Single sign-on

Single sign-on (SSO) is een authenticatiemethode waarmee je met een enkele keer inloggen toegang krijgt tot meerdere applicaties en systemen. In plaats van voor elke applicatie apart een gebruikersnaam en wachtwoord in te voeren, log je eenmalig in bij een centrale identiteitsprovider die je identiteit bevestigt aan alle gekoppelde applicaties. SSO is een kerncomponent van modern identity and access management en wordt breed ingezet in zowel zakelijke als consumentenomgevingen. Met de groei van het aantal SaaS-applicaties dat organisaties gebruiken, is SSO uitgegroeid van een luxe tot een basisbehoefte voor zowel productiviteit als beveiliging van de digitale werkplek.

De technologie achter SSO maakt gebruik van gestandaardiseerde protocollen zoals SAML 2.0, OAuth 2.0 en OpenID Connect. Bij een SSO-login stuurt de applicatie een authenticatieverzoek naar de identiteitsprovider. Als je daar al bent ingelogd, ontvangt de applicatie een beveiligingstoken dat je identiteit en toegangsrechten bevestigt zonder dat je opnieuw hoeft in te loggen. Als je nog niet bent ingelogd, voer je eenmalig je credentials in bij de identiteitsprovider. Bekende SSO-providers zijn Microsoft Entra ID (voorheen Azure AD), Okta, Google Workspace en OneLogin. Elk van deze platformen biedt kant-en-klare integraties met honderden veelgebruikte zakelijke applicaties via een app-catalogus.

Hoe werkt single sign-on?

Het SSO-proces verloopt in enkele stappen die grotendeels onzichtbaar zijn voor de eindgebruiker. Wanneer je een applicatie opent die SSO ondersteunt, controleert die applicatie of er al een geldig authenticatietoken aanwezig is in je browsersessie of op je apparaat. Is dat niet het geval, dan word je automatisch doorgestuurd naar de centrale identiteitsprovider. Daar log je in met je credentials, eventueel aangevuld met multi-factor authenticatie zoals een code vanuit een authenticator-app, een push-notificatie of een biometrische verificatie via vingerafdruk of gezichtsherkenning.

Na succesvolle authenticatie genereert de identiteitsprovider een cryptografisch ondertekend token, vaak in de vorm van een SAML-assertie of een JSON Web Token (JWT), en stuurt je terug naar de oorspronkelijke applicatie. Dit token bevat informatie over je identiteit, je groepslidmaatschappen en je toegangsrechten, waardoor de applicatie niet zelf hoeft te verifieren wie je bent maar kan vertrouwen op de verklaring van de identiteitsprovider.

Dit token wordt vervolgens herkend door alle andere applicaties die aan dezelfde identiteitsprovider zijn gekoppeld. Open je daarna een tweede of derde applicatie, dan herkent die het bestaande token en geeft direct toegang zonder opnieuw om een wachtwoord te vragen. De sessie blijft geldig totdat het token verloopt of je je actief uitlogt. De geldigheid van tokens is configureerbaar en wordt doorgaans ingesteld op enkele uren voor gevoelige omgevingen tot maximaal een werkdag voor standaard toepassingen. Dit elimineert de noodzaak om tientallen wachtwoorden te onthouden en vermindert de kans op wachtwoordgerelateerde beveiligingsincidenten aanzienlijk.

Bij federatieve SSO kunnen ook applicaties van externe partijen worden gekoppeld via vertrouwensrelaties tussen identiteitsproviders. Dit is bijzonder nuttig wanneer je samenwerkt met leveranciers of partners en zij toegang nodig hebben tot specifieke systemen. In plaats van aparte gastaccounts aan te maken, gebruik je je eigen identiteitsprovider om de authenticatie te regelen terwijl de partner-applicatie de autorisatie afhandelt op basis van het ontvangen token en de daarin opgenomen claims.

Wanneer heb je single sign-on nodig?

SSO is relevant voor vrijwel elke organisatie die meerdere applicaties gebruikt, en dat zijn er in de praktijk bijna allemaal. De gemiddelde organisatie gebruikt tientallen tot honderden SaaS-applicaties, en zonder SSO leidt dat tot wachtwoordmoeheid bij medewerkers. Ze kiezen dan voor zwakke of hergebruikte wachtwoorden, wat het risico op accountcompromittering aanzienlijk vergroot. Onderzoek toont consistent aan dat hergebruik van wachtwoorden een van de meest voorkomende oorzaken is van datalekken en ongeautoriseerde toegang tot bedrijfssystemen.

SSO is bijzonder waardevol bij de implementatie van een zero trust-strategie. Door alle authenticatie via een centraal punt te laten verlopen, krijg je volledig zicht op wie wanneer toegang heeft tot welke systemen. Dit maakt het eenvoudiger om afwijkend inloggedrag te detecteren, zoals inlogpogingen vanaf ongebruikelijke locaties, onbekende apparaten of op ongebruikelijke tijden. Toegang direct intrekken wanneer een medewerker de organisatie verlaat, wordt ook eenvoudiger: je deactiveert een account op een plek en de toegang tot alle gekoppelde applicaties vervalt onmiddellijk, zonder dat je elk systeem apart hoeft bij te werken.

Onder compliancekaders zoals NIS2 en ISO 27001 is centraal toegangsbeheer een belangrijke eis. SSO biedt een praktische invulling daarvan en vereenvoudigt het aantonen van naleving tijdens audits. Je kunt namelijk vanuit een centraal punt aantonen wie wanneer toegang had tot welke systemen en welke autorisaties daarbij golden, wat de audit trail compleet en overzichtelijk maakt voor zowel interne als externe auditors.

Voordelen en beperkingen van single sign-on

De voordelen van SSO zijn aanzienlijk en raken zowel productiviteit als beveiliging. Medewerkers besparen dagelijks tijd doordat ze niet herhaaldelijk hoeven in te loggen bij verschillende applicaties. IT-afdelingen zien significant minder wachtwoordreset-tickets, wat de helpdesk ontlast en kosten bespaart. Centraal beheer maakt het eenvoudig om toegangsrechten toe te kennen en in te trekken bij het aan- en aftreden van medewerkers of bij functiewijzigingen. En doordat je MFA kunt afdwingen op het centrale inlogpunt, verhoog je de beveiliging van alle gekoppelde applicaties in een keer zonder dat elke applicatie apart geconfigureerd hoeft te worden.

Er zijn ook beperkingen waarmee je rekening moet houden bij de implementatie. Als de identiteitsprovider uitvalt, verliezen gebruikers toegang tot alle gekoppelde applicaties tegelijk, wat de bedrijfsvoering kan stilleggen. Dit maakt de SSO-omgeving een single point of failure dat extra bescherming verdient, zoals redundantie, hoge beschikbaarheid, geo-replicatie en een goed getest fallback-mechanisme voor noodtoegang. Daarnaast geldt: als een aanvaller het SSO-account compromitteert via bijvoorbeeld credential theft of session hijacking, heeft hij potentieel toegang tot alle gekoppelde systemen. Sterke MFA en actieve monitoring van inloggedrag zijn daarom onmisbaar om dit risico te mitigeren. Niet alle applicaties ondersteunen bovendien moderne SSO-protocollen, waardoor legacy-systemen soms buiten de SSO-paraplu vallen en apart beheerd moeten worden met eigen credentials.

Veelgestelde vragen over single sign-on

Is single sign-on veilig?

SSO is veiliger dan het alternatief van tientallen losse wachtwoorden, mits je het combineert met multi-factor authenticatie. Zonder MFA wordt het SSO-account een aantrekkelijk doelwit voor aanvallers. Met MFA verminder je het risico op ongeautoriseerde toegang aanzienlijk.

Wat is het verschil tussen SSO en een wachtwoordmanager?

Een wachtwoordmanager slaat meerdere wachtwoorden op en vult ze automatisch in bij verschillende websites. SSO elimineert de noodzaak van meerdere wachtwoorden volledig door een centraal authenticatiepunt te bieden. SSO is een infrastructurele oplossing op organisatieniveau, een wachtwoordmanager een hulpmiddel voor individuele gebruikers.

Werkt SSO ook met legacy-applicaties?

Niet altijd direct. Oudere applicaties ondersteunen soms geen moderne protocollen zoals SAML of OAuth. In die gevallen kun je een SSO-gateway, reverse proxy of agent-based oplossing inzetten om de koppeling alsnog te realiseren, al brengt dit extra complexiteit en beheerslast met zich mee.

Wat kost single sign-on?

SSO-oplossingen varieren van inbegrepen bij zakelijke Microsoft 365 of Google Workspace abonnementen tot standalone oplossingen zoals Okta die vanaf enkele euro's per gebruiker per maand kosten. De totale investering hangt af van het aantal gebruikers en het aantal te koppelen applicaties.

Hoe implementeer je SSO in je organisatie?

Begin met het inventariseren van alle applicaties die SSO ondersteunen via standaardprotocollen. Kies een identiteitsprovider die past bij je bestaande infrastructuur. Koppel applicaties stapsgewijs, begin met de meest gebruikte. Dwing MFA af op het centrale inlogpunt en test grondig voordat je oude inlogmethoden uitschakelt.

Vergelijk aanbieders van identiteitsbeheer op Identiteitsbeheer op IBgidsNL.