OpenID Connect (OIDC): recomendado; uma camada de identidade moderna construída sobre o OAuth 2.0 que fornece verificação de identidade.
• SAML (Security Assertion Markup Language) 2.0: protocolo baseado em XML para a troca de dados de autenticação e autorização, amplamente utilizado em ambientes corporativos.

​

Pré-requisitos

Para conectar seu provedor de identidade ao Lovable usando OIDC ou SAML, você precisa de:

• Acesso de administrador ao IdP (Okta, Auth0, Microsoft Entra ID ou qualquer outro provedor que você estiver usando)
• Papel de proprietário ou administrador da área de trabalho no Lovable
• Um domínio verificado no Lovable

​

Iniciar a configuração de SSO no Lovable

A configuração de SSO é uma configuração bidirecional entre o Lovable e seu provedor de identidade:

• Lovable → IdP: copie as URLs e configurações do Lovable para o aplicativo do seu IdP.
• IdP → Lovable: copie o emissor, metadados e certificados do seu IdP de volta para o Lovable.

O proprietário ou administrador da área de trabalho pode configurar o SSO. Para começar, vá em Settings → Workspace → Identity → Add SSO provider e escolha OIDC ou SAML.

​

Referência de configuração do IdP

Quando você inicia a configuração do provedor de SSO no Lovable, verá:

• O que configurar no seu IdP (por exemplo, tipo de aplicativo, escopos e mapeamentos de atributos)
• URLs e identificadores do Lovable que talvez você precise inserir no IdP.

Use a referência abaixo ao configurar OIDC ou SAML no seu IdP.

OIDC

• Tipo de aplicação: Web Application
• Tipo de concessão (grant type): Authorization Code
• Método de envio do token: POST (se configurável)
• URI de redirecionamento para copiar e adicionar ao seu IdP: https://auth.lovable.dev/__/auth/handler
• Escopos OAuth:
  • Obrigatórios: openid, email
  • Recomendado: profile

SAML

• URL do ACS (Assertion Consumer Service): https://auth.lovable.dev/__/auth/handler
• SP Entity ID / Audience URI: https://auth.lovable.dev/__/auth/handler
• Mapeamentos de atributos:
  • email (obrigatório): certifique-se de que o formato esteja definido como EmailAddress
  • displayName (recomendado): faça o mapeamento para o nome completo do usuário
  • photoURL (recomendado): faça o mapeamento para a URL da foto de perfil do usuário

​

Guias de configuração específicos do provedor

Se você usa Okta, Auth0 ou Microsoft Entra, pode encontrar documentação específica do provedor para configurar o SSO. Se você usa outro provedor, consulte Configurar outros provedores.

Antes de começar, conclua Iniciar configuração de SSO no Lovable para obter as configurações e os valores que você precisa usar no seu IdP.

​

Configure Okta como seu provedor de SSO

OIDC

1. Crie um aplicativo no Okta Admin Console

   • Em Applications, clique em Create App Integration e selecione OIDC. Em seguida, selecione o tipo de aplicação Web Application.
   • Dê um nome ao app, por exemplo Lovable OIDC SSO.
2. Configure a integração OIDC

   • Defina Grant type como Authorization Code.
   • Remova os URIs de redirecionamento padrão.
   • Adicione a URL de redirecionamento da Lovable no Okta em Sign-in redirect URIs: https://auth.lovable.dev/__/auth/handler
   • Em Assignments, atribua o aplicativo aos usuários/grupos que devem acessar a Lovable.
3. Salve o aplicativo

   Clique em Save. Seu aplicativo foi criado no Okta.

4. Configure a Okta Issuer URL

   No Okta, vá para Sign On → OpenID Connect ID Token, selecione Okta URL na lista suspensa Issuer e clique em Save.

5. Forneça à Lovable as informações do seu IdP

   No Okta, copie o seguinte valor da aba Sign On e insira-o na Lovable.

   • Okta Issuer URL → Lovable OIDC Issuer URL/Discovery Endpoint

   No Okta, copie os seguintes valores da aba General e insira-os na Lovable.

   • Okta Client ID → Lovable OAuth Client ID/Application ID
   • Okta Client Secret → Lovable OAuth Client Secret
6. (Opcional) Teste a configuração na Lovable

   Na Lovable, clique em Test configuration. Se tudo estiver configurado corretamente, a validação deverá ser bem-sucedida.

7. Conclua a configuração do provedor OIDC na Lovable

   Na Lovable, clique em Configure provider para concluir a configuração do Okta como seu provedor de SSO OIDC.

SAML

1. Crie um aplicativo no Okta Admin Console

   • Em Applications, clique em Create App Integration e selecione SAML 2.0.
   • Dê um nome ao app, por exemplo Lovable SAML SSO.
2. Configure as configurações SAML

   • Single sign-on URL: https://auth.lovable.dev/__/auth/handler
   • Audience URI (SP Entity ID): https://auth.lovable.dev/__/auth/handler
   • Name ID format: EmailAddress
3. Salve o aplicativo

   Clique em Finish. Seu aplicativo foi criado no Okta.

4. Forneça à Lovable as informações do seu IdP

   No Okta, vá para Sign On → SAML 2.0 → Metadata details, copie a Metadata URL e abra-a em uma nova aba.

   Copie os seguintes valores da Metadata URL e insira-os na Lovable:

   • Okta SingleSignOnService Location → Lovable SAML SSO Sign-on URL from your IdP

   • Okta EntityID → Lovable Identity Provider Entity ID / Issuer

   • Okta X509Certificate → Lovable X.509 Signing Certificate (public key)

     Cole o valor do certificado entre as linhas -----BEGIN CERTIFICATE----- e -----END CERTIFICATE-----.

5. Conclua a configuração do provedor SAML na Lovable

   Na Lovable, clique em Configure SAML Provider → Confirm & Enable SSO para concluir a configuração do Okta como seu provedor de SSO SAML.

​

Configurar o Auth0 como seu provedor de SSO

OIDC

1. Criar um aplicativo no painel de administração do Auth0

   • Em Applications, clique em Create application. Selecione o tipo de aplicativo Regular Web Applications.
   • Dê um nome ao app, por exemplo Lovable OIDC SSO.
   • Clique em Create.
2. Configurar Allowed Callback URLs

   No Auth0, acesse as configurações do seu aplicativo, adicione as Allowed Callback URLs: https://auth.lovable.dev/__/auth/handler e clique em Save.

3. Fornecer à Lovable as informações do seu IdP

   No Auth0, copie os valores a seguir na aba Settings e insira-os na Lovable.

   • Auth0 Domain → Lovable OIDC Issuer URL/Discovery Endpoint (inclua https://)
   • Auth0 Client ID → Lovable OAuth Client ID/Application ID
   • Auth0 Client Secret → Lovable OAuth Client Secret
4. (Opcional) Testar a configuração na Lovable

   Na Lovable, clique em Test configuration. Se você tiver configurado tudo corretamente, a validação deverá ser bem-sucedida.

5. Concluir a configuração do provedor OIDC na Lovable

   Na Lovable, clique em Configure provider para concluir a configuração do Auth0 como seu provedor de SSO via OIDC.

SAML

1. Criar um aplicativo no painel de administração do Auth0

   • Em Applications, clique em Create application. Selecione o tipo de aplicativo Regular Web Applications.
   • Dê um nome ao app, por exemplo Lovable SAML SSO.
   • Clique em Create.
2. Configurar Allowed Callback URLs

   No Auth0, acesse as configurações do seu aplicativo, adicione as Allowed Callback URLs: https://auth.lovable.dev/__/auth/handler e clique em Save.

3. Configurar o SAML2 Web App Add-on

   • No Auth0, acesse Addons e ative SAML2 Web app.
   • Em Addon: SAML2 Web app → Settings, defina:
     • Application Callback URL: https://auth.lovable.dev/__/auth/handler
     • Settings: cole o seguinte JSON de mappings

       {
         "mappings": {
           "email": "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier"
         },
         "nameIdentifierFormat": "urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress"
       }
   

   • Clique em Enable.
4. Fornecer à Lovable as informações do seu IdP

   Em Auth0 → Addon: SAML2 Web app → Usage, copie os seguintes valores de SAML Protocol Configuration Parameter e insira-os na Lovable.

   • Auth0 Identity Provider Login URL → Lovable SAML SSO Sign-on URL from your IdP

   • Auth0 Issuer → Lovable Identity Provider Entity ID / Issuer

   • Auth0 X509Certificate → Lovable X.509 Signing Certificate (public key)

     Faça o download do certificado do Auth0 e copie o valor de X509Certificate. Cole o valor do certificado entre as linhas -----BEGIN CERTIFICATE----- e -----END CERTIFICATE-----.

5. Concluir a configuração do provedor SAML na Lovable

   Na Lovable, clique em Configure SAML Provider → Confirm & Enable SSO para concluir a configuração do Auth0 como seu provedor de SSO via SAML.

​

Configurar o Microsoft Entra ID como seu provedor de SSO

SAML

1. Criar um aplicativo corporativo no centro de administração do Microsoft Entra

   • Em Enterprise applications, selecione New application.
   • Selecione Create your own application e escolha Integrate any other application you don’t find in the gallery (Non-gallery).
   • Dê um nome ao app, por exemplo Lovable SAML SSO.
   • Clique em Create. Seu aplicativo será criado.
2. Configurar SAML SSO

   No Microsoft Entra, acesse a página de configuração de Single sign-on e selecione SAML. Em Basic SAML Configuration, insira o seguinte:

   • Identifier (Entity ID): https://auth.lovable.dev/__/auth/handler
   • Reply URL (Assertion Consumer Service URL): https://auth.lovable.dev/__/auth/handler

   Deixe os outros valores em branco e selecione Save.

3. Fornecer ao Lovable as informações do seu IdP

   Quando o aplicativo estiver configurado, copie os seguintes valores e insira-os no Lovable.

   • Microsoft Entra Login URL → Lovable SAML SSO Sign-on URL from your IdP

   • Microsoft Entra Microsoft Entra Identifier → Lovable Identity Provider Entity ID / Issuer

   • Microsoft Entra X509Certificate → Lovable X.509 Signing Certificate (public key)

     Você pode baixar o certificado (Base 64) ou abrir a App Federation Metadata URL em uma nova guia e copiar o valor de X509Certificate. Cole o valor do certificado entre as linhas -----BEGIN CERTIFICATE----- e -----END CERTIFICATE-----.

4. Concluir a configuração do provedor SAML no Lovable

   No Lovable, clique em Configure SAML Provider → Confirm & Enable SSO para concluir a configuração do Microsoft Entra ID como seu provedor de SAML SSO.

​

Configurar outros provedores

Você pode configurar qualquer provedor compatível com OIDC ou SAML com o SSO da Lovable.

Antes de começar, conclua Iniciar configuração de SSO na Lovable para obter as configurações e valores que você precisa usar no seu IdP.

OIDC

Mapeamento do provedor

Nomes de campos comuns entre provedores:

• Redirect URI: Callback URL, Sign-in redirect URI
• Issuer/Domain: Issuer URL, Authority, Okta domain, Auth0 domain, Tenant domain
• Client credentials: Client ID e Client Secret

Etapas

1. Criar um aplicativo confidencial OIDC

   Crie um novo aplicativo Web OIDC no seu provedor de identidade.

2. Configurar a Redirect URI

   Em Redirect/Callback URLs, adicione https://auth.lovable.dev/__/auth/handler.

3. Ativar escopos obrigatórios

   Certifique-se de que os escopos openid e email estejam habilitados e com consentimento concedido, se necessário.

4. Fornecer as informações do seu IdP para a Lovable

   No seu IdP, copie os seguintes valores e insira-os na Lovable:

   • Domain ou Issuer URL → Lovable OIDC Issuer URL/Discovery Endpoint
   • Client ID → Lovable OAuth Client ID/Application ID
   • Client Secret → Lovable OAuth Client Secret

SAML

Mapeamento do provedor

Nomes de campos comuns entre provedores:

• ACS URL: Single Sign-On URL, SSO URL, Reply URL, Assertion Consumer Service URL
• Audience: SP Entity ID, Audience URI, Identifier
• Attribute mapping: Attribute Statements, User Attributes & Claims

Etapas

1. Criar um aplicativo SAML 2.0

   Crie um novo aplicativo SAML 2.0 no seu provedor.

2. Configurar endpoints

   • ACS URL: https://auth.lovable.dev/__/auth/handler
   • Audience / Entity ID: https://auth.lovable.dev/__/auth/handler
3. Mapear atributos

   Certifique-se de que email esteja incluído na asserção SAML. displayName é opcional.

4. Atribuir usuários

   Atribua o aplicativo aos usuários/grupos que devem acessar a Lovable.

​

Solução de problemas

OIDC

Redirect URI inválida ou incompatível

Certifique-se de que a URL de redirecionamento/callback corresponda exatamente a https://auth.lovable.dev/__/auth/handler no seu IdP.

Falha na URL do Issuer / discovery

Use a URL do emissor (Issuer) OIDC do provedor (não apenas o domínio).

• Para Okta, copie na guia Sign-on
• Para Auth0, use o domínio do seu tenant.

Email não retornado

Conceda o escopo email e verifique se a conta do usuário tem um email principal.

Problemas no fluxo de autorização

Use Authorization Code com um cliente confidencial e client secret. Evite tipos de aplicativo implícitos ou somente PKCE.

SAML

ACS ou Audience inválidos

Certifique-se de que tanto o ACS quanto o Audience/Entity ID correspondam exatamente a https://auth.lovable.dev/__/auth/handler no seu IdP.

Email claim ausente

Certifique-se de mapear uma declaração (claim) de email.

Para Microsoft Entra ID, faça o mapeamento de email para user.mail. Se user.mail estiver vazio, use user.userprincipalname.

Credenciais do provedor inválidas

Cole o certificado X.509 correto. Se o certificado for renovado/rotacionado, atualize-o no Lovable.

​

Perguntas frequentes

Já tenho uma conta, mas estou entrando em uma área de trabalho de uma empresa que usa SSO. Como faço login?

Se você criou sua conta usando outro método de login (como email/senha, Google ou GitHub), você precisa fazer login dessa forma primeiro. Depois de entrar, vá até Settings → Your account → Link SSO. Isso vai vincular sua conta existente ao SSO da sua empresa.

Importante: Se você tentar fazer login com SSO antes de vincular sua conta existente, verá uma mensagem de erro. Isso é uma medida de segurança para evitar acesso não autorizado. Faça login usando seu método original primeiro para concluir o processo de vinculação.

Quais provedores de SSO são compatíveis com o Lovable?

O Lovable oferece suporte aos protocolos OIDC e SAML, que são padrões do setor, para que você possa integrar com qualquer provedor de SSO que os suporte.

O Lovable oferece suporte a vários provedores de SSO por área de trabalho?

Não. Uma área de trabalho pode ter apenas um provedor de SSO ativo configurado por vez.

Posso exigir o uso de SSO na minha área de trabalho?

Sim. O owner ou admin da área de trabalho pode ativar Enforce SSO em Settings → Workspace → Identity e escolher a session duration para configurar por quanto tempo os usuários permanecem conectados antes de exigir uma nova autenticação (24 horas, 48 horas ou 7 dias).

Isso exige que todos os membros da área de trabalho usem SSO para autenticação. Colaboradores externos e links de convite serão desativados.

O Lovable oferece suporte a SSO iniciado pelo IdP (IdP-initiated)?

Não. IdP-initiated SSO (iniciado a partir de um bloco/ícone no painel do IdP) não é compatível.

O Lovable oferece suporte apenas a SP-initiated sign-in. Os usuários devem iniciar o login a partir do Lovable.

O Lovable oferece suporte a SCIM ou provisionamento automático de usuários?

O Lovable oferece suporte a provisionamento JIT (just-in-time): as contas de usuário são criadas automaticamente na primeira vez que alguém faz login via SSO, e são adicionadas à área de trabalho da sua empresa.

Você também pode definir uma função padrão para usuários criados via JIT (admin, editor ou viewer), que será aplicada quando eles entrarem via SSO pela primeira vez.

Como posso encontrar meu tenant ID (identificador de login de SSO)?

Seu tenant ID é o valor {tenantId} usado na sua SSO login URL:
https://lovable.dev/sso-login/{tenantId}. Ele corresponde ao SSO login identifier que você definiu ao configurar seu provedor de SSO no Lovable.

Você também pode encontrá-lo em Settings → Workspace → Identity depois de configurar seu provedor.