Organizaciones, SSO y SCIM

Todo en Bona Fide pertenece a una organización (un espacio de trabajo): plantillas, sobres, enlaces de firma, endpoints de webhook, claves de API y el plan. Cada registro obtiene una organización personal, y una persona puede ser miembro de varias. Las claves de API actúan en nombre de la única organización a la que pertenecen.

Las sesiones del panel actúan sobre la organización activa del miembro; una integración que llama a la API con una cookie de sesión puede elegir otra de las organizaciones del usuario con el encabezado x-organization-id.

Roles y permisos

Cada miembro tiene un rol. Cada rol es un conjunto fijo de permisos, y cada endpoint comprueba un permiso:

Rol	Permisos
`owner`	Todo
`admin`	Todo excepto `billing:manage`
`sender`	`envelope:read`, `envelope:send`, `envelope:void`, `template:read`
`template_manager`	`template:read`, `template:write`, `template:publish`, `envelope:read`
`auditor`	`envelope:read`, `template:read`, `audit:read`
`billing`	`billing:manage`

La lista completa de permisos es envelope:read, envelope:send, envelope:void, template:read, template:write, template:publish, org:manage, member:manage, sso:manage, apikey:manage, billing:manage y audit:read. Las claves de API tienen un subconjunto de estos como alcances.

Los miembros, las invitaciones, los equipos y la imagen de marca de la organización se administran en el panel. Los logotipos de la organización se suben con POST /v1/organization/logo (PNG, JPEG, SVG o WebP, de hasta 512 KB) desde una sesión del panel.

Inicio de sesión único

Los propietarios y administradores conectan ellos mismos su proveedor de identidad en Configuración › Seguridad › SSO, con SAML 2.0 u OIDC:

Registre la conexión con los metadatos de su IdP (el panel puede obtener por usted una URL de metadatos SAML).
Verifique su dominio de correo electrónico con un registro DNS TXT (el token comienza con bona-fide-verify).
Elija la configuración: aprovisionamiento just-in-time (el primer inicio de sesión en el IdP crea el miembro), el rol predeterminado de los miembros nuevos y la obligatoriedad: los miembros con un correo del dominio verificado deben iniciar sesión a través del IdP; los propietarios conservan un acceso de emergencia.
Haga un inicio de sesión de prueba desde la página de la conexión antes de hacerla obligatoria.

El estado de la conexión (último inicio de sesión, inicios de sesión de los últimos 30 días, vencimiento del certificado) y un registro de auditoría de cada cambio de SSO y SCIM (GET /v1/sso/audit) se muestran en esas mismas páginas.

La página de inicio de sesión consulta GET /v1/sso/discover?email=… para saber si una dirección usa el SSO de la empresa; es público y tiene límite de frecuencia. Cuando el SSO es obligatorio, se rechaza el inicio de sesión con contraseña, con código por correo y con enlace mágico para ese dominio.

Sincronización de directorios con SCIM

Con SCIM 2.0, su IdP crea, actualiza y desactiva miembros automáticamente. En Configuración › Seguridad › SCIM, cree un token de portador (se muestra una sola vez) y proporcione a su IdP la URL base de SCIM y el token. La URL base es https://api.bonafidesign.com/api/auth/scim/v2. Al crear un token nuevo se reemplaza el anterior; al revocarlo se detiene el aprovisionamiento.