SSO: wat is single sign-on en wat betekent het voor de HR-software van jouw mkb-bedrijf?

SSO staat voor single sign-on: je logt één keer in en krijgt daarmee toegang tot meerdere applicaties. Een medewerker meldt zich 's ochtends aan met zijn werkaccount. Daarna opent hij zonder nieuw wachtwoord zijn mail, het verlofportaal en het rooster. Voor je HR-software is vooral het omgekeerde belangrijk: vertrekt iemand, dan blokkeer je één account en is de toegang tot al die systemen dicht.

Zocht je naar Star Stable of naar SSO als afkorting rond het paardenspel? Dan ben je hier op de verkeerde plek. Deze pagina gaat over single sign-on bij het inloggen in bedrijfssoftware.

Wat is SSO? Uitleg in gewone taal

Zonder SSO heeft elke applicatie een eigen gebruikersnaam en wachtwoord. Werkt een medewerker met mail, een HR-pakket, een urenregistratie en een planningstool, dan zijn dat vier inlogs. Met SSO is dat er één: het account dat je bedrijf al gebruikt, meestal een Microsoft- of Google-account.

De begrippen die je onderweg tegenkomt:

• SSO login: de knop in een applicatie waarmee je via je bedrijfsaccount inlogt, vaak met de tekst 'Inloggen met SSO' of 'Aanmelden via je organisatie'.
• Inloggen met je Microsoft-account: de meest voorkomende vorm van SSO in het Nederlandse mkb, omdat veel bedrijven al met Microsoft 365 werken. Google Workspace werkt op dezelfde manier.
• Tweestapsverificatie (MFA): een extra controle naast je wachtwoord, zoals een code of bevestiging in een app op je telefoon. MFA en SSO horen bij elkaar: SSO zorgt voor één inlog, MFA zorgt dat die ene inlog goed beveiligd is.
• Wachtwoordmanager: bewaart al je losse wachtwoorden en vult ze voor je in. Je hebt dan nog steeds per applicatie een account. Bij SSO verdwijnen die losse accounts als inlogmiddel. Bij vertrek van een medewerker moet je met een wachtwoordmanager dus nog steeds elk account apart afsluiten.

Hoe werkt inloggen met SSO in de praktijk?

Bij SSO spelen drie partijen een rol:

1. De gebruiker: de medewerker die wil inloggen.
2. De identiteitsprovider: het systeem dat weet wie je bent en je wachtwoord en MFA controleert. Voorbeelden zijn Microsoft Entra ID (de opvolger van Azure Active Directory), Google Workspace en Okta.
3. De applicatie: het programma waar je in wilt, bijvoorbeeld je HR-pakket.

Wat er gebeurt als een medewerker inlogt:

1. Hij opent het HR-pakket en klikt op 'Inloggen met SSO' of 'Inloggen met Microsoft'.
2. Het HR-pakket stuurt hem door naar de identiteitsprovider.
3. Is hij die dag al ingelogd, dan herkent de identiteitsprovider hem meteen. Zo niet, dan vult hij zijn wachtwoord in en bevestigt hij met MFA.
4. De identiteitsprovider stuurt een digitaal bewijs terug naar het HR-pakket: dit is deze medewerker en hij is gecontroleerd.
5. Het HR-pakket laat hem binnen, met de rechten die in het pakket voor hem zijn ingesteld.

Het HR-pakket ziet het wachtwoord dus nooit. Het vertrouwt op het oordeel van de identiteitsprovider.

SSO, SAML, OpenID Connect en Okta: wat is wat?

Is SAML hetzelfde als SSO? Nee. SSO is het doel: één keer inloggen voor meerdere applicaties. SAML is een techniek om dat te bereiken, een afgesproken manier waarop de identiteitsprovider en de applicatie dat digitale bewijs uitwisselen. OpenID Connect (vaak OIDC) is een andere, nieuwere techniek voor hetzelfde doel. Voor jou als gebruiker voelt het identiek. Het verschil telt alleen bij de koppeling: je identiteitsprovider en je HR-pakket moeten minstens één gemeenschappelijk protocol ondersteunen.

Okta is een aanbieder van identiteitsbeheer en SSO. Het is geen HR-software en ook geen synoniem van SSO. Okta vervult dezelfde rol als Microsoft Entra ID of Google Workspace: het is de identiteitsprovider die bepaalt wie mag inloggen. Het verschil zit in de uitgangspositie. Microsoft- en Google-inlog krijg je mee met de kantoorsoftware die je al gebruikt. Okta is een losse dienst die je naast of in plaats daarvan inzet, vaak bij bedrijven die veel verschillende applicaties en accounts centraal willen beheren. Werk je al met Microsoft 365 of Google Workspace, dan heb je in de regel al een identiteitsprovider in huis.

Wat betekent een SSO-koppeling voor HR-software?

Een SSO-koppeling is de instelling waarmee je HR-pakket en je identiteitsprovider elkaar vertrouwen. Je hebt twee dingen nodig: een identiteitsprovider (zoals Entra ID, Google Workspace of Okta) en een HR-pakket dat SSO ondersteunt. Dat laatste is niet vanzelfsprekend. Sommige pakketten bieden het in elk abonnement, andere alleen in een duurder pakket of als losse module. Welke identiteitsproviders worden ondersteund, verschilt ook. Vraag het dus altijd na bij de leverancier en laat het op papier zetten.

In de praktijk merk je dit:

• Minder wachtwoorden. Medewerkers vergeten minder, en jij krijgt minder vragen over wachtwoorden resetten.
• Sneller toegang intrekken bij vertrek. Je blokkeert het Microsoft- of Google-account en de medewerker komt niet meer in het HR-pakket. Dat is relevant, want daar staan salarisgegevens, verzuimnotities en BSN-nummers.
• Meer gebruik van selfservice. Als het verlof- of urenportaal met hetzelfde account opent als de mail, voeren medewerkers vaker zelf verlof en uren in. Dat scheelt overtypen.

Wat SSO niet oplost: het regelt wie er mag inloggen, niet wie wat mag zien. Of een leidinggevende alleen zijn eigen team ziet, en of alleen HR bij verzuimdossiers kan, stel je apart in via de rechten en rollen in het HR-pakket. Een slecht ingerichte rechtenstructuur blijft met SSO net zo lek.

Voordelen en nadelen van SSO voor een mkb-bedrijf

De voordelen:

• één plek om accounts aan te maken en te blokkeren;
• MFA hoef je maar op één plek af te dwingen;
• minder zwakke of hergebruikte wachtwoorden;
• snellere onboarding: een nieuwe medewerker krijgt één account en kan aan de slag.

De nadelen en risico's:

• Afhankelijkheid van één account. Wordt dat account gehackt, dan staan alle gekoppelde applicaties open. Zonder MFA is SSO daarom geen goed idee.
• Uitval van de identiteitsprovider. Ligt Microsoft- of Google-inlog eruit, dan komt niemand in het HR-pakket. Daarom wil je een reserve-inlog voor minstens één beheerder.
• Inrichting kost tijd en kennis. Iemand moet de koppeling instellen en beheren. Heb je geen IT-beheerder, dan heb je een externe partij nodig.

Voor vragen over privacy, de AVG en beveiligingseisen geven wij geen advies. Leg die voor aan je IT-beheerder of een specialist.

Wanneer heeft je mkb-bedrijf SSO nodig en wanneer nog niet?

Klein team, een paar tools. Werk je met minder dan zo'n 15 medewerkers en drie of vier applicaties, en is het personeelsverloop laag? Dan is SSO prettig maar geen must. Een HR-pakket met eigen inlog plus verplichte MFA en een wachtwoordmanager volstaat. Betaal niet voor een duurder abonnement alleen om SSO te krijgen. Werk je HR nog in spreadsheets, lees dan eerst wanneer Excel niet meer volstaat voor je HR-administratie.

Groeiend bedrijf, veel applicaties. Vanaf ongeveer 25 tot 50 medewerkers, met tien of meer applicaties, wordt SSO wel de moeite waard. Elk vertrek betekent anders tien accounts nalopen, en er blijft altijd ergens een toegang open.

Wisselend personeel. Werk je met veel oproepkrachten, uitzendkrachten of seizoenswerk, zoals in horeca, retail of logistiek? Dan is SSO met automatisch aanmaken en verwijderen van accounts het sterkste argument. Hier zou ik SSO tot harde eis maken.

Werk je al met Microsoft 365 of Google Workspace, dan is de drempel laag: de identiteitsprovider heb je al.

Waar let je op bij SSO in HR-software?

SSO is één criterium. Processen, rechten en andere koppelingen wegen meestal zwaarder. Lees voor het totaalbeeld wat je van HR-software nodig hebt als mkb-bedrijf. Overweeg je een groter systeem waarin HR maar één onderdeel is, kijk dan ook wanneer een ERP-pakket bij je past.

Stel de leverancier deze vragen:

1. Ondersteunt het pakket SSO?
2. Via welk protocol: SAML, OpenID Connect of beide?
3. Welke identiteitsproviders worden ondersteund: Microsoft Entra ID, Google Workspace, Okta?
4. Zit SSO in elk abonnement, of alleen in een hoger pakket?
5. Kunnen accounts automatisch worden aangemaakt en verwijderd vanuit de identiteitsprovider (vaak via SCIM)?
6. Kun je SSO combineren met een eigen inlog als reserve, bijvoorbeeld voor een beheerder?
7. Kun je SSO verplicht stellen, zodat medewerkers niet om de koppeling heen kunnen?

HRKeuze verdient geld via affiliate-links wanneer we producten aanbevelen. Op deze pagina bespreken we nog geen pakketten.

Veelgestelde vragen

Wat betekent SSO?

SSO staat voor single sign-on: één keer inloggen en daarmee toegang krijgen tot meerdere applicaties, zoals mail, HR-software en roosters.

Wat is een SSO-koppeling?

De instelling waarmee een applicatie, zoals je HR-pakket, de inlog van je identiteitsprovider vertrouwt. Je hebt een identiteitsprovider nodig en een pakket dat SSO ondersteunt.

Is SAML hetzelfde als SSO?

Nee. SSO is het doel, SAML is een van de technieken om het te bereiken. OpenID Connect is een andere techniek voor hetzelfde doel.

Hoe log ik in met SSO?

Je klikt in de applicatie op 'Inloggen met SSO' of 'Inloggen met Microsoft' of Google. Je wordt doorgestuurd naar je bedrijfsaccount, logt daar in met wachtwoord en MFA, en komt daarna terug in de applicatie.

Is Okta hetzelfde als SSO?

Nee. Okta is een aanbieder van identiteitsbeheer die onder meer SSO levert. Het vervult dezelfde rol als Microsoft Entra ID of Google Workspace.

Heeft mijn mkb-bedrijf SSO nodig voor HR-software?

Bij een klein team met weinig tools en weinig verloop niet per se; MFA en een wachtwoordmanager volstaan dan. Met tientallen medewerkers, veel applicaties of veel wisselend personeel is SSO wel een duidelijke aanrader.