@baruk/core 0.3.1 → 0.4.2

package/dist/communication/webhook-subscription.js

@@ -0,0 +1,252 @@
+/**
+ * Diagnóstico da ASSINATURA de webhooks — por que o status não chega.
+ *
+ * ## O que este módulo responde
+ *
+ * Uma mensagem aceita pela Meta não produz `delivered` sozinha: o status volta
+ * por webhook, e o webhook depende de duas coisas que vivem em lugares
+ * DIFERENTES e são configuradas por caminhos diferentes:
+ *
+ *   1. **A WABA assina o app.** `POST {waba}/subscribed_apps` — feito pelo
+ *      Embedded Signup, no código (`subscribeAppToWaba`).
+ *   2. **O app assina o objeto e declara para onde entregar.**
+ *      `{app}/subscriptions` com `object=whatsapp_business_account`,
+ *      `callback_url`, `verify_token` e os `fields` (`messages`) — configurado
+ *      no painel do app, uma vez, e NUNCA automatizado nesta casa.
+ *
+ * Ter (1) e não ter (2) produz exatamente o sintoma observado em 2026-09-01: a
+ * Meta aceita a mensagem, devolve `wamid`, e não chama ninguém. Do lado de cá
+ * não há erro nenhum para ver — o silêncio é a única evidência, e silêncio não
+ * aponta causa.
+ *
+ * ## Por que é leitura pura
+ *
+ * Este módulo não corrige nada. Corrigir a assinatura do app é mutação externa
+ * que muda para onde a Meta entrega os eventos de TODAS as WABAs do app — não é
+ * coisa que uma rota de diagnóstico deva poder fazer por engano.
+ *
+ * ## Sobre o token de app
+ *
+ * `{app_id}|{app_secret}` é a forma que a Graph API aceita para chamadas em
+ * nome do app. O segredo entra na composição do token e **não sai deste
+ * módulo**: nem no retorno, nem em erro, nem em log. As respostas carregam só
+ * `callback_url` (que é público, é o nosso endpoint), os campos assinados e o
+ * estado — nunca o `verify_token`, que a Graph tampouco devolve.
+ */
+import { graphUrl } from './graph.js';
+/**
+ * Classifica sem propagar a mensagem do provider.
+ *
+ * O mesmo desenho de `onboarding.ts`: o texto da Meta pode conter identificador
+ * de app, de negócio ou trecho de token, e uma rota de diagnóstico é
+ * exatamente onde esse texto acabaria numa tela.
+ */
+function classify(status) {
+    if (status === 401 || status === 403)
+        return 'unauthorized';
+    if (status === 404)
+        return 'not_found';
+    return 'provider_error';
+}
+async function ler(url, bearer, opts) {
+    const doFetch = opts.fetchImpl ?? fetch;
+    let res;
+    try {
+        res = await doFetch(url, { method: 'GET', headers: { authorization: `Bearer ${bearer}` } });
+    }
+    catch {
+        // A exceção de rede é DESCARTADA inteira: em algumas implementações ela
+        // carrega a URL, e a URL de app carrega o token composto.
+        return { ok: false, reason: 'network' };
+    }
+    if (!res.ok)
+        return { ok: false, reason: classify(res.status) };
+    try {
+        return { ok: true, value: (await res.json()) };
+    }
+    catch {
+        return { ok: false, reason: 'provider_error' };
+    }
+}
+/**
+ * Quais apps a WABA assina — `GET {waba}/subscribed_apps`.
+ *
+ * Usa o token de NEGÓCIO do tenant (o mesmo do despacho): é a WABA do cliente,
+ * e quem tem direito a lê-la é quem tem a credencial dela.
+ */
+export async function readWabaSubscribedApps(input, opts = {}) {
+    const id = input.wabaId?.trim() ?? '';
+    if (!id)
+        return { ok: false, reason: 'provider_error' };
+    const r = await ler(graphUrl(`${encodeURIComponent(id)}/subscribed_apps`, opts.env), input.accessToken, opts);
+    if (!r.ok)
+        return r;
+    const apps = [];
+    for (const item of r.value.data ?? []) {
+        const d = item.whatsapp_business_api_data;
+        if (d?.id)
+            apps.push({ id: d.id, ...(d.name ? { name: d.name } : {}) });
+    }
+    return { ok: true, value: apps };
+}
+/**
+ * O que o APP assina, e para onde entrega — `GET {app}/subscriptions`.
+ *
+ * Exige token de APP. O segredo é consumido aqui e não atravessa a fronteira:
+ * o retorno tem `callback_url`, campos e estado, nada mais.
+ */
+export async function readAppSubscriptions(input, opts = {}) {
+    const appId = input.appId?.trim() ?? '';
+    const secret = input.appSecret?.trim() ?? '';
+    if (!appId || !secret)
+        return { ok: false, reason: 'unauthorized' };
+    const r = await ler(graphUrl(`${encodeURIComponent(appId)}/subscriptions`, opts.env), 
+    // Token de app. Composto na chamada e descartado com ela.
+    `${appId}|${secret}`, opts);
+    if (!r.ok)
+        return r;
+    return {
+        ok: true,
+        value: (r.value.data ?? []).map((s) => ({
+            object: s.object ?? 'unknown',
+            ...(s.callback_url ? { callbackUrl: s.callback_url } : {}),
+            ...(typeof s.active === 'boolean' ? { active: s.active } : {}),
+            // A Graph devolve os campos ora como objeto, ora como string, conforme a
+            // versão. Normalizar aqui evita que a rota tenha de conhecer as duas.
+            fields: (s.fields ?? [])
+                .map((f) => (typeof f === 'string' ? f : (f.name ?? '')))
+                .filter((n) => n.length > 0),
+        })),
+    };
+}
+/**
+ * Pede à Meta que ENTREGUE um evento de amostra no callback do app.
+ *
+ * `POST {app}/subscriptions_sample` — o mesmo botão "Testar" do painel de
+ * Webhooks, pela API. **Não manda mensagem de WhatsApp para ninguém**: a Meta
+ * monta um payload sintético do campo pedido e o entrega no `callback_url` já
+ * configurado, assinado como um evento real.
+ *
+ * ## Por que isto vale mais que olhar a configuração
+ *
+ * A leitura acima diz que a configuração ESTÁ certa. Não diz que a entrega
+ * ACONTECE. São afirmações diferentes, e a segunda é a que interessa quando o
+ * sintoma é silêncio: se a amostra chega, o caminho
+ * `Meta → nosso endpoint → assinatura` está provado e a causa é upstream — a
+ * Meta não está GERANDO status para este app. Se a amostra não chega, o
+ * problema é o caminho, e a configuração correta era uma pista falsa.
+ *
+ * É a única sonda que discrimina as duas sem gastar uma mensagem real.
+ *
+ * ## Não altera nada
+ *
+ * Não cria, não muda e não remove assinatura. O único efeito externo é uma
+ * requisição HTTP que a Meta faz ao nosso próprio endpoint público.
+ */
+export async function sendWebhookTestEvent(input, opts = {}) {
+    const appId = input.appId?.trim() ?? '';
+    const secret = input.appSecret?.trim() ?? '';
+    if (!appId || !secret)
+        return { ok: false, reason: 'unauthorized' };
+    const corpo = new URLSearchParams({
+        object: input.object ?? 'whatsapp_business_account',
+        field: input.field ?? 'messages',
+        // Sem isto a Meta entrega só a forma do evento, sem valores — e um payload
+        // vazio não exercita a validação de assinatura do mesmo jeito.
+        include_values: 'true',
+    });
+    const doFetch = opts.fetchImpl ?? fetch;
+    let res;
+    try {
+        res = await doFetch(graphUrl(`${encodeURIComponent(appId)}/subscriptions_sample`, opts.env), {
+            method: 'POST',
+            headers: {
+                // Token de app no HEADER. Em query string ele apareceria em log de
+                // proxy e em stack trace.
+                authorization: `Bearer ${appId}|${secret}`,
+                'content-type': 'application/x-www-form-urlencoded',
+            },
+            body: corpo.toString(),
+        });
+    }
+    catch {
+        return { ok: false, reason: 'network' };
+    }
+    if (!res.ok)
+        return { ok: false, reason: classify(res.status) };
+    return { ok: true, value: { requested: true } };
+}
+/**
+ * Campos pedidos em CAMADAS, e não numa lista só.
+ *
+ * A Graph API recusa a requisição INTEIRA quando um único campo do `?fields=`
+ * não é legível pela credencial usada — e o que é legível por token de app varia
+ * por campo, por versão e por estado do app. Uma lista única transforma "um
+ * campo restrito" em "nenhum dado", que foi exatamente o que aconteceu na
+ * primeira tentativa: `provider_error` e zero informação, sem dizer qual campo.
+ *
+ * Em camadas, o que der para ler é lido, e o que faltar aparece nomeado em
+ * `unreadableFields` — que é uma resposta útil para quem precisa saber se deve
+ * ir ao painel.
+ */
+const CAMADAS_DO_APP = [
+    // Identidade: se esta falhar, a credencial é que está errada.
+    ['id', 'name', 'category', 'link', 'icon_url'],
+    // Configuração administrativa — o que a análise da Meta confere.
+    ['privacy_policy_url', 'terms_of_service_url', 'app_domains', 'contact_email'],
+    // Exclusão de dados: dois campos distintos, e a Meta aceita um OU outro.
+    ['data_deletion_url', 'deauth_callback_url'],
+];
+export async function readAppSettings(input, opts = {}) {
+    const appId = input.appId?.trim() ?? '';
+    const secret = input.appSecret?.trim() ?? '';
+    if (!appId || !secret)
+        return { ok: false, reason: 'unauthorized' };
+    const token = `${appId}|${secret}`;
+    const v = {};
+    const ilegiveis = [];
+    let algumaPassou = false;
+    for (const camada of CAMADAS_DO_APP) {
+        const r = await ler(`${graphUrl(encodeURIComponent(appId), opts.env)}?fields=${camada.join(',')}`, token, opts);
+        if (r.ok) {
+            algumaPassou = true;
+            Object.assign(v, r.value);
+        }
+        else {
+            // Não sabemos QUAL campo da camada foi recusado — a Graph não diz. O que
+            // se pode afirmar é que nenhum deles veio, e nomeá-los é mais útil do que
+            // omitir a camada em silêncio.
+            ilegiveis.push(...camada);
+        }
+    }
+    // Nenhuma camada passou: é problema de credencial, não de campo restrito.
+    if (!algumaPassou)
+        return { ok: false, reason: 'unauthorized' };
+    const txt = (k) => {
+        const x = v[k];
+        return typeof x === 'string' && x.length > 0 ? x : undefined;
+    };
+    const dominios = Array.isArray(v.app_domains)
+        ? v.app_domains.filter((d) => typeof d === 'string')
+        : [];
+    return {
+        ok: true,
+        value: {
+            id: txt('id') ?? appId,
+            ...(txt('name') ? { name: txt('name') } : {}),
+            ...(txt('category') ? { category: txt('category') } : {}),
+            ...(txt('privacy_policy_url') ? { privacyPolicyUrl: txt('privacy_policy_url') } : {}),
+            ...(txt('terms_of_service_url') ? { termsOfServiceUrl: txt('terms_of_service_url') } : {}),
+            ...(txt('data_deletion_url')
+                ? { dataDeletionInstructionsUrl: txt('data_deletion_url') }
+                : {}),
+            ...(txt('deauth_callback_url') ? { deauthCallbackUrl: txt('deauth_callback_url') } : {}),
+            appDomains: dominios,
+            ...(txt('contact_email') ? { contactEmail: txt('contact_email') } : {}),
+            ...(txt('icon_url') ? { iconUrl: txt('icon_url') } : {}),
+            ...(txt('link') ? { link: txt('link') } : {}),
+            unreadableFields: ilegiveis,
+        },
+    };
+}
+//# sourceMappingURL=webhook-subscription.js.map

package/dist/communication/webhook-subscription.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"webhook-subscription.js","sourceRoot":"","sources":["../../src/communication/webhook-subscription.ts"],"names":[],"mappings":"AAAA;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;GAkCG;AAEH,OAAO,EAAE,QAAQ,EAAE,MAAM,YAAY,CAAC;AAwBtC;;;;;;GAMG;AACH,SAAS,QAAQ,CAAC,MAAc;IAC9B,IAAI,MAAM,KAAK,GAAG,IAAI,MAAM,KAAK,GAAG;QAAE,OAAO,cAAc,CAAC;IAC5D,IAAI,MAAM,KAAK,GAAG;QAAE,OAAO,WAAW,CAAC;IACvC,OAAO,gBAAgB,CAAC;AAC1B,CAAC;AAED,KAAK,UAAU,GAAG,CAChB,GAAW,EACX,MAAc,EACd,IAAwB;IAExB,MAAM,OAAO,GAAG,IAAI,CAAC,SAAS,IAAI,KAAK,CAAC;IACxC,IAAI,GAAa,CAAC;IAClB,IAAI,CAAC;QACH,GAAG,GAAG,MAAM,OAAO,CAAC,GAAG,EAAE,EAAE,MAAM,EAAE,KAAK,EAAE,OAAO,EAAE,EAAE,aAAa,EAAE,UAAU,MAAM,EAAE,EAAE,EAAE,CAAC,CAAC;IAC9F,CAAC;IAAC,MAAM,CAAC;QACP,wEAAwE;QACxE,0DAA0D;QAC1D,OAAO,EAAE,EAAE,EAAE,KAAK,EAAE,MAAM,EAAE,SAAS,EAAE,CAAC;IAC1C,CAAC;IACD,IAAI,CAAC,GAAG,CAAC,EAAE;QAAE,OAAO,EAAE,EAAE,EAAE,KAAK,EAAE,MAAM,EAAE,QAAQ,CAAC,GAAG,CAAC,MAAM,CAAC,EAAE,CAAC;IAChE,IAAI,CAAC;QACH,OAAO,EAAE,EAAE,EAAE,IAAI,EAAE,KAAK,EAAE,CAAC,MAAM,GAAG,CAAC,IAAI,EAAE,CAAM,EAAE,CAAC;IACtD,CAAC;IAAC,MAAM,CAAC;QACP,OAAO,EAAE,EAAE,EAAE,KAAK,EAAE,MAAM,EAAE,gBAAgB,EAAE,CAAC;IACjD,CAAC;AACH,CAAC;AAED;;;;;GAKG;AACH,MAAM,CAAC,KAAK,UAAU,sBAAsB,CAC1C,KAA8C,EAC9C,OAA2B,EAAE;IAE7B,MAAM,EAAE,GAAG,KAAK,CAAC,MAAM,EAAE,IAAI,EAAE,IAAI,EAAE,CAAC;IACtC,IAAI,CAAC,EAAE;QAAE,OAAO,EAAE,EAAE,EAAE,KAAK,EAAE,MAAM,EAAE,gBAAgB,EAAE,CAAC;IAExD,MAAM,CAAC,GAAG,MAAM,GAAG,CACjB,QAAQ,CAAC,GAAG,kBAAkB,CAAC,EAAE,CAAC,kBAAkB,EAAE,IAAI,CAAC,GAAG,CAAC,EAC/D,KAAK,CAAC,WAAW,EACjB,IAAI,CACL,CAAC;IACF,IAAI,CAAC,CAAC,CAAC,EAAE;QAAE,OAAO,CAAC,CAAC;IAEpB,MAAM,IAAI,GAAoB,EAAE,CAAC;IACjC,KAAK,MAAM,IAAI,IAAI,CAAC,CAAC,KAAK,CAAC,IAAI,IAAI,EAAE,EAAE,CAAC;QACtC,MAAM,CAAC,GAAG,IAAI,CAAC,0BAA0B,CAAC;QAC1C,IAAI,CAAC,EAAE,EAAE;YAAE,IAAI,CAAC,IAAI,CAAC,EAAE,EAAE,EAAE,CAAC,CAAC,EAAE,EAAE,GAAG,CAAC,CAAC,CAAC,IAAI,CAAC,CAAC,CAAC,EAAE,IAAI,EAAE,CAAC,CAAC,IAAI,EAAE,CAAC,CAAC,CAAC,EAAE,CAAC,EAAE,CAAC,CAAC;IAC1E,CAAC;IACD,OAAO,EAAE,EAAE,EAAE,IAAI,EAAE,KAAK,EAAE,IAAI,EAAE,CAAC;AACnC,CAAC;AAED;;;;;GAKG;AACH,MAAM,CAAC,KAAK,UAAU,oBAAoB,CACxC,KAA2C,EAC3C,OAA2B,EAAE;IAE7B,MAAM,KAAK,GAAG,KAAK,CAAC,KAAK,EAAE,IAAI,EAAE,IAAI,EAAE,CAAC;IACxC,MAAM,MAAM,GAAG,KAAK,CAAC,SAAS,EAAE,IAAI,EAAE,IAAI,EAAE,CAAC;IAC7C,IAAI,CAAC,KAAK,IAAI,CAAC,MAAM;QAAE,OAAO,EAAE,EAAE,EAAE,KAAK,EAAE,MAAM,EAAE,cAAc,EAAE,CAAC;IAEpE,MAAM,CAAC,GAAG,MAAM,GAAG,CAQjB,QAAQ,CAAC,GAAG,kBAAkB,CAAC,KAAK,CAAC,gBAAgB,EAAE,IAAI,CAAC,GAAG,CAAC;IAChE,0DAA0D;IAC1D,GAAG,KAAK,IAAI,MAAM,EAAE,EACpB,IAAI,CACL,CAAC;IACF,IAAI,CAAC,CAAC,CAAC,EAAE;QAAE,OAAO,CAAC,CAAC;IAEpB,OAAO;QACL,EAAE,EAAE,IAAI;QACR,KAAK,EAAE,CAAC,CAAC,CAAC,KAAK,CAAC,IAAI,IAAI,EAAE,CAAC,CAAC,GAAG,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC;YACtC,MAAM,EAAE,CAAC,CAAC,MAAM,IAAI,SAAS;YAC7B,GAAG,CAAC,CAAC,CAAC,YAAY,CAAC,CAAC,CAAC,EAAE,WAAW,EAAE,CAAC,CAAC,YAAY,EAAE,CAAC,CAAC,CAAC,EAAE,CAAC;YAC1D,GAAG,CAAC,OAAO,CAAC,CAAC,MAAM,KAAK,SAAS,CAAC,CAAC,CAAC,EAAE,MAAM,EAAE,CAAC,CAAC,MAAM,EAAE,CAAC,CAAC,CAAC,EAAE,CAAC;YAC9D,yEAAyE;YACzE,sEAAsE;YACtE,MAAM,EAAE,CAAC,CAAC,CAAC,MAAM,IAAI,EAAE,CAAC;iBACrB,GAAG,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC,OAAO,CAAC,KAAK,QAAQ,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,IAAI,IAAI,EAAE,CAAC,CAAC,CAAC;iBACxD,MAAM,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC,CAAC,MAAM,GAAG,CAAC,CAAC;SAC/B,CAAC,CAAC;KACJ,CAAC;AACJ,CAAC;AAED;;;;;;;;;;;;;;;;;;;;;;;GAuBG;AACH,MAAM,CAAC,KAAK,UAAU,oBAAoB,CACxC,KAA4E,EAC5E,OAA2B,EAAE;IAE7B,MAAM,KAAK,GAAG,KAAK,CAAC,KAAK,EAAE,IAAI,EAAE,IAAI,EAAE,CAAC;IACxC,MAAM,MAAM,GAAG,KAAK,CAAC,SAAS,EAAE,IAAI,EAAE,IAAI,EAAE,CAAC;IAC7C,IAAI,CAAC,KAAK,IAAI,CAAC,MAAM;QAAE,OAAO,EAAE,EAAE,EAAE,KAAK,EAAE,MAAM,EAAE,cAAc,EAAE,CAAC;IAEpE,MAAM,KAAK,GAAG,IAAI,eAAe,CAAC;QAChC,MAAM,EAAE,KAAK,CAAC,MAAM,IAAI,2BAA2B;QACnD,KAAK,EAAE,KAAK,CAAC,KAAK,IAAI,UAAU;QAChC,2EAA2E;QAC3E,+DAA+D;QAC/D,cAAc,EAAE,MAAM;KACvB,CAAC,CAAC;IAEH,MAAM,OAAO,GAAG,IAAI,CAAC,SAAS,IAAI,KAAK,CAAC;IACxC,IAAI,GAAa,CAAC;IAClB,IAAI,CAAC;QACH,GAAG,GAAG,MAAM,OAAO,CAAC,QAAQ,CAAC,GAAG,kBAAkB,CAAC,KAAK,CAAC,uBAAuB,EAAE,IAAI,CAAC,GAAG,CAAC,EAAE;YAC3F,MAAM,EAAE,MAAM;YACd,OAAO,EAAE;gBACP,mEAAmE;gBACnE,0BAA0B;gBAC1B,aAAa,EAAE,UAAU,KAAK,IAAI,MAAM,EAAE;gBAC1C,cAAc,EAAE,mCAAmC;aACpD;YACD,IAAI,EAAE,KAAK,CAAC,QAAQ,EAAE;SACvB,CAAC,CAAC;IACL,CAAC;IAAC,MAAM,CAAC;QACP,OAAO,EAAE,EAAE,EAAE,KAAK,EAAE,MAAM,EAAE,SAAS,EAAE,CAAC;IAC1C,CAAC;IACD,IAAI,CAAC,GAAG,CAAC,EAAE;QAAE,OAAO,EAAE,EAAE,EAAE,KAAK,EAAE,MAAM,EAAE,QAAQ,CAAC,GAAG,CAAC,MAAM,CAAC,EAAE,CAAC;IAChE,OAAO,EAAE,EAAE,EAAE,IAAI,EAAE,KAAK,EAAE,EAAE,SAAS,EAAE,IAAI,EAAE,EAAE,CAAC;AAClD,CAAC;AA4CD;;;;;;;;;;;;GAYG;AACH,MAAM,cAAc,GAAmC;IACrD,8DAA8D;IAC9D,CAAC,IAAI,EAAE,MAAM,EAAE,UAAU,EAAE,MAAM,EAAE,UAAU,CAAC;IAC9C,iEAAiE;IACjE,CAAC,oBAAoB,EAAE,sBAAsB,EAAE,aAAa,EAAE,eAAe,CAAC;IAC9E,yEAAyE;IACzE,CAAC,mBAAmB,EAAE,qBAAqB,CAAC;CAC7C,CAAC;AAEF,MAAM,CAAC,KAAK,UAAU,eAAe,CACnC,KAA2C,EAC3C,OAA2B,EAAE;IAE7B,MAAM,KAAK,GAAG,KAAK,CAAC,KAAK,EAAE,IAAI,EAAE,IAAI,EAAE,CAAC;IACxC,MAAM,MAAM,GAAG,KAAK,CAAC,SAAS,EAAE,IAAI,EAAE,IAAI,EAAE,CAAC;IAC7C,IAAI,CAAC,KAAK,IAAI,CAAC,MAAM;QAAE,OAAO,EAAE,EAAE,EAAE,KAAK,EAAE,MAAM,EAAE,cAAc,EAAE,CAAC;IAEpE,MAAM,KAAK,GAAG,GAAG,KAAK,IAAI,MAAM,EAAE,CAAC;IACnC,MAAM,CAAC,GAA4B,EAAE,CAAC;IACtC,MAAM,SAAS,GAAa,EAAE,CAAC;IAC/B,IAAI,YAAY,GAAG,KAAK,CAAC;IAEzB,KAAK,MAAM,MAAM,IAAI,cAAc,EAAE,CAAC;QACpC,MAAM,CAAC,GAAG,MAAM,GAAG,CACjB,GAAG,QAAQ,CAAC,kBAAkB,CAAC,KAAK,CAAC,EAAE,IAAI,CAAC,GAAG,CAAC,WAAW,MAAM,CAAC,IAAI,CAAC,GAAG,CAAC,EAAE,EAC7E,KAAK,EACL,IAAI,CACL,CAAC;QACF,IAAI,CAAC,CAAC,EAAE,EAAE,CAAC;YACT,YAAY,GAAG,IAAI,CAAC;YACpB,MAAM,CAAC,MAAM,CAAC,CAAC,EAAE,CAAC,CAAC,KAAK,CAAC,CAAC;QAC5B,CAAC;aAAM,CAAC;YACN,yEAAyE;YACzE,0EAA0E;YAC1E,+BAA+B;YAC/B,SAAS,CAAC,IAAI,CAAC,GAAG,MAAM,CAAC,CAAC;QAC5B,CAAC;IACH,CAAC;IACD,0EAA0E;IAC1E,IAAI,CAAC,YAAY;QAAE,OAAO,EAAE,EAAE,EAAE,KAAK,EAAE,MAAM,EAAE,cAAc,EAAE,CAAC;IAChE,MAAM,GAAG,GAAG,CAAC,CAAS,EAAsB,EAAE;QAC5C,MAAM,CAAC,GAAG,CAAC,CAAC,CAAC,CAAC,CAAC;QACf,OAAO,OAAO,CAAC,KAAK,QAAQ,IAAI,CAAC,CAAC,MAAM,GAAG,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,SAAS,CAAC;IAC/D,CAAC,CAAC;IACF,MAAM,QAAQ,GAAG,KAAK,CAAC,OAAO,CAAC,CAAC,CAAC,WAAW,CAAC;QAC3C,CAAC,CAAC,CAAC,CAAC,WAAW,CAAC,MAAM,CAAC,CAAC,CAAC,EAAe,EAAE,CAAC,OAAO,CAAC,KAAK,QAAQ,CAAC;QACjE,CAAC,CAAC,EAAE,CAAC;IAEP,OAAO;QACL,EAAE,EAAE,IAAI;QACR,KAAK,EAAE;YACL,EAAE,EAAE,GAAG,CAAC,IAAI,CAAC,IAAI,KAAK;YACtB,GAAG,CAAC,GAAG,CAAC,MAAM,CAAC,CAAC,CAAC,CAAC,EAAE,IAAI,EAAE,GAAG,CAAC,MAAM,CAAE,EAAE,CAAC,CAAC,CAAC,EAAE,CAAC;YAC9C,GAAG,CAAC,GAAG,CAAC,UAAU,CAAC,CAAC,CAAC,CAAC,EAAE,QAAQ,EAAE,GAAG,CAAC,UAAU,CAAE,EAAE,CAAC,CAAC,CAAC,EAAE,CAAC;YAC1D,GAAG,CAAC,GAAG,CAAC,oBAAoB,CAAC,CAAC,CAAC,CAAC,EAAE,gBAAgB,EAAE,GAAG,CAAC,oBAAoB,CAAE,EAAE,CAAC,CAAC,CAAC,EAAE,CAAC;YACtF,GAAG,CAAC,GAAG,CAAC,sBAAsB,CAAC,CAAC,CAAC,CAAC,EAAE,iBAAiB,EAAE,GAAG,CAAC,sBAAsB,CAAE,EAAE,CAAC,CAAC,CAAC,EAAE,CAAC;YAC3F,GAAG,CAAC,GAAG,CAAC,mBAAmB,CAAC;gBAC1B,CAAC,CAAC,EAAE,2BAA2B,EAAE,GAAG,CAAC,mBAAmB,CAAE,EAAE;gBAC5D,CAAC,CAAC,EAAE,CAAC;YACP,GAAG,CAAC,GAAG,CAAC,qBAAqB,CAAC,CAAC,CAAC,CAAC,EAAE,iBAAiB,EAAE,GAAG,CAAC,qBAAqB,CAAE,EAAE,CAAC,CAAC,CAAC,EAAE,CAAC;YACzF,UAAU,EAAE,QAAQ;YACpB,GAAG,CAAC,GAAG,CAAC,eAAe,CAAC,CAAC,CAAC,CAAC,EAAE,YAAY,EAAE,GAAG,CAAC,eAAe,CAAE,EAAE,CAAC,CAAC,CAAC,EAAE,CAAC;YACxE,GAAG,CAAC,GAAG,CAAC,UAAU,CAAC,CAAC,CAAC,CAAC,EAAE,OAAO,EAAE,GAAG,CAAC,UAAU,CAAE,EAAE,CAAC,CAAC,CAAC,EAAE,CAAC;YACzD,GAAG,CAAC,GAAG,CAAC,MAAM,CAAC,CAAC,CAAC,CAAC,EAAE,IAAI,EAAE,GAAG,CAAC,MAAM,CAAE,EAAE,CAAC,CAAC,CAAC,EAAE,CAAC;YAC9C,gBAAgB,EAAE,SAAS;SAC5B;KACF,CAAC;AACJ,CAAC"}

package/dist/communication/webhook.d.ts

@@ -0,0 +1,121 @@
+/**
+ * Callbacks de entrega dos canais.
+ *
+ * **Separado do webhook financeiro (Asaas), e não por organização de pastas.**
+ * São dois fluxos com confianças e consequências diferentes: o financeiro dá
+ * baixa em dinheiro, este só atualiza o que a tela mostra sobre uma mensagem.
+ * Misturá-los coloca um endpoint que qualquer provedor de mensagem pode chamar
+ * no mesmo caminho de código que movimenta valor.
+ *
+ * O que este módulo faz: traduzir o vocabulário de cada provider para os estados
+ * de `status.ts`, e devolver a referência que localiza a ação. O que ele NÃO
+ * faz: autenticar (é da borda HTTP) e escrever no banco (é do consumidor).
+ */
+import type { ChannelKey } from './channel.js';
+import { type WebhookOrigin } from './routing.js';
+import { type DeliveryStatus } from './status.js';
+export interface DeliveryEvent {
+    channel: ChannelKey;
+    /** Identificador da mensagem no provider — a única via de acesso à ação. */
+    providerRef: string;
+    status: DeliveryStatus;
+    occurredAt: string;
+    /** Motivo, quando o provider informa falha. Nunca PII, nunca segredo. */
+    code?: string;
+    detail?: string;
+}
+export interface MetaStatusEntry {
+    id?: string;
+    status?: string;
+    timestamp?: string;
+    errors?: {
+        code?: number;
+        title?: string;
+    }[];
+}
+/**
+ * Normaliza o corpo do webhook da Meta.
+ *
+ * Devolve lista porque a Meta entrega em LOTE: um POST traz vários status, de
+ * várias mensagens. Ler só o primeiro perde os demais em silêncio — o mesmo
+ * defeito de forma que o GA4 já ensinou nesta casa
+ * (`feedback_ga4_batches_events_in_post_body`).
+ */
+export declare function parseMetaDeliveryWebhook(body: unknown, origin?: WebhookOrigin): DeliveryEvent[];
+/**
+ * As origens DISTINTAS declaradas num corpo de webhook.
+ *
+ * O consumidor roteia cada uma separadamente. Recusar o POST inteiro porque uma
+ * das contas é desconhecida descartaria os eventos legítimos das outras; aceitar
+ * tudo sob a primeira origem seria pior.
+ */
+export declare function parseMetaWebhookOrigins(body: unknown): WebhookOrigin[];
+export type WebhookApplication = {
+    apply: true;
+    status: DeliveryStatus;
+} | {
+    apply: false;
+    reason: 'not_reported_by_channel' | 'no_progress';
+};
+/**
+ * O evento deve ser gravado?
+ *
+ * Duas recusas distintas. `not_reported_by_channel` é defesa contra equivalência
+ * falsa: um `read` chegando por um canal que não reporta leitura é dado
+ * inventado — e gravá-lo faria a tela afirmar que o cliente LEU uma cobrança
+ * que ninguém sabe se ele leu.
+ *
+ * `no_progress` é a chegada fora de ordem, que acontece o tempo todo: um
+ * `delivered` depois de um `read` já registrado não pode "desler" a mensagem.
+ */
+export declare function applyDeliveryEvent(current: DeliveryStatus, event: DeliveryEvent): WebhookApplication;
+/**
+ * Verificação do handshake de assinatura da Meta (`GET` com `hub.*`).
+ *
+ * Devolve o desafio a ecoar, ou `null`. **`null` é a resposta certa para token
+ * errado, token ausente e segredo não configurado** — os três.
+ *
+ * O caso "segredo não configurado" é o que já custou caro: um webhook do Manga
+ * Verde ecoava o desafio mesmo com token inválido, e ficou aberto em produção.
+ * Um endpoint que confirma a inscrição sem conferir nada entrega à Meta um
+ * caminho pelo qual qualquer um assina os eventos daquela WABA. Aqui a ausência
+ * de segredo falha FECHADA.
+ */
+export declare function verifyMetaChallenge(query: Record<string, string | undefined>, expectedVerifyToken: string | undefined): string | null;
+/**
+ * Assinatura `X-Hub-Signature-256` da Meta: `sha256=<hmac hex do corpo bruto>`.
+ *
+ * O corpo tem de ser o BRUTO, byte a byte. Reserializar o JSON parseado muda
+ * espaços e ordem de chaves e faz a assinatura de um payload legítimo falhar —
+ * o que empurra quem depura para desligar a verificação "porque não funciona".
+ */
+export declare function verifyMetaSignature(rawBody: string | Buffer, signatureHeader: string | undefined, appSecret: string | undefined): boolean;
+/**
+ * Identificador do evento para deduplicação.
+ *
+ * A Meta não manda id de evento — manda o id da MENSAGEM e um estado. Dois
+ * callbacks distintos da mesma mensagem (`delivered` e depois `read`) são
+ * eventos diferentes e precisam passar os dois; o mesmo callback reentregue
+ * precisa ser barrado. `providerRef:status` é exatamente essa fronteira.
+ *
+ * O timestamp fica FORA de propósito: a Meta reenvia o mesmo evento com o mesmo
+ * timestamp, mas um reenvio com relógio diferente passaria pelo dedup e
+ * duplicaria a linha de trilha.
+ */
+export declare function deliveryEventId(event: DeliveryEvent): string;
+export interface InboundOptOut {
+    channel: ChannelKey;
+    /** Telefone em E.164 como o provider entregou. Quem traduz para cliente é o produto. */
+    from: string;
+    occurredAt: string;
+}
+/**
+ * Respostas de opt-out numa entrega da Meta.
+ *
+ * Separado de `parseMetaDeliveryWebhook` porque são fatos de natureza diferente:
+ * um descreve o que aconteceu com uma mensagem NOSSA, o outro é uma manifestação
+ * do cliente. Misturá-los faria um `DeliveryEvent` carregar um telefone — e a
+ * trilha de entrega deixaria de poder ser exibida sem expor contato.
+ */
+export declare function parseMetaInboundOptOut(body: unknown, origin?: WebhookOrigin): InboundOptOut[];
+//# sourceMappingURL=webhook.d.ts.map

package/dist/communication/webhook.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"webhook.d.ts","sourceRoot":"","sources":["../../src/communication/webhook.ts"],"names":[],"mappings":"AAAA;;;;;;;;;;;;GAYG;AAGH,OAAO,KAAK,EAAE,UAAU,EAAE,MAAM,cAAc,CAAC;AAC/C,OAAO,EAAc,KAAK,aAAa,EAAE,MAAM,cAAc,CAAC;AAC9D,OAAO,EAAiC,KAAK,cAAc,EAAE,MAAM,aAAa,CAAC;AAEjF,MAAM,WAAW,aAAa;IAC5B,OAAO,EAAE,UAAU,CAAC;IACpB,4EAA4E;IAC5E,WAAW,EAAE,MAAM,CAAC;IACpB,MAAM,EAAE,cAAc,CAAC;IACvB,UAAU,EAAE,MAAM,CAAC;IACnB,yEAAyE;IACzE,IAAI,CAAC,EAAE,MAAM,CAAC;IACd,MAAM,CAAC,EAAE,MAAM,CAAC;CACjB;AAeD,MAAM,WAAW,eAAe;IAC9B,EAAE,CAAC,EAAE,MAAM,CAAC;IACZ,MAAM,CAAC,EAAE,MAAM,CAAC;IAChB,SAAS,CAAC,EAAE,MAAM,CAAC;IACnB,MAAM,CAAC,EAAE;QAAE,IAAI,CAAC,EAAE,MAAM,CAAC;QAAC,KAAK,CAAC,EAAE,MAAM,CAAA;KAAE,EAAE,CAAC;CAC9C;AAED;;;;;;;GAOG;AACH,wBAAgB,wBAAwB,CAAC,IAAI,EAAE,OAAO,EAAE,MAAM,CAAC,EAAE,aAAa,GAAG,aAAa,EAAE,CAoC/F;AA8DD;;;;;;GAMG;AACH,wBAAgB,uBAAuB,CAAC,IAAI,EAAE,OAAO,GAAG,aAAa,EAAE,CAOtE;AAED,MAAM,MAAM,kBAAkB,GAC1B;IAAE,KAAK,EAAE,IAAI,CAAC;IAAC,MAAM,EAAE,cAAc,CAAA;CAAE,GACvC;IAAE,KAAK,EAAE,KAAK,CAAC;IAAC,MAAM,EAAE,yBAAyB,GAAG,aAAa,CAAA;CAAE,CAAC;AAExE;;;;;;;;;;GAUG;AACH,wBAAgB,kBAAkB,CAChC,OAAO,EAAE,cAAc,EACvB,KAAK,EAAE,aAAa,GACnB,kBAAkB,CAOpB;AASD;;;;;;;;;;;GAWG;AACH,wBAAgB,mBAAmB,CACjC,KAAK,EAAE,MAAM,CAAC,MAAM,EAAE,MAAM,GAAG,SAAS,CAAC,EACzC,mBAAmB,EAAE,MAAM,GAAG,SAAS,GACtC,MAAM,GAAG,IAAI,CAUf;AAED;;;;;;GAMG;AACH,wBAAgB,mBAAmB,CACjC,OAAO,EAAE,MAAM,GAAG,MAAM,EACxB,eAAe,EAAE,MAAM,GAAG,SAAS,EACnC,SAAS,EAAE,MAAM,GAAG,SAAS,GAC5B,OAAO,CAUT;AAgBD;;;;;;;;;;;GAWG;AACH,wBAAgB,eAAe,CAAC,KAAK,EAAE,aAAa,GAAG,MAAM,CAE5D;AAaD,MAAM,WAAW,aAAa;IAC5B,OAAO,EAAE,UAAU,CAAC;IACpB,wFAAwF;IACxF,IAAI,EAAE,MAAM,CAAC;IACb,UAAU,EAAE,MAAM,CAAC;CACpB;AAED;;;;;;;GAOG;AACH,wBAAgB,sBAAsB,CAAC,IAAI,EAAE,OAAO,EAAE,MAAM,CAAC,EAAE,aAAa,GAAG,aAAa,EAAE,CA+B7F"}

package/dist/communication/webhook.js

@@ -0,0 +1,283 @@
+/**
+ * Callbacks de entrega dos canais.
+ *
+ * **Separado do webhook financeiro (Asaas), e não por organização de pastas.**
+ * São dois fluxos com confianças e consequências diferentes: o financeiro dá
+ * baixa em dinheiro, este só atualiza o que a tela mostra sobre uma mensagem.
+ * Misturá-los coloca um endpoint que qualquer provedor de mensagem pode chamar
+ * no mesmo caminho de código que movimenta valor.
+ *
+ * O que este módulo faz: traduzir o vocabulário de cada provider para os estados
+ * de `status.ts`, e devolver a referência que localiza a ação. O que ele NÃO
+ * faz: autenticar (é da borda HTTP) e escrever no banco (é do consumidor).
+ */
+import { createHash, createHmac, timingSafeEqual } from 'node:crypto';
+import { sameOrigin } from './routing.js';
+import { advanceStatus, channelReports } from './status.js';
+/**
+ * Estados da Meta Cloud (campo `statuses[].status`).
+ *
+ * `failed` da Meta vem com `errors[]` — o motivo entra em `code`, não em
+ * `detail`, para que a métrica agregue por causa e não por texto.
+ */
+const META_STATUS = {
+    sent: 'sent',
+    delivered: 'delivered',
+    read: 'read',
+    failed: 'failed',
+};
+/**
+ * Normaliza o corpo do webhook da Meta.
+ *
+ * Devolve lista porque a Meta entrega em LOTE: um POST traz vários status, de
+ * várias mensagens. Ler só o primeiro perde os demais em silêncio — o mesmo
+ * defeito de forma que o GA4 já ensinou nesta casa
+ * (`feedback_ga4_batches_events_in_post_body`).
+ */
+export function parseMetaDeliveryWebhook(body, origin) {
+    const events = [];
+    forEachChange(body, (change, changeOrigin) => {
+        // Sob um App único do motor, um POST traz eventos de várias contas. Aplicar
+        // o lote inteiro no contexto de um tenant só levaria a entrega de um
+        // escritório para dentro da trilha de outro.
+        //
+        // Sem `origin`, o lote inteiro passa — é o caminho legado, em que a URL já
+        // disse de quem é. Com `origin`, um change que não declara procedência
+        // NUNCA casa: no caminho novo, procedência ausente é procedência
+        // desconhecida, e desconhecida não entra na trilha de ninguém.
+        if (origin && (!changeOrigin || !sameOrigin(origin, changeOrigin)))
+            return;
+        const statuses = change?.value?.statuses;
+        if (!Array.isArray(statuses))
+            return;
+        for (const s of statuses) {
+            const status = s.status ? META_STATUS[s.status] : undefined;
+            if (!s.id || !status)
+                continue;
+            const error = s.errors?.[0];
+            events.push({
+                channel: 'whatsapp',
+                providerRef: s.id,
+                status,
+                occurredAt: s.timestamp
+                    ? new Date(Number(s.timestamp) * 1000).toISOString()
+                    : new Date().toISOString(),
+                code: error?.code ? `meta_${error.code}` : undefined,
+                detail: error?.title?.slice(0, 200),
+            });
+        }
+    });
+    return events;
+}
+/**
+ * Percorre `entry[].changes[]` entregando, junto de cada mudança, a ORIGEM que
+ * ela declara.
+ *
+ * Existe para que o parser de status, o de opt-out e o de origens leiam a mesma
+ * estrutura pelo mesmo caminho. Três travessias independentes do mesmo payload
+ * seriam três oportunidades de discordarem sobre de onde veio um evento — e a
+ * que discordasse decidiria o tenant errado.
+ */
+function forEachChange(body, fn) {
+    const entries = body?.entry;
+    if (!Array.isArray(entries))
+        return;
+    for (const entry of entries) {
+        const parentRef = text(entry?.id);
+        const changes = entry?.changes;
+        if (!Array.isArray(changes))
+            continue;
+        for (const change of changes) {
+            const accountRef = text(change?.value?.metadata
+                ?.phone_number_id);
+            // Sem identificador de conta não há origem — mas o change AINDA é
+            // entregue, com `null`.
+            //
+            // Recusá-lo aqui foi a primeira versão deste código, e ela quebrou o
+            // caminho legado inteiro: um payload sem `metadata` deixava de ser
+            // parseado e o lote virava lista vazia, em silêncio. A suíte existente
+            // pegou. Quem decide o que fazer com procedência ausente é o chamador —
+            // o legado processa, o roteado descarta.
+            fn(change, accountRef
+                ? {
+                    provider: 'meta_whatsapp',
+                    providerAccountRef: accountRef,
+                    ...(parentRef ? { providerParentRef: parentRef } : {}),
+                }
+                : null);
+        }
+    }
+}
+function text(v) {
+    if (typeof v === 'string') {
+        const t = v.trim();
+        return t.length > 0 && t.length <= 120 ? t : undefined;
+    }
+    // A Meta serializa `entry.id` e `phone_number_id` como string, mas um número
+    // vindo de um mock ou de uma versão futura não deve virar `undefined` em
+    // silêncio — isso classificaria o evento como sem origem e o descartaria.
+    if (typeof v === 'number' && Number.isSafeInteger(v) && v > 0)
+        return String(v);
+    return undefined;
+}
+/**
+ * As origens DISTINTAS declaradas num corpo de webhook.
+ *
+ * O consumidor roteia cada uma separadamente. Recusar o POST inteiro porque uma
+ * das contas é desconhecida descartaria os eventos legítimos das outras; aceitar
+ * tudo sob a primeira origem seria pior.
+ */
+export function parseMetaWebhookOrigins(body) {
+    const out = [];
+    forEachChange(body, (_change, origin) => {
+        if (!origin)
+            return;
+        if (!out.some((o) => sameOrigin(o, origin)))
+            out.push(origin);
+    });
+    return out;
+}
+/**
+ * O evento deve ser gravado?
+ *
+ * Duas recusas distintas. `not_reported_by_channel` é defesa contra equivalência
+ * falsa: um `read` chegando por um canal que não reporta leitura é dado
+ * inventado — e gravá-lo faria a tela afirmar que o cliente LEU uma cobrança
+ * que ninguém sabe se ele leu.
+ *
+ * `no_progress` é a chegada fora de ordem, que acontece o tempo todo: um
+ * `delivered` depois de um `read` já registrado não pode "desler" a mensagem.
+ */
+export function applyDeliveryEvent(current, event) {
+    if (!channelReports(event.channel, event.status)) {
+        return { apply: false, reason: 'not_reported_by_channel' };
+    }
+    const next = advanceStatus(current, event.status);
+    if (next === current)
+        return { apply: false, reason: 'no_progress' };
+    return { apply: true, status: next };
+}
+/* ── Autenticação da borda ─────────────────────────────────────────────────
+ *
+ * Mora aqui, e não na rota, porque a comparação precisa ser de tempo constante e
+ * ninguém escreve isso certo por acidente. O que a rota faz é passar o corpo
+ * BRUTO e os cabeçalhos; o que este módulo faz é dizer sim ou não.
+ */
+/**
+ * Verificação do handshake de assinatura da Meta (`GET` com `hub.*`).
+ *
+ * Devolve o desafio a ecoar, ou `null`. **`null` é a resposta certa para token
+ * errado, token ausente e segredo não configurado** — os três.
+ *
+ * O caso "segredo não configurado" é o que já custou caro: um webhook do Manga
+ * Verde ecoava o desafio mesmo com token inválido, e ficou aberto em produção.
+ * Um endpoint que confirma a inscrição sem conferir nada entrega à Meta um
+ * caminho pelo qual qualquer um assina os eventos daquela WABA. Aqui a ausência
+ * de segredo falha FECHADA.
+ */
+export function verifyMetaChallenge(query, expectedVerifyToken) {
+    if (!expectedVerifyToken)
+        return null;
+    if (query['hub.mode'] !== 'subscribe')
+        return null;
+    const provided = query['hub.verify_token'];
+    const challenge = query['hub.challenge'];
+    if (!provided || !challenge)
+        return null;
+    if (!timingSafeEqualString(provided, expectedVerifyToken))
+        return null;
+    return challenge;
+}
+/**
+ * Assinatura `X-Hub-Signature-256` da Meta: `sha256=<hmac hex do corpo bruto>`.
+ *
+ * O corpo tem de ser o BRUTO, byte a byte. Reserializar o JSON parseado muda
+ * espaços e ordem de chaves e faz a assinatura de um payload legítimo falhar —
+ * o que empurra quem depura para desligar a verificação "porque não funciona".
+ */
+export function verifyMetaSignature(rawBody, signatureHeader, appSecret) {
+    if (!appSecret || !signatureHeader)
+        return false;
+    const [algo, provided] = signatureHeader.split('=');
+    if (algo !== 'sha256' || !provided)
+        return false;
+    const expected = createHmac('sha256', appSecret)
+        .update(typeof rawBody === 'string' ? Buffer.from(rawBody, 'utf8') : rawBody)
+        .digest('hex');
+    return timingSafeEqualString(provided, expected);
+}
+/**
+ * Comparação de tempo constante sobre strings.
+ *
+ * `timingSafeEqual` lança quando os buffers têm tamanhos diferentes — e o
+ * tamanho já é informação. Por isso os dois lados são reduzidos a um digest de
+ * tamanho fixo antes da comparação: o atacante não aprende nem o conteúdo nem o
+ * comprimento.
+ */
+function timingSafeEqualString(a, b) {
+    const da = createHash('sha256').update(a, 'utf8').digest();
+    const db = createHash('sha256').update(b, 'utf8').digest();
+    return timingSafeEqual(da, db);
+}
+/**
+ * Identificador do evento para deduplicação.
+ *
+ * A Meta não manda id de evento — manda o id da MENSAGEM e um estado. Dois
+ * callbacks distintos da mesma mensagem (`delivered` e depois `read`) são
+ * eventos diferentes e precisam passar os dois; o mesmo callback reentregue
+ * precisa ser barrado. `providerRef:status` é exatamente essa fronteira.
+ *
+ * O timestamp fica FORA de propósito: a Meta reenvia o mesmo evento com o mesmo
+ * timestamp, mas um reenvio com relógio diferente passaria pelo dedup e
+ * duplicaria a linha de trilha.
+ */
+export function deliveryEventId(event) {
+    return `${event.providerRef}:${event.status}`;
+}
+/**
+ * Palavras que o destinatário usa para pedir silêncio.
+ *
+ * Fechada e curta de propósito. Uma lista generosa transforma "pare de me
+ * cobrar tanto" — uma reclamação, não um opt-out — em bloqueio permanente do
+ * canal; e o opt-out registrado por `customer_reply` é justamente o que ninguém
+ * no escritório pode reverter. Errar para o lado de não registrar é recuperável
+ * (o cliente repete); errar para o outro lado, não.
+ */
+const OPT_OUT_WORDS = new Set(['sair', 'parar', 'pare', 'stop', 'descadastrar', 'cancelar']);
+/**
+ * Respostas de opt-out numa entrega da Meta.
+ *
+ * Separado de `parseMetaDeliveryWebhook` porque são fatos de natureza diferente:
+ * um descreve o que aconteceu com uma mensagem NOSSA, o outro é uma manifestação
+ * do cliente. Misturá-los faria um `DeliveryEvent` carregar um telefone — e a
+ * trilha de entrega deixaria de poder ser exibida sem expor contato.
+ */
+export function parseMetaInboundOptOut(body, origin) {
+    const out = [];
+    forEachChange(body, (change, changeOrigin) => {
+        if (origin && (!changeOrigin || !sameOrigin(origin, changeOrigin)))
+            return;
+        const messages = change?.value?.messages;
+        if (!Array.isArray(messages))
+            return;
+        for (const m of messages) {
+            const body = m.text?.body?.trim().toLowerCase();
+            if (!m.from || !body)
+                continue;
+            // Palavra ISOLADA. "não quero parar de receber" contém "parar" e é o
+            // oposto de um opt-out; casar por inclusão registraria o contrário do
+            // que o cliente pediu.
+            if (!OPT_OUT_WORDS.has(body))
+                continue;
+            out.push({
+                channel: 'whatsapp',
+                from: m.from,
+                occurredAt: m.timestamp
+                    ? new Date(Number(m.timestamp) * 1000).toISOString()
+                    : new Date().toISOString(),
+            });
+        }
+    });
+    return out;
+}
+//# sourceMappingURL=webhook.js.map