In veel kleine bedrijven heeft elke tool een eigen wachtwoord. Het CRM is weer een extra login, vaak met een hergebruikt of gedeeld wachtwoord, en MFA staat bij sommige gebruikers aan en bij andere niet. Als iemand vertrekt, gaat de mailbox op de laatste dag uit, maar het CRM-account valt pas weken later op. Pomio CRM raadt single sign-on (SSO) voor het CRM aan zodra het bedrijf al één centraal werkaccount per persoon heeft en het CRM dat kan gebruiken.
Wat single sign-on verandert
Met SSO bewaart het CRM geen eigen wachtwoord meer per gebruiker. Mensen loggen in met hun Microsoft 365- of Google Workspace-account en die accountprovider bevestigt wie ze zijn. Dat past bij de regel dat elke CRM-gebruiker een eigen login heeft: de login is gewoon het werkaccount dat iemand al heeft, geen gedeeld of extra account.
MFA op één plek
De vraag of een CRM MFA nodig heeft wordt eenvoudiger met SSO. Je dwingt multifactorauthenticatie één keer af, voor het werkaccount, en dan geldt het voor het CRM, de mail en elke andere gekoppelde tool. Er is geen aparte instelling per tool die iemand vergeet aan te zetten.
Vertrekkers verliezen automatisch toegang
De grootste winst zit aan het einde van een dienstverband. Het werkaccount uitschakelen sluit op hetzelfde moment de CRM-toegang af, waardoor het veel makkelijker wordt om een CRM-gebruiker op de laatste werkdag te schorsen. Schors of deactiveer de CRM-gebruiker zelf toch ook en wijs de open deals opnieuw toe, want SSO blokkeert alleen de login; het draagt geen klanten of records over.
Wat SSO niet doet
SSO beantwoordt wie iemand is, niet wat diegene mag. Rollen, zichtbaarheid en rechten zoals exporteren of verwijderen blijven in het CRM en moeten nog steeds worden ingesteld en gecontroleerd. SSO maakt de identiteitsprovider ook een afhankelijkheid: als die niet beschikbaar of verkeerd ingesteld is, kan niemand inloggen. Daarom houd je één noodbeheerderslogin die zonder SSO werkt, met een sterk wachtwoord en eigen MFA, veilig opgeborgen en alleen gebruikt als SSO faalt. Tel die mee in het aantal beheerders dat je toestaat.
Een praktische regel voor het mkb
Zet SSO aan voor het CRM als alle gebruikers al een centraal werkaccount hebben en het CRM het ondersteunt. Schakel het aparte CRM-wachtwoord voor gewone gebruikers uit zodra iedereen met succes via SSO heeft ingelogd, zodat er geen twee wegen naar binnen zijn. Houd één vastgelegde noodbeheerderslogin en controleer bij de kwartaalcontrole van de toegang dat die nog werkt en dat niemand anders hem gebruikt.