---
title: "Single Sign-On (OIDC)"
description: "Euer Team meldet sich über euren eigenen Identity Provider an (Keycloak, Microsoft Entra ID, Google Workspace, Okta, Authentik), mit automatischer Kontoanlage und optionalem SSO-Zwang."
---

Uptimeify unterstützt Single Sign-On über **OpenID Connect (OIDC)** je Organisation. Teammitglieder melden sich über euren Identity Provider (IdP) an; Kunden-Logins sind davon nicht betroffen. SAML ist geplant.

## Voraussetzungen

- Du bist **Admin** deiner Uptimeify-Organisation.
- Du kannst in deinem IdP einen OIDC-Client anlegen (vertraulich, Authorization Code Flow mit PKCE).
- Du kannst für die E-Mail-Domain deines Teams einen DNS-TXT-Eintrag setzen.

## 1. Client im IdP anlegen

Lege einen vertraulichen OIDC-Client an und erlaube diese Redirect-URI (Uptimeify zeigt sie nach dem ersten Speichern unter **Einstellungen → Sicherheit → Single Sign-On**):

```
https://uptimeify.io/api/auth/sso/callback/org-<deine-organisations-id>
```

Scopes: `openid email profile`. Das Client-Secret speichert Uptimeify verschlüsselt und zeigt es nie wieder an.

## 2. SSO in Uptimeify einrichten

Gehe zu **Einstellungen → Sicherheit → Single Sign-On (OIDC)** und trage ein:

| Feld | Bedeutung |
|---|---|
| Issuer-URL | Der Issuer deines IdP, zum Beispiel `https://login.microsoftonline.com/TENANT-ID/v2.0`. Uptimeify lädt beim Speichern `/.well-known/openid-configuration` davon. |
| Client-ID, Client-Secret | Aus Schritt 1. Später leer lassen, um das gespeicherte Secret zu behalten. |
| E-Mail-Domain | Die Domain der Adressen deines Teams, zum Beispiel `firma.de`. Eine Domain gehört nur zu einer Organisation. |
| Rolle für neue Nutzer | `Lesen`, `Bearbeiten`, `Responder` oder `Admin`. Wer sich zum ersten Mal per SSO anmeldet, bekommt ein Konto in deiner Organisation mit dieser Rolle. |

## 3. Domain bestätigen

Uptimeify zeigt einen TXT-Eintrag. Lege ihn bei deinem DNS-Anbieter an und klicke auf **Prüfen**:

```
_uptimeify-sso.firma.de  TXT  "uptimeify-sso=<token>"
```

SSO funktioniert erst mit bestätigter Domain. Änderst du Domain oder Issuer, musst du erneut bestätigen.

## 4. Anmelden

Auf der Login-Seite **Mit SSO anmelden** wählen, geschäftliche E-Mail eingeben, und du wirst zu deinem IdP weitergeleitet. Bestehende Konten deiner Organisation mit derselben E-Mail werden weiterverwendet; Adressen, die zu einer anderen Uptimeify-Organisation gehören, werden abgewiesen.

## Nur SSO

Sobald die Domain bestätigt ist und ein SSO-Login geklappt hat, kannst du **Nur noch SSO** einschalten. Teammitglieder können sich dann nicht mehr per Passwort anmelden. Zwei Ausnahmen:

- **Admins** behalten Passwort und 2FA als Notfallzugang, falls der IdP ausfällt oder falsch konfiguriert ist.
- **Kunden-Logins** (Nutzer mit Zugriff auf einzelne Kunden) sind nicht betroffen.

## Beispiele je Anbieter

**Keycloak:** Client-Typ OpenID Connect, Client-Authentifizierung an, Standard Flow an, PKCE-Methode `S256`. Issuer: `https://keycloak.firma.de/realms/REALM`. Achte darauf, dass die E-Mail der Nutzer bestätigt ist.

**Microsoft Entra ID:** App-Registrierung, Plattform „Web“ mit der Redirect-URI von oben, Client-Secret anlegen. Issuer: `https://login.microsoftonline.com/TENANT-ID/v2.0`.

**Google Workspace:** Google Cloud Console, OAuth-Client-ID vom Typ „Webanwendung“ mit der Redirect-URI von oben. Issuer: `https://accounts.google.com`.

## Fehlermeldungen

| Meldung | Bedeutung |
|---|---|
| Für diese Domain ist kein SSO eingerichtet | Kein bestätigtes SSO für die E-Mail-Domain. Melde dich mit Passwort an. |
| Adresse außerhalb der bestätigten Domain | Der IdP hat eine E-Mail geliefert, die nicht auf die bestätigte Domain endet. |
| Adresse als unbestätigt gemeldet | Der IdP schickte `email_verified: false`. |
| Adresse gehört zu einer anderen Organisation | Die E-Mail hat schon ein Konto in einer anderen Uptimeify-Organisation. |
| Konto ist deaktiviert | Ein Admin hat dieses Konto in Uptimeify deaktiviert. |
| Deine Organisation verlangt die Anmeldung per SSO | „Nur SSO“ ist an; nutze **Mit SSO anmelden**. |