{"title":"Multi-tenancy & isolatie","slug":"multi-tenancy","category":"concepts","summary":"Hoe Synapse data isoleert tussen gebruikers en minds — uitleg van beveiligingsgrenzen.","audience":["human","llm"],"tags":["concept","multi-tenancy","security","isolation"],"difficulty":"intermediate","updated":"2026-06-27","word_count":504,"read_minutes":3,"lang":"nl","translated":true,"requested_lang":"nl","content_markdown":"\n# Multi-tenancy & isolatie\n\nSynapse is multi-tenant: meerdere gebruikers, elk met meerdere minds, volledig\ngeïsoleerd van elkaar. Deze pagina legt het isolatiemodel uit.\n\n## Tenant-hiërarchie\n\n```\nSynapse Instance\n │\n ├── User Account 1 (email: alice@example.com)\n │ ├── Mind A (Mind Key mk_aaa...)\n │ │ ├── Memories (only accessible via mk_aaa...)\n │ │ ├── Tasks\n │ │ └── Chat\n │ └── Mind B (Mind Key mk_bbb...)\n │ └── ... (isolated from Mind A)\n │\n ├── User Account 2 (email: bob@example.com)\n │ └── Mind C (Mind Key mk_ccc...)\n │ └── ... (isolated from Alice's minds)\n │\n └── ... (more users)\n```\n\n## Isolatieniveaus\n\n### Niveau 1: Gebruikersisolatie\n\nElk gebruikersaccount is geïsoleerd. Alice kan niet:\n\n- Bobs minds zien\n- Bobs herinneringen benaderen (zelfs met haar JWT)\n- Bobs accountinformatie tonen\n\nAfgedwongen door: `user_id`-kolom op alle tabellen, JWT bevat `user_id`, alle\nquery's filteren op `user_id`.\n\n### Niveau 2: Mind-isolatie\n\nBinnen een gebruiker is elke mind geïsoleerd. Mind A kan niet:\n\n- Mind B's herinneringen zien\n- Mind B's taken, chat of scripts benaderen\n\nAfgedwongen door: `mind_id`-kolom op alle datatabellen, Mind Key bevat `mind_id`,\nalle query's filteren op `mind_id`.\n\n> [!CRITICAL]\n> Mind Key-isolatie is de primaire beveiligingsgrens. Een gelekte Mind Key\n> verleent volledige toegang tot die mind's data — maar ALLÉÉN die mind.\n\n## Authenticatie-tokens\n\n| Token | Bereik | Wat het kan benaderen |\n|-------|--------|-----------------------|\n| Mind Key | Eén mind | Alleen die mind's data |\n| JWT | Gebruikersaccount | Accountbeheer (minds aanmaken/tonen/verwijderen) |\n| Computer Token | Eén computer | Die computer's commando's |\n\n## Cross-mind-toegang\n\n### Binnen dezelfde gebruiker\n\nGebruikers kunnen al hun minds benaderen via JWT (bijv. `GET /minds` toont allemaal).\nMaar om memory-data te lezen/schrijven, hebben ze de specifieke Mind Key nodig.\n\n### Tussen gebruikers\n\nGebruikers kunnen elkaars data niet benaderen — TENZIJ ze expliciet een mind delen\nvia de Sharing-API:\n\n```bash\n# Alice shares Mind A with Bob\ncurl -X POST https://synapse.schaefer.zone/sharing \\\n -H \"Authorization: Bearer ALICE_JWT\" \\\n -d '{\"mind_id\": \"m_aaa\", \"email\": \"bob@example.com\", \"role\": \"read\"}'\n```\n\nNa het delen kan Bob Mind A benaderen via zijn JWT (alleen-lezen als `role=read`).\n\n## Beveiligingsgrenzen\n\n```\n┌─────────────────────────────────────────────────┐\n│ Synapse Instance │\n│ ┌─────────────────────────────────────────┐ │\n│ │ User Account Boundary │ │\n│ │ ┌──────────────┐ ┌──────────────┐ │ │\n│ │ │ Mind Bound. │ │ Mind Bound. │ │ │\n│ │ │ (Mind Key) │ │ (Mind Key) │ │ │\n│ │ │ │ │ │ │ │\n│ │ │ Memories │ │ Memories │ │ │\n│ │ │ Tasks │ │ Tasks │ │ │\n│ │ │ Chat │ │ Chat │ │ │\n│ │ │ Scripts │ │ Scripts │ │ │\n│ │ └──────────────┘ └──────────────┘ │ │\n│ └─────────────────────────────────────────┘ │\n└─────────────────────────────────────────────────┘\n```\n\n## Veelvoorkomende multi-tenant-patronen\n\n### Patroon 1: Eén gebruiker, één mind\n\nMeest voorkomend voor individuele LLM-agent-gebruikers.\n\n- 1 gebruikersaccount\n- 1 mind\n- 1 Mind Key\n- Alle herinneringen in één scope\n\n### Patroon 2: Eén gebruiker, meerdere minds\n\nVoor gebruikers met meerdere contexten (werk, persoonlijk, projecten).\n\n- 1 gebruikersaccount\n- N minds (bijv. \"work\", \"personal\", \"project-x\")\n- N Mind Keys\n- Elke LLM-sessie gebruikt één Mind Key\n\n### Patroon 3: Team-gedeelde mind\n\nVoor teams die samenwerken aan een project.\n\n- 1 gebruiker maakt de mind aan (krijgt Mind Key)\n- Maker deelt met teamleden via JWT\n- Alle teamleden benaderen via JWT (of gedeelde Mind Key)\n\n> [!WARNING]\n> Het delen van een Mind Key geeft volledige lees/schrijftoegang. Voor teamsamenwerking\n> geeft u de voorkeur aan de Sharing-API (JWT-gebaseerd) boven het direct delen van Mind Keys.\n\n### Patroon 4: SaaS-provider\n\nVoor apps die Synapse insluiten als hun memory-laag.\n\n- Elke klant = 1 gebruikersaccount\n- Elk klantenproject = 1 mind\n- App slaat Mind Keys op per klant/project\n- Volledige isolatie tussen klanten\n\n## Isolatieverificatie\n\n### Test: Mind Key kan andere minds niet benaderen\n\n```bash\n# Mind A's key cannot read Mind B's memories\ncurl -H \"Authorization: Bearer mk_aaa...\" \\\n \"https://synapse.schaefer.zone/memory/search?q=test\"\n# Returns only Mind A's memories\n\ncurl -H \"Authorization: Bearer mk_bbb...\" \\\n \"https://synapse.schaefer.zone/memory/search?q=test\"\n# Returns only Mind B's memories (different results)\n```\n\n### Test: JWT kan geen memory-data direct lezen\n\n```bash\n# JWT can list minds\ncurl -H \"Authorization: Bearer YOUR_JWT\" \\\n https://synapse.schaefer.zone/minds\n# Returns: list of minds\n\n# JWT CANNOT read memories (need Mind Key)\ncurl -H \"Authorization: Bearer YOUR_JWT\" \\\n https://synapse.schaefer.zone/memory/recall\n# Returns: 401 Unauthorized\n```\n\n## Best practices\n\n> [!TIP]\n> - **Gebruik één mind per project/context** — isolatie is uw vriend\n> - **Deel nooit Mind Keys** — gebruik de Sharing-API in plaats daarvan\n> - **Roteer Mind Keys** indien gecompromitteerd (verwijder mind, maak nieuwe aan)\n> - **Controleer gedeelde minds** — bekijk periodiek `GET /sharing`\n> - **Gebruik JWT voor human-UI** — stel Mind Keys nooit bloot aan eindgebruikers\n\n## Volgende stappen\n\n- [Authenticatie](/docs/getting-started/authentication)\n- [Mind Key vs JWT](/docs/getting-started/mind-key-vs-jwt)\n- [Architectuur](/docs/concepts/architecture)\n","content_html":"

Multi-tenancy & isolatie

\n

Synapse is multi-tenant: meerdere gebruikers, elk met meerdere minds, volledig\ngeïsoleerd van elkaar. Deze pagina legt het isolatiemodel uit.

\n

Tenant-hiërarchie

\n
Synapse Instance\n  │\n  ├── User Account 1 (email: alice@example.com)\n  │   ├── Mind A (Mind Key mk_aaa...)\n  │   │   ├── Memories (only accessible via mk_aaa...)\n  │   │   ├── Tasks\n  │   │   └── Chat\n  │   └── Mind B (Mind Key mk_bbb...)\n  │       └── ... (isolated from Mind A)\n  │\n  ├── User Account 2 (email: bob@example.com)\n  │   └── Mind C (Mind Key mk_ccc...)\n  │       └── ... (isolated from Alice's minds)\n  │\n  └── ... (more users)

Isolatieniveaus

\n

Niveau 1: Gebruikersisolatie

\n

Elk gebruikersaccount is geïsoleerd. Alice kan niet:

\n\n

Afgedwongen door: user_id-kolom op alle tabellen, JWT bevat user_id, alle\nquery's filteren op user_id.

\n

Niveau 2: Mind-isolatie

\n

Binnen een gebruiker is elke mind geïsoleerd. Mind A kan niet:

\n\n

Afgedwongen door: mind_id-kolom op alle datatabellen, Mind Key bevat mind_id,\nalle query's filteren op mind_id.

\n
Mind Key-isolatie is de primaire beveiligingsgrens. Een gelekte Mind Key\nverleent volledige toegang tot die mind's data — maar ALLÉÉN die mind.

Authenticatie-tokens

\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n
TokenBereikWat het kan benaderen
Mind KeyEén mindAlleen die mind's data
JWTGebruikersaccountAccountbeheer (minds aanmaken/tonen/verwijderen)
Computer TokenEén computerDie computer's commando's
\n

Cross-mind-toegang

\n

Binnen dezelfde gebruiker

\n

Gebruikers kunnen al hun minds benaderen via JWT (bijv. GET /minds toont allemaal).\nMaar om memory-data te lezen/schrijven, hebben ze de specifieke Mind Key nodig.

\n

Tussen gebruikers

\n

Gebruikers kunnen elkaars data niet benaderen — TENZIJ ze expliciet een mind delen\nvia de Sharing-API:

\n
# Alice shares Mind A with Bob\ncurl -X POST https://synapse.schaefer.zone/sharing \\\n  -H "Authorization: Bearer ALICE_JWT" \\\n  -d '{"mind_id": "m_aaa", "email": "bob@example.com", "role": "read"}'

Na het delen kan Bob Mind A benaderen via zijn JWT (alleen-lezen als role=read).

\n

Beveiligingsgrenzen

\n
┌─────────────────────────────────────────────────┐\n│              Synapse Instance                    │\n│  ┌─────────────────────────────────────────┐    │\n│  │         User Account Boundary           │    │\n│  │  ┌──────────────┐  ┌──────────────┐    │    │\n│  │  │  Mind Bound. │  │  Mind Bound. │    │    │\n│  │  │  (Mind Key)  │  │  (Mind Key)  │    │    │\n│  │  │              │  │              │    │    │\n│  │  │  Memories    │  │  Memories    │    │    │\n│  │  │  Tasks       │  │  Tasks       │    │    │\n│  │  │  Chat        │  │  Chat        │    │    │\n│  │  │  Scripts     │  │  Scripts     │    │    │\n│  │  └──────────────┘  └──────────────┘    │    │\n│  └─────────────────────────────────────────┘    │\n└─────────────────────────────────────────────────┘

Veelvoorkomende multi-tenant-patronen

\n

Patroon 1: Eén gebruiker, één mind

\n

Meest voorkomend voor individuele LLM-agent-gebruikers.

\n\n

Patroon 2: Eén gebruiker, meerdere minds

\n

Voor gebruikers met meerdere contexten (werk, persoonlijk, projecten).

\n\n

Patroon 3: Team-gedeelde mind

\n

Voor teams die samenwerken aan een project.

\n\n
Het delen van een Mind Key geeft volledige lees/schrijftoegang. Voor teamsamenwerking\ngeeft u de voorkeur aan de Sharing-API (JWT-gebaseerd) boven het direct delen van Mind Keys.

Patroon 4: SaaS-provider

\n

Voor apps die Synapse insluiten als hun memory-laag.

\n\n

Isolatieverificatie

\n

Test: Mind Key kan andere minds niet benaderen

\n
# Mind A's key cannot read Mind B's memories\ncurl -H "Authorization: Bearer mk_aaa..." \\\n     "https://synapse.schaefer.zone/memory/search?q=test"\n# Returns only Mind A's memories\n\ncurl -H "Authorization: Bearer mk_bbb..." \\\n     "https://synapse.schaefer.zone/memory/search?q=test"\n# Returns only Mind B's memories (different results)

Test: JWT kan geen memory-data direct lezen

\n
# JWT can list minds\ncurl -H "Authorization: Bearer YOUR_JWT" \\\n     https://synapse.schaefer.zone/minds\n# Returns: list of minds\n\n# JWT CANNOT read memories (need Mind Key)\ncurl -H "Authorization: Bearer YOUR_JWT" \\\n     https://synapse.schaefer.zone/memory/recall\n# Returns: 401 Unauthorized

Best practices

\n

Volgende stappen

\n\n","urls":{"html":"/docs/concepts/multi-tenancy","text":"/docs/concepts/multi-tenancy?format=text","json":"/docs/concepts/multi-tenancy?format=json","llm":"/docs/concepts/multi-tenancy?format=llm"},"translations_available":["en","zh","hi","es","fr","ar","pt","ru","ja","de","it","ko","nl","pl","tr","sv","vi","th","id","uk"]}