Organisationer & Workspaces

Översikt

qr3.app använder en tvåstegshierarki:

Organization (Firma/Agentur)
  └── Workspace 1 (Kunde A)
  └── Workspace 2 (Kunde B)
  └── Workspace 3 (Internes Team)

Organisation — översta nivån, kopplad till ett Stripe-konto och en plan
Workspace — isolerat område för QR-koder, skanningar och API-nycklar

Organizations API

`GET /v1/organizations`

Returnerar organisationen som den aktuella API-nyckeln tillhör.

curl https://qr3.app/v1/organizations \
  -H "Authorization: Bearer qr3_sk_..."

`GET /v1/organizations/usage`

Returnerar organisationens live-användning mot dess plangränser — summerat över alla workspaces och beräknat i realtid: scans för den aktuella faktureringsmånaden (mot max_scans_per_month) och dynamic_codes, antalet aktiva dynamiska koder (mot max_dynamic_codes). Båda blockeras aldrig vid gränsen; använd denna slutpunkt för att visa användning och uppgraderingsmeddelanden.

curl https://qr3.app/v1/organizations/usage \
  -H "Authorization: Bearer qr3_sk_..."

{
  "data": {
    "scans": {
      "used": 4120,
      "limit": 5000,
      "usage_pct": 82,
      "remaining": 880,
      "period": "2026-06",
      "period_start": "2026-06-01T00:00:00.000Z"
    },
    "dynamic_codes": {
      "used": 142,
      "limit": 500,
      "usage_pct": 28,
      "remaining": 358
    }
  }
}

`POST /v1/organizations`

Skapar en ny organisation.

curl -X POST https://qr3.app/v1/organizations \
  -H "Authorization: Bearer qr3_sk_..." \
  -H "Content-Type: application/json" \
  -d '{
    "name": "Digital Heroes GmbH",
    "slug": "digital-heroes",
    "billing_email": "[email protected]"
  }'

Fält:

Fält	Typ	Obligatorisk	Beskrivning
`name`	string	✅	Visningsnamn (max 255 tecken)
`slug`	string	✅	URL-vänlig, unik (minst 2, max 63 tecken, endast `a-z0-9-`)
`billing_email`	string	—	Fakturerings-e-post

`PATCH /v1/organizations/:id`

Ändrar organisationens namn, faktura-e-post och aviserings-e-post.

Endast en org_admin kan ändra dem, i en dashboard-session. Anrop med en API-nyckel avvisas med 403 — även qr3_sk_- och qr3_test_sk_-nycklar — så en läckt nyckel kan inte styra om faktura- eller aviseringsadressen.

`DELETE /v1/organizations/:id`

Mjuk radering (soft-delete) av organisationen. Alla tillhörande workspaces och QR-koder bevaras, men är inte längre tillgängliga.

Kräver rollen org_admin (dashboard-session). Anrop med enbart en API-nyckel avvisas med 403 — API-nycklar uppnår aldrig en adminroll, så en läckt nyckel kan inte radera organisationen.

Workspaces API

`GET /v1/workspaces`

Listar de workspaces som anroparen får se: org_admin och organisationens ägare ser alla organisationens workspaces, andra medlemmar bara de workspaces de tillhör och en API-nyckel bara sitt eget workspace. Ett workspace som anroparen inte ser svarar med 404 på varje route /v1/workspaces/:id, precis som ett okänt ID.

curl https://qr3.app/v1/workspaces \
  -H "Authorization: Bearer qr3_sk_..."

`POST /v1/workspaces`

Skapa ett nytt workspace.

curl -X POST https://qr3.app/v1/workspaces \
  -H "Authorization: Bearer qr3_sk_..." \
  -H "Content-Type: application/json" \
  -d '{
    "name": "Kunde Bäckerei Schmidt",
    "slug": "baeckerei-schmidt",
    "default_locale": "de",
    "primary_color": "#8B4513",
    "approval_required": false
  }'

Med en API-nyckel får bara en nyckel som skapats av en org_admin eller organisationens ägare skapa ett workspace; alla andra nycklar får 403, redan innan sluggen kontrolleras (svaret avslöjar alltså inte vilka slugs som är upptagna). Rollen för den som skapade nyckeln kontrolleras vid varje anrop: degraderas personen förlorar nyckeln rätten. En API-nyckel är bunden till sitt eget workspace och ser inte det nya efteråt: dess id står i 201-svaret; en org_admin öppnar det i dashboarden och kan skapa en nyckel för det där. I dashboarden får bara en org_admin skapa workspaces.

Fält:

Fält	Typ	Standard	Beskrivning
`name`	string	—	Visningsnamn (obligatoriskt)
`slug`	string	—	URL-vänlig, unik per org (obligatoriskt)
`default_locale`	string	`de`	Standardspråk
`approval_required`	boolean	`false`	Reserverat för det planerade godkännandearbetsflödet (inte implementerat)
`primary_color`	string	—	Varumärkesfärg (`#RRGGBB`)

Plangränser:

Plan	Max antal workspaces
Free	1
Pro	1
Business	10
Agency	50
Enterprise	500

`PATCH /v1/workspaces/:id`

curl -X PATCH https://qr3.app/v1/workspaces/ws_xyz789 \
  -H "Authorization: Bearer qr3_sk_..." \
  -H "Content-Type: application/json" \
  -d '{
    "name": "Neuer Name",
    "approval_required": true
  }'

`DELETE /v1/workspaces/:id`

Arkiverar workspacet. Kan inte tillämpas på det egna workspacet.

Kräver org_admin eller ws_admin för det workspace som ska arkiveras; andra roller får 403. Ett workspace som anroparen inte ser svarar med 404 — för en API-nyckel gäller det varje workspace utom dess eget, som den inte heller kan arkivera.

Audit-loggar

`GET /v1/audit-logs`

Spårbar logg över alla ändringar i workspacet.

curl "https://qr3.app/v1/audit-logs?resource_type=codes&limit=50" \
  -H "Authorization: Bearer qr3_sk_..."

Query-parametrar:

Parameter	Typ	Beskrivning
`resource_type`	string	Filtrera efter resurs: `codes`, `api_keys`, `webhooks`, `workspaces`
`resource_id`	string	Filtrera efter specifik resurs-ID
`action`	string	Filtrera efter åtgärd (t.ex. `codes.created`)
`cursor`	string	Paginering-cursor
`limit`	integer	Max 100 (standard: 50)

Exempelsvar:

{
  "data": [
    {
      "id": "aud_a1b2c3",
      "actor_type": "api",
      "action": "codes.created",
      "resource_type": "codes",
      "resource_id": "qr_xyz123",
      "changes": {},
      "created_at": "2026-03-15T10:00:00.000Z"
    }
  ]
}