Single Sign-On (OIDC)
Euer Team meldet sich über euren eigenen Identity Provider an (Keycloak, Microsoft Entra ID, Google Workspace, Okta, Authentik), mit automatischer Kontoanlage und optionalem SSO-Zwang.
Uptimeify unterstützt Single Sign-On über OpenID Connect (OIDC) je Organisation. Teammitglieder melden sich über euren Identity Provider (IdP) an; Kunden-Logins sind davon nicht betroffen. SAML ist geplant.
Voraussetzungen
- Du bist Admin deiner Uptimeify-Organisation.
- Du kannst in deinem IdP einen OIDC-Client anlegen (vertraulich, Authorization Code Flow mit PKCE).
- Du kannst für die E-Mail-Domain deines Teams einen DNS-TXT-Eintrag setzen.
1. Client im IdP anlegen
Lege einen vertraulichen OIDC-Client an und erlaube diese Redirect-URI (Uptimeify zeigt sie nach dem ersten Speichern unter Einstellungen → Sicherheit → Single Sign-On):
https://uptimeify.io/api/auth/sso/callback/org-<deine-organisations-id>Scopes: openid email profile. Das Client-Secret speichert Uptimeify verschlüsselt und zeigt es nie wieder an.
2. SSO in Uptimeify einrichten
Gehe zu Einstellungen → Sicherheit → Single Sign-On (OIDC) und trage ein:
| Feld | Bedeutung |
|---|---|
| Issuer-URL | Der Issuer deines IdP, zum Beispiel https://login.microsoftonline.com/TENANT-ID/v2.0. Uptimeify lädt beim Speichern /.well-known/openid-configuration davon. |
| Client-ID, Client-Secret | Aus Schritt 1. Später leer lassen, um das gespeicherte Secret zu behalten. |
| E-Mail-Domain | Die Domain der Adressen deines Teams, zum Beispiel firma.de. Eine Domain gehört nur zu einer Organisation. |
| Rolle für neue Nutzer | Lesen, Bearbeiten, Responder oder Admin. Wer sich zum ersten Mal per SSO anmeldet, bekommt ein Konto in deiner Organisation mit dieser Rolle. |
3. Domain bestätigen
Uptimeify zeigt einen TXT-Eintrag. Lege ihn bei deinem DNS-Anbieter an und klicke auf Prüfen:
_uptimeify-sso.firma.de TXT "uptimeify-sso=<token>"SSO funktioniert erst mit bestätigter Domain. Änderst du Domain oder Issuer, musst du erneut bestätigen.
4. Anmelden
Auf der Login-Seite Mit SSO anmelden wählen, geschäftliche E-Mail eingeben, und du wirst zu deinem IdP weitergeleitet. Bestehende Konten deiner Organisation mit derselben E-Mail werden weiterverwendet; Adressen, die zu einer anderen Uptimeify-Organisation gehören, werden abgewiesen.
Nur SSO
Sobald die Domain bestätigt ist und ein SSO-Login geklappt hat, kannst du Nur noch SSO einschalten. Teammitglieder können sich dann nicht mehr per Passwort anmelden. Zwei Ausnahmen:
- Admins behalten Passwort und 2FA als Notfallzugang, falls der IdP ausfällt oder falsch konfiguriert ist.
- Kunden-Logins (Nutzer mit Zugriff auf einzelne Kunden) sind nicht betroffen.
Beispiele je Anbieter
Keycloak: Client-Typ OpenID Connect, Client-Authentifizierung an, Standard Flow an, PKCE-Methode S256. Issuer: https://keycloak.firma.de/realms/REALM. Achte darauf, dass die E-Mail der Nutzer bestätigt ist.
Microsoft Entra ID: App-Registrierung, Plattform „Web“ mit der Redirect-URI von oben, Client-Secret anlegen. Issuer: https://login.microsoftonline.com/TENANT-ID/v2.0.
Google Workspace: Google Cloud Console, OAuth-Client-ID vom Typ „Webanwendung“ mit der Redirect-URI von oben. Issuer: https://accounts.google.com.
Fehlermeldungen
| Meldung | Bedeutung |
|---|---|
| Für diese Domain ist kein SSO eingerichtet | Kein bestätigtes SSO für die E-Mail-Domain. Melde dich mit Passwort an. |
| Adresse außerhalb der bestätigten Domain | Der IdP hat eine E-Mail geliefert, die nicht auf die bestätigte Domain endet. |
| Adresse als unbestätigt gemeldet | Der IdP schickte email_verified: false. |
| Adresse gehört zu einer anderen Organisation | Die E-Mail hat schon ein Konto in einer anderen Uptimeify-Organisation. |
| Konto ist deaktiviert | Ein Admin hat dieses Konto in Uptimeify deaktiviert. |
| Deine Organisation verlangt die Anmeldung per SSO | „Nur SSO“ ist an; nutze Mit SSO anmelden. |
Firewall-Allowlisting (Monitoring-Node-IPs)
Wenn deine Website durch eine Firewall oder WAF geschützt ist, musst du ggf. unsere Monitoring-Nodes allowlisten, damit wir dein Endpoint zuverlässig erreichen können.
Webhook-Payload-Referenz
Das exakte JSON, das Uptimeify an einen generischen Webhook-Kanal sendet, die mitgeschickten Request-Header und die Prüfung der HMAC-Signatur.