Multitenant con la marca del cliente encima

Cuando una organización entra a la plataforma, ve su nombre, su logo, su favicon y sus colores. No ve los nuestros, y no ve los de nadie más. Eso es lo que se entiende por multitenant desde afuera, y es la mitad menos interesante del asunto.

La mitad que importa es dónde se traza el límite: qué parte de la interfaz puede cambiar cada organización y qué parte no puede tocar por diseño.

Dos capas, y la de abajo no se negocia

La capa de abajo es el esqueleto de la plataforma: la tipografía, los radios y las formas, los componentes y —esto es lo importante— los colores con que el producto avisa. Nada de eso se configura por cliente: es igual en todas las instalaciones.

La capa de arriba es lo que cada organización configura: nombre visible, logo, favicon, color primario, color de acento y una descripción breve para la pantalla de entrada. Nada más. No es una lista corta por pereza: es corta porque cada cosa que se agrega es una cosa que puede quedar ilegible en la instalación de alguien.

Cuando se arma el tema de una sesión, el color del cliente reemplaza dos escalas de color: la de marca y la de acento. Si el valor viene vacío o no es un color válido, no reemplaza nada y queda el tema base. Es la clase de decisión aburrida que se agradece un miércoles a las tres de la tarde: un dato mal cargado degrada a lo seguro en vez de dejar una pantalla rota.

Hasta dónde llega el color del cliente

Acá conviene ser preciso, porque la versión cómoda —«tu color no toca nada importante»— no es cierta, y en un producto regulado una comodidad así se paga.

Todo lo que en el producto se pinta con esas dos escalas queda teñido, y ahí hay más de lo que uno diría de memoria. El primario pinta los botones y las pestañas, y también la barra del cupo del período mientras el consumo va dentro del tope: ese es un nivel de cumplimiento pintado con el color de la organización. El de acento pinta los rótulos de las secciones. Nada de eso es un accidente, pero tampoco es «el color del cliente se queda en el logo».

Lo que el color no alcanza es justamente lo que hay que poder leer. El rojo, el amarillo y el verde con que el producto avisa no salen de esas dos escalas: están escritos por su nombre en la capa de plataforma, y no hay branding que los reemplace. Un vencimiento se ve rojo en todas las instalaciones, aunque el color corporativo de la organización sea de un rojo muy parecido —o de un verde muy parecido.

Dicho corto: el color del cliente puede pintar el estado tranquilo; nunca el que avisa.

Y conviene ser preciso también en la otra dirección, porque es fácil prometer de más. No calculamos contraste. No hay en el producto ningún cálculo que mida el color que cargaste y lo corrija para garantizar un mínimo de legibilidad. Decirlo sería más vendedor y sería falso.

Lo que hacemos es más modesto y más confiable: poner un límite fijo a dónde entra tu color, y dejar fuera de ese límite las señales que te van a hacer actuar. No hay nada que corregir porque, del otro lado del límite, no hay nada que se pueda romper. Es una garantía por construcción, no por cálculo, y esa distinción es justamente la que un equipo técnico que evalúa comprar merece que le expliquen.

El branding es la parte visible del multitenant. La parte que importa es que ninguna elección del cliente le abra una organización que no es suya.

La otra mitad: de quién son los datos de esta petición

Pintar bien es lo fácil. Lo difícil de un multitenant es que nunca, en ninguna petición, los datos de una organización lleguen a otra.

Ahí no hay concesiones a la comodidad. La organización de la sesión la resuelve el servidor, en cada petición, a partir del dominio por el que se entró y de la identidad de quien entró.

Conviene ser exacto, porque «el cliente no manda nada» suena mejor y no sería cierto. Una petición sí puede traer una organización en una cabecera: es la forma de desambiguar a alguien que pertenece a más de una. La garantía no está en que ese dato no viaje, sino en qué se hace con él — se trata como una preferencia, no como una credencial: el servidor lo contrasta contra las membresías de quien llama y, si no está entre las suyas, rechaza la petición. Nunca se usa para ir a buscar los datos que nombra. Escribir ahí el identificador de otra organización no abre nada; devuelve un no autorizado.

Y sobre un dominio que no está reclamado por ninguna organización no se abre sesión de club. Es un corte limpio: preferimos una puerta cerrada a una sesión ambigua que después haya que explicar.

Por qué esto le importa a quien compra

Si estás evaluando software para una operación regulada, las dos preguntas que valen son cuánto se puede parecer a ti y cuánto puede fallar por eso. Nuestra respuesta es que se puede parecer bastante —nombre, logo, favicon y dos colores— y que el margen de falla es acotado a propósito, porque las decisiones que afectan la legibilidad de una advertencia y el aislamiento de tus datos no están entre las que se configuran.

Es menos flexible de lo que a veces nos piden. Es, también, la razón por la que podemos decir con cara seria que un branding mal elegido no va a volver invisible un aviso.