@baruk/core 0.3.1 → 0.4.2

package/dist/communication/onboarding.js

@@ -0,0 +1,287 @@
+/**
+ * Onboarding de conta de canal — Embedded Signup da Meta.
+ *
+ * Este módulo é a fronteira entre "o operador clicou em Conectar" e "existe um
+ * vínculo de canal com credencial no cofre". Ele não escreve no banco e não lê
+ * configuração: recebe o que precisa e devolve o que descobriu, para que o
+ * produto decida o que persistir.
+ *
+ * ── A regra que este arquivo existe para cumprir ────────────────────────────
+ *
+ * **Nenhum token é digitado por humano.** O caminho anterior — e o que ainda
+ * está no cofre desta casa, sob `PROPOSAL_COMM_WA_ACCESS_TOKEN` — é um token de
+ * USUÁRIO gerado no painel da Meta e colado numa variável de ambiente. Ele
+ * expirou em 2026-07-21 e derrubou o canal sem que nada avisasse, porque um
+ * token colado não tem dono, não tem renovação e não tem trilha: ninguém sabe
+ * quem o gerou nem quando ele morre.
+ *
+ * **Aquela credencial é de OUTRO app** — "Baruk Communication Sandbox", do motor
+ * de propostas — e **não deve ser reutilizada aqui em hipótese nenhuma**. O app
+ * canônico deste caminho é o "Baruk Comunicação". A distinção está escrita
+ * porque os dois têm nome parecido e a mesma cara no cofre, e reaproveitar o
+ * errado é a regressão mais barata de cometer nesta frente.
+ *
+ * O Embedded Signup devolve, para o servidor, um `code` trocável por um
+ * **business integration system user access token** — escopado ao cliente que
+ * autorizou, de vida longa, revogável por ele, e que nunca passa pelo teclado
+ * de ninguém.
+ *
+ * ── O que NÃO está aqui ─────────────────────────────────────────────────────
+ *
+ * O `client_secret` do App. Ele entra por parâmetro, vindo do ambiente do
+ * processo, e nunca é logado, devolvido nem embutido em mensagem de erro. Pelo
+ * mesmo motivo, nenhuma função deste arquivo devolve a mensagem de erro da
+ * Meta: ela carrega, com frequência, o nome e o identificador do negócio do
+ * cliente — que é PII de terceiro dentro de um log nosso.
+ */
+import { createHash, randomBytes, timingSafeEqual } from 'node:crypto';
+import { graphUrl } from './graph.js';
+/**
+ * 32 bytes de aleatoriedade criptográfica.
+ *
+ * Não é um uuid de propósito: um uuidv7 carrega o instante de criação e é
+ * parcialmente previsível, e a única função deste valor é ser impossível de
+ * adivinhar.
+ */
+export function createSignupState() {
+    const state = randomBytes(32).toString('base64url');
+    return { state, stateHash: hashSignupState(state) };
+}
+export function hashSignupState(state) {
+    return createHash('sha256').update(state, 'utf8').digest('hex');
+}
+/**
+ * Comparação de hashes em tempo constante.
+ *
+ * A busca no banco é por igualdade de índice e já vaza tempo por natureza; esta
+ * função existe para o segundo confronto, feito em memória depois da leitura,
+ * onde a comparação ingênua compara byte a byte e para no primeiro que difere.
+ */
+export function sameStateHash(a, b) {
+    if (typeof a !== 'string' || typeof b !== 'string')
+        return false;
+    const ba = Buffer.from(a, 'utf8');
+    const bb = Buffer.from(b, 'utf8');
+    if (ba.length !== bb.length)
+        return false;
+    return timingSafeEqual(ba, bb);
+}
+const DEFAULT_TIMEOUT_MS = 15_000;
+/**
+ * Traduz o erro da Meta para uma classe nossa.
+ *
+ * `100`/`191` sobre um `code` significam código gasto ou redirect divergente —
+ * os dois são "refaça o fluxo", não "conserte a configuração". `190` e `200`
+ * são credencial/permissão do App: refazer o fluxo não resolve nada, e mostrar
+ * "tente de novo" ao operador o faria repetir para sempre um passo que nunca
+ * vai funcionar.
+ */
+function classifySignupError(status, err) {
+    const code = err?.code;
+    if (code === 190 || code === 200 || code === 10 || code === 3)
+        return 'unauthorized_app';
+    if (code === 100 || code === 191)
+        return 'invalid_code';
+    if (code === 4 || code === 17 || code === 80007 || code === 613)
+        return 'rate_limited';
+    if (status === 429)
+        return 'rate_limited';
+    if (status >= 500)
+        return 'network';
+    return 'provider_error';
+}
+/**
+ * Uma chamada à Graph API, com a resposta já reduzida a `ok`/classe de erro.
+ *
+ * Centraliza três cuidados que, escritos em cada chamada, um dia divergiriam:
+ * o timeout (uma chamada sem teto pendura o request do operador), o descarte
+ * total da exceção de rede (ela pode carregar a URL, e a URL de troca carrega
+ * o `client_secret` na query), e a leitura do corpo de erro sem propagá-lo.
+ */
+async function graphCall(call, opts) {
+    const doFetch = opts.fetchImpl ?? fetch;
+    let res;
+    try {
+        res = await doFetch(call.url, {
+            method: call.method,
+            headers: {
+                ...(call.bearer ? { authorization: `Bearer ${call.bearer}` } : {}),
+                ...(call.body ? { 'content-type': 'application/json' } : {}),
+            },
+            ...(call.body ? { body: JSON.stringify(call.body) } : {}),
+            signal: AbortSignal.timeout(opts.timeoutMs ?? DEFAULT_TIMEOUT_MS),
+        });
+    }
+    catch {
+        // Nada da exceção é propagado. Em algumas implementações de `fetch` a
+        // mensagem inclui a URL — e a URL da troca de código carrega o segredo do
+        // App na query string.
+        return { ok: false, reason: 'network' };
+    }
+    const payload = (await res.json().catch(() => null));
+    if (!res.ok) {
+        const err = (payload?.error ?? null);
+        return { ok: false, reason: classifySignupError(res.status, err) };
+    }
+    return { ok: true, value: (payload ?? {}) };
+}
+/**
+ * Troca o `code` do Embedded Signup pelo token de negócio do cliente.
+ *
+ * **Server-to-server, sempre.** O `client_secret` do App não pode existir no
+ * navegador: quem o tiver consegue trocar códigos de qualquer cliente e falar
+ * pela conta dele. É por isso que o front devolve `code` e não token, e é por
+ * isso que esta função vive no servidor.
+ */
+export async function exchangeSignupCode(input, opts = {}) {
+    const code = input.code?.trim() ?? '';
+    const appId = input.appId?.trim() ?? '';
+    const appSecret = typeof input.appSecret === 'string' ? input.appSecret : '';
+    if (!code || !appId || !appSecret)
+        return { ok: false, reason: 'unauthorized_app' };
+    const url = new URL(graphUrl('oauth/access_token', opts.env));
+    url.searchParams.set('client_id', appId);
+    url.searchParams.set('client_secret', appSecret);
+    url.searchParams.set('code', code);
+    const res = await graphCall({ url: url.toString(), method: 'GET' }, opts);
+    if (!res.ok)
+        return res;
+    const token = res.value.access_token;
+    // Resposta 200 sem token é resposta inválida, não sucesso vazio. Deixá-la
+    // passar gravaria uma credencial em branco no cofre e o canal falharia
+    // depois, longe daqui.
+    if (typeof token !== 'string' || token.length < 20) {
+        return { ok: false, reason: 'provider_error' };
+    }
+    return {
+        ok: true,
+        value: {
+            accessToken: token,
+            ...(typeof res.value.expires_in === 'number' && res.value.expires_in > 0
+                ? { expiresInSeconds: res.value.expires_in }
+                : {}),
+        },
+    };
+}
+/* ── 2. Assinatura do App na WABA do cliente ────────────────────────────── */
+/**
+ * Assina o App do motor nos webhooks da WABA do cliente.
+ *
+ * Sem isto o vínculo existe, o envio funciona e **nenhum status volta**: a
+ * mensagem fica presa em `sent` para sempre e a tela do escritório não sabe
+ * dizer se o cliente recebeu. É a diferença entre um canal que funciona e um
+ * canal que parece funcionar.
+ *
+ * Idempotente do lado da Meta — assinar duas vezes não é erro.
+ */
+export async function subscribeAppToWaba(input, opts = {}) {
+    const wabaId = input.wabaId?.trim() ?? '';
+    if (!wabaId)
+        return { ok: false, reason: 'provider_error' };
+    const res = await graphCall({
+        url: graphUrl(`${encodeURIComponent(wabaId)}/subscribed_apps`, opts.env),
+        method: 'POST',
+        bearer: input.accessToken,
+    }, opts);
+    if (!res.ok)
+        return res;
+    return { ok: true, value: { subscribed: res.value.success !== false } };
+}
+/**
+ * Estado do número, do ponto de vista da Meta.
+ *
+ * Leitura pura. É o que permite à tela dizer `attention_required` com um motivo
+ * — "número não verificado", "conta restrita" — em vez do genérico "erro", que
+ * obriga o escritório a abrir o painel da Meta para descobrir o quê.
+ */
+export async function readPhoneNumber(input, opts = {}) {
+    const id = input.phoneNumberId?.trim() ?? '';
+    if (!id)
+        return { ok: false, reason: 'provider_error' };
+    const url = new URL(graphUrl(encodeURIComponent(id), opts.env));
+    url.searchParams.set('fields', 'display_phone_number,verified_name,code_verification_status,status,quality_rating,platform_type');
+    const res = await graphCall({ url: url.toString(), method: 'GET', bearer: input.accessToken }, opts);
+    if (!res.ok)
+        return res;
+    const v = res.value;
+    return {
+        ok: true,
+        value: {
+            ...(str(v.display_phone_number) ? { displayPhoneNumber: str(v.display_phone_number) } : {}),
+            ...(str(v.verified_name) ? { verifiedName: str(v.verified_name) } : {}),
+            ...(str(v.code_verification_status)
+                ? { codeVerificationStatus: str(v.code_verification_status) }
+                : {}),
+            ...(str(v.status) ? { status: str(v.status) } : {}),
+            ...(str(v.quality_rating) ? { qualityRating: str(v.quality_rating) } : {}),
+            ...(str(v.platform_type) ? { platformType: str(v.platform_type) } : {}),
+        },
+    };
+}
+/**
+ * Lista os templates da WABA do cliente. **Somente leitura.**
+ *
+ * Existe porque `approvedEvents` é uma lista mantida à mão em
+ * `tenant.settings`, e uma lista declarada por humano diverge da realidade da
+ * Meta no dia em que alguém aprova, pausa ou reprova um template lá. Um template
+ * marcado "aprovado" aqui e reprovado lá gasta a tentativa de envio e volta erro
+ * permanente — que a régua interpreta como problema do destinatário.
+ *
+ * Devolver a lista permite que a decisão de configurar `approvedEvents` seja
+ * tomada contra o que a Meta diz, e não contra o que alguém lembrou.
+ */
+export async function listWabaTemplates(input, opts = {}) {
+    const wabaId = input.wabaId?.trim() ?? '';
+    if (!wabaId)
+        return { ok: false, reason: 'provider_error' };
+    const url = new URL(graphUrl(`${encodeURIComponent(wabaId)}/message_templates`, opts.env));
+    url.searchParams.set('fields', 'name,language,status,category');
+    url.searchParams.set('limit', '100');
+    const res = await graphCall({ url: url.toString(), method: 'GET', bearer: input.accessToken }, opts);
+    if (!res.ok)
+        return res;
+    const items = Array.isArray(res.value.data) ? res.value.data : [];
+    return {
+        ok: true,
+        // Só os quatro campos que interessam. O payload da Meta traz `components`
+        // com o TEXTO do template, e o texto de um template de cobrança carrega a
+        // forma como o escritório fala com o cliente — não precisa atravessar o
+        // domínio para responder "está aprovado?".
+        value: items.flatMap((t) => {
+            const name = str(t.name);
+            const language = str(t.language);
+            const status = str(t.status);
+            if (!name || !language || !status)
+                return [];
+            const category = str(t.category);
+            return [{ name, language, status, ...(category ? { category } : {}) }];
+        }),
+    };
+}
+/**
+ * Registra o número do cliente na Cloud API.
+ *
+ * Implementado e **não chamado** por nenhum caminho automático desta fase. O
+ * gate de autorização humana está no parâmetro, e não numa convenção de
+ * chamada: uma trava que depende de ninguém chamar a função errada não é trava.
+ */
+export async function registerPhoneNumber(input, opts = {}) {
+    if (input.authorized !== true)
+        return { ok: false, reason: 'not_authorized' };
+    const pin = input.pin?.trim() ?? '';
+    if (!/^\d{6}$/.test(pin))
+        return { ok: false, reason: 'invalid_pin' };
+    const res = await graphCall({
+        url: graphUrl(`${encodeURIComponent(input.phoneNumberId)}/register`, opts.env),
+        method: 'POST',
+        bearer: input.accessToken,
+        body: { messaging_product: 'whatsapp', pin },
+    }, opts);
+    if (!res.ok)
+        return { ok: false, reason: res.reason };
+    return { ok: true };
+}
+function str(v) {
+    return typeof v === 'string' && v.trim().length > 0 ? v.trim().slice(0, 120) : undefined;
+}
+//# sourceMappingURL=onboarding.js.map

package/dist/communication/onboarding.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"onboarding.js","sourceRoot":"","sources":["../../src/communication/onboarding.ts"],"names":[],"mappings":"AAAA;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;GAmCG;AAEH,OAAO,EAAE,UAAU,EAAE,WAAW,EAAE,eAAe,EAAE,MAAM,aAAa,CAAC;AACvE,OAAO,EAAE,QAAQ,EAAE,MAAM,YAAY,CAAC;AAgBtC;;;;;;GAMG;AACH,MAAM,UAAU,iBAAiB;IAC/B,MAAM,KAAK,GAAG,WAAW,CAAC,EAAE,CAAC,CAAC,QAAQ,CAAC,WAAW,CAAC,CAAC;IACpD,OAAO,EAAE,KAAK,EAAE,SAAS,EAAE,eAAe,CAAC,KAAK,CAAC,EAAE,CAAC;AACtD,CAAC;AAED,MAAM,UAAU,eAAe,CAAC,KAAa;IAC3C,OAAO,UAAU,CAAC,QAAQ,CAAC,CAAC,MAAM,CAAC,KAAK,EAAE,MAAM,CAAC,CAAC,MAAM,CAAC,KAAK,CAAC,CAAC;AAClE,CAAC;AAED;;;;;;GAMG;AACH,MAAM,UAAU,aAAa,CAAC,CAAS,EAAE,CAAS;IAChD,IAAI,OAAO,CAAC,KAAK,QAAQ,IAAI,OAAO,CAAC,KAAK,QAAQ;QAAE,OAAO,KAAK,CAAC;IACjE,MAAM,EAAE,GAAG,MAAM,CAAC,IAAI,CAAC,CAAC,EAAE,MAAM,CAAC,CAAC;IAClC,MAAM,EAAE,GAAG,MAAM,CAAC,IAAI,CAAC,CAAC,EAAE,MAAM,CAAC,CAAC;IAClC,IAAI,EAAE,CAAC,MAAM,KAAK,EAAE,CAAC,MAAM;QAAE,OAAO,KAAK,CAAC;IAC1C,OAAO,eAAe,CAAC,EAAE,EAAE,EAAE,CAAC,CAAC;AACjC,CAAC;AAiCD,MAAM,kBAAkB,GAAG,MAAM,CAAC;AAQlC;;;;;;;;GAQG;AACH,SAAS,mBAAmB,CAAC,MAAc,EAAE,GAA0B;IACrE,MAAM,IAAI,GAAG,GAAG,EAAE,IAAI,CAAC;IACvB,IAAI,IAAI,KAAK,GAAG,IAAI,IAAI,KAAK,GAAG,IAAI,IAAI,KAAK,EAAE,IAAI,IAAI,KAAK,CAAC;QAAE,OAAO,kBAAkB,CAAC;IACzF,IAAI,IAAI,KAAK,GAAG,IAAI,IAAI,KAAK,GAAG;QAAE,OAAO,cAAc,CAAC;IACxD,IAAI,IAAI,KAAK,CAAC,IAAI,IAAI,KAAK,EAAE,IAAI,IAAI,KAAK,KAAK,IAAI,IAAI,KAAK,GAAG;QAAE,OAAO,cAAc,CAAC;IACvF,IAAI,MAAM,KAAK,GAAG;QAAE,OAAO,cAAc,CAAC;IAC1C,IAAI,MAAM,IAAI,GAAG;QAAE,OAAO,SAAS,CAAC;IACpC,OAAO,gBAAgB,CAAC;AAC1B,CAAC;AASD;;;;;;;GAOG;AACH,KAAK,UAAU,SAAS,CAAI,IAAe,EAAE,IAAwB;IACnE,MAAM,OAAO,GAAG,IAAI,CAAC,SAAS,IAAI,KAAK,CAAC;IACxC,IAAI,GAAa,CAAC;IAClB,IAAI,CAAC;QACH,GAAG,GAAG,MAAM,OAAO,CAAC,IAAI,CAAC,GAAG,EAAE;YAC5B,MAAM,EAAE,IAAI,CAAC,MAAM;YACnB,OAAO,EAAE;gBACP,GAAG,CAAC,IAAI,CAAC,MAAM,CAAC,CAAC,CAAC,EAAE,aAAa,EAAE,UAAU,IAAI,CAAC,MAAM,EAAE,EAAE,CAAC,CAAC,CAAC,EAAE,CAAC;gBAClE,GAAG,CAAC,IAAI,CAAC,IAAI,CAAC,CAAC,CAAC,EAAE,cAAc,EAAE,kBAAkB,EAAE,CAAC,CAAC,CAAC,EAAE,CAAC;aAC7D;YACD,GAAG,CAAC,IAAI,CAAC,IAAI,CAAC,CAAC,CAAC,EAAE,IAAI,EAAE,IAAI,CAAC,SAAS,CAAC,IAAI,CAAC,IAAI,CAAC,EAAE,CAAC,CAAC,CAAC,EAAE,CAAC;YACzD,MAAM,EAAE,WAAW,CAAC,OAAO,CAAC,IAAI,CAAC,SAAS,IAAI,kBAAkB,CAAC;SAClE,CAAC,CAAC;IACL,CAAC;IAAC,MAAM,CAAC;QACP,sEAAsE;QACtE,0EAA0E;QAC1E,uBAAuB;QACvB,OAAO,EAAE,EAAE,EAAE,KAAK,EAAE,MAAM,EAAE,SAAS,EAAE,CAAC;IAC1C,CAAC;IAED,MAAM,OAAO,GAAG,CAAC,MAAM,GAAG,CAAC,IAAI,EAAE,CAAC,KAAK,CAAC,GAAG,EAAE,CAAC,IAAI,CAAC,CAAmC,CAAC;IAEvF,IAAI,CAAC,GAAG,CAAC,EAAE,EAAE,CAAC;QACZ,MAAM,GAAG,GAAG,CAAC,OAAO,EAAE,KAAK,IAAI,IAAI,CAA0B,CAAC;QAC9D,OAAO,EAAE,EAAE,EAAE,KAAK,EAAE,MAAM,EAAE,mBAAmB,CAAC,GAAG,CAAC,MAAM,EAAE,GAAG,CAAC,EAAE,CAAC;IACrE,CAAC;IAED,OAAO,EAAE,EAAE,EAAE,IAAI,EAAE,KAAK,EAAE,CAAC,OAAO,IAAI,EAAE,CAAM,EAAE,CAAC;AACnD,CAAC;AA+BD;;;;;;;GAOG;AACH,MAAM,CAAC,KAAK,UAAU,kBAAkB,CACtC,KAA8B,EAC9B,OAA2B,EAAE;IAE7B,MAAM,IAAI,GAAG,KAAK,CAAC,IAAI,EAAE,IAAI,EAAE,IAAI,EAAE,CAAC;IACtC,MAAM,KAAK,GAAG,KAAK,CAAC,KAAK,EAAE,IAAI,EAAE,IAAI,EAAE,CAAC;IACxC,MAAM,SAAS,GAAG,OAAO,KAAK,CAAC,SAAS,KAAK,QAAQ,CAAC,CAAC,CAAC,KAAK,CAAC,SAAS,CAAC,CAAC,CAAC,EAAE,CAAC;IAC7E,IAAI,CAAC,IAAI,IAAI,CAAC,KAAK,IAAI,CAAC,SAAS;QAAE,OAAO,EAAE,EAAE,EAAE,KAAK,EAAE,MAAM,EAAE,kBAAkB,EAAE,CAAC;IAEpF,MAAM,GAAG,GAAG,IAAI,GAAG,CAAC,QAAQ,CAAC,oBAAoB,EAAE,IAAI,CAAC,GAAG,CAAC,CAAC,CAAC;IAC9D,GAAG,CAAC,YAAY,CAAC,GAAG,CAAC,WAAW,EAAE,KAAK,CAAC,CAAC;IACzC,GAAG,CAAC,YAAY,CAAC,GAAG,CAAC,eAAe,EAAE,SAAS,CAAC,CAAC;IACjD,GAAG,CAAC,YAAY,CAAC,GAAG,CAAC,MAAM,EAAE,IAAI,CAAC,CAAC;IAEnC,MAAM,GAAG,GAAG,MAAM,SAAS,CACzB,EAAE,GAAG,EAAE,GAAG,CAAC,QAAQ,EAAE,EAAE,MAAM,EAAE,KAAK,EAAE,EACtC,IAAI,CACL,CAAC;IACF,IAAI,CAAC,GAAG,CAAC,EAAE;QAAE,OAAO,GAAG,CAAC;IAExB,MAAM,KAAK,GAAG,GAAG,CAAC,KAAK,CAAC,YAAY,CAAC;IACrC,0EAA0E;IAC1E,uEAAuE;IACvE,uBAAuB;IACvB,IAAI,OAAO,KAAK,KAAK,QAAQ,IAAI,KAAK,CAAC,MAAM,GAAG,EAAE,EAAE,CAAC;QACnD,OAAO,EAAE,EAAE,EAAE,KAAK,EAAE,MAAM,EAAE,gBAAgB,EAAE,CAAC;IACjD,CAAC;IAED,OAAO;QACL,EAAE,EAAE,IAAI;QACR,KAAK,EAAE;YACL,WAAW,EAAE,KAAK;YAClB,GAAG,CAAC,OAAO,GAAG,CAAC,KAAK,CAAC,UAAU,KAAK,QAAQ,IAAI,GAAG,CAAC,KAAK,CAAC,UAAU,GAAG,CAAC;gBACtE,CAAC,CAAC,EAAE,gBAAgB,EAAE,GAAG,CAAC,KAAK,CAAC,UAAU,EAAE;gBAC5C,CAAC,CAAC,EAAE,CAAC;SACR;KACF,CAAC;AACJ,CAAC;AAED,+EAA+E;AAE/E;;;;;;;;;GASG;AACH,MAAM,CAAC,KAAK,UAAU,kBAAkB,CACtC,KAA8C,EAC9C,OAA2B,EAAE;IAE7B,MAAM,MAAM,GAAG,KAAK,CAAC,MAAM,EAAE,IAAI,EAAE,IAAI,EAAE,CAAC;IAC1C,IAAI,CAAC,MAAM;QAAE,OAAO,EAAE,EAAE,EAAE,KAAK,EAAE,MAAM,EAAE,gBAAgB,EAAE,CAAC;IAE5D,MAAM,GAAG,GAAG,MAAM,SAAS,CACzB;QACE,GAAG,EAAE,QAAQ,CAAC,GAAG,kBAAkB,CAAC,MAAM,CAAC,kBAAkB,EAAE,IAAI,CAAC,GAAG,CAAC;QACxE,MAAM,EAAE,MAAM;QACd,MAAM,EAAE,KAAK,CAAC,WAAW;KAC1B,EACD,IAAI,CACL,CAAC;IACF,IAAI,CAAC,GAAG,CAAC,EAAE;QAAE,OAAO,GAAG,CAAC;IACxB,OAAO,EAAE,EAAE,EAAE,IAAI,EAAE,KAAK,EAAE,EAAE,UAAU,EAAE,GAAG,CAAC,KAAK,CAAC,OAAO,KAAK,KAAK,EAAE,EAAE,CAAC;AAC1E,CAAC;AAiBD;;;;;;GAMG;AACH,MAAM,CAAC,KAAK,UAAU,eAAe,CACnC,KAAqD,EACrD,OAA2B,EAAE;IAE7B,MAAM,EAAE,GAAG,KAAK,CAAC,aAAa,EAAE,IAAI,EAAE,IAAI,EAAE,CAAC;IAC7C,IAAI,CAAC,EAAE;QAAE,OAAO,EAAE,EAAE,EAAE,KAAK,EAAE,MAAM,EAAE,gBAAgB,EAAE,CAAC;IAExD,MAAM,GAAG,GAAG,IAAI,GAAG,CAAC,QAAQ,CAAC,kBAAkB,CAAC,EAAE,CAAC,EAAE,IAAI,CAAC,GAAG,CAAC,CAAC,CAAC;IAChE,GAAG,CAAC,YAAY,CAAC,GAAG,CAClB,QAAQ,EACR,iGAAiG,CAClG,CAAC;IAEF,MAAM,GAAG,GAAG,MAAM,SAAS,CACzB,EAAE,GAAG,EAAE,GAAG,CAAC,QAAQ,EAAE,EAAE,MAAM,EAAE,KAAK,EAAE,MAAM,EAAE,KAAK,CAAC,WAAW,EAAE,EACjE,IAAI,CACL,CAAC;IACF,IAAI,CAAC,GAAG,CAAC,EAAE;QAAE,OAAO,GAAG,CAAC;IAExB,MAAM,CAAC,GAAG,GAAG,CAAC,KAAK,CAAC;IACpB,OAAO;QACL,EAAE,EAAE,IAAI;QACR,KAAK,EAAE;YACL,GAAG,CAAC,GAAG,CAAC,CAAC,CAAC,oBAAoB,CAAC,CAAC,CAAC,CAAC,EAAE,kBAAkB,EAAE,GAAG,CAAC,CAAC,CAAC,oBAAoB,CAAE,EAAE,CAAC,CAAC,CAAC,EAAE,CAAC;YAC5F,GAAG,CAAC,GAAG,CAAC,CAAC,CAAC,aAAa,CAAC,CAAC,CAAC,CAAC,EAAE,YAAY,EAAE,GAAG,CAAC,CAAC,CAAC,aAAa,CAAE,EAAE,CAAC,CAAC,CAAC,EAAE,CAAC;YACxE,GAAG,CAAC,GAAG,CAAC,CAAC,CAAC,wBAAwB,CAAC;gBACjC,CAAC,CAAC,EAAE,sBAAsB,EAAE,GAAG,CAAC,CAAC,CAAC,wBAAwB,CAAE,EAAE;gBAC9D,CAAC,CAAC,EAAE,CAAC;YACP,GAAG,CAAC,GAAG,CAAC,CAAC,CAAC,MAAM,CAAC,CAAC,CAAC,CAAC,EAAE,MAAM,EAAE,GAAG,CAAC,CAAC,CAAC,MAAM,CAAE,EAAE,CAAC,CAAC,CAAC,EAAE,CAAC;YACpD,GAAG,CAAC,GAAG,CAAC,CAAC,CAAC,cAAc,CAAC,CAAC,CAAC,CAAC,EAAE,aAAa,EAAE,GAAG,CAAC,CAAC,CAAC,cAAc,CAAE,EAAE,CAAC,CAAC,CAAC,EAAE,CAAC;YAC3E,GAAG,CAAC,GAAG,CAAC,CAAC,CAAC,aAAa,CAAC,CAAC,CAAC,CAAC,EAAE,YAAY,EAAE,GAAG,CAAC,CAAC,CAAC,aAAa,CAAE,EAAE,CAAC,CAAC,CAAC,EAAE,CAAC;SACzE;KACF,CAAC;AACJ,CAAC;AAYD;;;;;;;;;;;GAWG;AACH,MAAM,CAAC,KAAK,UAAU,iBAAiB,CACrC,KAA8C,EAC9C,OAA2B,EAAE;IAE7B,MAAM,MAAM,GAAG,KAAK,CAAC,MAAM,EAAE,IAAI,EAAE,IAAI,EAAE,CAAC;IAC1C,IAAI,CAAC,MAAM;QAAE,OAAO,EAAE,EAAE,EAAE,KAAK,EAAE,MAAM,EAAE,gBAAgB,EAAE,CAAC;IAE5D,MAAM,GAAG,GAAG,IAAI,GAAG,CAAC,QAAQ,CAAC,GAAG,kBAAkB,CAAC,MAAM,CAAC,oBAAoB,EAAE,IAAI,CAAC,GAAG,CAAC,CAAC,CAAC;IAC3F,GAAG,CAAC,YAAY,CAAC,GAAG,CAAC,QAAQ,EAAE,+BAA+B,CAAC,CAAC;IAChE,GAAG,CAAC,YAAY,CAAC,GAAG,CAAC,OAAO,EAAE,KAAK,CAAC,CAAC;IAErC,MAAM,GAAG,GAAG,MAAM,SAAS,CACzB,EAAE,GAAG,EAAE,GAAG,CAAC,QAAQ,EAAE,EAAE,MAAM,EAAE,KAAK,EAAE,MAAM,EAAE,KAAK,CAAC,WAAW,EAAE,EACjE,IAAI,CACL,CAAC;IACF,IAAI,CAAC,GAAG,CAAC,EAAE;QAAE,OAAO,GAAG,CAAC;IAExB,MAAM,KAAK,GAAG,KAAK,CAAC,OAAO,CAAC,GAAG,CAAC,KAAK,CAAC,IAAI,CAAC,CAAC,CAAC,CAAC,GAAG,CAAC,KAAK,CAAC,IAAI,CAAC,CAAC,CAAC,EAAE,CAAC;IAClE,OAAO;QACL,EAAE,EAAE,IAAI;QACR,0EAA0E;QAC1E,0EAA0E;QAC1E,wEAAwE;QACxE,2CAA2C;QAC3C,KAAK,EAAE,KAAK,CAAC,OAAO,CAAC,CAAC,CAAC,EAAE,EAAE;YACzB,MAAM,IAAI,GAAG,GAAG,CAAC,CAAC,CAAC,IAAI,CAAC,CAAC;YACzB,MAAM,QAAQ,GAAG,GAAG,CAAC,CAAC,CAAC,QAAQ,CAAC,CAAC;YACjC,MAAM,MAAM,GAAG,GAAG,CAAC,CAAC,CAAC,MAAM,CAAC,CAAC;YAC7B,IAAI,CAAC,IAAI,IAAI,CAAC,QAAQ,IAAI,CAAC,MAAM;gBAAE,OAAO,EAAE,CAAC;YAC7C,MAAM,QAAQ,GAAG,GAAG,CAAC,CAAC,CAAC,QAAQ,CAAC,CAAC;YACjC,OAAO,CAAC,EAAE,IAAI,EAAE,QAAQ,EAAE,MAAM,EAAE,GAAG,CAAC,QAAQ,CAAC,CAAC,CAAC,EAAE,QAAQ,EAAE,CAAC,CAAC,CAAC,EAAE,CAAC,EAAE,CAAC,CAAC;QACzE,CAAC,CAAC;KACH,CAAC;AACJ,CAAC;AAuBD;;;;;;GAMG;AACH,MAAM,CAAC,KAAK,UAAU,mBAAmB,CACvC,KAA+B,EAC/B,OAA2B,EAAE;IAE7B,IAAI,KAAK,CAAC,UAAU,KAAK,IAAI;QAAE,OAAO,EAAE,EAAE,EAAE,KAAK,EAAE,MAAM,EAAE,gBAAgB,EAAE,CAAC;IAC9E,MAAM,GAAG,GAAG,KAAK,CAAC,GAAG,EAAE,IAAI,EAAE,IAAI,EAAE,CAAC;IACpC,IAAI,CAAC,SAAS,CAAC,IAAI,CAAC,GAAG,CAAC;QAAE,OAAO,EAAE,EAAE,EAAE,KAAK,EAAE,MAAM,EAAE,aAAa,EAAE,CAAC;IAEtE,MAAM,GAAG,GAAG,MAAM,SAAS,CACzB;QACE,GAAG,EAAE,QAAQ,CAAC,GAAG,kBAAkB,CAAC,KAAK,CAAC,aAAa,CAAC,WAAW,EAAE,IAAI,CAAC,GAAG,CAAC;QAC9E,MAAM,EAAE,MAAM;QACd,MAAM,EAAE,KAAK,CAAC,WAAW;QACzB,IAAI,EAAE,EAAE,iBAAiB,EAAE,UAAU,EAAE,GAAG,EAAE;KAC7C,EACD,IAAI,CACL,CAAC;IACF,IAAI,CAAC,GAAG,CAAC,EAAE;QAAE,OAAO,EAAE,EAAE,EAAE,KAAK,EAAE,MAAM,EAAE,GAAG,CAAC,MAAM,EAAE,CAAC;IACtD,OAAO,EAAE,EAAE,EAAE,IAAI,EAAE,CAAC;AACtB,CAAC;AAED,SAAS,GAAG,CAAC,CAAU;IACrB,OAAO,OAAO,CAAC,KAAK,QAAQ,IAAI,CAAC,CAAC,IAAI,EAAE,CAAC,MAAM,GAAG,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,IAAI,EAAE,CAAC,KAAK,CAAC,CAAC,EAAE,GAAG,CAAC,CAAC,CAAC,CAAC,SAAS,CAAC;AAC3F,CAAC"}

package/dist/communication/policy.d.ts

@@ -0,0 +1,99 @@
+/**
+ * Política de canais — qual canal tentar, em que ordem, e quando desistir.
+ *
+ * A política é DADO do consumidor, nunca constante do motor. O adendo §12 é
+ * explícito: `D-3`, `D0`, `D+3` e a escolha de canal pertencem à régua da SC. O
+ * motor recebe uma intenção que já diz "tente WhatsApp, depois e-mail" e a
+ * executa; ele nunca decide que cobrança de contabilidade começa por WhatsApp.
+ */
+import type { ChannelKey } from './channel.js';
+export interface ChannelPolicy {
+    /**
+     * Canais em ordem de preferência. O primeiro que estiver utilizável ganha.
+     *
+     * Lista, e não canal único com `fallback` opcional, porque a segunda escolha
+     * também pode falhar — e a alternativa seria aninhar fallback dentro de
+     * fallback até alguém parar de aninhar no nível errado.
+     */
+    order: readonly ChannelKey[];
+    /**
+     * Continuar para o próximo canal depois de uma falha TEMPORÁRIA?
+     *
+     * Padrão `false`, e o padrão é o ponto: numa falha temporária a mensagem ainda
+     * pode sair no canal preferido na próxima tentativa. Cair para o próximo
+     * imediatamente entrega DOIS avisos ao cliente pelo preço de uma instabilidade
+     * de rede — e num aviso de cobrança isso não é redundância simpática, é o
+     * escritório parecendo insistente.
+     */
+    fallbackOnTemporary?: boolean;
+}
+/**
+ * Por que um canal foi pulado. Cada motivo leva a uma ação operacional diferente
+ * na tela da régua, e por isso nenhum deles é "erro".
+ */
+export type SkipReason = 
+/** Canal não registrado no ambiente. */
+'channel_not_registered'
+/** Sem conta/credencial deste tenant para o canal. */
+ | 'no_identity'
+/** Destinatário sem endereço/telefone utilizável para este canal. */
+ | 'no_recipient'
+/** Telefone presente mas inválido, ou fixo onde só celular serve. */
+ | 'invalid_recipient'
+/** Opt-out registrado. */
+ | 'opted_out'
+/** Sem permissão registrada e a política do produto é fail-safe. */
+ | 'consent_unknown'
+/** Sem template aprovado para o evento neste canal. */
+ | 'no_template'
+/** Já enviado — a reserva desta chave está assentada como entregue. */
+ | 'already_sent'
+/**
+ * Outra execução está com a reserva desta chave AGORA.
+ *
+ * Distinto de `already_sent`: ali a mensagem saiu, aqui ela pode estar
+ * saindo neste instante em outro worker. Um só rótulo faria a trilha
+ * afirmar entrega que ninguém confirmou — e faria a régua parar de
+ * distinguir "o sistema funcionou" de "duas execuções disputaram".
+ */
+ | 'claim_in_flight'
+/**
+ * Esta execução TINHA a reserva e a perdeu antes de chamar o provider.
+ *
+ * O caso concreto: o processo travou (GC longo, `SIGSTOP`, VM suspensa) por
+ * mais tempo que o prazo da reserva, outro worker a retomou, e o primeiro
+ * acordou achando que ainda era o titular. O fencing pré-provider o barra na
+ * última fronteira persistente, e este é o rótulo.
+ *
+ * Distinto de `claim_in_flight` em quem é o sujeito: ali a reserva NUNCA foi
+ * concedida a esta execução; aqui ela foi, e expirou no meio. A diferença
+ * importa para quem investiga — `claim_in_flight` em massa é concorrência
+ * saudável, `claim_lost` em massa é prazo curto demais para o tempo real de
+ * envio, ou instância sofrendo pausa.
+ */
+ | 'claim_lost'
+/**
+ * A chave está assentada como falha permanente. Retentar repetiria o mesmo
+ * erro; o que falta é ação humana, não outra tentativa.
+ */
+ | 'permanently_failed'
+/**
+ * O desfecho da tentativa anterior é DESCONHECIDO — alguém chamou o provider e
+ * morreu antes de assentar — e não há garantia externa que torne o reenvio
+ * seguro.
+ *
+ * Distinto de `permanently_failed` em tudo que importa para quem opera: ali a
+ * mensagem comprovadamente não saiu, aqui ninguém sabe. Um só rótulo mandaria
+ * o escritório reenviar o que talvez já tenha chegado.
+ */
+ | 'unknown_outcome';
+/** Uma tentativa por canal, na ordem — o registro do que o motor fez e por quê. */
+export interface ChannelAttempt {
+    channel: ChannelKey;
+    skipped?: SkipReason;
+    outcome?: 'sent' | 'temporary' | 'permanent' | 'opted_out' | 'unavailable';
+    providerRef?: string;
+    detail?: string;
+}
+export declare const DEFAULT_POLICY: ChannelPolicy;
+//# sourceMappingURL=policy.d.ts.map

package/dist/communication/policy.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"policy.d.ts","sourceRoot":"","sources":["../../src/communication/policy.ts"],"names":[],"mappings":"AAAA;;;;;;;GAOG;AAEH,OAAO,KAAK,EAAE,UAAU,EAAE,MAAM,cAAc,CAAC;AAE/C,MAAM,WAAW,aAAa;IAC5B;;;;;;OAMG;IACH,KAAK,EAAE,SAAS,UAAU,EAAE,CAAC;IAC7B;;;;;;;;OAQG;IACH,mBAAmB,CAAC,EAAE,OAAO,CAAC;CAC/B;AAED;;;GAGG;AACH,MAAM,MAAM,UAAU;AACpB,wCAAwC;AACtC,wBAAwB;AAC1B,sDAAsD;GACpD,aAAa;AACf,qEAAqE;GACnE,cAAc;AAChB,qEAAqE;GACnE,mBAAmB;AACrB,0BAA0B;GACxB,WAAW;AACb,oEAAoE;GAClE,iBAAiB;AACnB,uDAAuD;GACrD,aAAa;AACf,uEAAuE;GACrE,cAAc;AAChB;;;;;;;GAOG;GACD,iBAAiB;AACnB;;;;;;;;;;;;;GAaG;GACD,YAAY;AACd;;;GAGG;GACD,oBAAoB;AACtB;;;;;;;;GAQG;GACD,iBAAiB,CAAC;AAEtB,mFAAmF;AACnF,MAAM,WAAW,cAAc;IAC7B,OAAO,EAAE,UAAU,CAAC;IACpB,OAAO,CAAC,EAAE,UAAU,CAAC;IACrB,OAAO,CAAC,EAAE,MAAM,GAAG,WAAW,GAAG,WAAW,GAAG,WAAW,GAAG,aAAa,CAAC;IAC3E,WAAW,CAAC,EAAE,MAAM,CAAC;IACrB,MAAM,CAAC,EAAE,MAAM,CAAC;CACjB;AAED,eAAO,MAAM,cAAc,EAAE,aAG5B,CAAC"}

package/dist/communication/policy.js

@@ -0,0 +1,13 @@
+/**
+ * Política de canais — qual canal tentar, em que ordem, e quando desistir.
+ *
+ * A política é DADO do consumidor, nunca constante do motor. O adendo §12 é
+ * explícito: `D-3`, `D0`, `D+3` e a escolha de canal pertencem à régua da SC. O
+ * motor recebe uma intenção que já diz "tente WhatsApp, depois e-mail" e a
+ * executa; ele nunca decide que cobrança de contabilidade começa por WhatsApp.
+ */
+export const DEFAULT_POLICY = {
+    order: ['email'],
+    fallbackOnTemporary: false,
+};
+//# sourceMappingURL=policy.js.map

package/dist/communication/policy.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"policy.js","sourceRoot":"","sources":["../../src/communication/policy.ts"],"names":[],"mappings":"AAAA;;;;;;;GAOG;AA+FH,MAAM,CAAC,MAAM,cAAc,GAAkB;IAC3C,KAAK,EAAE,CAAC,OAAO,CAAC;IAChB,mBAAmB,EAAE,KAAK;CAC3B,CAAC"}

package/dist/communication/routing.d.ts

@@ -0,0 +1,99 @@
+/**
+ * Roteamento de webhook de entrada — de quem é este evento?
+ *
+ * **Este módulo existe por causa da topologia do provider, não por gosto de
+ * abstração.** Sob um Meta App único do motor — que é a topologia oficial de
+ * Tech Provider —, a URL de callback e o verify token pertencem ao APP, não à
+ * conta do cliente. A Meta entrega os eventos de TODAS as WABAs assinadas no
+ * mesmo endereço, e não tem como saber o nosso `tenantId`.
+ *
+ * A rota anterior embutia `:tenantId` no path. Isso só funciona quando cada
+ * tenant tem o próprio App e o próprio webhook — uma topologia que a plataforma
+ * suporta, mas que não é a que o motor vai operar, e que não oferece
+ * coexistência com o WhatsApp Business App. Com um App só, o tenant tem de sair
+ * do PAYLOAD.
+ *
+ * O que decide é `metadata.phone_number_id`. O WABA (`entry.id`) é **conferência
+ * de coerência**, nunca segunda chave: um número que resolve para um registro
+ * cujo WABA discorda significa cadastro errado ou payload forjado, e os dois
+ * merecem recusa em vez de palpite. É a mesma conclusão a que o registry do
+ * Paid Media Engine já tinha chegado, e ela é reaproveitada aqui de propósito.
+ *
+ * Nunca decidem: telefone do remetente, nome do contato, texto da mensagem,
+ * nome de campanha. São entrada não autenticada ou ambígua — o mesmo telefone
+ * pode falar com dois tenants.
+ */
+/** Provedores cujo webhook este módulo sabe rotear. */
+export type RoutedProvider = 'meta_whatsapp';
+/**
+ * A origem declarada por um evento de entrada.
+ *
+ * `providerAccountRef` é o identificador de ROTEAMENTO (na Meta,
+ * `phone_number_id`). `providerParentRef` é o agrupador (a WABA), usado só para
+ * conferir coerência.
+ */
+export interface WebhookOrigin {
+    provider: RoutedProvider;
+    providerAccountRef: string;
+    providerParentRef?: string;
+}
+/**
+ * Vínculo entre uma conta do provider e um tenant/produto.
+ *
+ * **Sem segredo.** Só identificadores emitidos pelo provider e o dono. A
+ * credencial correspondente é resolvida depois, dentro do contexto do tenant,
+ * por referência lógica.
+ */
+export interface ChannelRoute {
+    provider: RoutedProvider;
+    providerAccountRef: string;
+    providerParentRef?: string;
+    tenantId: string;
+    product: string;
+    brand: string;
+    bindingId: string;
+}
+/**
+ * Fonte de rotas.
+ *
+ * Consultada ANTES de existir contexto de tenant — é o que a distingue do
+ * `ChannelAccountStore`, que só responde dentro de um tenant já conhecido.
+ */
+export interface ChannelRouteStore {
+    findByProviderAccount(provider: RoutedProvider, providerAccountRef: string): Promise<ChannelRoute | null>;
+}
+export type RouteRejection = 
+/** O payload não declarou de qual conta veio. */
+'missing_origin'
+/** Nenhum tenant reivindicou esta conta. NUNCA vira tenant padrão. */
+ | 'unknown_account'
+/** A conta existe, mas o agrupador declarado discorda do registrado. */
+ | 'parent_mismatch'
+/** O vínculo existe e não está ativo. */
+ | 'not_active';
+export type RouteResolution = {
+    ok: true;
+    route: ChannelRoute;
+} | {
+    ok: false;
+    reason: RouteRejection;
+    detail: string;
+};
+/**
+ * Resolve a origem de um evento para um tenant.
+ *
+ * **Fail-closed por construção.** Não existe neste arquivo nenhum caminho que
+ * devolva uma rota que não tenha sido encontrada pela chave exata do provider:
+ * não há tenant padrão, não há "primeiro tenant", não há fallback por marca. Um
+ * número desconhecido resolve para recusa, e quem chama audita e para.
+ */
+export declare function resolveRoute(store: ChannelRouteStore, origin: WebhookOrigin): Promise<RouteResolution>;
+/**
+ * Duas origens são a mesma?
+ *
+ * Um POST da Meta pode trazer eventos de mais de uma conta. Agrupar por origem
+ * antes de abrir contexto de tenant é o que impede o evento de um escritório de
+ * ser aplicado dentro da transação de outro.
+ */
+export declare function sameOrigin(a: WebhookOrigin, b: WebhookOrigin): boolean;
+//# sourceMappingURL=routing.d.ts.map

package/dist/communication/routing.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"routing.d.ts","sourceRoot":"","sources":["../../src/communication/routing.ts"],"names":[],"mappings":"AAAA;;;;;;;;;;;;;;;;;;;;;;;;GAwBG;AAEH,uDAAuD;AACvD,MAAM,MAAM,cAAc,GAAG,eAAe,CAAC;AAE7C;;;;;;GAMG;AACH,MAAM,WAAW,aAAa;IAC5B,QAAQ,EAAE,cAAc,CAAC;IACzB,kBAAkB,EAAE,MAAM,CAAC;IAC3B,iBAAiB,CAAC,EAAE,MAAM,CAAC;CAC5B;AAED;;;;;;GAMG;AACH,MAAM,WAAW,YAAY;IAC3B,QAAQ,EAAE,cAAc,CAAC;IACzB,kBAAkB,EAAE,MAAM,CAAC;IAC3B,iBAAiB,CAAC,EAAE,MAAM,CAAC;IAC3B,QAAQ,EAAE,MAAM,CAAC;IACjB,OAAO,EAAE,MAAM,CAAC;IAChB,KAAK,EAAE,MAAM,CAAC;IACd,SAAS,EAAE,MAAM,CAAC;CACnB;AAED;;;;;GAKG;AACH,MAAM,WAAW,iBAAiB;IAChC,qBAAqB,CACnB,QAAQ,EAAE,cAAc,EACxB,kBAAkB,EAAE,MAAM,GACzB,OAAO,CAAC,YAAY,GAAG,IAAI,CAAC,CAAC;CACjC;AAED,MAAM,MAAM,cAAc;AACxB,iDAAiD;AAC/C,gBAAgB;AAClB,sEAAsE;GACpE,iBAAiB;AACnB,wEAAwE;GACtE,iBAAiB;AACnB,yCAAyC;GACvC,YAAY,CAAC;AAEjB,MAAM,MAAM,eAAe,GACzB;IAAE,EAAE,EAAE,IAAI,CAAC;IAAC,KAAK,EAAE,YAAY,CAAA;CAAE,GAAG;IAAE,EAAE,EAAE,KAAK,CAAC;IAAC,MAAM,EAAE,cAAc,CAAC;IAAC,MAAM,EAAE,MAAM,CAAA;CAAE,CAAC;AAE5F;;;;;;;GAOG;AACH,wBAAsB,YAAY,CAChC,KAAK,EAAE,iBAAiB,EACxB,MAAM,EAAE,aAAa,GACpB,OAAO,CAAC,eAAe,CAAC,CA+B1B;AAED;;;;;;GAMG;AACH,wBAAgB,UAAU,CAAC,CAAC,EAAE,aAAa,EAAE,CAAC,EAAE,aAAa,GAAG,OAAO,CAMtE"}

package/dist/communication/routing.js

@@ -0,0 +1,73 @@
+/**
+ * Roteamento de webhook de entrada — de quem é este evento?
+ *
+ * **Este módulo existe por causa da topologia do provider, não por gosto de
+ * abstração.** Sob um Meta App único do motor — que é a topologia oficial de
+ * Tech Provider —, a URL de callback e o verify token pertencem ao APP, não à
+ * conta do cliente. A Meta entrega os eventos de TODAS as WABAs assinadas no
+ * mesmo endereço, e não tem como saber o nosso `tenantId`.
+ *
+ * A rota anterior embutia `:tenantId` no path. Isso só funciona quando cada
+ * tenant tem o próprio App e o próprio webhook — uma topologia que a plataforma
+ * suporta, mas que não é a que o motor vai operar, e que não oferece
+ * coexistência com o WhatsApp Business App. Com um App só, o tenant tem de sair
+ * do PAYLOAD.
+ *
+ * O que decide é `metadata.phone_number_id`. O WABA (`entry.id`) é **conferência
+ * de coerência**, nunca segunda chave: um número que resolve para um registro
+ * cujo WABA discorda significa cadastro errado ou payload forjado, e os dois
+ * merecem recusa em vez de palpite. É a mesma conclusão a que o registry do
+ * Paid Media Engine já tinha chegado, e ela é reaproveitada aqui de propósito.
+ *
+ * Nunca decidem: telefone do remetente, nome do contato, texto da mensagem,
+ * nome de campanha. São entrada não autenticada ou ambígua — o mesmo telefone
+ * pode falar com dois tenants.
+ */
+/**
+ * Resolve a origem de um evento para um tenant.
+ *
+ * **Fail-closed por construção.** Não existe neste arquivo nenhum caminho que
+ * devolva uma rota que não tenha sido encontrada pela chave exata do provider:
+ * não há tenant padrão, não há "primeiro tenant", não há fallback por marca. Um
+ * número desconhecido resolve para recusa, e quem chama audita e para.
+ */
+export async function resolveRoute(store, origin) {
+    const accountRef = origin.providerAccountRef?.trim();
+    if (!accountRef) {
+        return { ok: false, reason: 'missing_origin', detail: 'evento sem conta de origem' };
+    }
+    const route = await store.findByProviderAccount(origin.provider, accountRef);
+    if (!route) {
+        return {
+            ok: false,
+            reason: 'unknown_account',
+            detail: `conta ${origin.provider} não vinculada a nenhum tenant`,
+        };
+    }
+    // Conferência de coerência — só quando os dois lados declaram o agrupador.
+    // Exigi-lo quando o payload não o traz recusaria evento legítimo; ignorá-lo
+    // quando ambos existem e discordam aceitaria cadastro corrompido.
+    if (origin.providerParentRef &&
+        route.providerParentRef &&
+        origin.providerParentRef !== route.providerParentRef) {
+        return {
+            ok: false,
+            reason: 'parent_mismatch',
+            detail: 'agrupador do evento discorda do vínculo registrado',
+        };
+    }
+    return { ok: true, route };
+}
+/**
+ * Duas origens são a mesma?
+ *
+ * Um POST da Meta pode trazer eventos de mais de uma conta. Agrupar por origem
+ * antes de abrir contexto de tenant é o que impede o evento de um escritório de
+ * ser aplicado dentro da transação de outro.
+ */
+export function sameOrigin(a, b) {
+    return (a.provider === b.provider &&
+        a.providerAccountRef === b.providerAccountRef &&
+        (a.providerParentRef ?? '') === (b.providerParentRef ?? ''));
+}
+//# sourceMappingURL=routing.js.map

package/dist/communication/routing.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"routing.js","sourceRoot":"","sources":["../../src/communication/routing.ts"],"names":[],"mappings":"AAAA;;;;;;;;;;;;;;;;;;;;;;;;GAwBG;AA6DH;;;;;;;GAOG;AACH,MAAM,CAAC,KAAK,UAAU,YAAY,CAChC,KAAwB,EACxB,MAAqB;IAErB,MAAM,UAAU,GAAG,MAAM,CAAC,kBAAkB,EAAE,IAAI,EAAE,CAAC;IACrD,IAAI,CAAC,UAAU,EAAE,CAAC;QAChB,OAAO,EAAE,EAAE,EAAE,KAAK,EAAE,MAAM,EAAE,gBAAgB,EAAE,MAAM,EAAE,4BAA4B,EAAE,CAAC;IACvF,CAAC;IAED,MAAM,KAAK,GAAG,MAAM,KAAK,CAAC,qBAAqB,CAAC,MAAM,CAAC,QAAQ,EAAE,UAAU,CAAC,CAAC;IAC7E,IAAI,CAAC,KAAK,EAAE,CAAC;QACX,OAAO;YACL,EAAE,EAAE,KAAK;YACT,MAAM,EAAE,iBAAiB;YACzB,MAAM,EAAE,SAAS,MAAM,CAAC,QAAQ,gCAAgC;SACjE,CAAC;IACJ,CAAC;IAED,2EAA2E;IAC3E,4EAA4E;IAC5E,kEAAkE;IAClE,IACE,MAAM,CAAC,iBAAiB;QACxB,KAAK,CAAC,iBAAiB;QACvB,MAAM,CAAC,iBAAiB,KAAK,KAAK,CAAC,iBAAiB,EACpD,CAAC;QACD,OAAO;YACL,EAAE,EAAE,KAAK;YACT,MAAM,EAAE,iBAAiB;YACzB,MAAM,EAAE,oDAAoD;SAC7D,CAAC;IACJ,CAAC;IAED,OAAO,EAAE,EAAE,EAAE,IAAI,EAAE,KAAK,EAAE,CAAC;AAC7B,CAAC;AAED;;;;;;GAMG;AACH,MAAM,UAAU,UAAU,CAAC,CAAgB,EAAE,CAAgB;IAC3D,OAAO,CACL,CAAC,CAAC,QAAQ,KAAK,CAAC,CAAC,QAAQ;QACzB,CAAC,CAAC,kBAAkB,KAAK,CAAC,CAAC,kBAAkB;QAC7C,CAAC,CAAC,CAAC,iBAAiB,IAAI,EAAE,CAAC,KAAK,CAAC,CAAC,CAAC,iBAAiB,IAAI,EAAE,CAAC,CAC5D,CAAC;AACJ,CAAC"}