Eigen (sub)domein

Elke installatie draait op een eigen adres. Dat kan een subdomein van de MSP zijn, zoals rollout.bedrijf.nl, of een subdomein van ons, zoals bedrijf.rollout365.com. Allebei even veilig; het verschil zit in wie de DNS beheert.

Kies je adres

	Subdomein van de MSP	Subdomein van ons
Voorbeeld	`rollout.acme.nl`	`acme.rollout365.com`
DNS	De MSP maakt één CNAME-record aan	Wij maken het record aan
Voordeel	Medewerkers en klanten zien het domein van hun eigen IT-partner	Geen afhankelijkheid van de DNS van de klant; meteen live
HTTPS-certificaat	Automatisch	Automatisch

Waarom dit veilig is

Installaties delen geen cookies of sessies. Rollout zet geen cookies op het hoofddomein, en een inlogsessie hoort bij precies één adres. Ook als alle MSP's op *.rollout365.com draaien, kan de ene niet bij de sessie van de andere.

Wat er gebeurt als iemand je adres opent

1
rollout.acme.nl
medewerker opent de boeklink
2
DNS: CNAME
wijst naar Vercel
3
Vercel
kent het domein van dit project
4
HTTPS-certificaat
automatisch, altijd geldig
5
Rollout
met de huisstijl van de MSP

Domein koppelen

Domein toevoegen in Vercel
Project → Settings → Domains → Add → rollout.acme.nl. Vercel laat zien welk record er nodig is.
CNAME-record aanmaken
Bij de DNS-beheerder van het domein (bij een subdomein van de MSP doet de MSP dit):
Type Naam Waarde
CNAME rollout de waarde die Vercel toont
Na een paar minuten staat er in Vercel Valid Configuration en is het certificaat er.
APP_URL aanpassen en deployen
APP_URL=https://rollout.acme.nl (zonder slash aan het eind) en opnieuw deployen. Links in mails, het klantportaal en de toestemmingsflow gebruiken altijd dit adres.
Supabase: waar mag inloggen naar terugkeren
Authentication → URL Configuration:
- Site URL: https://rollout.acme.nl
- Redirect URLs: https://rollout.acme.nl/auth/callback
Entra: waar klanten na toestemming terugkomen
Rollout – Readiness → Verificatie → Web → omleidings-URI's: https://rollout.acme.nl/toestemming

Type	Naam	Waarde
`CNAME`	`rollout`	de waarde die Vercel toont

Checklist per domein

Alles moet op hetzelfde adres staan, anders werkt inloggen of de koppeling met klanten niet.

Waar	Instelling
Vercel → Domains	Domein toegevoegd en Valid Configuration
Vercel → variabelen	`APP_URL=https://<domein>`, daarna opnieuw gedeployd
Supabase → URL Configuration	Site URL en Redirect URL `https://<domein>/auth/callback`
Entra → Rollout – Readiness	Omleidings-URI `https://<domein>/toestemming`
Controle	`/api/ready` geeft `"ready": true`; inloggen werkt; een boeklink werkt in een privévenster

Links wijzen altijd naar het vaste adres

Rollout bouwt links nooit uit het adres waarmee iemand de site opent, maar altijd uit APP_URL. Iemand kan ze dus niet met een vervalste Host-header naar een ander domein laten wijzen.

Domein wijzigen

Voeg het nieuwe domein toe en loop de checklist door. Haal het oude adres pas weg als alles werkt. Verstuurde uitnodigingen bevatten nog het oude adres: laat het oude domein een tijd doorverwijzen (Vercel → Domains → Redirect to), of verstuur de uitnodigingen opnieuw.

Afscheid van een domein

Stopt een MSP, of verandert het adres definitief? Haal het domein uit Vercel én laat het CNAME-record verwijderen. Een record dat blijft wijzen naar een project dat niet meer bestaat, kan iemand anders proberen over te nemen (subdomain takeover).

Zelf hosten

Draait Rollout op je eigen server? Dan regelt Caddy het certificaat. Je kunt beheer dan ook op een apart, alleen intern bereikbaar adres zetten. Zie Zelf hosten.