Definitie: Single Sign-On (SSO) is een manier van inloggen waarbij een gebruiker zich één keer aanmeldt en daarna zonder opnieuw in te loggen toegang krijgt tot meerdere applicaties. Een centrale identiteitsdienst, zoals Microsoft Entra ID, Google Workspace of Okta, controleert wie de gebruiker is en laat de gekoppelde applicaties dat weten.
In het kort
- SSO betekent letterlijk eenmalige aanmelding: één set inloggegevens voor meerdere systemen.
- De bekendste standaarden zijn SAML 2.0 en OpenID Connect (OIDC); in bedrijfsnetwerken wordt ook Kerberos gebruikt.
- Voordelen zijn minder wachtwoorden, minder helpdeskvragen en centraal beheer van toegang.
- Het grootste risico is dat één gelekt account toegang geeft tot alles; daarom hoort SSO altijd samen te gaan met meerfactorauthenticatie.
Wat is Single Sign-On (SSO)?
Single Sign-On is een inlogmethode waarbij je met één account toegang krijgt tot meerdere applicaties. Je kent het waarschijnlijk van de knop “Inloggen met Microsoft” of “Inloggen met Google”. Je meldt je aan bij die ene dienst, en de applicatie die je wilt gebruiken vertrouwt op die aanmelding.
Op het werk is SSO nog gewoner. Een medewerker logt ’s ochtends in met zijn bedrijfsaccount en opent daarna zonder extra wachtwoord zijn mail, het CRM, de projectsoftware en het klantportaal. Kaseya noemt een Okta-onderzoek uit 2018 waaruit blijkt dat bedrijven gemiddeld zo’n 129 applicaties gebruiken. Zonder SSO zou elke applicatie een eigen wachtwoord vragen.
Cloudflare vergelijkt het met een bar: de portier controleert één keer je identiteit, en daarna kun je meerdere drankjes bestellen zonder steeds opnieuw je legitimatie te laten zien.
Hoe werkt SSO?
Bij SSO spelen drie partijen een rol:
| Partij | Rol | Voorbeeld |
|---|---|---|
| Gebruiker | Wil een applicatie gebruiken | Een medewerker of klant |
| Identity provider (IdP) | Controleert wie de gebruiker is | Microsoft Entra ID, Google Workspace, Okta, Keycloak |
| Service provider (SP) | De applicatie die toegang geeft | Een CRM, klantportaal of interne tool |
Het inloggen verloopt zo:
- De gebruiker opent een applicatie en klikt op inloggen.
- De applicatie stuurt hem door naar de identity provider.
- De identity provider controleert de inloggegevens, eventueel met een tweede factor.
- De identity provider maakt een token aan, een digitaal bewijs dat de gebruiker is gecontroleerd.
- De applicatie controleert het token en laat de gebruiker binnen.
- Opent de gebruiker daarna een andere gekoppelde applicatie, dan herkent de identity provider de bestaande sessie en hoeft hij niet opnieuw in te loggen.
Volgens Cloudflare slaat een SSO-dienst zelf meestal geen identiteiten op, maar controleert hij de gegevens bij een aparte identiteitsdienst.
Welke standaarden worden gebruikt?
| Standaard | Kenmerk | Typisch gebruik |
|---|---|---|
| SAML 2.0 | Op XML gebaseerde open standaard voor het uitwisselen van inloggegevens | Zakelijke webapplicaties en SaaS-pakketten |
| OpenID Connect (OIDC) | Laag bovenop OAuth 2.0, werkt met JSON-tokens | Moderne web- en mobiele apps, “Inloggen met Google of Microsoft” |
| Kerberos | Protocol met een vertrouwde derde partij | Interne netwerken, vaak met Active Directory |
Bitwarden noemt daarnaast SCIM, een standaard om gebruikers automatisch aan te maken en te verwijderen in gekoppelde applicaties. Dat is handig bij in- en uitdiensttreding.
Soorten SSO
QuestionPro onderscheidt drie vormen:
- Web SSO: één sessie in de browser voor meerdere webapplicaties.
- Federated SSO: identiteiten worden gedeeld tussen organisaties of domeinen, bijvoorbeeld als een klant met zijn eigen bedrijfsaccount inlogt in jouw portaal.
- Enterprise SSO: gekoppeld aan het bedrijfsnetwerk, vaak via Active Directory.
Voordelen van SSO
- Minder wachtwoorden. Gebruikers hoeven er minder te onthouden en hergebruiken er minder.
- Minder helpdeskvragen. Minder vergeten wachtwoorden betekent minder herstelverzoeken.
- Centraal beheer. Een account uitschakelen sluit iemand in één keer af van alle gekoppelde applicaties.
- Betere beveiliging. Volgens Cloudflare kun je meerfactorauthenticatie op één centrale plek inschakelen in plaats van per applicatie.
- Gemak. Gebruikers werken sneller zonder steeds in te loggen.
Kaseya noemt cijfers die het belang onderstrepen: volgens het Verizon Data Breach Investigations Report uit 2019 hing 29 procent van de beveiligingsinbreuken samen met gestolen inloggegevens.
Nadelen en risico’s
- Eén sleutel voor alles. Lekt een account, dan staan alle gekoppelde applicaties open. Kaseya en DISA adviseren daarom SSO altijd te combineren met meerfactorauthenticatie.
- Afhankelijkheid. Valt de identity provider uit, dan kan niemand meer inloggen.
- Niet elke applicatie doet mee. Bitwarden wijst erop dat veel applicaties geen SSO ondersteunen, zodat een wachtwoordbeheerder nodig blijft.
- Extra kosten. Sommige SaaS-leveranciers bieden SSO alleen in een duurder abonnement aan, wat ook wel de SSO-tax wordt genoemd.
- Inrichting. Configuratie, testen en beheer kosten tijd.
SSO in een eigen webapplicatie of klantportaal
Bouw je een eigen applicatie, dan is SSO vaak een logische keuze voor medewerkers. Zij hebben al een Microsoft- of Google-account, en beheer van toegang loopt dan via dat account. Een nieuwe collega krijgt toegang zodra zijn account bestaat, een vertrekkende collega verliest die automatisch.
Bij een klantportaal ligt het anders. Klanten hebben niet allemaal hetzelfde type account. Vaak is een combinatie het handigst: SSO voor medewerkers, en voor klanten inloggen met e-mail, een eenmalige link of hun eigen Microsoft- of Google-account. Zakelijke klanten met veel gebruikers vragen soms om federated SSO met hun eigen identity provider.
Let bij de inrichting op:
- Rechten blijven in de applicatie. SSO zegt wie iemand is, niet wat hij mag. Rollen en rechten leg je in de applicatie zelf vast.
- Wat gebeurt er bij vertrek? Zorg dat een uitgeschakeld account ook echt geen toegang meer heeft, ook niet via een nog open sessie.
- Reserve-toegang. Regel een manier om in te loggen als de identity provider niet beschikbaar is, bijvoorbeeld voor een beheerder.
- Logging. Leg vast wie wanneer inlogde, zodat je bij een incident kunt nagaan wat er gebeurde.
Wat betekent dit voor jouw project?
Bij een nieuwe applicatie vraag ik eerst wie het gaat gebruiken en welke taak die persoon als eerste moet kunnen afronden. Daaruit volgt ook hoe iemand inlogt. Werkt je team al met Microsoft 365 of Google Workspace, dan ligt inloggen met dat account voor de hand. Gaat het om klanten, dan kijken we wat voor hen het eenvoudigst is.
Ik wil vooraf duidelijk hebben wat we met een eerste versie bedoelen. Soms is SSO daar meteen onderdeel van, soms is het een logische uitbreiding zodra meer mensen de applicatie gebruiken.
Wil je een portaal of interne tool waarin je team met het bestaande account inlogt? Stuur me voor wie het is, welke systemen jullie al gebruiken en wat de eerste versie moet oplossen. Lees ook wat er komt kijken bij een maatwerk webapplicatie.
Veelgestelde vragen over Single Sign-On
Wat betekent SSO?
SSO staat voor Single Sign-On, in het Nederlands eenmalige aanmelding. Een gebruiker logt één keer in en krijgt daarna toegang tot meerdere gekoppelde applicaties zonder opnieuw in te loggen.
Is single sign-on veilig?
SSO is veilig als het goed is ingericht en gecombineerd wordt met meerfactorauthenticatie. Omdat één account toegang geeft tot meerdere applicaties, is extra bescherming van dat account wel noodzakelijk.
Wat is het verschil tussen SSO en OAuth?
SSO is het principe van één keer inloggen voor meerdere applicaties. OAuth is een standaard voor het geven van toegang aan applicaties; OpenID Connect bouwt daarop voort en wordt vaak gebruikt om SSO mogelijk te maken.
Verwante termen
Klantportaal · Interne tool · Privacy by design · Webapplicatie · SaaS · Backoffice-systeem
← Terug naar de kennisbank