Organisaties, SSO & SCIM

Alles in Bona Fide hoort bij een organisatie (een workspace): sjablonen, enveloppen, ondertekeningslinks, webhook-endpoints, API-keys en het abonnement. Bij elke registratie hoort een persoonlijke organisatie, en mensen kunnen lid zijn van meerdere organisaties. API-keys handelen voor de ene organisatie waartoe ze behoren.

Dashboardsessies werken in de actieve organisatie van het lid; een integratie die de API aanroept met een sessiecookie kan met de header x-organization-id een andere organisatie van de gebruiker kiezen.

Rollen en rechten

Leden hebben één rol. Elke rol is een vaste set rechten, en elk endpoint controleert een recht:

Rol	Rechten
`owner`	Alles
`admin`	Alles behalve `billing:manage`
`sender`	`envelope:read`, `envelope:send`, `envelope:void`, `template:read`
`template_manager`	`template:read`, `template:write`, `template:publish`, `envelope:read`
`auditor`	`envelope:read`, `template:read`, `audit:read`
`billing`	`billing:manage`

De volledige lijst met rechten is envelope:read, envelope:send, envelope:void, template:read, template:write, template:publish, org:manage, member:manage, sso:manage, apikey:manage, billing:manage en audit:read. API-keys hebben een deel daarvan als scopes.

Leden, uitnodigingen, teams en de huisstijl van de organisatie beheert u in het dashboard. Organisatielogo’s worden geüpload met POST /v1/organization/logo (PNG, JPEG, SVG of WebP, maximaal 512 KB) vanuit een dashboardsessie.

Single sign-on

Eigenaren en beheerders koppelen hun identityprovider zelf in Instellingen › Beveiliging › SSO, met SAML 2.0 of OIDC:

Registreer de verbinding met de metadata van uw IdP (het dashboard kan een SAML-metadata-URL voor u ophalen).
Verifieer uw e-maildomein met een DNS-record van het type TXT (het token begint met bona-fide-verify).
Kies de instellingen: just-in-time provisioning (de eerste IdP-login maakt het lid aan), de standaardrol van nieuwe leden en afdwinging: leden met een e-mailadres op het geverifieerde domein moeten inloggen via de IdP; eigenaren houden een noodtoegang.
Voer een testlogin uit vanaf de verbindingspagina voordat u afdwinging inschakelt.

De status van de verbinding (laatste login, logins in de afgelopen 30 dagen, vervaldatum van het certificaat) en een audittrail van elke wijziging aan SSO en SCIM (GET /v1/sso/audit) staan op dezelfde pagina’s.

De inlogpagina vraagt GET /v1/sso/discover?email=… of een adres SSO van het bedrijf gebruikt; dit endpoint is openbaar en heeft een rate limit. Wanneer SSO wordt afgedwongen, worden inloggen met wachtwoord, e-mailcode en magic link voor dat domein geweigerd.

Directorysynchronisatie met SCIM

Met SCIM 2.0 maakt uw IdP leden automatisch aan, werkt ze bij en deactiveert ze. Maak in Instellingen › Beveiliging › SCIM een bearer-token aan (wordt één keer getoond) en geef uw IdP de SCIM-basis-URL en het token. De basis-URL is https://api.bonafidesign.com/api/auth/scim/v2. Een nieuw token vervangt het vorige; intrekken stopt de provisioning.