@opencxh/domain 1.164.0 → 1.166.0

package/dist/entities/ai-profile/types.d.ts

@@ -28,12 +28,15 @@ export interface AIProfile<T extends Record<string, any> = Record<string, any>>
     /** Namespaced tool names this profile may use (default: none enabled). */
     enabledTools?: string[];
     /**
-     * Per-tool confirmation policy. Stored as a LIST (not a keyed map) on purpose:
-     * namespaced tool names contain "__", and the SDK client transforms every
-     * object KEY between camelCase/snake_case — which mangles map keys (e.g.
-     * `communication__compose_email` -> `communication_ComposeEmail`) so they no
-     * longer match `enabledTools`. As a list the tool name lives in a string VALUE,
-     * which the transform leaves untouched.
+     * Per-tool confirmation policy, stored as a LIST (not a keyed map).
+     *
+     * De oorspronkelijke reden was dwingend: de SDK-client transformeerde élke object-key
+     * camel↔snake, en dat verminkte een genamespacede toolnaam (`communication__compose_email` →
+     * `communication_ComposeEmail`) zodat hij niet meer matchte met `enabledTools`. **Die transform
+     * is 17-08-2026 verwijderd**, dus een map zou nu werken.
+     *
+     * De lijst blijft staan: hij zit op bestaande profielrijen met een formulier eroverheen, en een
+     * migratie zou alleen een prettigere vorm opleveren. `enabledTools` ernaast is ook een lijst.
      *
      * Under autonomy "suggest", write tools are held for approval; reads run freely.
      * A tool absent from this list defaults to "write" (safe).

package/dist/entities/analytics/dashboard.d.ts

@@ -42,9 +42,11 @@ export interface DashboardDef {
     source?: string;
 }
 /**
- * A single localized string. Kept as a flat LIST (not a lang->key->value map) because the app-sdk http
- * client mangles object KEYS (snake<->camel) — i18n keys with underscores/dots as map keys get corrupted
- * (e.g. "comms.dash.resolution_over_time"). As list VALUES they pass through untouched.
+ * A single localized string. Kept as a flat LIST (not a lang->key->value map).
+ *
+ * The original reason (the http client mangled object KEYS, so "comms.dash.resolution_over_time" as a
+ * key got corrupted) no longer applies — that transform was removed on 2026-08-17. The flat list is
+ * kept because every consumer already iterates it and a nested map would be a migration for looks.
  */
 export interface LocaleString {
     lang: string;

package/dist/entities/analytics/report.d.ts

@@ -12,10 +12,12 @@ import { MetricDefinition } from './metric';
  */
 export type WidgetType = "table" | "counter";
 /**
- * One filter clause. Filters (and cells/totals below) are LISTS, not maps — the app-sdk http client
- * deep-mangles every object KEY (camel<->snake), which would corrupt dimension ids / metric ids used as
- * keys (they contain dots and mixed case). As list VALUES they pass through untouched. This mirrors the
- * platform's existing {name,value}[] pattern (see AIProfile.toolPolicy).
+ * One filter clause. Filters (and cells/totals below) are LISTS, not maps.
+ *
+ * The original reason was that the http client mangled object keys; that transform was removed on
+ * 2026-08-17 and keys now travel untouched. The shape stays, for a reason that always held and is
+ * the stronger one: **a filter list can carry the same dimension twice** (`status=open` OR
+ * `status=pending`), and a map cannot. Same for cells, which mirror a table row.
  */
 export interface FilterClause {
     dimensionId: DimensionId;

package/dist/entities/communication/types.d.ts

@@ -60,54 +60,3 @@ export interface Transcription {
 export interface SessionMetadata {
     [custom: string]: unknown;
 }
-export type AuthState = {
-    type: "oauth2";
-    accessToken: string;
-    refreshToken?: string;
-    /** Epoch ms */
-    expiresAt: number;
-    scopes: string[];
-    idToken?: string;
-} | {
-    type: "password";
-    username: string;
-    /** Rauw wachtwoord (geen secret-store in repo). Alleen via internal-path. */
-    password: string;
-    /** Toekomstige secret-store-referentie i.p.v. raw `password`. */
-    passwordRef?: string;
-} | {
-    type: "certificate";
-    certRef: string;
-} | {
-    type: "apikey";
-    /** Rauwe API-key (geen secret-store in repo). Alleen via internal-path. */
-    apiKey: string;
-} | {
-    type: "static";
-};
-export type ManagedAccountStatus = "connected" | "disconnected" | "error" | "expired";
-export interface ManagedAccount {
-    id: string;
-    organizationId: string;
-    /** null = org-level account (geen specifieke user). */
-    userId?: string;
-    providerId: string;
-    /** "oauth2" | "imap" | "sip" | "webhook" | "apikey" | provider-eigen string */
-    protocol: string;
-    displayName: string;
-    status: ManagedAccountStatus;
-    auth: AuthState;
-    /** Provider-specifieke metadata (tenantId, externalUserId, scope-flags). */
-    metadata: Record<string, unknown>;
-    createdAt?: number;
-    updatedAt?: number;
-}
-/**
- * Public-view zonder tokens — wat `account/list` en `account/get` aan
- * UI/comm-server retourneren. `auth` is gestripped tot alleen het type.
- */
-export type ManagedAccountPublic = Omit<ManagedAccount, "auth"> & {
-    authType: AuthState["type"];
-    scopes?: string[];
-    expiresAt?: number;
-};

package/dist/entities/contact-source/types.d.ts

@@ -20,8 +20,11 @@ export interface ContactSourceConfig {
      * Either a built-in source id (`microsoft-directory`, `google`, `eylo-voip`, `local`)
      * or an AI tool name (`mcp__<id>__search_companies`).
      *
-     * A field VALUE, never an object key: the SDK client deep-mangles object keys between
-     * camel and snake case, which would corrupt any namespaced name used as a key.
+     * A field VALUE, never an object key.
+     *
+     * The original reason (the SDK client mangled object keys) is gone as of 2026-08-17. It stays a
+     * value because this is a table row: it carries `order`, `search` and `enrich` alongside, and a
+     * map has no ordering.
      */
     sourceId: string;
     kind: "internal" | "mcp";

package/dist/entities/external-identity/index.d.ts

@@ -0,0 +1 @@
+export * from './types';

package/dist/entities/external-identity/types.d.ts

@@ -0,0 +1,107 @@
+/**
+ * Wie is "Asana-gebruiker 1203847" hier?
+ *
+ * Deze laag bestond niet, en dat is precies waarom `apps/asana` zijn `assignees` leeg laat: een
+ * Asana-assignee is een gid, en die één-op-één overnemen zou werk toewijzen aan een id dat in dit
+ * platform niemand is — werk op naam van een spook. De enige twee opties waren "veld weglaten" of
+ * "per app een hack", en elke volgende connector die assignees, auteurs, reviewers of commenters
+ * synct loopt er opnieuw tegenaan.
+ *
+ * ## Waarom dit een eigen store is en geen veld
+ *
+ * Een externe identiteit is **niet** hetzelfde als de vier dingen die er op lijken:
+ *
+ * | Lijkt erop | Is | Waarom niet hetzelfde |
+ * |---|---|---|
+ * | `externalId` op een record | dedupe-as voor één rij | zegt niets over personen |
+ * | `ManagedAccount.metadata.externalUserId` | de identiteit van een *verbonden account* | één per account, en alleen van wie zelf verbond |
+ * | `ManagedAccount.userId` | van wie is dit credential | eigendom, geen mapping |
+ * | `Contact` / shadow contact | een persoon *buiten* de organisatie | een assignee is iemand *binnen* de organisatie, in een extern systeem |
+ *
+ * De vraag hier is de vijfde: welke platform-gebruiker hóórt bij dit externe account. Die heeft
+ * een eigen levensduur (je koppelt hem één keer, hij geldt voor elke connector-ronde daarna) en
+ * een eigen beheer-oppervlak ("3 van de 12 Asana-gebruikers gekoppeld").
+ *
+ * ## Waarom in `apps/user`
+ *
+ * Bij de app die gebruikers bezit. De e-mail-bootstrap heeft de tenant-roster nodig en die staat
+ * daar; en niet-sync-consumenten (AI-tools, webhooks, companion-apps) kunnen hem net zo goed
+ * gebruiken. In de sync-pijplijn zetten zou hem onbruikbaar maken buiten sync.
+ */
+/**
+ * Hoe zeker weten we dat deze koppeling klopt?
+ *
+ * De drie waarden zijn geen kwaliteitslabel maar een **beslissingsas**: alleen bij `confirmed` en
+ * `email-match` mag er een `userId` aan hangen, en een `unmatched`-rij bestaat juist om zichtbaar
+ * te maken dat er iets te koppelen valt.
+ */
+export type ExternalIdentityConfidence = 
+/** Een mens heeft dit gekoppeld. Wordt nooit door een bootstrap overschreven. */
+"confirmed"
+/** Het externe adres matchte exact op het adres van een actieve gebruiker. */
+ | "email-match"
+/** Bekend extern account, geen platform-gebruiker gevonden. `userId` is leeg. */
+ | "unmatched";
+export interface ExternalIdentity {
+    id: string;
+    organizationId: string;
+    /**
+     * Welk extern systeem. De catalogus-sleutel van de connector (`"asana"`) of de app-namespace
+     * (`"microsoft"`) — hetzelfde vocabulaire als `SyncSourceDefinition.connectorHint`.
+     *
+     * Bewust niet het connector-**id**: twee organisatie-verbindingen naar hetzelfde product delen
+     * dezelfde gebruikers, en dan zou je de mapping twee keer moeten doen.
+     */
+    connectorKey: string;
+    /** Het id van deze persoon in dat systeem: een Asana-gid, een Graph-`oid`, een Slack-user-id. */
+    externalId: string;
+    /** De platform-gebruiker. Leeg bij `confidence: "unmatched"`. */
+    userId?: string;
+    /** Wat het externe systeem als adres gaf. Bewaard zodat een latere bootstrap kan matchen. */
+    externalEmail?: string;
+    /** Wat het externe systeem als naam gaf. Alleen om de beheerlijst leesbaar te maken. */
+    externalName?: string;
+    confidence: ExternalIdentityConfidence;
+    createdAt?: number;
+    updatedAt?: number;
+}
+/** Eén extern account waarover een connector een vraag stelt. */
+export interface ExternalIdentityQuery {
+    externalId: string;
+    /** Als het externe systeem een adres geeft. Zonder dit kan de bootstrap niets matchen. */
+    email?: string;
+    name?: string;
+}
+/**
+ * `POST /external-identity/resolve` — **batch**, want één sync-pagina draagt er tientallen.
+ *
+ * Per record vragen zou per pagina tientallen app-grenzen kosten, en dat is precies de fout die
+ * `landRecords` al vermijdt door per soort te groeperen.
+ */
+export interface ResolveExternalIdentitiesRequest {
+    connectorKey: string;
+    externals: ExternalIdentityQuery[];
+}
+/** Wat de resolve teruggeeft per extern id. `userId` afwezig = niets om aan toe te wijzen. */
+export interface ResolvedExternalIdentity {
+    userId?: string;
+    confidence: ExternalIdentityConfidence;
+}
+export interface ResolveExternalIdentitiesResponse {
+    /**
+     * Op `externalId`. Elk gevraagd id staat erin, ook de niet-gematchte — een ontbrekende sleutel
+     * en "geen match" zijn twee verschillende dingen, en de beller mag ze niet hoeven raden.
+     *
+     * Een gewone map is hier veilig: sinds de camelCase-transform op antwoorden verwijderd is
+     * (17-08-2026) reizen sleutels ongeschonden, dus een gid met een punt of een streep erin komt
+     * heel aan.
+     */
+    resolved: Record<string, ResolvedExternalIdentity>;
+}
+/** `POST /external-identity/link` — een mens wijst de koppeling aan. */
+export interface LinkExternalIdentityRequest {
+    connectorKey: string;
+    externalId: string;
+    /** Leeg = ontkoppelen; de rij blijft bestaan als `unmatched`. */
+    userId?: string;
+}

package/dist/entities/kb/types.d.ts

@@ -22,8 +22,11 @@ export interface KnowledgeBase {
      *  `defaultLocale`; kept so the backfill can still read it. */
     locale?: KbLocale;
 }
-/** A name and blurb for one language. Never a map keyed by locale: the http
- *  client mangles object keys, so `{ "nl-NL": … }` does not survive the wire. */
+/** A name and blurb for one language.
+ *
+ *  A list, not a map keyed by locale. The original reason (the http client mangled object keys) is
+ *  gone as of 2026-08-17 — a map would now survive the wire. Kept as a list because it is stored
+ *  data with a form and a backfill behind it, and a migration would buy nothing but a nicer shape. */
 export interface KbTranslation {
     locale: KbLocale;
     name: string;

package/dist/entities/mcp/types.d.ts

@@ -1,7 +1,57 @@
 /** How the AI server authenticates to an MCP server. */
 export type McpAuthMode = "header" | "oauth";
-/** Whether an OAuth-authenticated MCP server uses one shared org account or one per user. */
+/**
+ * @deprecated Gebruik {@link McpCredentialScope}. Blijft één release staan omdat bestaande
+ * rijen `oauth.scope` dragen; `mcpCredentialScope()` leest beide.
+ */
 export type McpOAuthAccountScope = "user" | "org";
+/**
+ * **Hoe deze connector aan zijn credential komt:** één gedeeld organisatie-credential, of
+ * iedereen brengt zijn eigen mee.
+ *
+ * Dit is de tweede van de drie scope-vragen, en de enige die op de connector hoort:
+ *
+ * | Vraag | Waar |
+ * |---|---|
+ * | Van wie is deze *rij*? | `ownerUserId` / `ManagedAccount.userId` (afwezig = gedeeld) |
+ * | Hoe komt hij aan een credential? | **`credentialScope`** — hier |
+ * | Met wie is de *resource* gedeeld? | `ownerScope` op contacten, werkitems, geheugens |
+ *
+ * Het is een **configuratiekeuze van de organisatie**, geen eigenschap van de vendor: dezelfde
+ * MCP-server kan met één service-account of met een token per gebruiker draaien. Hij hoort dus op
+ * de connectorrij, want daar woont configuratie.
+ *
+ * De consequentie die hem belangrijk maakt: **een onbemande run (sync, cron, playbook) heeft geen
+ * handelende gebruiker en kan dus nooit bij een `"per-user"`-credential.** Dat is vooraf te
+ * controleren en uit te leggen, in plaats van te eindigen als een ronde die nul tools zag.
+ *
+ * `personalConnect` is hier expliciet géén onderdeel van: dat is een *permissie* (mag een lid zijn
+ * eigen token aan een beheerder-gedefinieerde server hangen), niet een scope. Alleen zinvol samen
+ * met `"per-user"`.
+ */
+export type McpCredentialScope = "shared" | "per-user";
+/**
+ * De credential-scope van een server, met terugval op de oude velden.
+ *
+ * Bestaande rijen dragen `oauth.scope`; nieuwe dragen `credentialScope`. Eén functie zodat
+ * "wie brengt het token mee" nergens twee keer wordt uitgerekend.
+ */
+export declare function mcpCredentialScope(server: {
+    credentialScope?: McpCredentialScope;
+    authMode?: McpAuthMode;
+    oauth?: {
+        scope?: McpOAuthAccountScope;
+    };
+}): McpCredentialScope;
+/**
+ * De naamconventie van een MCP-tool, op één plek.
+ *
+ * Een tool heet `mcp__<connectorId>__<toolnaam>`. Het connector-id is per organisatie
+ * willekeurig, dus een app kan de naam niet hardcoderen — maar zodra hij het id *heeft*
+ * (bijvoorbeeld omdat de koppeling het expliciet bewaart) is dit een pure string en is er
+ * geen enkele lookup nodig.
+ */
+export declare function mcpToolPrefix(connectorId: string): string;
 /**
  * Client-facing OAuth view for an MCP server. Never carries the client secret
  * or tokens — those live server-side (entity `oauth.client` / ManagedAccount).
@@ -24,6 +74,14 @@ export interface McpServerConfig {
     id: string;
     organizationId: string;
     name: string;
+    /**
+     * De catalogus-sleutel waar deze verbinding uit komt, als hint voor pickers.
+     *
+     * Stond wél op de write-body maar niet op de read view, en dáárom moest het "welke verbinding is
+     * Asana"-antwoord server-side verzonnen worden: een client kón het niet zien. Nu wel, en dan is
+     * voorfilteren gewoon een `filter` in de UI.
+     */
+    catalogKey?: string;
     /** Only Streamable HTTP transport is supported for server-side connections. */
     transport: "http";
     url: string;
@@ -35,14 +93,21 @@ export interface McpServerConfig {
     /** OAuth settings, present when `authMode === "oauth"`. */
     oauth?: McpOAuthClientView;
     /**
-     * Owner of this server DEFINITION: absent/null = org-defined (admin-managed),
-     * set = a user's own custom personal server. Governs who may edit/delete it and
-     * where it is visible; orthogonal to `oauth.scope` (which is about credentials).
+     * Hoe deze connector aan zijn credential komt. Afwezig op oude rijen — lees hem altijd via
+     * {@link mcpCredentialScope}, nooit rechtstreeks.
+     */
+    credentialScope?: McpCredentialScope;
+    /**
+     * Van wie is deze RIJ: afwezig = door de organisatie gedefinieerd (beheerder), gezet = de
+     * eigen custom server van die gebruiker. Bepaalt wie hem mag wijzigen en waar hij zichtbaar
+     * is — los van {@link McpCredentialScope}, dat over het credential gaat.
      */
     ownerUserId?: string;
     /**
-     * Org-defined servers only: users may connect this personally (the "catalog").
-     * Only meaningful together with `oauth.scope === "user"`.
+     * PERMISSIE, geen scope: mag een lid zijn eigen credential hangen aan deze door de
+     * organisatie gedefinieerde server (de "catalogus")? Alleen zinvol bij
+     * `credentialScope === "per-user"`. Bewust niet afgeleid — dat zou het recht stil
+     * verruimen voor servers waar de beheerder het juist niet toestond.
      */
     personalConnect?: boolean;
 }
@@ -75,16 +140,55 @@ export interface McpCatalogEntry {
         scope?: McpOAuthAccountScope;
         scopes?: string[];
     };
+    /** De voorgestelde default bij het toevoegen. Afwezig = afleiden uit `oauth.scope`. */
+    credentialScope?: McpCredentialScope;
+}
+/**
+ * Wat een app over een **gekozen** connector mag weten.
+ *
+ * Dit is een preflight, geen zoekopdracht: je komt hier met een id dat iemand bij het
+ * configureren heeft vastgelegd, en de vraag is alleen "kan ik hem nog gebruiken". Een lookup
+ * op primary key, dus deterministisch van constructie — anders dan de eerdere zoekopdracht op
+ * catalogus-sleutel, die bij twee kandidaten een willekeurige winnaar koos.
+ */
+export interface McpConnectorDescribe {
+    id: string;
+    name: string;
+    /** Alleen als hij uit de catalogus komt. */
+    catalogKey?: string;
+    enabled: boolean;
+    credentialScope: McpCredentialScope;
+    /**
+     * Er bestaat een gedeeld organisatie-credential.
+     *
+     * De enige vorm die een onbemande run kan gebruiken: die heeft geen handelende gebruiker en
+     * kan dus niet bij een persoonlijk token. `false` bij een `"per-user"`-connector, ook als
+     * tien mensen persoonlijk verbonden zijn.
+     */
+    sharedCredential: boolean;
+    /** `mcp__<id>__`, hetzelfde als {@link mcpToolPrefix} — meegegeven zodat de beller niets rekent. */
+    toolPrefix: string;
 }
 /** Body accepted by the create/update endpoints (write shape, distinct from the read view). */
 export interface McpServerInput {
     name?: string;
     url?: string;
+    /**
+     * De catalogus-sleutel waar dit uit komt ({@link McpCatalogEntry.key}).
+     *
+     * **Een hint, geen resolutie.** Hij filtert de connector-picker ("welke van jouw
+     * verbindingen is Asana") en voedt de "al toegevoegd"-status in de catalogus. Wie een
+     * connector nodig heeft bewaart het connector-**id** expliciet en gebruikt
+     * {@link mcpToolPrefix} — een zoekopdracht op key kan bij twee kandidaten geen winnaar
+     * kiezen en heeft dat eerder ook niet gedaan.
+     */
+    catalogKey?: string;
     enabled?: boolean;
     /** Header-mode secrets; masked values mean "unchanged". */
     headers?: Record<string, string>;
     authMode?: McpAuthMode;
     oauth?: McpServerOAuthInput;
+    credentialScope?: McpCredentialScope;
     /** Org-defined servers: mark as personally connectable (catalog membership). */
     personalConnect?: boolean;
 }

package/dist/entities/mcp/types.test.d.ts

@@ -0,0 +1 @@
+export {};

package/dist/entities/memory/item.d.ts

@@ -13,9 +13,11 @@ export type MemoryKindId = string;
  * Een verwijzing naar iets anders — intern (`interaction:i_2`) of extern
  * (`hubspot:5591`, `clickup:86ab2`).
  *
- * Een **lijst**, nooit een object met de relatie als key: de app-sdk http-client
- * mangelt elke object-key camel<->snake, dus `{ "crm.company": "..." }` komt verminkt
- * aan de andere kant aan.
+ * Een **lijst**, nooit een object met de relatie als key.
+ *
+ * De oorspronkelijke reden (de http-client mangelde object-keys) geldt niet meer sinds 17-08-2026.
+ * De lijst blijft om een reden die altijd al sterker was: **dezelfde `rel` mag twee keer voorkomen**
+ * — twee gekoppelde bedrijven, drie betrokken interacties — en een map gooit er dan één weg.
  */
 export interface MemoryLink {
     rel: string;

package/dist/entities/memory/kind.d.ts

@@ -48,7 +48,7 @@ export interface MemorySourceDescription {
     /** De declarerende app (== `manifest.name` == `req.source.app`). */
     source: string;
     kinds: MemoryKindDefinition[];
-    /** Vlakke LIJST: keys met een punt worden gemangeld. */
+    /** Vlakke LIJST, zoals {@link LocaleBundle}; zie daar waarom die vorm blijft. */
     locales?: LocaleBundle;
     /** Fase 3: welke subjects/kinds deze bron live kan leveren. */
     live?: {

package/dist/entities/playbook/assignment.d.ts

@@ -61,7 +61,7 @@ export interface AssignmentSourceDescription {
     /** De declarerende app (== `manifest.name` == `req.source.app`). */
     source: string;
     targets: AssignmentTargetKind[];
-    /** Vlakke LIJST: keys met een punt worden gemangeld. */
+    /** Vlakke LIJST, zoals {@link LocaleBundle}; zie daar waarom die vorm blijft. */
     locales?: LocaleBundle;
 }
 /** De samengestelde catalogus die de hub aan de builder levert. */

package/dist/entities/webhook/types.d.ts

@@ -18,4 +18,17 @@ export interface Webhook {
     triggers: WebhookTrigger[];
     enabled: boolean;
     createdBy: string;
+    /**
+     * Hoe de laatste aflevering ging.
+     *
+     * Vier velden en geen afleverhistorie: de vraag die een beheerder stelt is "komt dit aan?", en
+     * die is met de laatste poging plus een teller beantwoord. Een volledige historie is een eigen
+     * scherm en een eigen entiteit.
+     */
+    lastDeliveryAt?: number;
+    /** HTTP-status van de laatste poging. Afwezig = de call kwam niet tot een antwoord. */
+    lastStatus?: number;
+    lastError?: string;
+    /** Opeenvolgende mislukkingen, nul zodra er één aankomt — niet een totaalteller. */
+    failureCount?: number;
 }