Abonnemang: gratis start, månadsfaktura, och en låsning som aldrig rör historiken

Kontot startar på Free och stannar där tills någon väljer annat. En
provperiod som tyst börjar kosta är samma sorts fälla produkten finns för
att undvika. Fakturan skapas ändå vid registreringen — på noll kronor —
därför att den etablerar serien och visar kunden exakt vad den inte
betalar för.

Fyra nivåer: Free (hela metoden, två konton), Standard, Premium,
Enterprise. Enterprise har inget listpris i stället för ett påhittat.
Basavgift plus per aktiv användare, och nivån är en HÄNDELSE — vilken
nivå som gällde när en faktura utfärdades måste gå att svara på i
efterhand, och en kolumn som skrivits över kan inte svara.

Månadsjobbet är idempotent på perioden: kör det två gånger samma dygn och
den andra körningen fakturerar ingenting. Ett fakturajobb som
dubbelfakturerar vid en omstart är värre än ett som inte kör alls.
Perioden räknas från registreringsdagen, inte från den första i månaden —
den som registrerar sig den 20:e ska inte få en faktura på elva dagar som
sin första upplevelse av produkten.

PDF utan beroenden. Kravet var inga beroenden, och ett PDF-bibliotek drar
in fem till för att rita text i två spalter. PDF är ett textformat;
generatorn är tvåhundra rader som går att läsa. Renderad och verifierad i
Chromium. Kunden hämtar fakturan själv eller anger en adress — bägge
vägar leder till samma dokument, och e-post är ett tillägg, inte den enda
vägen till sitt eget underlag.

---- Låsningen och dess gräns ------------------------------------------

Vi litar på kunden: inget kort, ingen förskottsbetalning, ingen spärr
innan någon fått veta. Förfallen faktura ger synlig nedräkning i 14 dagar
och sedan stopp för nya ärenden.

Men läsning och export är sanna i ALLA tillstånd, och det är inte
generositet. Ärendeloggen är verkstadens underlag i en garanti- eller
försäkringstvist som gäller DERAS kund — en tredje part utan del i vår
obetalda faktura. Att göra det oåtkomligt vore att använda någon annans
rättsliga ställning som påtryckningsmedel. Prövat från flera håll,
eftersom det är en regel som är lätt att tumma på under press.

En nollfaktura kan aldrig låsa någon. Free fakturerar noll, och en
obetald nollfaktura är en bokföringspost, inte en skuld.

---- Tre fynd som testerna grävde fram ----------------------------------

1. En kuverterad nyckel gjorde HELA organisationens övriga ärenden
   oläsbara när huvudnyckeln saknades — nycklarFor laddar alla nycklar,
   och en enda som inte gick att öppna kastade. En delvis migrerad
   organisation blev alltså helt stum av ett fel som gällde ett ärende.
   Nu hoppas den över, med varning i loggen, och fälten maskeras — vilket
   dessutom är rätt utfall i sak: det är precis vad krypto-shredding
   lämnar efter sig.

2. Integrationstestet försökte backdatera abonnemangets registrering och
   stoppades av min egen trigger. Att testet fick böja sig för regeln och
   inte tvärtom är poängen med regeln.

3. Palettestet räknade upp färgerna som en andra lista — samma dubblering
   som M-7 handlade om. Det läser dem nu ur FARG, med ett tak på åtta
   värden som motvikt: en palett som växer förbi det är en färglåda.

491 enhetstester · 179 integrationskontroller · genomgången 4/4 ·
portalspärren 18/18.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_012EQg3rJsrQ1ZNTvkzmQAtt

felsokning/infra/postgres-init.sql

@@ -471,3 +471,52 @@ drop trigger if exists supportinlagg_append_only on supportinlagg;
 create trigger supportinlagg_append_only
   before update or delete on supportinlagg
   for each row execute function forbjud_andring();
+
+-- ---- Abonnemang (ALVA-PROC-0002) ---------------------------------------
+--
+-- Kontot startar på Free och stannar där tills någon väljer annat. En
+-- provperiod som tyst börjar kosta är samma sorts fälla produkten finns
+-- för att undvika.
+--
+-- Nivån och fakturamejlen är HÄNDELSER, inte kolumner: vilken nivå som
+-- gällde när en faktura utfärdades måste gå att svara på i efterhand, och
+-- en kolumn som skrivits över kan inte svara.
+create table if not exists abonnemang (
+  organisation_id uuid primary key references organisationer(id),
+  registrerad timestamptz not null default now(),
+  -- Härledd: sista period som fakturerats. Skrivs av månadsjobbet.
+  senast_fakturerad date
+);
+
+create or replace function skydda_abonnemang() returns trigger
+language plpgsql as $$
+begin
+  if TG_OP = 'DELETE' then
+    raise exception 'Ett abonnemang kan inte raderas — historiken hör till fakturaunderlaget';
+  end if;
+  if (new.organisation_id, new.registrerad) is distinct from (old.organisation_id, old.registrerad) then
+    raise exception 'Abonnemangets identitet och startdatum kan inte ändras';
+  end if;
+  return new;
+end $$;
+
+drop trigger if exists abonnemang_skydd on abonnemang;
+create trigger abonnemang_skydd
+  before update or delete on abonnemang
+  for each row execute function skydda_abonnemang();
+
+create table if not exists abonnemangshandelser (
+  id uuid primary key default gen_random_uuid(),
+  organisation_id uuid not null references organisationer(id),
+  typ text not null check (typ in ('niva', 'fakturaepost')),
+  varde text not null,
+  satt_av uuid references anvandare(id),
+  skapad timestamptz not null default now()
+);
+create index if not exists abonnemangshandelser_idx
+  on abonnemangshandelser (organisation_id, skapad);
+
+drop trigger if exists abonnemangshandelser_append_only on abonnemangshandelser;
+create trigger abonnemangshandelser_append_only
+  before update or delete on abonnemangshandelser
+  for each row execute function forbjud_andring();

felsokning/infra/terraform/30-plattform.tf

@@ -284,3 +284,80 @@ resource "kubernetes_cron_job_v1" "gallring" {
     }
   }
 }
+
+# ---- Månadsfaktureringen (ALVA-PROC-0002) ------------------------------
+#
+# Egen körning av samma skäl som gallringen: en körning som avbryts mitt i
+# ska kunna köras om, och den ska synas som en egen körning i driften.
+#
+# Jobbet är idempotent på perioden — andra körningen samma dygn fakturerar
+# ingenting. Det är viktigare än det låter: ett fakturajobb som
+# dubbelfakturerar vid en omstart är värre än ett som inte kör alls.
+resource "kubernetes_cron_job_v1" "manadsfakturering" {
+  metadata {
+    name      = "manadsfakturering"
+    namespace = kubernetes_namespace_v1.denna.metadata[0].name
+    labels    = merge(local.etiketter, { app = "manadsfakturering" })
+  }
+
+  spec {
+    # Dagligen. Perioden avgör vem som faktureras, inte schemat — en
+    # organisation som registrerade sig den 20:e faktureras den 20:e.
+    schedule                      = "40 3 * * *"
+    concurrency_policy            = "Forbid"
+    successful_jobs_history_limit = 7
+    failed_jobs_history_limit     = 7
+    starting_deadline_seconds     = 3600
+
+    job_template {
+      metadata {
+        labels = merge(local.etiketter, { app = "manadsfakturering" })
+      }
+
+      spec {
+        backoff_limit = 2
+
+        template {
+          metadata {
+            labels = merge(local.etiketter, { app = "manadsfakturering" })
+          }
+
+          spec {
+            restart_policy       = "Never"
+            service_account_name = kubernetes_service_account_v1.plattform.metadata[0].name
+
+            security_context {
+              run_as_non_root = true
+
+              seccomp_profile {
+                type = "RuntimeDefault"
+              }
+            }
+
+            container {
+              name    = "manadsfakturering"
+              image   = local.tjanster.plattform.bild
+              command = ["node", "manadsfakturering.mjs"]
+
+              env_from {
+                secret_ref {
+                  name = "felsokning-hemligheter"
+                }
+              }
+
+              resources {
+                requests = {
+                  cpu    = "50m"
+                  memory = "128Mi"
+                }
+                limits = {
+                  memory = "256Mi"
+                }
+              }
+            }
+          }
+        }
+      }
+    }
+  }
+}