# Beheerdershandleiding

## Architectuuroverzicht

```
Browser (vanilla JS + i18n-runtime)
    |
    v
Axum webserver (ledgerix) ─── Static files (HTML/CSS/JS)
    |
Auth middleware (sessie + groep + per-endpoint permissie + company check)
    |
    v
REST API (ledgerix-api) ─── 30+ route modules
    |
    v
SQLite database (embedded, enkel bestand)
```

De applicatie is een single binary die een webserver draait. Geen externe dependencies.

## Distributie-modellen — Windows, Linux of Docker

Ledgerix biedt geen managed cloud-SaaS. Drie ondersteunde install-paden:

| Doelplatform | Aanbevolen install | Documentatie |
|--------------|-------------------|--------------|
| Windows-PC of -server | `Ledgerix-Setup-X.Y.Z.exe` installer | Onderstaande sectie |
| Linux-cloud-VPS / Kubernetes | Docker + reverse-proxy | [`docs/deployment.md`](deployment.md) |
| Linux bare-metal zonder Docker | systemd-unit + handmatige binary | [`docs/deployment.md`](deployment.md) |

Voor de twee Linux-paden zit een complete set deployment-templates in
[`deploy/`](../deploy/) (Caddy / Traefik / nginx / systemd). De rest
van deze handleiding gaat over de Windows-installer.

## Installer (Windows)

`Ledgerix-Setup-X.Y.Z.exe` doorloopt:

1. **Installatiemap** (default `C:\Program Files\Ledgerix`)
2. **Poort** (default 8080, automatische detectie van vrije poort als 8080 bezet is)
3. **Data-map** (default `%AppData%\Ledgerix\data`)
4. **Admin-wachtwoord** (minimaal 6 tekens)
5. **Browser-keuze** (v0.39+) — radio-keuze tussen "Standaard browser van Windows" en alle gedetecteerde browsers (Chrome, Edge, Firefox, Brave, etc.). Detectie via `HKLM\SOFTWARE\Clients\StartMenuInternet`. De keuze wordt opgeslagen als `BROWSER_PATH=...` in `config.env`.

Tasks (checkboxes onderaan):
- **Desktopicoon** (uitgevinkt)
- **Automatisch starten bij Windows aanmelden** (aangevinkt)
- **Single-user modus** (uitgevinkt) — `LEDGERIX_SINGLE_USER=1` voor lokaal eenpersoonsgebruik zonder login

Na install wordt `start.vbs` aangeroepen die `ledgerix.exe` headless start en (afhankelijk van `BROWSER_PATH`) de gekozen browser opent met `http://localhost:<port>`.

### Browser-keuze achteraf wijzigen (v0.39+)

In Ledgerix → **Instellingen → Opstart → Browser-pad** kun je achteraf het volledige pad van de gewenste browser invoeren (bv. `C:\Program Files\Mozilla Firefox\firefox.exe`). Lege waarde = ShellExecute (Windows-default-browser).

De server schrijft de wijziging direct terug naar `config.env` via een safe in-place update. Om de wijziging actief te krijgen moet de Ledgerix-snelkoppeling opnieuw gestart worden — `start.vbs` leest `config.env` alleen bij boot.

## Setup wizard (eerste login)

Bij een schone installatie (lege database) wordt de **setup wizard** automatisch getoond. Deze begeleidt de beheerder door:

1. **Wie ben je?** — bedrijfsmodus (zzp/mkb/accountant) bepaalt welke menu-items in de zijbalk verschijnen
2. **Bedrijfsgegevens**: naam, adres, KvK-nummer, BTW-nummer
3. **Rekeningschema**: standaard Nederlands rekeningschema wordt aangemaakt (of importeer een eigen schema)
4. **Dagboeken**: standaard dagboeken (Verkoop, Inkoop, Bank, Kas, Memoriaal, Beginbalans)
5. **Boekjaar**: eerste boekjaar en startmaand instellen

Na afronding wordt de gebruiker doorgestuurd naar het dashboard. Een setup-banner verschijnt als herinnering zolang de wizard nog niet is doorlopen.

## UI-modi (v0.39+)

Twee onafhankelijke instellingen, beide instelbaar als key in de kaart **Instellingen → Applicatie-instellingen**:

| Instelling | Waarden | Effect |
|---|---|---|
| `company_mode` | zzp / mkb / accountant | Filtert de zijbalk-items: zzp = kern, mkb = volledig, accountant = + jaarrekening-config + multi-client overzicht. Hiërarchisch (zzp ⊂ mkb ⊂ accountant). |
| `ui_complexity` | eenvoudig / standaard / advanced | Bepaalt de complexiteit van de presentatie. `eenvoudig` toont een term-vrije homescreen (`/eenvoudig.html`) met 4 grote knoppen i.p.v. de zijbalk. `standaard` is het reguliere gedrag. `advanced` is gereserveerd voor toekomstige power-features. |

Beide zijn los te kiezen. Een MKB-er met weinig boekhoud-ervaring kan "MKB + eenvoudig" kiezen; een power-user met een ZZP-administratie kan "ZZP + advanced". Wijziging werkt direct door zonder herstart van de server.

## Gebruikersbeheer

### Groepen (v0.69+, herziening van het oude rollen-concept)

Toegang wordt sinds v0.72 georganiseerd via **groepen** in plaats van vaste
rollen. Er zijn vier ingebouwde **system-groups** die niet verwijderd kunnen
worden:

| System-group | Bedoeld voor | Standaard-permissies |
|--------------|--------------|----------------------|
| **Admin** | Beheerders | Alle endpoints, inclusief gebruikers/bedrijven/instellingen |
| **Boekhouder** | Reguliere boekhouders | Boekingen, relaties, rekeningen, BTW, import/export — geen beheer |
| **Klant** | Klant-portal (v0.78) | Beperkte read-only toegang tot eigen administratie + de vragen-thread |
| **Api** | API-keys | Via Bearer-token; permissies afhankelijk van de gekoppelde gebruiker |

Daarnaast kun je **eigen groepen** aanmaken (bijvoorbeeld "Junior boekhouder")
en daar zelf een set van **fijnmazige permissies per endpoint** aan toekennen
(v0.70+). Zo kan een junior wél boekingen invoeren maar geen rapporten of
masterdata muteren.

> De oude vaste rol-set (Admin / Boekhouder / Readonly / Api) is sinds v0.72
> volledig vervangen. Bestaande gebruikers zijn automatisch gemapt naar de
> system-group met dezelfde naam.

### Gebruikers beheren (Admin → Gebruikers)
- **Aanmaken**: gebruikersnaam, wachtwoord (min. 6 tekens), naam, groep(en)
- **Bedrijven toewijzen**: vink aan welke bedrijven de gebruiker mag benaderen (leeg = alle)
- **Wachtwoord wijzigen**: apart formulier per gebruiker
- **Activeren/Deactiveren**: gedeactiveerde gebruikers kunnen niet meer inloggen
- **Laatste admin beschermd**: de laatste actieve admin kan niet gedeactiveerd of verwijderd worden
- **E-mail veld**: per gebruiker instelbaar (nodig voor wachtwoord-vergeten functie)
- **2FA status**: kolom toont of tweestapsverificatie actief is per gebruiker

### API Keys (Admin → API Keys)
- Voor webshop-koppelingen en externe integraties
- Elke key is gekoppeld aan een bedrijf en een gebruiker
- Key wordt eenmalig getoond bij aanmaken (kopieer hem!)
- Gebruik: `Authorization: Bearer <api-key>` header
- Intrekken: key stopt direct met werken

## Authenticatie & Beveiliging

### Server-side middleware
Elke API-request wordt gecontroleerd:
1. **Sessie validatie**: X-Session-Id header of Authorization: Bearer (API key)
2. **Sessie verlopen**: na 24 uur (configureerbaar)
3. **Rol controle**: Readonly gebruikers worden geblokkeerd bij POST/PUT/DELETE
4. **Company controle**: niet-admin gebruikers met bedrijfstoewijzing worden geblokkeerd bij andere bedrijven
5. **Login endpoint**: uitgezonderd van auth check
6. **Security headers (v0.40.11)**: elke response bevat:
   - `Content-Security-Policy: default-src 'self'; script-src 'self' 'unsafe-inline'; style-src 'self' 'unsafe-inline'; img-src 'self' data: blob:; media-src 'self' blob:; connect-src 'self'; frame-ancestors 'none'; base-uri 'self'; form-action 'self'`
   - `X-Frame-Options: DENY`
   - `X-Content-Type-Options: nosniff`
   - `Referrer-Policy: strict-origin-when-cross-origin`
   - `Permissions-Policy: camera=(self), microphone=(), geolocation=(), payment=()` — camera mag voor de webcam-scan-flow op /eenvoudig.html, rest expliciet uit.
   - `'unsafe-inline'` is helaas vereist omdat alle pagina's inline `<script>` en `<style>` blokken hebben (HTMX-stijl, geen build-step). Externe scripts blijven geblokkeerd.

### Rate limiting & account lockout
- **Rate limiting**: na **5 mislukte inlogpogingen** binnen **15 minuten** wordt het account tijdelijk geblokkeerd
- **Account lockout**: geblokkeerde accounts moeten wachten tot de lockout-periode verstreken is
- Dit beschermt tegen brute-force aanvallen op wachtwoorden

### Wachtwoorden
- Gehashed met argon2 (state-of-the-art)
- Niet terug te halen uit de hash
- **Eigen wachtwoord wijzigen**: gebruikers kunnen zelf hun wachtwoord wijzigen via de instellingenpagina
- **Wachtwoord reset door admin**: een admin kan een tijdelijk wachtwoord genereren voor een gebruiker via het gebruikersbeheer
- **Wachtwoord vergeten (self-service)**: gebruikers kunnen via de loginpagina een reset-link aanvragen per e-mail. Het token is 1 uur geldig. Vereist geconfigureerde SMTP-instellingen.

### Auto-lock bij inactiviteit (v0.40.11)

Voor gedeelde-machine-scenario's (accountantskantoren) is er een client-side auto-lock die de browser-sessie afsluit na X minuten geen activiteit:

- **Opt-in** via setting `auto_lock_enabled` (default `false`). Bestaande installs blijven daardoor ongewijzigd.
- **Timeout** via `auto_lock_minutes` (default 30, geclamped tussen 5 en 240).
- **Activiteit** = mouse-move, keyboard, scroll, click, touchstart. Reset bij elke event.
- **1 minuut vóór timeout** verschijnt een warning-toast met "Ingelogd blijven"-knop zodat de gebruiker niet plotseling weggegooid wordt.
- **Bij timeout**: aanroep van `doLogout()` (zelfde pad als de Uitloggen-knop). Server-side sessie wordt netjes ingetrokken.
- **Single-user kiosk-modus** is uitgezonderd — daar is geen login om naartoe te lockken.

Server-side sessions verlopen al op hun eigen schema (24u). Auto-lock versnelt het locken op gedeelde machines.

### Tweestapsverificatie (2FA/TOTP)

De applicatie ondersteunt tweestapsverificatie met TOTP (Time-based One-Time Password):

- **Instellen**: gebruikers kunnen 2FA zelf inschakelen via Instellingen. Er wordt een QR-code getoond die gescand wordt met een authenticator app (Google Authenticator, Authy, etc.)
- **Login flow**: na correct wachtwoord wordt een verificatiecode gevraagd. Sessies zijn "pending" totdat de 2FA-code is geverifieerd.
- **Uitschakelen**: met wachtwoordbevestiging via Instellingen
- **Admin beheer**: de 2FA-status is zichtbaar per gebruiker in het gebruikersbeheer. Een admin kan de 2FA van een gebruiker uitschakelen indien nodig.

### E-mail configuratie

Voor wachtwoord-vergeten functionaliteit en notificaties moet SMTP geconfigureerd zijn:

| Instelling | Beschrijving |
|------------|-------------|
| `smtp_host` | SMTP server adres (bijv. smtp.gmail.com) |
| `smtp_port` | SMTP poort (bijv. 587 voor TLS) |
| `smtp_username` | Gebruikersnaam voor SMTP authenticatie |
| `smtp_password` | Wachtwoord voor SMTP authenticatie |
| `smtp_from_email` | Afzender e-mailadres |
| `smtp_from_name` | Afzender naam |

Test de configuratie met de **Test email** knop op de instellingenpagina. Dit verstuurt een testmail naar het opgegeven adres.

## Multi-company beheer

### Bedrijf aanmaken (Admin → Bedrijven)
- Vul ID en naam in, klik Aanmaken
- Er worden automatisch 12 boekperiodes aangemaakt

### Bedrijf wisselen
- Selecteer het bedrijf in de sidebar dropdown
- Alle pagina's laden data voor het geselecteerde bedrijf
- Niet-admin gebruikers zien alleen bedrijven waar ze toegang toe hebben

### Bedrijf schonen
1. Maak eerst een **database backup** (download knop)
2. Selecteer het bedrijf
3. Dubbele bevestiging vereist
4. Verwijdert alle data: relaties, rekeningen, boekingen, documenten, periodes

### Database backup

#### Handmatige backup
- Klik **Download database backup** op de bedrijven pagina
- Download het volledige SQLite bestand
- Bewaar op een veilige locatie

#### Automatische backup
Configureer automatische backups via **Instellingen**:

| Instelling | Beschrijving |
|------------|-------------|
| `backup_enabled` | Automatische backup aan/uit (true/false) |
| `backup_interval_hours` | Interval in uren tussen backups (bijv. 24) |
| `backup_path` | Map waar backups worden opgeslagen |
| `backup_keep_count` | Aantal backups dat bewaard wordt (oudere worden verwijderd) |

#### Backup-now (API)
Maak direct een backup aan via de API:
```bash
curl -X POST http://localhost:8080/api/v1/settings/backup-now \
  -H "X-Session-Id: <session_id>"
```

Sinds v0.75 zit er een leek-vriendelijke UX op `/backup.html`: één knop
"Maak nu backup", een lijst van eerdere backups (met grootte/datum/icoontje
voor versleuteld) en een **Herstellen**-knop die niet meer een file-locatie
vraagt. De herstel-flow vraagt om dubbele bevestiging.

#### Backup-encryptie

Vul **`backup_encryption_password`** in via Instellingen om backups
AES-256-GCM te versleutelen met een Argon2-KDF. Encrypted backups krijgen
de extensie `.db.enc` en zijn niet zonder wachtwoord te openen. Test je
wachtwoord vóór gebruik in productie — het is niet te recoveren.

#### Backup-restore in scenario (v0.76)

Wil je een oude backup eerst **bekijken** voordat je 'm over je live
administratie heen zet? Maak een scenario-company aan en restore de
backup daarin. Je rondkijken is risico-vrij; verwijder het scenario
als je klaar bent of promoveer het naar de live-administratie.

## Periodeafsluiting

### Periodes beheren
- Ga naar **Periodes**, selecteer het boekjaar
- Maak periodes aan als ze er nog niet zijn
- **Afsluiten**: voorkomt boekingen in die maand (ook met datums in het verleden)
- Sluit periodes in volgorde na het indienen van de BTW-aangifte

### Heropenen
Alleen mogelijk via de database:
```sql
UPDATE fiscal_periods SET status = 'Open'
WHERE company_id = 'default' AND fiscal_year = 2025 AND period_number = 1;
```

## BTW Tariefhistorie

BTW-tarieven veranderen soms (bijv. 6% → 9% laag tarief in 2019).

- Bij het **aanmaken** van een BTW-code vul je het tarief + geldig-vanaf datum in
- Bij een **tariefwijziging**: klik "Tarief wijzigen", vul nieuw tarief en ingangsdatum in
- Het oude tarief krijgt automatisch een einddatum
- De OB-aangifte haalt het juiste tarief op basis van de boekingsdatum

## OB-aangifte rubriek mapping

Op de BTW Codes pagina kun je instellen welke grootboekrekeningen bij welke OB-rubriek horen.
Dit is nodig voor correcte OB-aangifte berekening. De mapping is per bedrijf configureerbaar.

## Bankprofielen

Bankimport CSV-profielen zijn opgeslagen in de database. Bij eerste start worden 9 Nederlandse bankprofielen automatisch aangemaakt. Gebruikers kunnen eigen profielen toevoegen via de API.

Standaard profielen: ING, Rabobank, ABN AMRO, KNAB, SNS, ASN, Triodos, bunq, RegioBank.

## Wisselkoersen & Basisvaluta

- **ECB koersen**: automatisch ophalen van de Europese Centrale Bank (gratis, geen key)
- **Handmatig**: koersen toevoegen voor specifieke datums
- Koersen worden opgeslagen in de database en gebruikt bij boekingen in vreemde valuta
- **Basisvaluta**: configureerbaar via de instelling `default_currency` (standaard: EUR)

## Document opslag

Documenten (bijlagen bij boekingen) kunnen op twee manieren opgeslagen worden. Configureer dit via **Instellingen**:

| Instelling | Beschrijving |
|------------|-------------|
| `document_storage` | Opslagmodus: `database` (standaard) of `filesystem` |
| `document_storage_path` | Map voor bestandsopslag (alleen bij filesystem-modus) |

- **Database modus** (standaard): documenten worden als BLOB opgeslagen in de SQLite database. Voordeel: alles in een bestand, eenvoudige backup.
- **Filesystem modus**: documenten worden opgeslagen in een map op het bestandssysteem. Voordeel: betere prestaties bij veel/grote bestanden, database blijft kleiner.

## Audit Trail

Alle belangrijke acties worden gelogd (Admin → Audit Trail):
- Login/logout
- Document uploads
- Jaarafsluitingen
- Bedrijf schonen
- API key aanmaken
- Gebruiker aanmaken

### Audit trail exporteren
Exporteer de volledige audit trail als CSV-bestand via **Admin → Audit Trail → Exporteren** of via de API:
```bash
curl "http://localhost:8080/api/v1/audit/export?format=csv" \
  -H "X-Session-Id: <session_id>" -o audit_trail.csv
```

## Boekstuk-controle

`/boekstuk-controle.html` (**Beheer → Boekstuk-controle**, MKB-modus) controleert de doorlopende nummering. De pagina spoort gaten op in de boekstuknummers (een gat wijst meestal op een verwijderde boeking) en toont per verkoop-/inkoopdagboek dubbele en ontbrekende factuurnummers.

- **Hiaten in boekstuknummers**: laadt automatisch; toont het bereik, het aantal aanwezig/ontbrekend en per gat een Van/Tot/Aantal-regel, met een link naar de **Audit Trail** om te achterhalen wie de boeking heeft verwijderd.
- **Factuurreferenties**: per boekjaar te controleren; toont dubbele en (voor oplopend genummerde reeksen) ontbrekende factuurnummers per dagboek.

Endpoints: `GET /api/v1/number-control/gaps` en `GET /api/v1/number-control/invoice-refs`.

## Systeem-monitor (v0.80+)

Voor admins is er een aparte pagina **Beheer → Systeem-monitor** (`/monitor.html`)
die real-time toont wat Ledgerix met deze machine doet. Bedoeld voor
on-premises installs waar de admin zelf in de gaten moet houden of het
proces niet te groot wordt of de DB-groei normaal is.

Wat zie je per kaart:

| Kaart | Inhoud |
|-------|--------|
| **Proces** | RSS-werkgeheugen, virtueel geheugen, CPU-belasting, PID, software-versie |
| **Systeem** | Totaal/beschikbaar RAM met balk (geel >75%, rood >90%), # CPU-kernen, OS-naam |
| **Uptime** | Tijd sinds de laatste server-start |
| **Database** | DB-bestand + WAL + SHM + totaal, datum laatste schrijfactie |
| **Laatste backup** | Wanneer, status (geslaagd/mislukt), versleuteld-icoon, grootte, duur |
| **Tabel-grootte** | Rij-aantallen per belangrijke tabel — geeft een idee van de omvang van de administratie |

Auto-refresh elke 30s (uit te zetten met een checkbox).

Backup-stats worden automatisch geschreven door zowel `backup_now` als de
cron-loop (`backup_loop` in `ledgerix-web/main.rs`) naar settings-keys
`monitor.last_backup_at/bytes/duration_ms/status/encrypted`. Geen extra
configuratie nodig.

**Permissie**: `admin.settings` (zelfde als de overige beheer-instellingen).
Niet-admins krijgen 403 zonder pagina-toegang.

Endpoint: `GET /api/v1/monitor/status`.

## Goedkeuringen / approval-workflows (v0.68+)

Configureerbare goedkeuringsstromen voor situaties waar één pak ogen
extra wenselijk is (boekingen boven een bedrag, mutaties op gevoelige
dagboeken, masterdata-wijzigingen).

- **Approval-rules** (`/goedkeuringen.html`) — per regel: type-filter
  (boeking/relatie/dagboek/grootboek), optionele dagboek-restrictie,
  bedrag-grens, lijst van groepen die mogen goedkeuren.
- **Cross-cutting**: de approval-engine dekt **alle** boekings-paden
  (handmatige invoer, batch, import, integratie-drafts, bankimport-
  acceptatie) én stamtabel-mutaties op ledger / relations / journals /
  companies (v0.71+).
- **Notificaties** (v0.73): e-mail bij nieuwe pending request én een
  rode badge in de sidebar op het "Goedkeuringen"-menu-item (live
  bijgewerkt elke 60s via `/approvals/pending-count`).

## Klant-portal (v0.78+)

Voor accountantskantoren: een klant kan in z'n eigen administratie
meekijken zonder de boekhouder-UI te zien. Activeer door een gebruiker
**uitsluitend** in de system-group **Klant** te zetten. De sidebar
schakelt dan automatisch over naar de portal-modus: alleen **Mijn
portal** + **Rapporten** + **Klant-vragen** zichtbaar; geen Boeken,
geen Stamdata, geen Beheer.

Zet de klant samen met een Boekhouder/Admin in dezelfde administratie
en hij ziet alleen wat hij volgens zijn permissies mag.

## Vragen-thread per boeking (v0.79+)

De accountant kan op elke boeking een vraag stellen aan de klant
("waar is de bon van?"). De klant krijgt 'm in z'n portal te zien en
beantwoordt 'm in de thread. Status loopt van *open* → *wacht-op-klant*
→ *beantwoord*. Optionele e-mail-notificaties bij nieuwe replies.

Beheerders zien op **Klant-vragen** een cross-administratie overzicht
met filters op status en mijn-toegewezen vragen.

## Vaste activa-administratie (v0.83+)

Standalone pagina onder **Rapportages → Vaste activa** voor het
register van bedrijfsmiddelen. Per activum CRUD via
`/api/v1/annual-report/fixed-assets/*`. De **auto-boeking** van de
jaarafschrijving (`POST /post-depreciation`) genereert één
memo-boeking met debet/credit-paar per activum dat dit jaar
afschrijft. Idempotent via description-prefix `Afschrijving {jaar}` —
twee keer drukken op de knop produceert geen tweede boeking.

Fallback-rekeningen (overschreven door per-activum settings):

| Setting | Default | Beschrijving |
|---------|---------|--------------|
| `depreciation_expense_account` | `44400` | Kostenrekening voor de afschrijving (W&V) |
| `depreciation_accumulated_account` | `00400` | Contra-actief rekening voor cumulatieve afschrijving (balans) |

## KOR-modus (v0.84+)

Setting + tracker voor de Nederlandse kleineondernemersregeling.
Vereist `admin.settings`-permissie om aan te zetten via
**Instellingen → KOR-modus** of `POST /api/v1/kor/enable`.

| Setting | Default | Beschrijving |
|---------|---------|--------------|
| `kor_enabled` | `false` | Aan/uit-vlag; bepaalt of de YTD-banner verschijnt |
| `kor_start_date` | (leeg) | YYYY-MM-DD vanaf welke datum KOR geldt |
| `kor_threshold` | `20000.00` | Omzet-drempel in euro; configureerbaar voor indexatie |

`GET /api/v1/kor/status` levert YTD-omzet over 8xxx-rekeningen +
percentage-van-drempel + warning-level (`none`/`notice`/`warning`/
`exceeded`). Het dashboard-banner-script (`nav.js#checkKor`) toont
oranje bij ≥80%, rood bij overschrijden. Dismiss-flag per niveau in
localStorage zodat een escalatie warning→exceeded alsnog opnieuw
waarschuwt.

## Bank match-regels (v0.85+)

User-managed regels voor de bankimport-matcher; CRUD via
`/api/v1/bank/match-rules/*` (permissie `bank.import`). Per regel:
conditie-velden (IBAN-pattern, naam-pattern, omschrijving-pattern,
amount-range, direction) en actie-velden (target-account, optionele
relation + BTW-code + confidence-override).

Volgorde in de matcher: **(0) user-rules → (1) IBAN-match →
(2) naam-match → (3) learned patterns → (4) fallback default-rekening**.
User-rules krijgen default confidence 0.95 zodat ze in de drafts-view
als "groen" verschijnen.

Migratie 057 voegt tabel `bank_match_rules` toe + index
`idx_bank_match_rules_company(company_id, enabled, priority)` voor
snelle lookup.

## Peppol / NLCIUS inkomende e-facturen (v0.86+, MVP)

Standalone pagina `/peppol.html` waar gebruikers UBL 2.1- of
NLCIUS-XML-bestanden van leveranciers kunnen uploaden.
Endpoint: `POST /api/v1/peppol/upload` (multipart, max 1 MB,
permissie `mailbox.read`, rate-limited via `HeavyOpRateLimiter`).

Parser in `ledgerix-import-export::peppol` is tolerant voor
namespace-prefix variatie (`cbc:`, `cac:`, eigen). Extracts
factuurnummer, datums, leverancier (naam + BTW-id + KvK),
totalen, regels met BTW%. Relatie-lookup op BTW-id (sterk
signaal) of exacte naam (case-insensitive).

Fallback-rekeningen voor het concept-boekingvoorstel:

| Setting | Default | Beschrijving |
|---------|---------|--------------|
| `default_debit_account` | `44999` | Kostenrekening voor inkoop-regels |
| `default_vat_input_account` | `15030` | Voorbelasting (BTW) rekening |
| `default_creditor_account` | `16000` | Crediteurenrekening |

Bewuste keuze: niets wordt automatisch geboekt — de gebruiker reviewt
het voorstel eerst via de "Open in Boekingen"-knop. Peppol is in
2026/2027 te jong voor blind vertrouwen.

## Monitoring & Logging

### Logbestanden
- **Development**: stdout (console)
- **Release/Installer**: `ledgerix.log` in de data directory
- Niveau: `RUST_LOG=info` (standaard), `debug` of `trace` voor meer detail

### DB-integrity-cron (v0.40.11)

Eén keer per 24 uur (eerste 5 min na server-start) draait een achtergrond-task die per company de balans-check uitvoert:

- Berekening: `SUM(amount WHERE debit_credit='Debit') - SUM(amount WHERE debit_credit='Credit')` over alle `transaction_lines`. Een gezonde administratie staat exact op 0.
- Resultaat persist in de `settings`-tabel onder `integrity_last_check` (ISO timestamp) en `integrity_off_amount` (Decimal als string).
- Bij imbalance: `tracing::warn!`-regel in het log + een **rode banner** bovenaan elke pagina (`nav.js#checkIntegrity`) met link naar de proefbalans en een Verberg-knop.

Endpoints:
- `GET /api/v1/integrity/status?company_id=X` → huidige status
- `POST /api/v1/integrity/check-now?company_id=X` → handmatige trigger (admin only). Handig na een groot import-pad om direct bevestiging te krijgen dat alles in balans is.

Dit vangt typisch data-corruptie of misgelopen handmatige SQL-edits vroeg.

### Wekelijkse e-mail-samenvatting (v0.46.0)

Een opt-in cron-task die elke week een kort overzicht naar de
accountant stuurt zodat hij niet hoeft in te loggen om "alles bij?"
te checken.

- Inhoud: # boekingen + totaal-debet over de afgelopen Mon-Sun,
  # bonnen via de mailbox ontvangen + # wachtend op verwerking,
  P&L-resultaat (omzet, kosten, netto) over die week.
- Verzending: elk uur draait de cron (`weekly_summary_loop` in
  `ledgerix-web/main.rs`) en checkt of vandaag de geconfigureerde
  dag is en of er in de afgelopen 23 uur niet al verstuurd is
  (anti-dubbel via setting `weekly_summary_last_sent_at` —
  voorkomt dubbele mail na een server-restart).
- Activeren: zet `weekly_summary_enabled=true` in Instellingen →
  E-mail. Standaard ontvanger valt terug op `accountant_email` als
  `weekly_summary_recipient` leeg is.
- **Vooraf testen**: Instellingen → E-mail heeft een knop
  "Voorbeeld weekoverzicht versturen" zodat je de mail visueel
  kunt checken vóór activering. Vereist alleen geconfigureerde
  SMTP — niet de toggle.
- Endpoint: `POST /api/v1/email/send-weekly-summary` met optionele
  body `{ "to": "..." }` om naar een ander adres te sturen
  (admin-only).

### Configuratie
Via `config.env` (aangemaakt door installer) of environment variabelen:

| Variabele | Standaard | Beschrijving |
|-----------|-----------|-------------|
| `PORT` | `8080` | HTTP poort |
| `DATABASE_URL` | `sqlite:./data/ledgerix.db` | Database pad |
| `STATIC_DIR` | auto-detect | Map met HTML/CSS/JS |
| `ADMIN_PASSWORD` | _(leeg)_ | Optioneel initieel admin-wachtwoord. Leeg = setup-wizard bij eerste login maakt het account aan. |
| `RUST_LOG` | `info` | Log niveau |

### Applicatie-instellingen (Admin → Instellingen)

Naast de omgevingsvariabelen zijn er instellingen die via de webinterface beheerd worden:

| Instelling | Standaard | Beschrijving |
|------------|-----------|-------------|
| `default_currency` | `EUR` | Basisvaluta voor de administratie |
| `default_debit_account` | *(leeg)* | Standaard debetrekening bij nieuwe boekingen |
| `default_credit_account` | *(leeg)* | Standaard creditrekening bij nieuwe boekingen |
| `backup_enabled` | `false` | Automatische backup aan/uit |
| `backup_interval_hours` | `24` | Interval in uren tussen automatische backups |
| `backup_path` | *(leeg)* | Map waar backups worden opgeslagen |
| `backup_keep_count` | `5` | Aantal backups dat bewaard wordt |
| `document_storage` | `database` | Documentopslag: `database` of `filesystem` |
| `document_storage_path` | *(leeg)* | Map voor bestandsopslag (bij filesystem-modus) |
| `fiscal_year_start_month` | `1` | Startmaand van het boekjaar (1-12) |
| `smtp_host` | *(leeg)* | SMTP server adres |
| `smtp_port` | `587` | SMTP poort |
| `smtp_username` | *(leeg)* | SMTP gebruikersnaam |
| `smtp_password` | *(leeg)* | SMTP wachtwoord |
| `smtp_from_email` | *(leeg)* | Afzender e-mailadres |
| `smtp_from_name` | *(leeg)* | Afzender naam |
| `ocr_engine` | `auto` | OCR-engine voor scanned bonnetjes: `auto` (ocrix met fallback naar Tesseract), `ocrix`, of `tesseract` |
| `ocrix_service_url` | `http://127.0.0.1:8081` | Endpoint van de bundeled ocrix-service (gebruikt door auto + ocrix) |
| `account_suggestions_enabled` | `true` | OCR/booking-flow toont geleerde account+BTW-suggesties; uit zetten als gebruikers de voorstellen storend vinden (v0.39.0) |
| `kvk_api_key` | *(leeg)* | API-key voor het KvK Handelsregister; leeg = "Ophalen via KvK"-knop op /relaties.html uitgeschakeld |
| `mailbox_enabled` | `false` | IMAP-poller (achtergrond-cron) aan/uit. **Niet** vereist voor de "Test connection"- en "Poll now"-knoppen — die werken zodra de credentials zijn ingevuld zodat je kunt verifiëren voordat je de cron activeert |
| `mailbox_imap_host/port/username/password/folder` | *(leeg/993/INBOX)* | IMAP-credentials. Alleen direct-TLS wordt ondersteund (typisch poort 993); STARTTLS op poort 143 niet |
| `mailbox_poll_interval_minutes` | `15` | Minuten tussen automatische pollings |
| `weekly_summary_enabled` | `false` | Stuurt elke week een korte samenvatting naar de accountant: # boekingen + totaal-debet, mailbox-bonnen ontvangen + nog wachtend, P&L-resultaat over de week (v0.46.0) |
| `weekly_summary_recipient` | *(leeg)* | E-mailadres voor de wekelijkse samenvatting; leeg → val terug op `accountant_email` |
| `weekly_summary_day` | `monday` | Verzenddag (`monday` t/m `sunday`); cron-loop draait elk uur en stuurt op de geconfigureerde dag, idempotent via `weekly_summary_last_sent_at` |
| `auto_lock_enabled` | `false` | Browser-sessie auto-locken na inactiviteit (v0.40.11) |
| `auto_lock_minutes` | `30` | Minuten inactiviteit tot auto-lock (5..240) |
| `easy_vat_url` | `https://www.belastingdienst.nl/wps/wcm/connect/nl/ondernemers/content/inloggen-voor-ondernemers` | URL voor de "Open Belastingdienst"-knop in /eenvoudig-btw.html — wijzig wanneer de Belastingdienst hun portaal verhuist (v0.40.12) |
| `ui_density` | `comfortable` | Schermdichtheid: `comfortable` (default, touch-vriendelijk) of `compact` (desktop-modus, denser tabellen, op breedscherm 3-koloms form-rows) (v0.41.0) |
| `integrity_last_check` | *(auto)* | ISO-timestamp van de laatste DB-integrity check (v0.40.11, niet handmatig wijzigen) |
| `integrity_off_amount` | `0` | Verschil debet-credit over alle transactieregels van deze company (v0.40.11, niet handmatig wijzigen) |

### Instellingen UI

De instellingenpagina is geherstructureerd met:
- **Inklapbare groepen**: instellingen zijn gegroepeerd per categorie (Algemeen, Backup, Documenten, E-mail, Beveiliging)
- **Juiste veldtypes**: dropdowns voor valuta/land/dagboeken/rekeningen, toggles voor aan/uit, number velden met min/max, password velden voor gevoelige data
- Alle labels en hints zijn vertaalbaar (NL/EN)

## Sessie cleanup

Verlopen sessies worden automatisch opgeruimd door een achtergrondtaak die elk uur draait. Sessies verlopen standaard na 24 uur (configureerbaar). Dit voorkomt ophoping van sessiedata in de database.

## Database indexen

De volgende indexen zijn aangemaakt voor betere query performance:
- Relaties: index op naam (zoeken)
- Transacties: index op datum, boekjaar, dagboek
- Sessies: index op verlooptijd (cleanup)
- Wisselkoersen: index op valutapaar + datum

Deze indexen worden automatisch aangemaakt bij migratie en verbeteren de responstijd bij grotere administraties.

## Margeregeling (margin scheme)

Bijzondere BTW-regeling voor handelaren in tweedehands goederen. Moet expliciet ingeschakeld worden.

### Instellingen

| Instelling | Default | Omschrijving |
|-----------|---------|--------------|
| `margin_scheme_enabled` | `false` | Schakelt de margeregeling aan voor deze administratie |
| `margin_scheme_method` | `per_article` | `per_article` (per artikel) of `globalization` (per tijdvak) |
| `margin_purchase_account` | `30100` | Grootboekrekening voor inkoop margegoederen |
| `margin_sales_account` | `80000` | Grootboekrekening voor verkoop margegoederen |
| `margin_stock_account` | `30000` | Voorraadrekening margegoederen (balans) |
| `margin_vat_account` | `15030` | Rekening voor BTW over de marge |

### Datamodel

- **`margin_goods`** tabel — elke artikel met inkoop-/verkoopgegevens, status (`in_stock` / `sold` / `written_off`) en categorie
- **`margin_period_totals`** tabel — geaggregeerde totalen per tijdvak voor globalisatie-methode
- Beide tabellen zijn aangemaakt via migratie 013

### BTW over marge

De formule: `margin_vat = margin − (margin / 1.21)` waarbij `margin = sale_price − purchase_price`.

Bij **negatieve marge** (verkocht onder inkoopprijs) wordt `margin_vat = 0` — er is geen BTW verschuldigd.

### Aansluiting OB-aangifte

- **Rubriek 1e** (0% of niet bij u belast) — ontvangt de marge-omzet
- **Rubriek 5a** (verschuldigde BTW) — ontvangt extra BTW over de marge

Het `VatReturn` model heeft hiervoor de velden `margin_revenue` en `margin_vat`.

### Auto-boekingen

Bij `auto_book=true`:

- **Inkoop**: debet voorraadrekening, credit betalingsrekening
- **Verkoop**: debet bank/debiteuren (volledig bedrag), credit verkooprekening (excl. marge-BTW), credit BTW-marge rekening, credit voorraad, debet kostprijs verkopen

De gebruiker kan boekingen ook handmatig doen door `auto_book=false` te zetten.

## Disaster Recovery

### Database corrupt
1. Stop de applicatie
2. Herstel vanuit backup: kopieer het .db bestand
3. Start de applicatie

### Server defect
1. Installeer op nieuwe server (of draai installer)
2. Kopieer de database backup
3. Start de applicatie

### Per ongeluk data verwijderd
Herstel vanuit een backup. Boekingen na de backup-datum moeten opnieuw ingevoerd worden.

## Beveiliging checklist (productie)

- [ ] Standaard admin-wachtwoord gewijzigd
- [ ] HTTPS geconfigureerd (via reverse proxy)
- [ ] Firewall: alleen HTTPS poort open
- [ ] Database niet via web bereikbaar
- [ ] Regelmatige backups ingeschakeld (automatisch of handmatig)
- [ ] Logging ingeschakeld
- [ ] Ongebruikte gebruikers gedeactiveerd
- [ ] API keys ingetrokken als niet meer nodig
- [ ] Rate limiting actief (standaard ingeschakeld: 5 pogingen/15 min)
- [ ] Security headers worden meegestuurd (standaard ingeschakeld)
- [ ] 2FA ingeschakeld voor admin-accounts
- [ ] SMTP geconfigureerd voor wachtwoord-reset functionaliteit
- [ ] E-mailadressen ingesteld bij gebruikers
- [ ] Updates volgen — nieuwe Ledgerix-releases nemen vaak ook
      dependency-bumps mee voor RustSec-advisories (bv. v0.46.2
      bumpte rustls-webpki om 3 CVE's te dichten). De ingebouwde
      update-check kan onder Instellingen → Updates geactiveerd
      worden zodat je een melding ziet in de UI.

## Backups en restore

Ledgerix heeft een eigen pagina `/backup.html` met een leek-vriendelijke restore-flow. Daarnaast blijft Instellingen → Database-beheer voor de geavanceerde knoppen (upload eigen `.db`/`.enc`, live snapshot, encryptie-wachtwoord instellen).

**Automatische backups**:

- `backup_enabled` setting → cron loop in `main.rs::backup_loop` start.
- `backup_interval_hours` → standaard 24, kan zo laag als 1.
- `backup_path` → default `{db_parent}/backups/`. Configurable absoluut pad voor NAS / extern volume.
- `backup_keep_count` → default 7. Oudste worden cleanup'd na elke run.
- `backup_encryption_password` → wanneer gevuld, worden backups als `.db.enc` opgeslagen met AES-256-GCM (Argon2-KDF). Magic header `BKHBAK01` voor auto-detect bij restore.

**Bestandsnaming**: `ledgerix_YYYY-MM-DD_HH-MM.db` of `.db.enc`. Cleanup-logica telt beide types mee voor de `keep_count`-limiet.

**Restore-flow** (v0.75+):

1. Open `/backup.html` — lijst van laatste 30 dagen (filter naar 7/90/alle).
2. Klik "Bekijken & herstellen" → modal toont per tabel een diff (boekingen, regels, rekeningen, relaties, journaals, BTW-codes, periodes, gebruikers, goedkeurings-regels en -verzoeken) tegen de huidige DB plus totaal-debet per fiscaal jaar.
3. Bij **rijenverlies** (er staan rijen IN current die NIET in de backup zitten): verplichte "Ik begrijp"-checkbox vóór de Bevestig-knop activeerbaar wordt. Bij geen verlies: knop direct beschikbaar.
4. Encrypted backup: inline password-veld in dezelfde modal.
5. Bevestig → backup wordt naar `pending_restore.db` geschreven naast de live DB. **Swap gebeurt bij de eerstvolgende start van de applicatie** — de modal biedt aan om direct te herstarten via `/api/v1/settings/restart`.

**Restore-in-scenario** (v0.76+): in plaats van bevestigen kun je "📂 Open in scenario" klikken. Backup wordt geïmporteerd als schaduw-bedrijf (`is_scenario=1`) zonder de live DB te raken — handig om eerst te bekijken wat er in zit, en pas daarna te besluiten. Onder de motorkap: gedecrypte backup naar temp-file, ATTACH op een live-DB connectie, INSERT INTO main.X SELECT cols-met-rebrand FROM bak.X WHERE company_id=? per 15 tenant-tabellen.

**Disaster recovery**: zie de aparte sectie *Disaster Recovery* hieronder voor de volledige procedure inclusief encrypted-recovery zonder de UI (via `sqlite3` + decryption-script).

## Integriteits-check

Ledgerix doet periodiek (en op verzoek) een balans-check: voor elke transactie wordt SUM(debet) vs SUM(credit) vergeleken. Een afwijking groter dan €0,01 (afronding-grens) wordt als imbalance gevlagd.

**Geen aparte pagina, wél een banner**: er is géén `integriteit.html`-pagina. De integriteits-check is een achtergrond-cron plus een **rode banner** die `nav.js` (`checkIntegrity`) bovenaan elke pagina toont zodra de administratie niet in balans is (`GET /api/v1/integrity/status` geeft `balanced: false`). De banner linkt naar de proefbalans en heeft een Verberg-knop. Een handmatige scan trigger je via het `check-now`-endpoint hieronder (admin-only), bijvoorbeeld direct na een grote import.

**Endpoints**:

- `GET /api/v1/integrity/status` — `last_check` + `off_amount` (uit settings cached).
- `POST /api/v1/integrity/check-now` — heavy-op rate-limited, triggert scan.

**Settings**:

- `integrity_last_check` — ISO 8601 timestamp van laatste scan.
- `integrity_off_amount` — laatste afwijking in basisvaluta.

**Wanneer faalt het**: bij directe DB-mutaties die niet via Ledgerix gaan (bv. handmatige `sqlite3`-update of een mislukte migratie). De banner bovenaan elke pagina (via `nav.js`) waarschuwt zichtbaar zodra `off_amount > 0`.

**Wat te doen bij imbalance**: download de huidige DB als backup, open in `sqlite3`, run `SELECT transaction_id, SUM(CAST(amount AS REAL)) FROM transaction_lines GROUP BY transaction_id HAVING ABS(SUM(...)) > 0.01;` om de specifieke transacties te vinden. Fix per transactie via een MEMO-correctie of corrigeer direct in de tabel (laatste alleen met DB-backup ernaast).

## Gebruikers en groepen

(uitbreiding op de bestaande sectie hierboven onder *Gebruikersbeheer*.)

Sinds v0.72.0 is de oude `users.role`-kolom volledig vervangen door **groepen** (zie ook v0.69.0 voor de RBAC-foundation). Vier system-groups worden per company geseed:

- **Admin** — alle permissions (`admin.users`, `admin.api_keys`, `admin.settings`, `admin.companies`, `admin.audit`, `admin.groups` plus alle booking/report/integration permissies).
- **Boekhouder** — booking + report + relations + ledger + journal, maar geen admin.*.
- **Readonly** — alleen `*.view`/`*.export` permissies. Auth-middleware blokkeert POST/PUT/DELETE als de user uitsluitend in deze groep zit.
- **Api** — beperkte set voor machine-to-machine (zie *API-keys* hieronder).

**Custom groepen** kan een Admin aanmaken via Gebruikers → Groep beheren. Permissies aan- of uitvinken uit de hardcoded `ALL_PERMISSIONS`-catalogus.

**Migratie van vóór v0.72.0**: migration 053 mapt automatisch oude `users.role`-waarden naar de bijbehorende system-group (Admin → Admin-group, etc.) en verwijdert daarna de role-kolom uit `approval_rules` en `approval_requests`. De `users.role`-kolom zelf blijft staan met legacy waarden (de table-rebuild in de eerste v0.72-release crashte op productie-DBs; sinds v0.72.1 wordt 'em alleen niet meer gelezen).

**Last-admin guard**: je kunt de laatste actieve user in een Admin-groep niet deactiveren of uit de groep halen — anders sluit je jezelf buiten. Server geeft `error.auth.last_admin` terug.

## Bedrijven-pagina

(uitbreiding op de bestaande sectie hierboven onder *Multi-company beheer*.)

Naast de configuratie per bedrijf (BTW-nr, KvK, adres, valuta, locale) doet `/bedrijven.html` per bedrijf:

- **Aanmaken / verwijderen** — alleen voor users met `admin.companies` permission. Sinds v0.70.0 explicit beschermd; in v0.69 was company-create een security-gat (geen check).
- **Per-user toegang** — koppel users aan bepaalde companies via Gebruikers → Bedrijven. Een user zonder `user_companies`-rijen ziet alle bedrijven (default voor Admin); een user met expliciete koppeling ziet alleen die set.
- **Standaard-bedrijf wisselen** — de bedrijfskiezer linksboven in de sidebar zet `localStorage.defaultCompany`; vervolgens passeren alle `/api/v1/...?company_id=…` calls automatisch die waarde.
- **Tenant-isolatie** — migration 025 plaatst BEFORE INSERT-triggers op alle tenant-tabellen die de FK naar `companies` afdwingen. Plus elke endpoint voegt expliciet `WHERE company_id = ?` toe aan SELECTs (verantwoordelijkheid van de caller, niet de DB).

**Scenarios** zijn ook companies (met `is_scenario=1` + `parent_company_id`). Ze verschijnen NIET in de standaard `/api/v1/companies`-lijst — daarvoor is `/api/v1/scenarios` voor dezelfde parent.

## API-keys

`/api-keys.html` beheert machine-to-machine credentials. Vereist `admin.api_keys` permission.

**Aanmaken**:

1. Klik "Nieuwe API-key" → modal met naam (beschrijving) en company-keuze.
2. Server genereert een random 48-char hex string (`lk_` prefix), hashed via Argon2.
3. **Plaintext wordt één keer getoond** — kopieer 'm direct naar je vault. Server bewaart alleen de hash + de eerste 8 chars als prefix-index.

**Gebruik**: stuur als `Authorization: Bearer <key>` of via `X-API-Key`-header. Auth-middleware in `lib.rs::auth_middleware` doet O(1) lookup via prefix-index, dan Argon2-verify.

**Permissies**: API-keys erven de permissies van de user waaraan ze gekoppeld zijn. Een API-key voor een user die uitsluitend in Readonly-groep zit kan dus alleen lezen — auth-middleware blokkeert writes.

**Revoke**: in de lijst de actie "Intrekken" → key wordt op `active=0` gezet. Onmiddellijk effect (geen sessie-cache).

**Rotatie**: best practice elke 6-12 maanden. Maak een nieuwe aan, update je integratie, trek de oude in. Geen automatische rotatie ingebouwd.

## OAuth-providers

`/oauth-providers.html` configureert externe OAuth-providers voor SSO-login (Google, GitHub, Microsoft, generic OIDC). Vereist `admin.api_keys` permission (zelfde policy als de bestaande API-key-functies).

Per provider:

- **Client ID + Client Secret** — uit het OAuth-app-portal van de provider.
- **Authorization endpoint + Token endpoint + Userinfo endpoint** — voor generic OIDC; bekende providers hebben een preset.
- **Redirect URI** — kopieer naar het provider-portal: `https://<jouw-host>/api/v1/oauth/callback/<provider_id>`.

Na configuratie verschijnt op de loginpagina een knop "Inloggen met X". Bij eerste login matched Ledgerix het e-mailadres uit de OAuth-userinfo tegen bestaande users; geen match → 401 (geen auto-create). Maak eerst handmatig een user aan met dat e-mailadres.

**Beveiliging**: state-parameter wordt server-side gegenereerd en in een korte-leef HttpOnly-cookie opgeslagen voor CSRF-bescherming. PKCE wordt gebruikt voor providers die het ondersteunen.

## Instellingen-beheer

`/instellingen.html` is een dynamisch gerenderd config-paneel — alle keys uit de `settings`-tabel verschijnen gegroepeerd: Algemeen, Valuta & Regio, Beveiliging & Sessies, E-mail (SMTP), Goedkeuringen, Community, Backup, Updates, etc.

**Per-key UI-types**: `toggle` (boolean), `select` met opties, `number` met min/max + suffix, `password` (masked), `email`, `url`, `text` (default). Het type bepaalt of het veld een dropdown, checkbox, etc. wordt.

**Per-company scoping**: settings hebben een `company_id`-kolom. Default-company "default" is de fallback — een setting die NIET expliciet voor de huidige company is gezet, valt automatisch terug op de default-waarde. Sommige settings zijn alleen voor "default" zinvol (SMTP, backup_*); de UI verbergt company-context dan.

**Validatie**: numerieke velden krijgen client-side min/max. Server doet bij `POST /api/v1/settings` GEEN type-validatie — kwestie van de UI-component. Pas op met handmatige API-calls of CSV-import van settings: een ongeldige waarde (bv. negatieve `backup_interval_hours`) kan een cron-loop laten crashen.

**Bekend instelbare keys**: zie `seed_settings()` in `crates/ledgerix-storage-sqlite/src/lib.rs` voor de volledige geseede lijst met defaults + omschrijvingen.

**Reset naar default**: er is geen "reset" knop — verwijder de rij uit de settings-tabel om de default uit `seed_settings()` weer actief te maken bij de volgende startup.

## Licentiebeheer

Ledgerix is een commercieel product met een **offline-first** licentie: de key wordt lokaal gevalideerd met een in de binary ingebakken Ed25519 public-key, zonder internetverbinding. Beheer gebeurt op de kaart **Instellingen → Licentie** (anchor `#license`).

**Tiers**:

| Tier | Gebruikers / administraties | Inhoud |
|------|------------------------------|--------|
| **ZZP** | 1 / 1 | Kernboekhouding |
| **MKB** | 5 / 3 | + pro-features (batch, sjablonen, budget, integraties, …) |
| **Accountant** | onbeperkt / onbeperkt | + alle huidige én toekomstige features |

**Trial**: bij eerste boot is er 30 dagen volledige toegang. De banner bovenaan (via `nav.js`) telt af.

**Activeren**: plak de key (formaat `LXLIC-…`) in het veld **Licentie-key** en klik **Activeren** (`POST /api/v1/license/activate`). De statusbox toont daarna de status, het plan en de vervaldatum, en de trial-/verlopen-banner verdwijnt direct.

**Deactiveren**: de knop **Deactiveren** (`POST /api/v1/license/deactivate`, met bevestiging) verwijdert de key weer.

**Status**: `GET /api/v1/license/status` levert `status` (`trial` / `active` / `expired` / `missing` / `invalid`), `plan`, `days_left` en `expires_at`. Dit endpoint is publiek zodat de banner ook op de loginpagina werkt.

**Feature-gating**: de tier bepaalt welke features beschikbaar zijn. Server-side (`require_feature`) wordt afgedwongen dat bv. een ZZP-licentie geen MKB-features kan gebruiken; de zijbalk verbergt dezelfde items in de UI (`nav.js` filtert menu-items met een `feature`-veld). **Boekhouding wordt nooit hard geblokkeerd** op licentie-status: een boekjaar afsluiten moet altijd kunnen, ook bij een verlopen of ontbrekende key. Een ingetrokken key blijft offline-first geldig tot de vervaldatum.

## Integraties (PSD2, payroll, webshops)

`/integraties.html` is het beheer-punt voor externe koppelingen (v0.55+). De te bevestigen binnenkomende betalingen staan op de aparte pagina `/integratie-drafts.html`. De catalog is hardcoded in `crates/ledgerix-api/src/integrations/`; per provider staat er een Rust-module met OAuth/credential-flow, een sync-loop en mapping naar Ledgerix-entities.

**Categorieën**:

- **PSD2** — bank-feed-aggregators (Yapily, Ponto, Tink). Authoriseren via het provider-portal → Ledgerix haalt elke 4u (default) afschriften op en plakt ze in de bank-staging-tabel.
- **Payroll** — Loket, NMBRS, Employes (provider-specifieke API). Maandelijkse loonjournaal-import.
- **Webshops** — WooCommerce, Stripe, Mollie. Order/payment-sync naar verkoop-dagboek of bank-tegenrekening.
- **Boekhoudkoppeling** — Twinfield (export naar accountant), Exact.

**Per-integratie**:

- *Activeer* — kies provider, vul credentials (OAuth-redirect of API-key).
- *Test* — knop "Testverbinding" probeert één API-call; toont fout-detail als 't faalt.
- *Sync* — handmatig of via cron-interval. Status zichtbaar in de lijst (laatste sync, aantal opgehaalde items, eventuele fouten).
- *Deactiveer* — credentials blijven bewaard, sync-loop stopt. Re-activeer zonder opnieuw te authoriseren.

**Coming-soon providers** worden grijs getoond met een banner "binnenkort beschikbaar"; activeren is geblokkeerd via server-side check.

**Audit**: elke succesvolle sync schrijft een rij in `audit_log` met provider, item-count en duur. Failure-events logt 't met error-message; bij 3+ opeenvolgende fouten verschijnt een banner in de UI.