Organizzazioni e Workspace

Panoramica

qr3.app utilizza una gerarchia a due livelli:

Organization (Firma/Agentur)
  └── Workspace 1 (Kunde A)
  └── Workspace 2 (Kunde B)
  └── Workspace 3 (Internes Team)

Organizzazione — livello superiore, associato a un account Stripe e a un piano
Workspace — area isolata per codici QR, scansioni e API key

API Organizzazioni

`GET /v1/organizations`

Restituisce l’organizzazione a cui appartiene l’attuale API key.

curl https://qr3.app/v1/organizations \
  -H "Authorization: Bearer qr3_sk_..."

`GET /v1/organizations/usage`

Restituisce l’utilizzo in tempo reale dell’organizzazione rispetto ai limiti del piano — sommato su tutti i workspace e calcolato in tempo reale: scans per il mese di fatturazione corrente (rispetto a max_scans_per_month) e dynamic_codes, il numero di codici dinamici attivi (rispetto a max_dynamic_codes). Entrambi non vengono mai bloccati al raggiungimento del limite; utilizza questo endpoint per visualizzare l’utilizzo e mostrare avvisi di upgrade.

curl https://qr3.app/v1/organizations/usage \
  -H "Authorization: Bearer qr3_sk_..."

{
  "data": {
    "scans": {
      "used": 4120,
      "limit": 5000,
      "usage_pct": 82,
      "remaining": 880,
      "period": "2026-06",
      "period_start": "2026-06-01T00:00:00.000Z"
    },
    "dynamic_codes": {
      "used": 142,
      "limit": 500,
      "usage_pct": 28,
      "remaining": 358
    }
  }
}

`POST /v1/organizations`

Crea una nuova organizzazione.

curl -X POST https://qr3.app/v1/organizations \
  -H "Authorization: Bearer qr3_sk_..." \
  -H "Content-Type: application/json" \
  -d '{
    "name": "Digital Heroes GmbH",
    "slug": "digital-heroes",
    "billing_email": "[email protected]"
  }'

Campi:

Campo	Tipo	Obbligatorio	Descrizione
`name`	string	✅	Nome visualizzato (max. 255 caratteri)
`slug`	string	✅	URL-friendly, univoco (min. 2, max. 63 caratteri, solo `a-z0-9-`)
`billing_email`	string	—	Email di fatturazione

`PATCH /v1/organizations/:id`

Modifica il nome, l’e-mail di fatturazione e l’e-mail di notifica dell’organizzazione.

Solo un org_admin può modificarli, in una sessione del dashboard. Le richieste con una API key vengono rifiutate con 403 — anche le chiavi qr3_sk_ e qr3_test_sk_ —, quindi una chiave trapelata non può deviare l’indirizzo di fatturazione o di notifica.

`DELETE /v1/organizations/:id`

Soft-delete dell’organizzazione. Tutti i workspace e i codici QR associati vengono conservati, ma non sono più accessibili.

Richiede il ruolo org_admin (sessione del dashboard). Le richieste con una semplice API key vengono rifiutate con 403 — le API key non ottengono mai un ruolo di amministratore, quindi una chiave trapelata non può eliminare l’organizzazione.

API Workspace

`GET /v1/workspaces`

Elenca i workspace visibili al chiamante: org_admin e il proprietario dell’organizzazione vedono tutti i workspace dell’organizzazione, gli altri membri solo i workspace di cui fanno parte e una API key solo il proprio workspace. Un workspace che il chiamante non può vedere risponde con 404 su ogni route /v1/workspaces/:id, esattamente come un ID sconosciuto.

curl https://qr3.app/v1/workspaces \
  -H "Authorization: Bearer qr3_sk_..."

`POST /v1/workspaces`

Crea un nuovo workspace.

curl -X POST https://qr3.app/v1/workspaces \
  -H "Authorization: Bearer qr3_sk_..." \
  -H "Content-Type: application/json" \
  -d '{
    "name": "Kunde Bäckerei Schmidt",
    "slug": "baeckerei-schmidt",
    "default_locale": "de",
    "primary_color": "#8B4513",
    "approval_required": false
  }'

Con una API key, può creare un workspace solo una chiave creata da un org_admin o dal proprietario dell’organizzazione; ogni altra chiave riceve 403, ancora prima del controllo dello slug (la risposta non rivela quindi quali slug sono occupati). Il ruolo di chi ha creato la chiave viene verificato a ogni richiesta: se viene declassato, la sua chiave perde il diritto. Una API key è legata al proprio workspace e dopo non vede quello nuovo: il suo id è nella risposta 201; un org_admin lo apre nel dashboard e lì può creare una chiave per esso. Nel dashboard solo un org_admin può creare workspace.

Campi:

Campo	Tipo	Predefinito	Descrizione
`name`	string	—	Nome visualizzato (obbligatorio)
`slug`	string	—	URL-friendly, univoco per organizzazione (obbligatorio)
`default_locale`	string	`de`	Lingua predefinita
`approval_required`	boolean	`false`	Riservato al flusso di approvazione pianificato (non implementato)
`primary_color`	string	—	Colore del brand (`#RRGGBB`)

Limiti del piano:

Piano	Max. workspace
Free	1
Pro	1
Business	10
Agency	50
Enterprise	500

`PATCH /v1/workspaces/:id`

curl -X PATCH https://qr3.app/v1/workspaces/ws_xyz789 \
  -H "Authorization: Bearer qr3_sk_..." \
  -H "Content-Type: application/json" \
  -d '{
    "name": "Neuer Name",
    "approval_required": true
  }'

`DELETE /v1/workspaces/:id`

Archivia il workspace. Non può essere applicato al proprio workspace.

Richiede org_admin o ws_admin del workspace da archiviare; gli altri ruoli ricevono 403. Un workspace che il chiamante non può vedere risponde con 404: per una API key è ogni workspace tranne il proprio, che comunque non può archiviare.

Audit Log

`GET /v1/audit-logs`

Registro tracciabile di tutte le modifiche nel workspace.

curl "https://qr3.app/v1/audit-logs?resource_type=codes&limit=50" \
  -H "Authorization: Bearer qr3_sk_..."

Parametri di query:

Parametro	Tipo	Descrizione
`resource_type`	string	Filtra per risorsa: `codes`, `api_keys`, `webhooks`, `workspaces`
`resource_id`	string	Filtra per ID risorsa specifico
`action`	string	Filtra per azione (es. `codes.created`)
`cursor`	string	Cursore di paginazione
`limit`	integer	Max. 100 (predefinito: 50)

Esempio di risposta:

{
  "data": [
    {
      "id": "aud_a1b2c3",
      "actor_type": "api",
      "action": "codes.created",
      "resource_type": "codes",
      "resource_id": "qr_xyz123",
      "changes": {},
      "created_at": "2026-03-15T10:00:00.000Z"
    }
  ]
}