Ir al contenido

Temas populares

SaaS Management Encuentre el SaaS del que nadie le habló. Incluida la IA.

CerteroX SaaS Management encuentra todas las aplicaciones que su personal usa realmente (mediante el proveedor de identidad, las API de los proveedores y una extensión de navegador) y después recupera las licencias sin uso y revoca el acceso automáticamente.

Solicitar una demo Ver la consola de bajas
Ocultar detalle técnico
  • 47 conectores
  • 3 señales de detección
  • Puntuación de riesgo OAuth
Detección
Interfaz ilustrativa
  • SINCRONIZAR Proveedor de identidad

    Entra ID · Okta · registro de MFA

  • EXTRAER API del proveedor

    47 conectores · usuarios, licencias

  • SEÑAL Extensión de navegador

    Dominios · tiempo de uso · usuarios

Registro de la aplicación

Responsables
4 tipos
Licencias
240 / 186
Activos 90 d
61%
SSO
Cubierto
Aplicación Clasificación
  • Slack IdP API Ext
    Autorizada
  • Notion API Ext
    TI en la sombra
  • Miro Ext
    No autorizada
  • ChatGPT Ext
    IA en la sombra
Datos de ejemplo
En resumen

Las suscripciones siguen facturándose cuando la gente deja de usarlas.

Los equipos contratan herramientas en línea con una tarjeta y muchas nunca aparecen en ninguna lista central. Cuando alguien se marcha, se desactivan sus cuentas principales, pero las demás suscripciones siguen facturándose y algunas aún tienen acceso a archivos de la empresa. CerteroX encuentra esas aplicaciones, muestra quién las usa realmente y cierra la brecha cuando las personas se van.

  • Coste

    Deje de pagar licencias que nadie abre.

    Las licencias sin uso durante treinta días o más se marcan y después se recuperan, se reasignan o se pasan a un nivel más barato, y el ahorro se informa trimestre a trimestre.

  • Riesgo

    Quienes se marchan pierden el acceso en todas partes.

    Cada licencia que tenía un empleado que se marcha se sigue hasta cerrarla, las herramientas de IA que nadie aprobó se detectan y pueden bloquearse, y cada paso queda en un registro de auditoría.

  • Esfuerzo

    El trabajo repetitivo se hace solo.

    Los pasos de altas y bajas se ejecutan automáticamente en las aplicaciones que conecte, así que TI deja de repetir los mismos clics en cada cambio.

Está viendo el detalle técnico completo. Desactívelo para ver la versión breve.

Ocultar detalle técnico
El problema

El problema: la brecha de las bajas

Alguien se marchó hace cuatro meses. Su licencia de Microsoft 365 se retiró el primer día. Sus licencias de usuario de Figma, Notion, Linear y ChatGPT se siguen facturando, y su concesión OAuth a una aplicación de terceros aún tiene acceso de lectura a la unidad de la empresa.

El proceso de baja no se pasó por alto. Se ejecutó, se superó y solo cubrió las aplicaciones que conocía el proveedor de identidad. Todo lo comprado con tarjeta quedó fuera.

  1. Día 0

    Se cierra el ticket de baja

    Licencia retirada, inicio de sesión bloqueado, registro archivado.

  2. Día 1

    Seis licencias que nadie está mirando

    Todas las aplicaciones compradas fuera del proveedor de identidad se siguen facturando.

  3. Día 31

    La primera renovación se factura igualmente

    El registro de la suscripción nunca supo que se habían marchado.

  4. Día 124

    La concesión OAuth sigue activa

    Una aplicación de terceros autorizada sigue leyendo archivos de la empresa.

305

aplicaciones SaaS en la cartera media de una gran empresa

46%

de las licencias SaaS no se usan; la organización media usa el 54 %

+393%

de crecimiento del gasto en aplicaciones nativas de IA en las grandes empresas

CerteroX SaaS Management puede ayudar

Solicitar una demo

47

Conectores SaaS

3

señales de detección convergentes

13

acciones de flujo de trabajo

0–100

Puntuación de riesgo de concesiones OAuth

Dentro del producto

La baja, de la lista de comprobación al comprobante

Un usuario, cada licencia que tenía y el estado de revocación de cada una. El coste mensual de lo que siga abierto aparece en la parte superior del panel.

Aún facturándose, 124 días después Ilustrativo

£214.25$289€251/mes

6 de 7 licencias de un empleado que se marchó, aún asignadas y aún facturadas. El panel inferior lleva esa cifra a cero y registra la evidencia.

Interfaz funcional · pulse reproducir o véala en marcha

Usuarios / Bajas / u-4821

Interfaz ilustrativa · datos de ejemplo

Usuario que se marchó · acceso retirado hace 124 días

Registro del directorio archivado · 7 licencias asignadas al marcharse

Aún facturada

£214.25$289€251/mes

Progreso de la revocación 1 de 7

  • Microsoft 365 · E3

    Revocado en la fecha de baja · inicio de sesión bloqueado

    —

    Pendiente

  • Slack · Business+

    Conector · desactivar miembro

    £11.75$16€14

    Pendiente

  • Notion · Plus

    Conector · eliminar del espacio de trabajo

    £8$11€9

    Pendiente

  • Box · Business

    Conector · transferir y después desactivar

    £13.5$18€16

    Pendiente

  • HubSpot · Sales Hub Pro

    Conector · modo suave (sin API de suspensión)

    £75$101€88

    Pendiente

  • ServiceNow · ITIL

    Conector · bloquear y retirar roles

    £84$113€98

    Pendiente

  • ChatGPT · Team

    Conector · eliminar del espacio de trabajo

    £22$30€26

    Pendiente

6 licencias pendientes · cada paso queda en el registro de auditoría

Concesiones OAuth aún activas

Puntuación de 0 a 100 según sensibilidad de los datos, amplitud del alcance, tipo de consentimiento e inactividad.

  • Utilidad de sincronización de documentos

    Fabricante no verificado · Sin uso desde hace 124 días

    drive.readonly offline_access
    Riesgo alto

  • Complemento de enriquecimiento de marketing

    Fabricante verificado · Sin uso desde hace 38 días

    Mail.Read User.Read.All
    Riesgo elevado

  • Grabador de reuniones

    Fabricante verificado · Usada hace 6 días

    Calendars.Read
    Riesgo bajo

Registro de auditoría · este usuario

1 entrada

  1. › entra.licence.remove ok

Se registra a medida que cada paso responde. La revocación también es una acción de flujo de trabajo, así que nunca hay que hacerla a mano dos veces. El rol de Auditor puede consultar la evidencia sin tener permisos para cambiar nada.

Estado por licencia

Pendiente, en curso o completado: nunca una sola marca verde en lugar de siete sistemas distintos.

Pasos fieles a cada proveedor

Cada conector ejecuta el desaprovisionamiento que el proveedor admite realmente e indica el paso que ha dado.

Evidencia conservada

Cada acción de aprovisionamiento y desaprovisionamiento queda en un registro de auditoría que el rol de Auditor puede consultar.

Más información

Solicitar una demo
Visibilidad · Optimización · Gestión · Gobernanza

Los cuatro pilares, aplicados al SaaS

Todas las clases de activos de la plataforma se gobiernan de las mismas cuatro formas. Esto es lo que significa cada una cuando el activo es una suscripción que alguien compró en un navegador.

Visibilidad

01 / 04

Todas las aplicaciones, autorizadas o no, con la evidencia de quién las usa.

Proveedor de identidad API del proveedor Extensión de navegador Un único registro de aplicación
  • Extensión de navegador detecta dominios SaaS, tiempo de uso por aplicación y atribución por usuario
  • Sincronización del proveedor de identidad desde Entra ID y Okta, incluido el registro de MFA
  • Sincronización de conectores obtiene del proveedor las listas oficiales de usuarios y licencias
  • Shadow AI Dashboard con modelo de riesgo de adopción de tres niveles
4 más de 8
  • Detección de concesiones OAuth para aplicaciones de terceros autorizadas
  • Executive Dashboard que consolida aplicaciones, usuarios, gasto y tendencia
  • Usage Summary con Active Usage Rate e identificación de usuarios intensivos
  • Widget de cobertura SSO con una lista priorizada de aplicaciones de alto valor sin cobertura

Optimización

02 / 04

Deje de pagar por licencias que nadie ha abierto desde marzo.

Días sin uso registrado

0306090

Marcada como inactiva a los 30 días · seis acciones a partir de ahí

  • Detección de licencias sin uso a partir de 30 días sin uso
  • App Rationalization detección de solapamientos clasificada por ahorro recuperable
  • Acciones recuperar, reasignar, bajar de nivel, archivar, recordar, descartar
  • Optimization Score de 0 a 100 según utilización, respuesta y adhesión
4 más de 8
  • Próximas renovaciones con días hasta la renovación y tasa de utilización
  • Coste por usuario con licencia frente a coste por usuario activo
  • Ahorro y costes evitados conseguidos, y ROI por trimestre fiscal
  • Asistente de desaprovisionamiento masivo para bajas con selección múltiple

Gestión

03 / 04

Automatice el trabajo rutinario entre la detección y la resolución.

8 desencadenantes 11 condiciones 13 acciones Un solo lienzo de flujos de trabajo
  • Motor de flujos de trabajo 8 desencadenantes, 11 condiciones y 13 acciones en un solo lienzo
  • Aprovisionamiento y desaprovisionamiento en Entra, Okta, Google, M365 y más
  • Cuatro tipos de responsable responsable de aplicación, de negocio, técnico y de datos
  • Envío de informes a Slack y Microsoft Teams
3 más de 7
  • Ciclo de vida de suscripciones con compradas, asignadas, disponibles y sobresuscritas
  • Campos personalizados en aplicaciones, suscripciones y usuarios
  • Agentes de datos y agentes de informes programados

Gobernanza

04 / 04

Cierre el ciclo y conserve el comprobante.

Puntuación de riesgo de concesiones OAuth

Sensibilidad, alcance, consentimiento, inactividad

Bajo 0–39 Elevado 40–69 Alto 70–100
  • Lista de comprobación de offboarding por usuario, con estado de revocación por licencia
  • Puntuación de riesgo de concesiones OAuth según sensibilidad, alcance, consentimiento e inactividad
  • Revocación de concesiones con un clic también disponible como acción de flujo de trabajo
  • Modelo de roles de seis niveles incluido un rol de Auditor específico
4 más de 8
  • Métrica de gasto desperdiciado para licencias que aún conservan usuarios que se han marchado
  • Evaluación de riesgos según sensibilidad de los datos, cumplimiento y criticidad para el negocio
  • Registro de auditoría que cubre cada paso de aprovisionamiento y desaprovisionamiento
  • Presupuestos por aplicación con umbrales de aviso y críticos

31 capacidades identificadas en total, en los cuatro pilares.

La capa de automatización

Nadie debería hacer los mismos
siete clics dos veces.

Ocho desencadenantes, once condiciones y trece acciones en un solo lienzo: el motor entre la detección y la resolución. Abajo hay tres ejemplos prácticos; cambie entre ellos.

Flujos de trabajo / Baja detectada

Configuración ilustrativa

Cuando · 1 de 8 desencadenantes

Usuario marcado como baja

Proveedor de identidad · Entra ID u Okta

Si · 11 condiciones disponibles

  • El usuario tiene una o más licencias de pago
  • La aplicación tiene un conector de desaprovisionamiento

Deben cumplirse todas

Entonces · 13 acciones disponibles

  1. 01 Desaprovisionar Cada conector, en el modo que admite ese proveedor
  2. 02 Revocar concesiones OAuth Todas las aplicaciones de terceros autorizadas
  3. 03 Recuperar licencias Devuelta al grupo de la suscripción
  4. 04 Notificar Responsable de la aplicación, en Slack o Teams

Resultado La lista de comprobación de offboarding se cierra con evidencia por licencia

Más allá de la detección

Tres cosas que la categoría no hace

La detección es lo mínimo. Lo que ocurre después de la detección es donde las plataformas de gestión de SaaS se detienen sin decirlo.

01

La IA en la sombra es una capacidad de primer nivel, no una nota al pie

Las herramientas de IA se clasifican a partir de las etiquetas de funciones de las aplicaciones en el catálogo, no de una lista fija, así que el conjunto de detección crece por sí solo. El panel clasifica el riesgo de adopción según la proporción de su organización que usa cada herramienta, porque diez personas con ChatGPT no son el mismo problema que mil.

Las herramientas que nadie registró llegan a esa lista a través de la extensión de navegador, la única de las tres señales que puede ver una cuenta que alguien abrió con un correo de trabajo y pagó con una tarjeta personal.

IA en la sombra · proporción de la organización Ilustrativo
  1. 01 ChatGPT Nivel 1 34%
  2. 02 Claude Nivel 2 11%
  3. 03 Gemini Nivel 3 4%

Cada herramienta puede marcarse como gestionada, bloqueada o ignorada. La clasificación procede de las etiquetas de funciones del catálogo, así que una herramienta nueva se detecta antes de que nadie escriba una regla para ella.

02

Bajas que puede demostrar que terminaron

La mayoría de las plataformas le dicen que se ha dado de baja a un usuario. Esta muestra cada licencia que tenía, el estado del conector correspondiente y si la revocación está pendiente, en curso o completada, junto con el coste mensual estimado de lo que siga abierto.

Esa última cifra tiene nombre en el producto: gasto desperdiciado, contabilizado en cada licencia que aún conserva un usuario que se marchó.

  1. Estado 01

    Pendiente

    Licencia asignada, conector en cola, el coste sigue acumulándose

  2. Estado 02

    En curso

    Llamada al proveedor en curso, con el paso concreto identificado

  3. Estado 03

    Completado

    Licencia liberada, evidencia registrada, el coste baja a cero

03

Desaprovisionamiento que respeta la realidad de cada proveedor

HubSpot no tiene API de suspensión, así que hay un modo suave que retira los roles y un modo estricto que elimina. Box transfiere la propiedad de los archivos antes de desactivar. ServiceNow bloquea la cuenta y retira todos los roles y la pertenencia a grupos. Los conectores genéricos no pueden hacerlo.

Estos tres funcionan con tres rutas de código distintas.

HubSpot
No existe API de suspensión. El modo suave retira todos los roles y libera la licencia de pago; el modo estricto elimina directamente al usuario.
Box
Primero se transfiere la propiedad de los archivos a un responsable designado y solo entonces se desactiva la cuenta.
ServiceNow
Se bloquea la cuenta y después se retiran uno a uno todos los roles y la pertenencia a grupos.
Integraciones

Conectores que obtienen los datos reales del proveedor

Un conector lee la lista oficial de usuarios y licencias de la propia aplicación y después ejecuta el desaprovisionamiento tal como lo admite ese proveedor.

Conectores disponibles hoy

47

Escritos sobre la propia API de cada proveedor.

Mencionados aquí
26
También disponible
21

Identidad 02

  • Entra ID
  • Okta

Productividad y colaboración 13

  • Microsoft 365
  • Google Workspace
  • Slack
  • Zoom
  • Notion
  • Miro
  • Box
  • Dropbox
  • Atlassian
  • Asana
  • Monday.com
  • Airtable
  • DocuSign

Sistemas de negocio 05

  • Salesforce
  • HubSpot
  • ServiceNow
  • Tableau
  • Databricks

Ingeniería y observabilidad 04

  • GitLab
  • Datadog
  • New Relic
  • PagerDuty

IA 02

  • OpenAI
  • Anthropic

Aquí se mencionan veintiséis de los cuarenta y siete conectores disponibles hoy. Ver la lista completa.

  1. 01

    Autenticar

    Credenciales con alcance limitado por aplicación, nunca un token de administrador compartido.

  2. 02

    Sincronización

    Usuarios, niveles de licencia, número de licencias de usuario y fechas de asignación, directamente del proveedor.

  3. 03

    Conciliar

    Lista del proveedor cotejada con el proveedor de identidad y la señal del navegador.

  4. 04

    Actuar

    El aprovisionamiento y el desaprovisionamiento se ejecutan tal como los admite realmente ese proveedor.

Más información

Solicitar una demo
Preguntas frecuentes sobre la gestión de SaaS

Lo primero que nos preguntan los compradores

6 preguntas, respondidas por los ingenieros que crearon los conectores.

Si su pregunta es más específica, la respuesta suele ser un detalle del conector, y se la daremos sin rodeos.

Pregunte a un ingeniero
¿Qué registra realmente la extensión de navegador?

El dominio de la aplicación, el tiempo dedicado a ella y el usuario al que pertenece. Esa es la señal que encuentra aplicaciones compradas con una tarjeta y nunca comunicadas a TI, las que ningún proveedor de identidad ni ningún conector le mostrarán nunca.

¿Podemos usarlo sin desplegar una extensión?

Sí. Dos de las tres señales no necesitan nada en el dispositivo: la sincronización del proveedor de identidad desde Entra ID u Okta y la sincronización de conectores, que obtiene de cada proveedor las listas oficiales de usuarios y licencias. La extensión es lo que cierra la brecha de las herramientas no autorizadas, por eso la mayoría de las organizaciones la prueban primero en un departamento.

¿Cómo deciden que una licencia no se usa?

Treinta días o más sin uso registrado, medidos frente a la propia lista de usuarios del proveedor. A partir de ahí, las acciones son explícitas: recuperar, reasignar, bajar de nivel, archivar, recordar o descartar. Descartar cuenta como acción y queda en el registro de auditoría como las otras cinco.

¿Cómo se detecta la IA en la sombra si aparecen herramientas nuevas cada semana?

La clasificación procede de las etiquetas de funciones que ya contiene el catálogo de aplicaciones, así que el conjunto de detección crece sin esperar a una nueva versión del producto. Después, el Shadow AI Dashboard clasifica el riesgo de adopción según la proporción de su organización que usa cada herramienta, y cada una puede marcarse como gestionada, bloqueada o ignorada.

¿Qué ocurre cuando un proveedor no tiene API de suspensión?

El conector hace lo más parecido que pueda justificarse y le indica qué ha hecho. HubSpot no tiene endpoint de suspensión, así que hay un modo suave que retira los roles y libera la licencia de pago, y un modo estricto que elimina. Usted elige por aplicación, y el resultado queda en el registro de auditoría en ambos casos.

¿Quién puede ver el gasto y quién puede actuar sobre él?

Un modelo de roles de seis niveles, que incluye un rol de Auditor específico capaz de consultar la evidencia de las bajas y la pista de auditoría sin tener permisos para cambiar nada. Los responsables de aplicación, de negocio, técnicos y de datos se registran por separado, de modo que la persona responsable de la renovación no es automáticamente quien tiene derechos de revocación.

Empiece por la brecha de las bajas

Vea la baja de un empleado,
aplicación por aplicación.

La demo recorre la consola de principio a fin: la licencia aún asignada, la concesión OAuth aún activa y el proveedor sin endpoint de suspensión, con cada paso identificado y cada llamada del conector visible.

Solicitar una demo

Sin PDF a cambio de sus datos, y si nos dice que solo está explorando, nadie le perseguirá cada semana.