Organizações, SSO e SCIM

Tudo na Bona Fide pertence a uma organização (um espaço de trabalho): modelos, envelopes, links de assinatura, endpoints de webhook, chaves de API e o plano. Todo cadastro ganha uma organização pessoal, e as pessoas podem ser membros de várias. As chaves de API atuam pela única organização a que pertencem.

As sessões do painel atuam na organização ativa do membro; uma integração que chama a API com um cookie de sessão pode escolher outra organização do usuário com o cabeçalho x-organization-id.

Papéis e permissões

Cada membro tem um papel. Cada papel é um conjunto fixo de permissões, e todo endpoint verifica uma permissão:

Papel	Permissões
`owner`	Tudo
`admin`	Tudo, exceto `billing:manage`
`sender`	`envelope:read`, `envelope:send`, `envelope:void`, `template:read`
`template_manager`	`template:read`, `template:write`, `template:publish`, `envelope:read`
`auditor`	`envelope:read`, `template:read`, `audit:read`
`billing`	`billing:manage`

A lista completa de permissões é envelope:read, envelope:send, envelope:void, template:read, template:write, template:publish, org:manage, member:manage, sso:manage, apikey:manage, billing:manage e audit:read. As chaves de API levam um subconjunto delas como escopos.

Membros, convites, equipes e a identidade visual da organização são gerenciados no painel. O logotipo da organização é enviado com POST /v1/organization/logo (PNG, JPEG, SVG ou WebP, até 512 KB) a partir de uma sessão do painel.

Logon único

Proprietários e administradores conectam o próprio provedor de identidade em Configurações › Segurança › SSO, com SAML 2.0 ou OIDC:

Cadastre a conexão com os metadados do seu IdP (o painel pode buscar uma URL de metadados SAML para você).
Verifique seu domínio de e-mail com um registro DNS TXT (o token começa com bona-fide-verify).
Escolha as configurações: provisionamento just-in-time (o primeiro login pelo IdP cria o membro), o papel padrão dos novos membros e a obrigatoriedade: membros com e-mail no domínio verificado precisam entrar pelo IdP; os proprietários mantêm um login de emergência.
Faça um login de teste na página da conexão antes de torná-la obrigatória.

A saúde da conexão (último login, logins nos últimos 30 dias, validade do certificado) e uma trilha de auditoria de todas as alterações de SSO e SCIM (GET /v1/sso/audit) aparecem nessas mesmas páginas.

A página de entrada consulta GET /v1/sso/discover?email=… para saber se um endereço usa o SSO da empresa; esse endpoint é público e tem limite de taxa. Quando o SSO é obrigatório, a entrada com senha, com código por e-mail e com link mágico é recusada para aquele domínio.

Sincronização de diretório SCIM

Com o SCIM 2.0, seu IdP cria, atualiza e desativa membros automaticamente. Em Configurações › Segurança › SCIM, crie um token de portador (exibido uma única vez) e informe ao seu IdP a URL base do SCIM e o token. A URL base é https://api.bonafidesign.com/api/auth/scim/v2. Criar um token novo substitui o anterior; revogá-lo interrompe o provisionamento.