# Organizaciones, miembros y roles

> Una organización es dueña de dominios, miembros y tokens. Conoce los cuatro roles, el alcance por cliente y cómo se calcula el rol efectivo.

En OpenWAF todo pertenece a una **organización**: sus dominios (zonas), sus [clientes](https://developers.openwaf.dev/es/fundamentals/agencies-and-clients/),
sus miembros, sus tokens de API, su marca y su registro de auditoría. Una persona puede ser miembro de varias
organizaciones; el menú **Cambiar de organización** del panel pasa de una a otra.

## Roles

Cada miembro tiene un rol en la organización. Los roles están ordenados: cada uno puede hacer todo lo que pueden los
que están por debajo.

| Rol | Nombre en el panel | Qué añade |
|---|---|---|
| `readonly` | Solo lectura | Ve dominios, registros, ajustes, reglas, historial, certificados y métricas. No cambia nada. |
| `tech` | Técnico | Añade y borra dominios y cambia su configuración: registros DNS, ajustes del borde, reglas, certificados, purgas de caché y comprobaciones de delegación. Crea clientes y les asigna dominios. |
| `admin` | Administrador | Gestiona miembros (salvo propietarios) e invitaciones, ve y revoca todos los tokens de API, edita y borra clientes, lee la auditoría, gestiona la marca blanca y fusiona zonas. |
| `owner` | Propietario | Todo, incluido dar y quitar el rol de propietario. |

Algunas acciones exigen una credencial que abarque **toda la organización** (no limitada a un cliente ni a un dominio):
gestionar miembros, clientes, tokens ajenos, la marca blanca y la auditoría, y asignar dominios a clientes.

Una organización siempre conserva al menos un propietario: quitar o degradar al último se rechaza con `409 conflict`.

## Alcance por cliente

Un miembro puede estar **limitado a un cliente**. Entonces solo ve y gestiona los dominios asignados a ese cliente, y
solo puede tener el rol `tech` o `readonly`. Los dominios que añade quedan asignados a su cliente automáticamente.
Consulta [Agencias y clientes](https://developers.openwaf.dev/es/fundamentals/agencies-and-clients/).

## Rol efectivo

Cada petición se autoriza con un **rol efectivo** y un **alcance efectivo**, que se calculan al llegar:

- **Sesión del panel**: el rol y el alcance de tu membresía en la organización en la que estás trabajando.
- **Token de API** (también los que se crean al conectar un asistente de IA por OAuth): el rol del token, limitado por
  el rol actual del miembro que lo creó. Si ese miembro baja de rol, sus tokens bajan con él; si se le quita de la
  organización, sus tokens se revocan.
- **Alcance**: un token limitado a un dominio solo ve ese dominio. El token de un miembro limitado a un cliente queda
  siempre limitado a ese cliente, aunque se creara antes de limitar al miembro.

```text
rol efectivo     = el menor entre (rol del token, rol actual del miembro)
alcance efectivo = alcance del token, reducido al cliente del miembro si este está limitado a un cliente
```

Por ejemplo, un administrador crea un token `tech` para CI. El token funciona con permisos de `tech`. Si más adelante
el administrador pasa a `readonly`, el token solo puede leer. Consulta [Tokens de API](https://developers.openwaf.dev/es/fundamentals/api-tokens/).

Una petición sin permiso suficiente recibe `403 forbidden`. Un dominio fuera de tu alcance responde `404 not_found`,
como si no existiera.

## Ajustes de la organización

| Ajuste | Quién puede cambiarlo | Dónde |
|---|---|---|
| Nombre de la organización | Administrador | API: `PATCH /v1/orgs/{org}` con `{"name": "…"}` |
| Miembros e invitaciones | Administrador (propietarios: Propietario) | **Miembros**; consulta [Miembros del equipo](https://developers.openwaf.dev/es/fundamentals/team-members/) |
| Tokens de API | Cualquiera (los suyos); Administrador (todos) | **Tokens de API**; consulta [Tokens de API](https://developers.openwaf.dev/es/fundamentals/api-tokens/) |
| Clientes | Técnico los crea; Administrador los edita y borra | **Clientes**; consulta [Agencias y clientes](https://developers.openwaf.dev/es/fundamentals/agencies-and-clients/) |
| Marca, dominio del panel, servidores de nombres | Administrador | **Marca blanca**; consulta [Panel de marca blanca](https://developers.openwaf.dev/es/fundamentals/white-label/) |
| Auditoría | Administrador (Técnico limitado a un cliente: los dominios de su cliente) | **Auditoría** |

## Auditoría

La auditoría recoge cada cambio hecho en la organización, del más reciente al más antiguo: quién lo hizo (un usuario,
un token o el sistema), la acción y su objetivo. Registra por igual los cambios del panel, la API, la CLI y el servidor
MCP. Los cambios de configuración de un dominio se guardan además como [versiones de la zona](https://developers.openwaf.dev/es/dns/zone-versions/).