- API
- De eSignature REST API v2.1, met meer dan 400 endpoints. Testen gaat op demo.docusign.net; in productie heeft elk account een eigen server, bijvoorbeeld eu.docusign.net, die je opvraagt via /oauth/userinfo en een dag of langer bewaart.
- Authenticatie
- Alleen OAuth 2.0: Authorization Code Grant (vertrouwelijk of met PKCE) voor apps waarin een gebruiker inlogt, JWT Grant voor een koppeling op de server. Implicit Grant kan nog, maar Docusign raadt hem af.
- Tokens
- Een Authorization Code-token geldt 8 uur, met een refresh token van ongeveer 30 dagen. Een JWT-token geldt volgens de JWT-pagina's één uur, zonder refresh token; de pagina van de MCP-server noemt 8 uur. De koppeling vraagt op tijd een nieuw token aan.
- Toestemming
- Een gebruiker geeft zelf toestemming, of een beheerder voor de hele organisatie. Toestemming van een beheerder vraagt Docusign Admin, dat niet op elk account aanstaat, en een geclaimd domein.
- Ontwikkelaarsaccount
- Gratis en verloopt niet, met de meeste enterprise-functies aan. Wat je daar verstuurt, is juridisch niet geldig.
- Go-Live
- De integratiesleutel gaat naar productie vanaf een betaald productieaccount met toegang tot de API's die de koppeling gebruikt; de pagina over het ontwikkelaarsaccount noemt daarvoor een enterprise-account of een API-plan. De koppeling gebruikt OAuth 2.0 en blijft binnen de limieten. Dat gaat automatisch na een eenmalige identiteitscontrole of via een handmatige review, die meestal 24 tot 48 uur duurt. Secrets, redirect-URI's en Connect-configuraties zet je in productie opnieuw op.
- Limieten
- Standaard 3.000 aanroepen per uur per account, voor alle koppelingen samen, en 500 per 30 seconden in productie (200 in de ontwikkelomgeving). Het uurlimiet kan omhoog als het account aan de voorwaarden voldoet. Sinds 2026 geeft een overschreden limiet HTTP 429 in plaats van 400.
- Pollen
- De status van één envelope mag je hooguit één keer per 15 minuten opvragen. Een overtreding laat het verzoek niet mislukken, maar Docusign markeert hem en kan de Go-Live afkeuren.
- Connect
- Webhooks per account (maximaal 20 configuraties), per envelope of per ontvanger, standaard in JSON. Elk bericht draagt een HMAC-SHA256-handtekening in X-DocuSign-Signature-1. Een mislukt bericht komt terug na 5, 10, 20 en 40 minuten, 1 uur, 2 uur en 1 dag, en daarna dagelijks, 15 dagen lang. Connect-berichten tellen niet mee voor de limieten.
- HMAC-sleutels
- Hier spreken Docusigns pagina's elkaar tegen: de instructie voor HMAC zegt dat je een sleutel alleen in de instellingen aanmaakt, de huidige OpenAPI-specificatie en de Node.js-SDK 9.0.0 hebben er een endpoint voor. Ik maak de sleutel in de instellingen en bewaar hem alleen op de server.
- Bestanden
- Een envelope mag in totaal 200 MB zijn. Per bestand noemt de pagina met regels en limieten 32 MB via de API (50 MB in de app), de foutentabel uit 2026 noemt 50 MB.
- API-plannen
- Starter kost €50 per maand bij jaarbetaling (€600 per jaar) of €70 maandelijks, met 40 envelopes per maand. Intermediate kost €282 of €423 en Advanced €480 of €677, beide met 100 envelopes per maand. Enhanced gaat via sales, vanaf 5 gebruikers. Of de prijzen in- of exclusief btw zijn, staat niet op de Nederlandse prijspagina.
- Per plan
- Bulk send en PowerForms via de API zitten in Advanced en Enhanced, ingesloten ondertekening alleen in Enhanced, ingesloten verzenden in alle API-plannen. Connect bij Advanced: de Duitse prijspagina noemt Connect, de Nederlandse en Amerikaanse noemen Recipient Connect. Welk plan Connect op accountniveau heeft, staat er niet duidelijk bij; ik controleer het op jouw account.
- eSignature-abonnementen
- Hier spreken de prijspagina's elkaar tegen: de veelgestelde vragen bij de API-plannen zeggen dat eSignature-abonnementen geen API-toegang geven, de vergelijkingstabel van eSignature noemt API's en een ontwikkelaarsaccount bij Standard en Business Pro. Standard kost €23 en Business Pro €38 per gebruiker per maand bij jaarbetaling, met maximaal 100 envelopes per gebruiker per jaar. De pagina over het ontwikkelaarsaccount zegt bovendien dat een Go-Live een enterprise-account of een API-plan vraagt.
- Gegevens
- Docusign bewaart je overeenkomsten in één van vijf regio's, waaronder Europa; voor een webklant gebeurt dat automatisch op basis van locatie, en achteraf verhuizen kan niet. Transactiegegevens zoals naam en e-mailadres van ondertekenaars kunnen buiten de regio komen. Datalocatie als functie staat in de prijstabellen alleen via sales. Doorgifte valt onder Binding Corporate Rules en EU-modelcontracten.
- Certificeringen
- Docusign is volgens zijn trustpagina ISO 27001:2022- en SOC 2 Type II-gecertificeerd; de Nederlandse prijspagina noemt nog ISO 27001:2013.