Naar de hoofdinhoud

Je eerste uur met fremforge

Deze pagina beschrijft de onboarding vanuit het perspectief van koper en beheerder: wat je in het eerste uur nadat je hebt besloten je te registreren daadwerkelijk aanklikt en te zien krijgt. Ze vult Aan de slag aan, die meer op ontwikkelaars is gericht (SSH-sleutels, eerste repository, eerste CI-run).

Word jij de eerste eigenaar van je fremforge-organisatie, lees deze pagina dan van begin tot eind voordat je je registreert. Het meeste gaat vanzelf, maar vier kleine beslissingen in dit uur bepalen de beveiligings- en facturatie-instellingen voor de rest van je tijd op fremforge. Ze nu goed nemen is veel goedkoper dan ze later terugdraaien.

Het verloop in één oogopslag

                ┌──────────────────────────────────────────────────────────┐
                │  1. Sign up at www.frem.sh                               │
                │     email + org slug + country/VAT + Altcha PoW          │
                └─────────────────────────┬────────────────────────────────┘
                                          │
                                          ▼
                ┌──────────────────────────────────────────────────────────┐
                │  2. Verification email arrives (Lettermint, EU)          │
                │     click within 24h                                     │
                └─────────────────────────┬────────────────────────────────┘
                                          │
                                          ▼
                ┌──────────────────────────────────────────────────────────┐
                │  3. Confirm page → Mollie hosted checkout (card / SEPA)  │
                │     mandate captured at €0 → tenant + Forgejo org        │
                │     provisioned → welcome email with a one-time link     │
                └─────────────────────────┬────────────────────────────────┘
                                          │
                            ┌─────────────┴─────────────┐
                            ▼                           ▼
            ┌─────────────────────────┐   ┌──────────────────────────────┐
            │  4a. Sign in            │   │  4b. Configure your org      │
            │  frem.sh/_app/login     │   │  frem.sh/<slug>/_admin/   │
            │  → your dashboard       │   │  billing — wire SSO, invite, │
            │                         │   │  review billing              │
            └─────────────────────────┘   └──────────────────────────────┘
                                          │
                            ┌─────────────┴─────────────┐
                            ▼                           ▼
            ┌─────────────────────────┐   ┌──────────────────────────────┐
            │  5. Wire SSO            │   │  6. Confirm billing details  │
            │  (optional but strongly │   │  monthly vs. annual term,    │
            │  recommended on day 1)  │   │  seats, VAT — auto-converts  │
            │                         │   │  on day 30 of trial          │
            └─────────────────────────┘   └──────────────────────────────┘
                                          │
                                          ▼
                ┌──────────────────────────────────────────────────────────┐
                │  7. Harden the break-glass account (MFA on local owner)  │
                │     and invite teammates                                 │
                └──────────────────────────────────────────────────────────┘

Het hele verloop kost 15-30 minuten voor een organisatie met één beheerder zonder SSO, of 30-60 minuten als je een IdP koppelt en een team uitnodigt.

1. Registreren

Ga naar www.frem.sh en klik op Sign up in de bovenste navigatie (of ga direct naar frem.sh/_app/signup). Het registratieformulier vraagt om:

  • Zakelijk e-mailadres: dit wordt het e-mailadres van de eerste beheerder en het standaardadres voor facturatiecontact (je kunt beide later wijzigen).
  • Slug van de organisatie: 3-30 kleine letters, cijfers en koppeltekens. Dit is het URL-pad van je organisatie (frem.sh/<slug> voor de ontwikkelomgeving, frem.sh/<slug>/_admin/... voor de beheeromgeving). Kies zorgvuldig: een slug wijzigen doet de beheerder van het platform, niet jijzelf.
  • Weergavenaam: wat in de interface verschijnt als er geen ruimte is voor de slug.
  • Land: bepaalt de btw-behandeling en de boekhouding. fremforge is alleen voor bedrijven: voor EU-lidstaten is een btw-nummer verplicht, voor andere landen een btw-nummer of bedrijfsregistratienummer (Noorwegen: het 9-cijferige organisatienummer).
  • Btw-nummer of bedrijfsregistratienummer: voor klanten in de EU controleren we het live bij VIES voordat de organisatie wordt aangemaakt. Is jouw VIES-register op dat moment onbereikbaar (dat gebeurt ongeveer eens per kwartaal en is meestal binnen 24 uur opgelost), dan zie je een foutmelding en kun je het opnieuw proberen zodra het register weer werkt.
  • Bedrijfsverklaring: een vakje waarmee je bevestigt dat je je aanmeldt namens een bedrijf. fremforge verkoopt niet aan consumenten.

Bij het verzenden draait een proof-of-work-captcha. Die is in 1-3 seconden opgelost en onzichtbaar: je hoeft geen verkeerslichten aan te klikken.

Veelvoorkomende valkuilen:

  • Gereserveerde slugs (bijv. admin, support, legal) en handelsmerken van andere leveranciers (bijv. github, gitlab) worden bij het verzenden geweigerd. Kies iets onderscheidends.
  • Wegwerp-e-mailadressen worden geweigerd; gebruik een echt zakelijk adres of een adres van je internetprovider.

2. Je e-mailadres verifiëren

Binnen enkele seconden staat er een verificatiemail in je inbox. De link is 24 uur geldig en werkt maar één keer: twee keer klikken richt niets opnieuw in (de tweede klik toont gewoon je bestaande organisatie).

De verificatiemail wordt verstuurd vanaf noreply@frem.sh via Lettermint (gevestigd in Nederland, bezorginfrastructuur uitsluitend in de EU; een van de subverwerkers van fremforge die in de DPA worden genoemd). Is hij na 5 minuten nog niet binnen, kijk dan in je spammap en in het mailfilter van je organisatie; het afzenderadres en DKIM horen op elkaar aan te sluiten.

3. Bevestiging → Mollie-checkout → organisatie ingericht → welkomstmail

Klik op de verificatielink en daarna op Organisatie aanmaken op de bevestigingspagina. Je wordt doorgestuurd naar de gehoste checkout van Mollie om een mandaat voor een betaalmethode te geven voordat de organisatie wordt ingericht. Mollie ondersteunt creditcards, SEPA-incasso, iDEAL, Bancontact en andere regionale methoden. De verificatie gebeurt met € 0 (je kaartuitgever kan kort € 0,01 reserveren en dat direct terugboeken als onderdeel van de standaardverificatie). Tijdens de proefperiode van 30 dagen wordt niets in rekening gebracht: het mandaat bestaat zodat de proefperiode op dag 30 zonder extra checkout automatisch kan overgaan in een abonnement. Je kunt daarvoor op elk moment kosteloos opzeggen onder Beheer → Facturatie; drie dagen vóór de automatische afschrijving sturen we een herinnering.

Zodra Mollie het mandaat accepteert, wordt je organisatie ingericht, een eerste beheerder aangemaakt en de welkomstmail verstuurd. Deze beheerder is dezelfde login als je persoonlijke fremforge-account: registreer je later een tweede organisatie met hetzelfde e-mailadres, dan wordt dezelfde gebruiker hergebruikt (geen tweede account).

De welkomstmail komt binnen een paar seconden binnen. Er staat geen wachtwoord in. In plaats daarvan bevat hij:

  • Eén knop, “Inloggen bij fremforge →”: een eenmalige inloglink (één keer bruikbaar, verloopt na 48 uur). Als je erop klikt, word je automatisch ingelogd en kom je op de welkomstpagina van je organisatie, waar je wordt gevraagd een wachtwoord te kiezen en tweefactorauthenticatie in te stellen. (Had je registratie-e-mailadres al een fremforge-account, dan staat er op de knop "<your-slug> openen →" en log je in met je bestaande wachtwoord.)
  • Je beheerdersgebruikersnaam en registratie-e-mailadres, onder “Bewaren voor noodtoegang”. Met elk van beide kun je inloggen; er is geen wachtwoord om over te nemen, dat stel je in via de link hierboven.
  • Facturatie: een link “Manage payment method →” en een herinnering dat de proefperiode op dag 30 automatisch overgaat in een abonnement.
  • De beheerstartpagina om als bladwijzer op te slaan: frem.sh/<your-slug>/_admin/overview.

Komt de welkomstmail niet aan maar werkte de verificatie wel, dan is je organisatie aangemaakt (de mail wordt op basis van best effort verstuurd). Log dan in via de discovery-inlog met je registratie-e-mailadres en gebruik Wachtwoord vergeten om een wachtwoord in te stellen.

4a. De eerste keer inloggen

Nieuwe organisatie, nieuwe beheerder: klik in de welkomstmail gewoon op “Inloggen bij fremforge →”. De link logt je automatisch in (er is geen wachtwoord om in te typen), vraagt je daarna een wachtwoord te kiezen en tweefactorauthenticatie aan te zetten, en brengt je naar de welkomstpagina van je organisatie. De link werkt één keer en verloopt na 48 uur; is hij verlopen voordat je hem gebruikt, log dan in via de discovery-inlog en gebruik Wachtwoord vergeten.

Bestaand fremforge-account: op de knop in de mail staat dan "<your-slug> openen →". Log in met het wachtwoord dat je al hebt (gebruikersnaam of registratie-e-mailadres werken allebei).

Later inloggen

Zodra je wachtwoord is ingesteld, komen drie ingangen allemaal bij je organisatie uit. Kies de ingang die je het best onthoudt:

  • frem.sh/_app/login: de discovery-inlog. Vul je e-mailadres in; is het domein van je organisatie geverifieerd, dan stuurt hij je direct door naar de inlog van je organisatie (SSO als je dat hebt gekoppeld, anders wachtwoord). Deel deze met je team.
  • frem.sh/<your-slug>/login: de eigen inlogpagina van je organisatie, rechtstreeks. Toont je SSO-knop(pen) zodra SSO is gekoppeld; anders stuurt hij door naar de inlog met wachtwoord.
  • frem.sh/user/login: de universele inlog met wachtwoord, en je break-glass-route als je IdP ooit onbereikbaar is. Accepteert altijd je gebruikersnaam of registratie-e-mailadres plus wachtwoord.

Voor het volledige beeld (hoe deze drie zich tot elkaar verhouden, wat er met SSO verandert en de break-glass-regel), zie Zo werkt inloggen.

Je gebruikersnaam is een vaste korte naam die in URL’s (frem.sh/<username>), auteursregels van commits en @mentions wordt gebruikt, maar je hebt hem zelden nodig, omdat je e-mailadres altijd als login wordt geaccepteerd. Kies een lang, willekeurig wachtwoord uit je wachtwoordmanager; je zult het zelden intypen (zie stap 7).

De eerste keer kom je op de welkomstpagina van je organisatie; daarna brengt inloggen je naar het dashboard van je organisatie op frem.sh/<your-slug> (“no repositories yet” is normaal, je hebt nog niets gepusht). Ga je eerst SSO instellen en teamgenoten uitnodigen (aanbevolen), open dan stap 4b in een ander tabblad.

4b. Je organisatie configureren (de beheer-URL)

frem.sh/<your-slug>/_admin/overview is de startpagina van het beheer: een overzicht met snelkoppelingen naar facturatie, SSO, beveiliging, leden, het auditlog enzovoort. Sla deze URL op als bladwijzer. Ben je beheerder van meerdere fremforge-organisaties, dan wordt de beheeromgeving bepaald door de slug in de URL; er is geen organisatiekiezer in het product, je navigeert door te typen of via bladwijzers.

De eerste keer dat je deze URL opent, word je doorgestuurd naar de inlog van je organisatie (beheerpagina’s vereisen een geauthenticeerde sessie). Na het inloggen kom je hier terug.

Bij het eerste bezoek zie je:

  • Aantal gebruikers (standaard 1: jij, de eerste beheerder).
  • Facturatieperiode: maandelijks (standaard; stap op elk moment over op jaarlijks voor de korting van 15%; terug naar maandelijks kan pas na het einde van de jaarlijkse facturatieperiode).
  • Status van de betaalmethode: mandaat actief (het Mollie-mandaat van de registratie), of “Geen betaalmethode opgeslagen” met een knop Betaling instellen als de checkout bij de registratie is afgebroken of het mandaat inmiddels bij je kaartuitgever is ingetrokken.
  • Status van de proefperiode: Proefperiode van 30 dagen actief, met de datum van de automatische overgang.

Zie je “Geen betaalmethode opgeslagen”, voeg dan vóór dag 30 eerst een betaalmethode toe om de opschortingsprocedure te voorkomen. Zo niet, ga dan door met SSO en break-glass; de facturatie is al geregeld.

5. SSO koppelen (sterk aanbevolen op dag 1)

Gebruikt je team een SSO-provider (Okta, Entra, Google Workspace, Authentik, Keycloak, Auth0), koppel die dan voordat je iemand uitnodigt. Doe je het pas nadat teamgenoten accounts met een lokaal wachtwoord hebben, dan moet je per gebruiker een migratiestap uitvoeren.

Open Organisatiebeheer → SSO. Er zijn twee taken:

  1. Je domein verifiëren, via een DNS-TXT-record of een HTTP-challenge met .well-known/fremforge-domain.txt. Dit is vereist voordat je een auth-bron kunt registreren. Het kost 1-5 minuten, ervan uitgaande dat je DNS kunt bewerken of een bestand in de root van je domein kunt plaatsen.

  2. Een auth-bron registreren met OIDC. De formulieren leiden je door de velden aan de kant van de IdP. Zie OIDC-SSO voor de stappen per IdP, waaronder Entra ID en ADFS. SAML is nog niet beschikbaar.

Optioneel, maar aanbevolen voor gereguleerde workloads: vul, nu je toch in het OIDC-formulier bent, onderaan de drie velden voor Per-org session-binding step-up in. Die zorgen voor een afgedwongen herbevestiging bij de IdP bij toegang over organisaties heen; zie OIDC § Per-org session-binding step-up voor de vereisten aan de kant van de IdP. Sla je deze velden over, dan val je terug op zachte binding (werkt nog steeds, alleen zonder afgedwongen nieuwe vraag van de IdP; de break-glass met lokale inloggegevens blijft in beide gevallen behouden).

Na het registreren van een auth-bron wordt de volgende persoon die via SSO inlogt automatisch als fremforge-gebruiker aangemaakt. SCIM (provisioning op basis van push) richt je apart in; zie SCIM 2.0.

6. Factuurgegevens bevestigen

Het mandaat is bij de registratie al vastgelegd, dus je hoeft hier niets te doen om facturatie aan te zetten. Wel bevestig of wijzig je onder Beheer → Facturatie de voorwaarden vóór de automatische afschrijving op dag 30:

Prijzen (automatisch afgeschreven op dag 30, tenzij je eerder opzegt):

  • Maandelijks: € 30 per gebruiker per maand, vooraf gefactureerd aan het begin van elke cyclus van 30 dagen. Op elk moment opzegbaar; de toegang loopt door tot het einde van de lopende betaalde maand.
  • Jaarlijks: € 306 per gebruiker per jaar (effectief € 25,50 per gebruiker per maand, 15% onder de catalogusprijs), vooraf gefactureerd als één jaarbedrag. Niet restitueerbaar als je halverwege opzegt: de toegang loopt door tot de einddatum van je verbintenis en het jaar blijft betaald.

Wat je vóór dag 30 kunt wijzigen:

  • Facturatieperiode: stap over van maandelijks naar jaarlijks om de korting van 15% vast te leggen. Van maandelijks naar jaarlijks kan altijd; van jaarlijks naar maandelijks gaat pas in bij de volgende verlenging.
  • Gebruikers: nodig nu teamgenoten uit, dan weerspiegelt de afschrijving op dag 30 je werkelijke aantal gebruikers (elk uitgenodigd lid telt vanaf het moment van accepteren).
  • Betaalmethode: vervang het Mollie-mandaat (bijv. een andere kaart, of van kaart naar SEPA-incasso) via Replace payment method onder Beheer → Facturatie. De vervanging doorloopt dezelfde verificatie met € 0 die Mollie bij de registratie gebruikte.
  • Opzeggen: de actie Proefperiode annuleren trekt het mandaat in en voorkomt de afschrijving op dag 30; de organisatie houdt alleen-lezentoegang gedurende de bewaartermijn voor gegevens, volgens §16.5 van de voorwaarden.

Herinneringen: we sturen 3 dagen vóór de automatische afschrijving een seintje, zodat de overgang geen verrassing is. Mislukt de automatische afschrijving van Mollie op dag 30 (verlopen kaart, onvoldoende saldo), dan krijg je de gebruikelijke reeks betalingsherinneringen: drie nieuwe pogingen over 14 dagen voordat de organisatie in de alleen-lezen-respijtperiode komt.

7. Het break-glass-account beveiligen

De eerste beheerder die je net hebt aangemaakt is je break-glass-account: houd het, beveilig het en verwijder het niet.

Waarom: als je SSO koppelt en je IdP later uitvalt (of verkeerd wordt geconfigureerd), kom je met het break-glass-account weer in het beheer van je organisatie om de SSO-verplichting uit te zetten en je team weer toegang te geven. De route staat beschreven in SSO-break-glass; elke eigenaar zou hem één keer moeten oefenen.

Drie dingen om nu te doen, nu je toch bent ingelogd:

  1. Vervang het eerste wachtwoord door een lang, willekeurig wachtwoord, als je dat nog niet hebt gedaan. Genereer een wachtwoord van 24+ tekens in een wachtwoordmanager en sla het daar op. Je zult het zelden intypen.

  2. Zet 2FA aan op het eerste account. Forgejo ondersteunt TOTP (elke authenticator-app) en WebAuthn/passkeys. 2FA op het break-glass-account is verplicht, niet optioneel: een lang, willekeurig wachtwoord zonder 2FA is nog altijd één factor die te phishen is, en een break-glass-route met één factor ondermijnt het hele idee van verplichte SSO. Bewaar de herstelcodes in je wachtwoordmanager (of in een verzegelde envelop in een kluis, niet in een Slack-DM).

  3. Controleer of de lokale inlog werkt in een privévenster van je browser voordat je de SSO-schakelaar Vereist omzet. Open https://frem.sh/user/login, log in met het lokale wachtwoord plus 2FA en controleer dat je bij Organisatiebeheer → SSO kunt komen. Doe dit terwijl je normale sessie nog open is in een gewoon venster, zodat je kunt herstellen als er iets mis is.

Heeft je organisatie meer dan één menselijke beheerder, houd dan ten minste twee eigenaren break-glass-gereed. Verliest een van hen de toegang (kwijtgeraakt apparaat, gestolen laptop, andere baan), dan kan de tweede eigenaar de toegang herstellen zonder via support te gaan.

8. Teamgenoten uitnodigen

Ga naar Organisatiebeheer → Leden (frem.sh/<your-slug>/_admin/members) en kies Uitnodigen via e-mail. Heb je SSO gekoppeld, dan hoef je niemand uit te nodigen: leden verschijnen automatisch op Organisatiebeheer → Leden de eerste keer dat ze via je identity provider inloggen, zonder handmatige provisioning per gebruiker, en je geeft toegang door IdP-groepen aan teams te koppelen in Organisatiebeheer → SSO. Met SSO gekoppeld toont Leden Lokaal account aanmaken (noodtoegang) in plaats van Uitnodigen via e-mail. Heb je geen SSO gekoppeld, dan krijgt elke genodigde een account met een lokaal wachtwoord.

Elk uitgenodigd lid telt als betalende gebruiker vanaf het moment dat hij de uitnodiging accepteert. fremforge kent geen staffels per gebruiker: elke gebruiker kost hetzelfde vaste tarief (€ 30 per maand, of € 306 per jaar bij de jaarlijkse facturatieperiode). Zie Leden en teams voor het volledige lidmaatschapsmodel.

Wat je aan het eind van het uur gedaan zou moeten hebben

Een korte checklist om door te lopen voordat je het afrondt:

  • Organisatie ingericht, en frem.sh/<your-slug> en frem.sh/<your-slug>/_admin/billing zijn allebei bereikbaar
  • Eerste wachtwoord vervangen door een lang, willekeurig wachtwoord + 2FA aan + herstelcodes bewaard
  • SSO gekoppeld (auth-bron geregistreerd, domein geverifieerd), of bewust besloten SSO uit te stellen
  • Harde step-up gekoppeld (optioneel, voor gereguleerde workloads), of genoteerd als taak voor fase 2
  • Factuurvoorwaarden bevestigd (maandelijks of jaarlijks, aantal gebruikers) vóór de automatische overgang op dag 30
  • Ten minste één teamgenoot uitgenodigd (of genoteerd als vervolgactie)
  • Break-glass-procedure één keer geoefend: uitgelogd en weer ingelogd met lokaal wachtwoord + 2FA in een privévenster

Alles wat je in deze lijst open hebt gelaten, is een bekende vervolgactie: schrijf het op. De twee die later opspelen zijn de MFA op het break-glass-account en de SSO-inrichting; vandaag zijn ze allebei een klus van een kwartier, later een rommel van uren als je team fremforge al actief gebruikt.

Zie ook