@authyon/server 0.2.0-beta.14 → 0.2.0-beta.16

package/README.md

@@ -120,7 +120,7 @@ await authyon.environment.audit.list({ take: 50 });
 
 Veja [`examples/organizationMembership.ts`](./examples/organizationMembership.ts) para o fluxo completo, incluindo as rotas de backend que o `@authyon/auth` chamaria.
 
-Namespaces disponíveis: `environment.users`, `environment.tenants` (com `.members` e `.roles` aninhados), `environment.roles`, `environment.permissions`, `environment.audit`, `environment.financialAuthorizations`.
+Namespaces disponíveis: `environment.users`, `environment.tenants` (com `.members` e `.roles` aninhados), `environment.roles`, `environment.permissions`, `environment.audit`. OTP e aprovações ficam em `security` (veja abaixo).
 
 ## Autorização local
 
@@ -191,34 +191,37 @@ Chamadas server-side propagam `clientIp` em `X-Forwarded-For`. O middleware Expr
 await authyon.validate(token, { clientIp: "203.0.113.10" });
 ```
 
-## Confirmação de transações financeiras
+## Segurança (`security.*`)
 
-Exige uma credencial de ambiente com o escopo `authyon:financial:authorize`. Guia
-completo, incluindo o lado do cliente: [`docs/financialStepUp.md`](../../docs/financialStepUp.md).
+OTP e aprovações ficam agrupados em `authyon.security`. Exige uma credencial de ambiente
+com o escopo `authyon:otp:verify` (para `security.otp`) e/ou `authyon:financial:authorize`
+(para `security.approvals`). Guia completo:
+[`docs/security-otp-approvals.md`](../../docs/security-otp-approvals.md).
 
 ```ts
-const transaction = {
-  action: "pix.transfer",
-  amount: 150.5,
-  currency: "BRL",
-  beneficiary: "Maria Silva",
-};
-
-// 1. Antes de executar, peça a aprovação do cliente.
-const { id } = await authyon.environment.financialAuthorizations.create({
-  ...transaction,
+// security.otp — só validar o código do app autenticador
+const result = await authyon.security.otp.check(customerId, code);
+if (!result.valid) console.log(result.attemptsRemaining, result.sessionsRevoked);
+
+// security.approvals — aprovação presa a um payload livre e de uso único
+const { id } = await authyon.security.approvals.create({
   subjectId: customerId,
-  idempotencyKey: orderId,
+  payload: { type: "pix", amount: 150.5, to: "maria@example.com" },
 });
-
-// 2. O cliente confirma com o código (@authyon/auth → financialAuthorizations.confirm).
-
-// 3. Consuma com a mesma transação e só então execute.
-const { assurance } = await authyon.environment.financialAuthorizations.consume(id, transaction);
+// ...cliente confirma com @authyon/auth → security.approvals.confirm
+const { payload } = await authyon.security.approvals.consume(id);
 ```
 
-Se o seu servidor guarda o token do cliente (BFF), o lado do cliente também está em
-`authyon.user(accessToken).financialAuthorizations`.
+| Método                               | Endpoint                                |
+| ------------------------------------ | --------------------------------------- |
+| `security.otp.check(userId, code)`   | `POST /env/users/{userId}/otp/verify`   |
+| `security.approvals.create(input)`   | `POST /env/authorizations`              |
+| `security.approvals.get(id)`         | `GET /env/authorizations/{id}`          |
+| `security.approvals.consume(id, p?)` | `POST /env/authorizations/{id}/consume` |
+
+Cada código vale uma vez; 3 erros seguidos deslogam o usuário de todos os dispositivos e
+5 bloqueiam a verificação por 15 minutos. Se o seu servidor guarda o token do cliente
+(BFF), o lado do cliente está em `authyon.user(accessToken).security.approvals`.
 
 ## Administração por tenant (`tenant()`)
 
@@ -371,12 +374,58 @@ await authyon.environment.tenants.members.remove(tenantId, userId);
 // Os métodos tenant(credentials).members.add/remove existentes continuam disponíveis.
 ```
 
-Configure `envKey` para `user()`. O convite de tenant associa um usuário já
+Configure `envKey` para `user()`. `members.invite` associa um usuário já
 cadastrado no ambiente pelo e-mail; não cria conta e não envia link por e-mail.
+Para isso, use os convites abaixo.
 A API exige associação/permissões do usuário chamador. No browser, os métodos
 existentes `@authyon/auth` → `organization.members.invite/remove` continuam
 atendendo esse fluxo. Nunca importe `@authyon/server` no browser.
 
+## Convites de tenant (e-mail ou link)
+
+Convide um e-mail que talvez ainda não tenha conta — aceitar cria a conta, já com o
+e-mail confirmado. A resposta sempre traz o `acceptUrl` completo; `sendEmail: false`
+só gera o link para você enviar pelo seu canal.
+
+```ts
+// Pelo ambiente (escopo authyon:users:write; listar exige authyon:tenants:read).
+const invite = await authyon.environment.tenants.invites.create(tenantId, {
+  email: "pessoa@example.com",
+  roles: ["reader"],
+  sendEmail: false, // padrão: true
+  // Opcional: para onde mandar a pessoa depois de aceitar. Precisa estar
+  // cadastrado (match exato) nos redirect URIs do ambiente.
+  redirectUri: "https://app.example.com/bem-vindo",
+});
+invite.acceptUrl; // só aparece aqui — a API guarda apenas o hash do token
+
+await authyon.environment.tenants.invites.list(tenantId);
+await authyon.environment.tenants.invites.resend(tenantId, invite.id, { sendEmail: true });
+await authyon.environment.tenants.invites.revoke(tenantId, invite.id);
+
+// Pela credencial do tenant, ou agindo como o usuário (permissão tenants:members:invite).
+await authyon.tenant(credentials).invites.create({ email: "pessoa@example.com" });
+await authyon.user(token).tenants.invites.create(tenantId, { email: "pessoa@example.com" });
+
+// Página de aceite no seu backend: públicas, usam só o envKey.
+const preview = await authyon.environment.tenants.invites.preview(token);
+const accepted = await authyon.environment.tenants.invites.accept({
+  token,
+  password: preview.accountExists ? undefined : password,
+  // Opcional. Com metadata, a chamada vai para /env/tenant-invites/accept usando
+  // clientId/clientSecret (escopo authyon:users:write) — só o backend pode definir.
+  publicMetadata: { plano: "pro" },
+  privateMetadata: { crmId: "42" },
+  // customFields: { ... } — obsoleto, prefira os metadata acima.
+});
+if (accepted.redirectUri) redirect(accepted.redirectUri); // o redirect fica por sua conta
+```
+
+O link vale 7 dias e uma única vez. `resend` gera um link novo e invalida o anterior.
+Por padrão o link aponta para a página do Authyon; configure a _URL do convite para
+tenant_ nas configurações do ambiente para usar a sua (ela recebe `token` e `env`).
+Aceitar não faz login.
+
 ## Compatibilidade e segurança do transporte
 
 As chamadas exigem os endpoints externos atuais da API e a migração

package/dist/{authorization-BF015NDJ.d.ts → authorization-BvjIWPcU.d.ts}

@@ -1,4 +1,4 @@
-import { G as JwksTokenVerifier, A as AuthyonServerClient } from './authyonServerClient-DmNnjw4z.js';
+import { K as JwksTokenVerifier, A as AuthyonServerClient } from './authyonServerClient-1_1qNRDa.js';
 
 type AbilitySubject = string | Record<string, unknown>;
 type AbilityConditions = Record<string, unknown>;

package/dist/{authorization-B7ynKAud.d.cts → authorization-C0Mg5gUv.d.cts}

@@ -1,4 +1,4 @@
-import { G as JwksTokenVerifier, A as AuthyonServerClient } from './authyonServerClient-DmNnjw4z.cjs';
+import { K as JwksTokenVerifier, A as AuthyonServerClient } from './authyonServerClient-1_1qNRDa.cjs';
 
 type AbilitySubject = string | Record<string, unknown>;
 type AbilityConditions = Record<string, unknown>;