Ein Passwort weniger – für ein System voller Kandidatendaten.
Single Sign-on (SSO) in Hireall heißt: Ihr Team meldet sich per OpenID Connect über den Identitätsanbieter an, den Sie ohnehin nutzen – Microsoft Entra ID, Google Workspace oder Okta. Bedingter Zugriff, Geräterichtlinien und MFA Ihres Anbieters greifen dann im Bewerbermanagementsystem genauso wie überall sonst.
Im Überblick Standardbasiert, in Eigenregie, ohne Termin mit uns.
Ihr Admin richtet alles in den Einstellungen ein und testet es, bevor es live geht.
OpenID Connect
Authorization Code Flow mit PKCE, sofern Ihr Anbieter das unterstützt. Signatur, Issuer, Audience und Nonce des ID-Tokens werden bei jeder Anmeldung geprüft; Signaturschlüssel aktualisieren sich selbst.
Nur Personen, die Sie eingeladen haben
Eine Adresse, die in Ihrem Konto noch kein Nutzer ist, wird abgewiesen. Ein Eintrag in Ihrem Verzeichnis allein öffnet niemandem Ihre Kandidatendatenbank.
Erlaubte Domains
Beschränken Sie die Anmeldung auf bis zu 10 E-Mail-Domains, die Ihnen gehören – für den Fall, dass Ihr Anbieter mehr als eine Organisation bedient.
Die MFA Ihres Anbieters zählt – einmal
Bestätigt das Token Ihres Anbieters, dass ein zweiter Faktor bereits geprüft wurde, akzeptiert Hireall das und fragt nicht erneut. Enthält es keine Angabe, läuft unser eigener zweiter Schritt weiterhin – Single Sign-on schaltet ihn nie stillschweigend ab.
Geprüft, bevor es aktiv wird
Beim Speichern liest Hireall die OpenID-Konfiguration Ihres Anbieters und lehnt eine Einrichtung ab, die nicht erreichbar ist. Ein Tippfehler im Issuer fällt also in den Einstellungen auf – nicht montags um neun.
Secret verschlüsselt gespeichert
Ihr Client Secret wird verschlüsselt in der Datenbank gespeichert, die Redirect-URI ist fest auf unsere eigene Domain gesetzt, und jeder Anmeldeversuch gilt nur einmal und läuft nach wenigen Minuten ab.
Einrichtung Ein Issuer, ein Client, ein Secret
Registrieren Sie Hireall als Anwendung bei Ihrem Identitätsanbieter, tragen Sie Issuer-URL, Client-ID und Secret in den Sicherheitseinstellungen ein und ergänzen Sie die Domains, die Sie zulassen möchten. Endpunkte und Signaturschlüssel ermittelt Hireall selbst – Sie laden keine Zertifikate hoch und müssen nichts manuell erneuern. Sehen oder ändern können das nur der Kontoinhaber und Super-Admins.
Rollen und Rechte Die Anmeldung ändert sich, die Rechte nicht
Single Sign-on regelt, wie jemand seine Identität nachweist. Was die Person in Hireall sieht, bestimmen weiterhin die vergebene Rolle und die zugewiesenen Stellen. Rollen werden nicht aus Ihrem Verzeichnis gelesen und lassen sich nicht über einen Group Claim setzen. Eine Änderung im Verzeichnis kann den Zugriff auf Kandidatendaten also nie unbemerkt erweitern.
Wer danach fragt Die Teams, die das ATS vor dem Kauf prüfen
IT, Sicherheitsprüfung und Teams mit vielen Nutzern.
Ein Verzeichnis, ein Offboarding
Die Anmeldung folgt Ihren bestehenden Regeln für bedingten Zugriff und Geräte – statt eines separaten Passworts, das niemand je ändert.
- Ihr Anbieter setzt Ihre Zugriffsregeln durch
- Nichts zu installieren, nichts zu erneuern
- Einrichtung ohne Kontakt zu uns
Der Fragebogen vor der Unterschrift
Standardbasierte Anmeldung mit geprüften Tokens, verschlüsseltem Secret und einer schriftlichen Antwort darauf, was unterstützt wird und was nicht.
- Token-Signatur, Issuer und Audience geprüft
- Client Secret verschlüsselt gespeichert
- Zweiter Faktor anerkannt, nie stillschweigend übergangen
20 Recruiter, 4 Standorte
Über einen Link meldet sich das ganze Team an, und die Liste erlaubter Domains beschränkt den Zugang auf Adressen, die Ihnen tatsächlich gehören.
- Ein Anmeldelink für das ganze Konto
- Bis zu 10 erlaubte E-Mail-Domains
- Unbekannte Adressen abgewiesen, nicht angelegt
Was unterstützt wird – und was nicht
Auch die Punkte, die die meisten Anbieter im Vagen lassen.
Single Sign-on (SSO) in Hireall heißt: Ihr Team meldet sich per OpenID Connect über Ihren eigenen Identitätsanbieter an, etwa Microsoft Entra ID, Google Workspace oder Okta. Ihr Admin richtet SSO in den Sicherheitseinstellungen ein, anmelden können sich nur Personen, die bereits in Ihr Hireall-Konto eingeladen wurden, und Rollen werden weiterhin in Hireall verwaltet. SAML und SCIM werden nicht unterstützt.
Derzeit nicht – Hireall unterstützt ausschließlich OpenID Connect. Alle großen Identitätsanbieter beherrschen OIDC, daher ist das in der Praxis selten ein Hindernis. Hat sich Ihre Organisation auf SAML festgelegt, sagen Sie es uns: Wir nennen Ihnen ehrlich den Stand, statt einen Termin zu versprechen.
Nein. Nutzer werden in Hireall eingeladen und erhalten dort eine Rolle; wer in Ihrem Verzeichnis, aber nicht in Hireall existiert, kann sich nicht anmelden. Diese Grenze ist bewusst gezogen: Automatische Bereitstellung in ein System mit Kandidatendaten ist genau die Art Komfort, die Zugriffe schafft, die nie jemand geprüft hat.
Im Moment nicht. Single Sign-on ist ein zusätzlicher Zugang, kein Ersatz; die Anmeldung per Passwort bleibt verfügbar. Ist verpflichtendes SSO für Sie eine Voraussetzung, sagen Sie es uns – das ist eine Produktentscheidung, kein technisches Hindernis.
Nein. Rollen und der Zugriff pro Stelle werden in Hireall verwaltet. Group Claims werden nicht gelesen. So bekommt niemand Einblick in Kandidaten, nur weil jemand, der dieses ATS nie gesehen hat, im Verzeichnis etwas geändert hat.
Die Person kann sich nicht mehr über Ihren Anbieter authentifizieren, der Weg über Single Sign-on ist also sofort geschlossen. Da die Anmeldung per Passwort verfügbar bleibt, ist das Offboarding erst vollständig, wenn Sie den Nutzer auch in Hireall entfernen oder archivieren – erst dieser Schritt entzieht den Zugriff auf Kandidatendaten.
Sie zählt, wenn Ihr Anbieter es bestätigt. Gibt das Anmeldetoken an, dass ein zweiter Faktor bereits geprüft wurde – Microsoft Entra ID und Okta senden diese Angabe –, akzeptiert Hireall das, fragt nicht erneut und vermerkt die Anerkennung im Audit-Log. Enthält das Token keine Angabe, läuft unser eigener zweiter Schritt weiterhin, statt etwas vorauszusetzen. Google Workspace sendet hier meist nichts; rechnen Sie bei diesen Anmeldungen also mit dem zusätzlichen Schritt.
Anmelden, wie es in Ihrem Unternehmen längst üblich ist
In einer 30-minütigen Demo gehen wir die Einrichtung gemeinsam mit Ihnen durch.
Sprechen Sie mit unserem Team
Erzählen Sie uns von Ihren offenen Stellen und Ihrer Teamgröße – wir zeigen Ihnen, wie Hireall in Ihren Recruiting-Prozess passt und welcher Tarif der richtige ist.
Vertrieb kontaktieren Abrechnung pro Unternehmen, nicht pro Nutzer