Organizaciones, SSO y SCIM

Todo en Bona Fide pertenece a una organización (un espacio de trabajo): plantillas, sobres, enlaces de firma, endpoints de webhook, claves de API y el plan. Cada registro recibe una organización personal, y una persona puede ser miembro de varias. Las claves de API actúan en nombre de la organización a la que pertenecen, y solo de esa.

Las sesiones del panel actúan sobre la organización activa del miembro; una integración que llame a la API con una cookie de sesión puede elegir otra de las organizaciones del usuario mediante la cabecera x-organization-id.

Roles y permisos

Cada miembro tiene un rol. Cada rol es un conjunto fijo de permisos, y todos los endpoints comprueban un permiso:

Rol	Permisos
`owner`	Todo
`admin`	Todo salvo `billing:manage`
`sender`	`envelope:read`, `envelope:send`, `envelope:void`, `template:read`
`template_manager`	`template:read`, `template:write`, `template:publish`, `envelope:read`
`auditor`	`envelope:read`, `template:read`, `audit:read`
`billing`	`billing:manage`

La lista completa de permisos es envelope:read, envelope:send, envelope:void, template:read, template:write, template:publish, org:manage, member:manage, sso:manage, apikey:manage, billing:manage y audit:read. Las claves de API llevan un subconjunto de ellos como ámbitos.

Los miembros, las invitaciones, los equipos y la imagen de marca de la organización se gestionan en el panel. Los logotipos de la organización se suben con POST /v1/organization/logo (PNG, JPEG, SVG o WebP, de 512 KB como máximo) desde una sesión del panel.

Inicio de sesión único

Los propietarios y administradores conectan ellos mismos su proveedor de identidad en Configuración › Seguridad › SSO, mediante SAML 2.0 u OIDC:

Registre la conexión con los metadatos de su IdP (el panel puede obtener por usted una URL de metadatos SAML).
Verifique su dominio de correo electrónico con un registro DNS TXT (el token empieza por bona-fide-verify).
Elija la configuración: aprovisionamiento just-in-time (el primer inicio de sesión en el IdP crea el miembro), el rol predeterminado de los miembros nuevos y la imposición: los miembros con una dirección del dominio verificado deben iniciar sesión a través del IdP; los propietarios conservan un acceso de emergencia.
Realice un inicio de sesión de prueba desde la página de la conexión antes de imponerla.

El estado de la conexión (último inicio de sesión, inicios de sesión de los últimos 30 días, caducidad del certificado) y un registro de auditoría de todos los cambios de SSO y SCIM (GET /v1/sso/audit) aparecen en esas mismas páginas.

La página de inicio de sesión consulta GET /v1/sso/discover?email=… para saber si una dirección utiliza el SSO de la empresa; es un endpoint público y con límite de frecuencia. Cuando el SSO está impuesto, se rechaza el inicio de sesión con contraseña, con código por correo y con enlace mágico para ese dominio.

Sincronización de directorios con SCIM

Con SCIM 2.0, su IdP crea, actualiza y desactiva miembros automáticamente. En Configuración › Seguridad › SCIM, cree un token de portador (se muestra una sola vez) y facilite a su IdP la URL base de SCIM y el token. La URL base es https://api.bonafidesign.com/api/auth/scim/v2. Al crear un token nuevo se sustituye el anterior; al revocarlo se detiene el aprovisionamiento.