L'accorciatore che il tuo team di sicurezza non rifiuterà.
Misuri la postura di conformità, il tempo di risposta agli incidenti e il numero di questionari dei fornitori a cui puoi sopravvivere. Elido è l'accorciatore che il tuo team di sicurezza non rifiuterà.
- SAML SSO + SCIM tramite il nostro provider SSO o nativo - Okta, Entra ID, Google
- Database principale nell'UE; ancora nessuna selezione della regione per workspace
- SOC 2 in preparazione, nessun report emesso
- ISO 27001 non certificata; DPA disponibile su richiesta
Come funziona l'SSO
Okta o Entra ID → SAML → Elido. Dodici minuti da zero.
L'SSO passa attraverso WorkOS, che normalizza le differenze di protocollo tra SAML 2.0 e OIDC e le particolarità per-IdP che nessuno vuole mantenere. Il tuo team configura l'app SAML una volta nel proprio IdP; Elido acquisisce gli utenti tramite mappatura dominio email → connessione.
- Step 1
User signs in
okta.com / login.microsoftonline.comIdP authenticates against the corporate directory.
- Step 2
SAML assertion
WorkOS connection · domain-routedEmail-domain → IdP connection mapping, no per-user setup.
- Step 3
Elido session
edge auth · 200 OKSession token issued, scope derived from group claims.
- Step 4
Workspace landing
app.elido.app/w/your-orgRole + IP allowlist evaluated; audit row written.
Provisioning SCIM
Aggiungi un utente in Okta. È in Elido in cinque minuti.
La sincronizzazione directory SCIM 2.0 effettua il provisioning e il deprovisioning degli utenti automaticamente. Il mapping dei group-claim converte i gruppi IdP in ruoli area di lavoro Elido, così una promozione nel sistema HR si riflette in Elido senza ticket. I dipendenti in uscita vengono deprovisioned nel ciclo di sync SCIM, con sessioni attive revocate e azione registrata.
- Auto-provisioning all'aggiunta al gruppoAppartenenza al gruppo IdP → invito nell'area di lavoro, nessun passaggio manuale
- Mapping ruoli per group-claimengineering-eu → editor, finance → viewer, configurabile
- Deprovisioning = revoca sessioneL'evento DELETE invalida i token; chiavi API revocate per policy
- Ogni evento SCIM è auditatoLog append-only con attore, prima/dopo, IP sorgente
- 1User added in Okta
Joins the elido-eu-engineering directory group as part of HR onboarding.
okta.comPOST /scim/v2/UsersT+75s - 2WorkOS pushes to Elido
SCIM sync cycle picks up the create event; no manual invite needed.
workos.com → elido.appscim.create user@orgT+150s - 3Elido provisions the user
Account created, workspace invitation surfaced in pending state.
api-coreuser.id = usr_01HK…T+225s - 4Group claim → role
engineering → editor; billing-admins → admin. Mapping is configurable.
policyrole: editor (workspace.eu)T+300s - Deprovision is the same flow in reverse - DELETE event revokes sessions and rotates affected API keys per policy.
Modello di autorizzazione
RBAC basato su Cedar, non una gerarchia fissa a tre livelli.
La matrice qui sotto è la vista predefinita. I ruoli personalizzati ti permettono di esprimere cose come "crea link solo su questo dominio" o "sola lettura sulle analytics, nessun accesso alla fatturazione" come policy Cedar. I ruoli sono con scope per area di lavoro, così diverse business unit possono gestire strutture di ruoli differenti.
Cosa ottiene davvero l'IT aziendale
- SAML SSO + SCIM tramite il nostro provider SSO o nativo - Okta, Entra ID, Google
- Database principale nell'UE; ancora nessuna selezione della regione per workspace
- SOC 2 in preparazione, nessun report emesso
- ISO 27001 non certificata; DPA disponibile su richiesta
- BAA su Business+ per carichi di lavoro adiacenti a HIPAA
- POP edge dedicati disponibili per contratti Enterprise
Ciò di cui l'IT aziendale ha realmente bisogno da un abbreviatore
Gli abbreviatori shadow-IT falliscono l'approvvigionamento su tre questioni: chi ha l'accesso, dove sono i dati e se possiamo auditarli. Le funzionalità seguenti sono quelle che colmano queste lacune.
SAML SSO tramite WorkOS con provisioning utenti SCIM
L'SSO avviene tramite WorkOS, che supporta SAML 2.0 e OIDC con qualsiasi IdP principale: Okta, Azure AD / Entra ID, Google Workspace, OneLogin, Ping e altri. Il mappaggio dominio-email → connessione significa che gli utenti vengono indirizzati all'IdP corretto senza alcuna configurazione da parte dell'utente. La sincronizzazione della directory SCIM effettua il provisioning e il deprovisioning degli utenti automaticamente: i nuovi dipendenti aggiunti al gruppo IdP pertinente ricevono un invito all'area di lavoro Elido in pochi minuti; i dipendenti in uscita vengono deprovisionati entro il ciclo di sincronizzazione SCIM senza un ticket di offboarding manuale. I gruppi dell'IdP si mappano ai ruoli dell'area di lavoro Elido; configuri il mappaggio una volta. I cambi di ruolo nell'IdP si propagano automaticamente. Questa è un'integrazione gestita da WorkOS - non manteniamo un connettore per IdP; WorkOS normalizza i protocolli e Elido consuma un singolo endpoint SCIM.
Ruoli personalizzati con RBAC in stile Cedar - oltre owner/admin/member
Il modello dei ruoli di Elido è basato su Cedar, il che significa che i permessi sono espressioni di policy valutate al momento della richiesta piuttosto che una gerarchia fissa a tre livelli. Di serie ottieni Owner, Admin, Member e Viewer. I ruoli personalizzati ti permettono di definire policy come 'può creare link su questo dominio ma non può eliminare o cambiare le regole di instradamento' o 'accesso in sola lettura agli analytics ma nessun accesso alle impostazioni di fatturazione'. I ruoli sono assegnati per area di lavoro, non globalmente - un'impresa con più aree di lavoro può avere diverse strutture di ruoli per business unit. L'IP allowlist (intervalli CIDR) viene valutata insieme ai controlli dei ruoli: un utente con il ruolo giusto ma al di fuori dell'intervallo IP consentito viene rifiutato. Questo è rilevante per i team ibridi dove i collaboratori esterni accedono a un sottoinsieme diverso rispetto ai dipendenti a tempo pieno.
Log di audit append-only trasmesso al tuo SIEM in tempo reale
Ogni azione del workspace - creazione, aggiornamento, eliminazione di link; modifica delle impostazioni; invito di membri e cambio di ruolo; emissione e rotazione di chiavi API; rivendicazione di domini personalizzati; esportazione - finisce in un registro di audit di sola aggiunta con attore, timestamp, IP di origine, diff prima/dopo e un tipo di evento strutturato. I log sono conservati per 730 giorni per impostazione predefinita, configurabili per workspace. Il firehose SIEM trasmette gli eventi via webhook (firmato HMAC-SHA256) a Splunk, Datadog, ELK o a qualsiasi ricevitore HTTP in tempo reale. Il registro è consultabile nella dashboard ma non modificabile; è di sola aggiunta nell'applicazione e ogni voce è collegata in catena di hash alla precedente, quindi qualsiasi manomissione è rilevabile. Postura di conformità: il registro di audit è la prova primaria per le revisioni dei controlli di accesso, la gestione delle modifiche e la risposta agli incidenti. Un meta-evento di "eliminazione per conservazione" viene registrato quando le voci più vecchie scadono, così anche il vuoto è verificabile.
Residenza UE, IP allowlist ed esportazione BigQuery per i requisiti di data governance
Il database principale, l'archivio di analytics e i backup sono ospitati nell'UE. Anche i nodi di reindirizzamento negli Stati Uniti (Ashburn) e a Singapore elaborano le richieste dei visitatori; la selezione della regione per workspace non è ancora disponibile. L'allowlist di IP (CIDR) su Business limita l'accesso al workspace a intervalli di uscita noti, utile per team con VPN o IP d'ufficio fissi. L'esportazione su BigQuery invia l'intero flusso di eventi di clic e del registro di audit a un dataset BigQuery di vostra proprietà, a pianificazione o su trigger. Sono supportati anche Snowflake e S3. Per i carichi regolamentati che richiedono che i dati restino in una specifica infrastruttura, il self-hosting è disponibile su contratto (Enterprise); contatta [email protected]. Il BAA HIPAA è disponibile su Business+: le salvaguardie tecniche (cifratura, audit trail, controlli di accesso, notifica delle violazioni) sono attive; il BAA è l'involucro legale attorno ad esse.
Evidenze di conformità: DPA, sub-responsabili, stato della sicurezza
Alle domande degli acquisti rispondiamo senza lunghe catene di e-mail: il DPA è disponibile su richiesta a [email protected] (SCC dell'UE incluse); l'elenco dei sub-responsabili è pubblico su /legal/subprocessors (13 fornitori); le segnalazioni di vulnerabilità vanno a [email protected] e il security.txt si trova nel percorso standard. Stato delle certificazioni, senza giri di parole: SOC 2 è in preparazione e non è stato emesso alcun report; ISO 27001 non è certificata. Il Trust Center su /trust segue lo stato attuale.
Stack che utilizzerai
- SSO (SAML / OIDC)
- Provisioning SCIM
- Ruoli personalizzati (ABAC)
- IP allowlist
- Log di audit + SIEM firehose
- Residenza dei dati nell'UE
- HIPAA BAA
Cosa misura il tuo team di sicurezza
- Numero di sub-processori
- 13, elenco pubblico
- Ritenzione log di audit
- 730 giorni di default
- Tempo di risposta DSAR
- Meno di 30 giorni
Elido vs Bitly Enterprise vs Bl.ink per l'IT aziendale
Bitly Enterprise e Bl.ink sono entrambe opzioni di livello enterprise con basi di installazione storiche. Il confronto seguente si concentra sulle funzionalità valutate dai team IT aziendali, non sulle affermazioni di marketing.
Domande IT aziendali
Quali IdP supporta l'SSO?
Qualsiasi IdP che supporti SAML 2.0 o OIDC - Okta, Azure AD / Entra ID, Google Workspace, OneLogin, Ping, Rippling e altri. L'integrazione avviene tramite WorkOS, che normalizza le differenze di protocollo. Se il tuo IdP parla SAML o OIDC, funziona. La configurazione è un flusso guidato da WorkOS: configura l'app SAML nel tuo IdP, incolla l'URL dei metadati in Elido, fatto.
Come funziona il deprovisioning SCIM?
WorkOS gestisce l'endpoint SCIM 2.0. Quando un utente viene rimosso dal gruppo pertinente nel tuo IdP, WorkOS invia un evento DELETE a Elido. Elido revoca immediatamente i token di sessione dell'utente e contrassegna l'account come inattivo. Le chiavi API attive associate a quell'utente non vengono revocate automaticamente - questo è un passaggio separato che configuri nelle impostazioni SCIM, con impostazione predefinita su revoca-al-deprovisioning. L'azione di deprovisioning appare nel log di audit entro il ciclo di sincronizzazione SCIM (tipicamente meno di 5 minuti).
Cosa copre l'IP allowlist?
Accesso al dashboard, richieste API e conferma di consegna dei webhook. La notazione CIDR è supportata; più intervalli sono separati da virgole. Le richieste provenienti da fuori dall'allowlist restituiscono un 403 con un evento di audit loggato - nessuna caduta silenziosa. L'IP allowlist viene valutata dopo l'autenticazione, non prima, quindi l'autenticazione fallita da fuori dall'allowlist logga comunque il tentativo.
Possiamo ottenere un BAA per la conformità HIPAA?
Sì, su Business+. Il BAA copre il ruolo di Elido come socio in affari per le aree di lavoro in cui le PHI potrebbero passare attraverso i metadati del link o gli analytics. Le salvaguardie tecniche (crittografia a riposo e in transito, audit trail, controlli di accesso, notifica di violazione) sono già in atto. Contatta [email protected] per il modello BAA.
Qual è lo stato SOC 2?
SOC 2 è in preparazione e non è stato emesso alcun report. ISO 27001 non è certificata. Non condividiamo evidenze di audit che non abbiamo; scrivete a [email protected] per ricevere le risposte attuali al questionario di sicurezza. Il Trust Center su /trust segue lo stato attuale.
Come funzionano i ruoli personalizzati - posso limitare un team alla sola lettura su un dominio specifico?
Sì. I ruoli personalizzati definiscono policy basate su Cedar che possono limitare i permessi a domini specifici, cartelle specifiche o operazioni specifiche (creazione/lettura/aggiornamento/eliminazione). Un ruolo che consente la creazione di link solo su un dominio personalizzato specifico e l'accesso in sola lettura agli analytics è una policy valida. I ruoli sono per area di lavoro; un utente può avere ruoli diversi in diverse aree di lavoro. La valutazione della policy avviene al momento della richiesta, non al login.
Esiste un'opzione edge dedicata per i clienti Business?
Il livello Business utilizza i POP edge condivisi di Elido (regione UE, USA Est, Asia-Pacifico). Un edge dedicato - la tua flotta di nodi di redirect, isolata dal traffico di altri tenant - è oggetto di una trattativa Enterprise. Contatta [email protected]. Il self-hosting è disponibile anche su contratto (Enterprise).
Qual è lo SLA per la notifica di violazione?
Notifica al cliente entro 24 ore su violazioni confermate di dati personali; notifica all'autorità di regolamentazione entro 72 ore (GDPR Art. 33). La notifica copre ciò che sappiamo in quel momento - non aspettiamo l'analisi forense completa. Il processo è su /trust/incident-response.
Lista di lettura per l'IT aziendale
SAML/OIDC gestito da WorkOS, deprovisioning SCIM 2.0, guide IdP.
Hostname del portale brandizzato, email transazionali, parità sub-processor.
Stato SOC 2, sub-responsabili, divulgazione delle vulnerabilità.
Addendum sul trattamento dei dati GDPR, SCC dell'UE incluse, disponibile su richiesta.
OpenAPI 3.1, SDK in TypeScript / Go / Python, webhook.
Postura crittografica, modello RBAC, log di audit, IP allowlist.
Non sei sicuro quale angolazione si adatti?
La maggior parte dei team inizia come uno e si sviluppa in tutti e quattro. Il nostro team di vendita può esaminare il tuo stack specifico in 20 minuti.