El SSO no deja entrar

Síntoma

Escribes tu correo corporativo, pulsas Continuar y ves uno de estos mensajes:

"Ese dominio no tiene inicio de sesión único configurado. Usa un enlace de acceso o tu contraseña."
"No pudimos conectar con el proveedor de identidad de tu organización. Contacta a tu administrador."
"No pudimos completar el inicio de sesión con tu proveedor. Intenta de nuevo."
"No pudimos crear tu cuenta. Contacta a tu administrador para recibir una invitación."

Cada mensaje señala una etapa distinta:

Mensaje	Etapa que falló
"Ese dominio no tiene inicio de sesión único configurado"	El dominio de tu correo no está en la lista Dominio de correo del proveedor SSO del Cliente (o escribiste el correo con otro dominio).
"No pudimos conectar con el proveedor de identidad"	Studio no alcanzó al proveedor: red, certificado caducado o metadata desactualizada.
"No pudimos completar el inicio de sesión con tu proveedor"	El proveedor respondió pero la respuesta no se pudo validar: atributo de correo vacío, firma o certificado distinto al registrado.
"No pudimos crear tu cuenta"	Entraste correctamente pero el Cliente no admite crear cuentas al vuelo y no tienes invitación.

Revisa el dominio del correo que escribiste contra el que usa tu organización.
Pulsa Usar enlace de acceso e intenta con el mismo correo: si el enlace funciona, tu cuenta existe y el problema es solo del SSO.
Un administrador puede ver en Administración > Configuración > SSO si el proveedor está Activo, cuántos días le quedan al certificado y qué dominios tiene (SSO).

Dominio no configurado: pide al administrador que añada tu dominio en el proveedor, o entra por enlace de acceso mientras tanto.
No se pudo conectar o completar: el administrador edita el proveedor y pega el Metadata XML nuevo si el certificado cambió; si el proveedor de identidad está caído, espera y reintenta.
Cuenta no creada: pide una invitación desde Accesos (Miembros y roles); con SSO activo, la invitación fija tu rol antes del primer acceso.