@hablala/api-contract 0.7.0 → 0.9.0

package/dist/index.d.ts

@@ -1335,6 +1335,66 @@ interface paths {
         patch?: never;
         trace?: never;
     };
+    "/v1/objects/{object_slug}/uploads": {
+        parameters: {
+            query?: never;
+            header?: never;
+            path?: never;
+            cookie?: never;
+        };
+        get?: never;
+        put?: never;
+        /**
+         * Pedir una URL de subida para un attribute file (staged upload)
+         * @description Fase 1 del flujo de archivos de un record: valida el archivo declarado contra el config del attribute `file` (`accepted_content_types` con comodines `image/*`, `max_size_bytes`) y devuelve el destino de subida prefirmado. Luego: (2) `PUT` del blob crudo a `uploadUrl` con `headers`; (3) confirmar escribiendo el record con `fileUrl` en el envelope del attribute (`{"url": fileUrl, …}`) — el servidor verifica el blob contra el storage (tamaño/tipo REALES) y lo promueve a su ubicación definitiva. Un blob nunca confirmado expira solo. Gate `records:create`.
+         */
+        post: operations["HablalaApiWeb.Machine.UploadController.create"];
+        delete?: never;
+        options?: never;
+        head?: never;
+        patch?: never;
+        trace?: never;
+    };
+    "/v1/organization": {
+        parameters: {
+            query?: never;
+            header?: never;
+            path?: never;
+            cookie?: never;
+        };
+        /**
+         * Ver la organización del token (estado de propiedad)
+         * @description La organización a la que pertenece la credencial de máquina, con su `status` (`active`/`unclaimed`/`claimed`) y sus relojes. Es el endpoint de polling del agente que provisionó una claimable org: mientras responda `unclaimed`, nadie la reclamó; un `401` posterior significa que se reclamó (los tokens del agente se rotaron) o venció.
+         */
+        get: operations["HablalaApiWeb.Machine.OrganizationController.show"];
+        put?: never;
+        post?: never;
+        delete?: never;
+        options?: never;
+        head?: never;
+        patch?: never;
+        trace?: never;
+    };
+    "/v1/organization/refresh-claim-url": {
+        parameters: {
+            query?: never;
+            header?: never;
+            path?: never;
+            cookie?: never;
+        };
+        get?: never;
+        put?: never;
+        /**
+         * Renovar el claim URL de una claimable organization
+         * @description Emite un claim link nuevo (el anterior deja de canjear al instante) con su TTL corto, SIN extender el TTL del recurso. Falla si la org ya fue reclamada (`409`) o si el recurso venció (`410`).
+         */
+        post: operations["HablalaApiWeb.Machine.OrganizationController.refresh_claim_url"];
+        delete?: never;
+        options?: never;
+        head?: never;
+        patch?: never;
+        trace?: never;
+    };
     "/v1/organizations": {
         parameters: {
             query?: never;
@@ -1353,6 +1413,66 @@ interface paths {
         patch?: never;
         trace?: never;
     };
+    "/v1/organizations/claim": {
+        parameters: {
+            query?: never;
+            header?: never;
+            path?: never;
+            cookie?: never;
+        };
+        get?: never;
+        put?: never;
+        /**
+         * Reclamar una claimable organization
+         * @description Consuma la **transferencia**: el usuario autenticado se vuelve `owner` de la org del claim token, la org pasa a `claimed` y los secretos del agente se ROTAN (todos los `mat_` y API keys activos se revocan; se emite un par nuevo que se revela aquí una única vez). Registra el evento `organization.claimed`.
+         */
+        post: operations["HablalaApiWeb.Orgs.ClaimableOrganizationController.claim"];
+        delete?: never;
+        options?: never;
+        head?: never;
+        patch?: never;
+        trace?: never;
+    };
+    "/v1/organizations/claimable": {
+        parameters: {
+            query?: never;
+            header?: never;
+            path?: never;
+            cookie?: never;
+        };
+        get?: never;
+        put?: never;
+        /**
+         * Provisionar una claimable organization (sin cuenta)
+         * @description El **signup invertido** para agentes: crea una organización real `unclaimed` (sin dueño) y devuelve — UNA sola vez — el par de API keys (`pk_`/`sk_`), el machine access token (`mat_`, preset `account_as_code`) y el `claimUrl` con el que un humano la reclama. La org caduca (`expiresAt`, 72 h) si nadie la reclama; el claim link tiene su propio TTL renovable. Al reclamarse, los secretos del agente se ROTAN. Sin autenticación; rate limit estricto por IP.
+         */
+        post: operations["HablalaApiWeb.Orgs.ClaimableOrganizationController.create"];
+        delete?: never;
+        options?: never;
+        head?: never;
+        patch?: never;
+        trace?: never;
+    };
+    "/v1/organizations/claimable/preview": {
+        parameters: {
+            query?: never;
+            header?: never;
+            path?: never;
+            cookie?: never;
+        };
+        /**
+         * Previsualizar un claim token
+         * @description A qué organización lleva un claim token, sin consumirlo ni requerir sesión (la pantalla de claim lo muestra antes de pedir login). Siempre `200`: `status` distingue un token válido de uno inválido/vencido/ya reclamado (sin filtrar el motivo).
+         */
+        get: operations["HablalaApiWeb.Orgs.ClaimableOrganizationController.preview"];
+        put?: never;
+        post?: never;
+        delete?: never;
+        options?: never;
+        head?: never;
+        patch?: never;
+        trace?: never;
+    };
     "/v1/organizations/{id}": {
         parameters: {
             query?: never;
@@ -3378,6 +3498,119 @@ interface paths {
         patch?: never;
         trace?: never;
     };
+    "/v1/organizations/{organization_id}/webhooks": {
+        parameters: {
+            query?: never;
+            header?: never;
+            path?: never;
+            cookie?: never;
+        };
+        /**
+         * Listar webhook endpoints
+         * @description Los webhook endpoints de la organización (solo metadatos; el signing secret se obtiene con `GET .../:id/secret`).
+         */
+        get: operations["HablalaApiWeb.Webhooks.WebhookController.index"];
+        put?: never;
+        /**
+         * Crear un webhook endpoint
+         * @description Suscribe una URL a eventos del event store. La plataforma genera el **signing secret** (`whsec_…`) y lo incluye en esta respuesta (`secret`); con él el receptor verifica la firma de cada entrega (spec Standard Webhooks). También puede recuperarse después con `GET .../:id/secret`.
+         */
+        post: operations["HablalaApiWeb.Webhooks.WebhookController.create"];
+        delete?: never;
+        options?: never;
+        head?: never;
+        patch?: never;
+        trace?: never;
+    };
+    "/v1/organizations/{organization_id}/webhooks/{id}": {
+        parameters: {
+            query?: never;
+            header?: never;
+            path?: never;
+            cookie?: never;
+        };
+        /** Ver un webhook endpoint */
+        get: operations["HablalaApiWeb.Webhooks.WebhookController.show"];
+        /**
+         * Actualizar un webhook endpoint
+         * @description Cambia `url`/`enabledEvents`/`status`. Reactivar (`status: "enabled"`) un endpoint auto-deshabilitado limpia el motivo del disable. El slug y el secret no se tocan aquí.
+         */
+        put: operations["HablalaApiWeb.Webhooks.WebhookController.update"];
+        post?: never;
+        /**
+         * Borrar un webhook endpoint
+         * @description Elimina el endpoint y su historial de deliveries. Deja de recibir entregas.
+         */
+        delete: operations["HablalaApiWeb.Webhooks.WebhookController.delete"];
+        options?: never;
+        head?: never;
+        /**
+         * Actualizar un webhook endpoint
+         * @description Cambia `url`/`enabledEvents`/`status`. Reactivar (`status: "enabled"`) un endpoint auto-deshabilitado limpia el motivo del disable. El slug y el secret no se tocan aquí.
+         */
+        patch: operations["HablalaApiWeb.Webhooks.WebhookController.update (2)"];
+        trace?: never;
+    };
+    "/v1/organizations/{organization_id}/webhooks/{id}/deliveries": {
+        parameters: {
+            query?: never;
+            header?: never;
+            path?: never;
+            cookie?: never;
+        };
+        /**
+         * Listar deliveries de un endpoint
+         * @description La bitácora de entregas (canónico GitHub): qué eventos se entregaron, cuántos intentos costaron y con qué respondió el receptor. Más recientes primero (máx. 50).
+         */
+        get: operations["HablalaApiWeb.Webhooks.WebhookController.deliveries"];
+        put?: never;
+        post?: never;
+        delete?: never;
+        options?: never;
+        head?: never;
+        patch?: never;
+        trace?: never;
+    };
+    "/v1/organizations/{organization_id}/webhooks/{id}/rotate": {
+        parameters: {
+            query?: never;
+            header?: never;
+            path?: never;
+            cookie?: never;
+        };
+        get?: never;
+        put?: never;
+        /**
+         * Rotar el signing secret
+         * @description Genera un `whsec_…` nuevo para el MISMO endpoint (el historial no cambia). El secret viejo deja de firmar de inmediato: actualiza la copia del receptor. La respuesta incluye el nuevo secret.
+         */
+        post: operations["HablalaApiWeb.Webhooks.WebhookController.rotate"];
+        delete?: never;
+        options?: never;
+        head?: never;
+        patch?: never;
+        trace?: never;
+    };
+    "/v1/organizations/{organization_id}/webhooks/{id}/secret": {
+        parameters: {
+            query?: never;
+            header?: never;
+            path?: never;
+            cookie?: never;
+        };
+        /**
+         * Revelar el signing secret
+         * @description El `whsec_…` del endpoint, para configurarlo en el receptor (modelo Svix `GET .../secret` / Stripe dashboard "Reveal"). Es una llave de firma compartida, no una credencial de autenticación entrante: por eso es recuperable, a diferencia de `sk_`/`mat_`.
+         */
+        get: operations["HablalaApiWeb.Webhooks.WebhookController.secret"];
+        put?: never;
+        post?: never;
+        delete?: never;
+        options?: never;
+        head?: never;
+        patch?: never;
+        trace?: never;
+    };
     "/v1/organizations/{organization_id}/workflow-executions": {
         parameters: {
             query?: never;
@@ -3617,6 +3850,26 @@ interface paths {
         patch: operations["HablalaApiWeb.PublicApi.RecordController.update (2)"];
         trace?: never;
     };
+    "/v1/public/me/objects/{object_slug}/uploads": {
+        parameters: {
+            query?: never;
+            header?: never;
+            path?: never;
+            cookie?: never;
+        };
+        get?: never;
+        put?: never;
+        /**
+         * Pedir una URL de subida para un attribute file (canal público)
+         * @description Como el staged upload del canal de máquina (`POST /v1/objects/{object_slug}/uploads`), pero gobernado por el ABAC default-deny del canal público: exige una policy `allow` de `create` o `update` para el principal (`public` con la API key; `end_user` con el session token en la variante `/me`) sobre el object — sin policy, 403. Flujo: presign → `PUT` del blob a `uploadUrl` → confirmar escribiendo el record con `fileUrl` en el envelope del attribute `file`.
+         */
+        post: operations["HablalaApiWeb.PublicApi.UploadController.create"];
+        delete?: never;
+        options?: never;
+        head?: never;
+        patch?: never;
+        trace?: never;
+    };
     "/v1/public/me/query": {
         parameters: {
             query?: never;
@@ -3673,6 +3926,26 @@ interface paths {
         patch: operations["HablalaApiWeb.PublicApi.RecordController.update (4)"];
         trace?: never;
     };
+    "/v1/public/objects/{object_slug}/uploads": {
+        parameters: {
+            query?: never;
+            header?: never;
+            path?: never;
+            cookie?: never;
+        };
+        get?: never;
+        put?: never;
+        /**
+         * Pedir una URL de subida para un attribute file (canal público)
+         * @description Como el staged upload del canal de máquina (`POST /v1/objects/{object_slug}/uploads`), pero gobernado por el ABAC default-deny del canal público: exige una policy `allow` de `create` o `update` para el principal (`public` con la API key; `end_user` con el session token en la variante `/me`) sobre el object — sin policy, 403. Flujo: presign → `PUT` del blob a `uploadUrl` → confirmar escribiendo el record con `fileUrl` en el envelope del attribute `file`.
+         */
+        post: operations["HablalaApiWeb.PublicApi.UploadController.create (2)"];
+        delete?: never;
+        options?: never;
+        head?: never;
+        patch?: never;
+        trace?: never;
+    };
     "/v1/public/query": {
         parameters: {
             query?: never;
@@ -4247,7 +4520,7 @@ interface paths {
         patch: operations["HablalaApiWeb.Accounts.UserSettingsController.update_username"];
         trace?: never;
     };
-    "/v1/whoami": {
+    "/v1/webhooks": {
         parameters: {
             query?: never;
             header?: never;
@@ -4255,54 +4528,167 @@ interface paths {
             cookie?: never;
         };
         /**
-         * Identificar la credencial (organización + permisos)
-         * @description Devuelve la organización a la que pertenece el token de máquina y sus permisos efectivos. La organización sale del token (no de la URL): así una herramienta externa la infiere sin que el desarrollador la configure.
+         * Listar webhook endpoints
+         * @description Los webhook endpoints de la organización (solo metadatos; el signing secret se obtiene con `GET .../:id/secret`).
          */
-        get: operations["HablalaApiWeb.Machine.WhoamiController.show"];
+        get: operations["HablalaApiWeb.Machine.WebhookController.index"];
         put?: never;
-        post?: never;
+        /**
+         * Crear un webhook endpoint
+         * @description Suscribe una URL a eventos del event store. La plataforma genera el **signing secret** (`whsec_…`) y lo incluye en esta respuesta (`secret`); con él el receptor verifica la firma de cada entrega (spec Standard Webhooks). También puede recuperarse después con `GET .../:id/secret`.
+         */
+        post: operations["HablalaApiWeb.Machine.WebhookController.create"];
         delete?: never;
         options?: never;
         head?: never;
         patch?: never;
         trace?: never;
     };
-}
-interface components {
-    schemas: {
+    "/v1/webhooks/{id}": {
+        parameters: {
+            query?: never;
+            header?: never;
+            path?: never;
+            cookie?: never;
+        };
+        /** Ver un webhook endpoint */
+        get: operations["HablalaApiWeb.Machine.WebhookController.show"];
         /**
-         * AccessToken
-         * @description Metadatos de un access token de máquina (`mat_…`): la credencial con la que un agente (Claude Code) o un script CI escribe el modelo de datos por HTTP. El secreto en claro NO se incluye aquí — solo se devuelve una vez, al crearlo.
+         * Actualizar un webhook endpoint
+         * @description Cambia `url`/`enabledEvents`/`status`. Reactivar (`status: "enabled"`) un endpoint auto-deshabilitado limpia el motivo del disable. El slug y el secret no se tocan aquí.
          */
-        AccessToken: {
-            /** @description ¿Ni revocado ni expirado? */
-            active: boolean;
-            /** Format: date-time */
-            expiresAt?: string | null;
-            id: string;
-            /** Format: date-time */
-            insertedAt?: string;
-            /** Format: date-time */
-            lastUsedAt?: string | null;
-            /** @description Etiqueta para el panel (p. ej. "CI deploy"). */
-            name: string;
-            /** @description Permisos RBAC del token (`recurso:accion`), su propio scope (mínimo privilegio). */
-            permissions: string[];
-            /** @description Primeros caracteres del secreto (no secreto), p. ej. `mat_a1b2`. */
-            prefix?: string | null;
-            /** Format: date-time */
-            revokedAt?: string | null;
-            /** Format: date-time */
-            updatedAt?: string;
-        };
+        put: operations["HablalaApiWeb.Machine.WebhookController.update"];
+        post?: never;
         /**
-         * AccessTokenCreated
-         * @description El token recién creado, con el secreto en claro (`token`) presente UNA sola vez. Guárdalo: no se puede recuperar después.
+         * Borrar un webhook endpoint
+         * @description Elimina el endpoint y su historial de deliveries. Deja de recibir entregas.
          */
-        AccessTokenCreated: {
-            active?: boolean;
-            /** Format: date-time */
-            expiresAt?: string | null;
+        delete: operations["HablalaApiWeb.Machine.WebhookController.delete"];
+        options?: never;
+        head?: never;
+        /**
+         * Actualizar un webhook endpoint
+         * @description Cambia `url`/`enabledEvents`/`status`. Reactivar (`status: "enabled"`) un endpoint auto-deshabilitado limpia el motivo del disable. El slug y el secret no se tocan aquí.
+         */
+        patch: operations["HablalaApiWeb.Machine.WebhookController.update (2)"];
+        trace?: never;
+    };
+    "/v1/webhooks/{id}/deliveries": {
+        parameters: {
+            query?: never;
+            header?: never;
+            path?: never;
+            cookie?: never;
+        };
+        /**
+         * Listar deliveries de un endpoint
+         * @description La bitácora de entregas (canónico GitHub): qué eventos se entregaron, cuántos intentos costaron y con qué respondió el receptor. Más recientes primero (máx. 50).
+         */
+        get: operations["HablalaApiWeb.Machine.WebhookController.deliveries"];
+        put?: never;
+        post?: never;
+        delete?: never;
+        options?: never;
+        head?: never;
+        patch?: never;
+        trace?: never;
+    };
+    "/v1/webhooks/{id}/rotate": {
+        parameters: {
+            query?: never;
+            header?: never;
+            path?: never;
+            cookie?: never;
+        };
+        get?: never;
+        put?: never;
+        /**
+         * Rotar el signing secret
+         * @description Genera un `whsec_…` nuevo para el MISMO endpoint (el historial no cambia). El secret viejo deja de firmar de inmediato: actualiza la copia del receptor. La respuesta incluye el nuevo secret.
+         */
+        post: operations["HablalaApiWeb.Machine.WebhookController.rotate"];
+        delete?: never;
+        options?: never;
+        head?: never;
+        patch?: never;
+        trace?: never;
+    };
+    "/v1/webhooks/{id}/secret": {
+        parameters: {
+            query?: never;
+            header?: never;
+            path?: never;
+            cookie?: never;
+        };
+        /**
+         * Revelar el signing secret
+         * @description El `whsec_…` del endpoint, para configurarlo en el receptor (modelo Svix `GET .../secret` / Stripe dashboard "Reveal"). Es una llave de firma compartida, no una credencial de autenticación entrante: por eso es recuperable, a diferencia de `sk_`/`mat_`.
+         */
+        get: operations["HablalaApiWeb.Machine.WebhookController.secret"];
+        put?: never;
+        post?: never;
+        delete?: never;
+        options?: never;
+        head?: never;
+        patch?: never;
+        trace?: never;
+    };
+    "/v1/whoami": {
+        parameters: {
+            query?: never;
+            header?: never;
+            path?: never;
+            cookie?: never;
+        };
+        /**
+         * Identificar la credencial (organización + permisos)
+         * @description Devuelve la organización a la que pertenece el token de máquina y sus permisos efectivos. La organización sale del token (no de la URL): así una herramienta externa la infiere sin que el desarrollador la configure.
+         */
+        get: operations["HablalaApiWeb.Machine.WhoamiController.show"];
+        put?: never;
+        post?: never;
+        delete?: never;
+        options?: never;
+        head?: never;
+        patch?: never;
+        trace?: never;
+    };
+}
+interface components {
+    schemas: {
+        /**
+         * AccessToken
+         * @description Metadatos de un access token de máquina (`mat_…`): la credencial con la que un agente (Claude Code) o un script CI escribe el modelo de datos por HTTP. El secreto en claro NO se incluye aquí — solo se devuelve una vez, al crearlo.
+         */
+        AccessToken: {
+            /** @description ¿Ni revocado ni expirado? */
+            active: boolean;
+            /** Format: date-time */
+            expiresAt?: string | null;
+            id: string;
+            /** Format: date-time */
+            insertedAt?: string;
+            /** Format: date-time */
+            lastUsedAt?: string | null;
+            /** @description Etiqueta para el panel (p. ej. "CI deploy"). */
+            name: string;
+            /** @description Permisos RBAC del token (`recurso:accion`), su propio scope (mínimo privilegio). */
+            permissions: string[];
+            /** @description Primeros caracteres del secreto (no secreto), p. ej. `mat_a1b2`. */
+            prefix?: string | null;
+            /** Format: date-time */
+            revokedAt?: string | null;
+            /** Format: date-time */
+            updatedAt?: string;
+        };
+        /**
+         * AccessTokenCreated
+         * @description El token recién creado, con el secreto en claro (`token`) presente UNA sola vez. Guárdalo: no se puede recuperar después.
+         */
+        AccessTokenCreated: {
+            active?: boolean;
+            /** Format: date-time */
+            expiresAt?: string | null;
             id: string;
             /** Format: date-time */
             insertedAt?: string;
@@ -4616,6 +5002,14 @@ interface components {
             };
             /** @description ETag del estado declarable (optimistic locking). El `export`/`pull` lo emite; el CLI lo guarda y lo reenvía en el header `If-Match` al aplicar. Si la cuenta cambió desde el `pull` (UI, MCP, otro apply), el `apply` devuelve 412 en vez de pisar lo no visto. Read-only: en el cuerpo del PUT se ignora (la precondición viaja por el header). */
             readonly version?: string;
+            webhooks?: components["schemas"]["ManifestWebhookEndpoint"][] | {
+                items: components["schemas"]["ManifestWebhookEndpoint"][];
+                /**
+                 * @description `authoritative` (default): lo no declarado se archiva/borra. `additive`: solo crea/actualiza lo declarado, sin expulsar lo demás (least astonishment).
+                 * @enum {string}
+                 */
+                mode?: "authoritative" | "additive";
+            };
             workflows?: components["schemas"]["ManifestWorkflow"][] | {
                 items: components["schemas"]["ManifestWorkflow"][];
                 /**
@@ -5233,6 +5627,105 @@ interface components {
             currency: string;
             items: components["schemas"]["CheckoutItem"][];
         };
+        /**
+         * ClaimPreviewResponse
+         * @description Preview de un claim token: a qué organización lleva, antes de confirmar. Siempre `200`; `status` distingue un token válido de uno inválido/vencido/ya reclamado.
+         */
+        ClaimPreviewResponse: {
+            data: {
+                /** @description Presente solo si `status` = valid. */
+                organization?: {
+                    avatarUrl?: string | null;
+                    name: string;
+                } | null;
+                /** @enum {string} */
+                status: "valid" | "invalid";
+            };
+        };
+        /** ClaimRequest */
+        ClaimRequest: {
+            /** @description El claim token (`clm_…`) del `claimUrl`. */
+            token: string;
+        };
+        /**
+         * ClaimResponse
+         * @description La transferencia consumada: el usuario autenticado es ahora **owner** y los secretos del agente se ROTARON — este par de API keys nuevo se revela UNA sola vez.
+         */
+        ClaimResponse: {
+            data: {
+                /** @description El par NUEVO emitido al reclamar (el del agente quedó revocado). */
+                apiKeys: {
+                    publishableKey: string;
+                    secretKey: string;
+                };
+                organization: components["schemas"]["ClaimableOrganization"];
+            };
+        };
+        /**
+         * ClaimableOrganization
+         * @description Una organización con su ciclo de vida de propiedad: `unclaimed` (provisionada por un agente, sin dueño; caduca en `expiresAt`) → `claimed` (reclamada por un humano).
+         */
+        ClaimableOrganization: {
+            /**
+             * Format: date-time
+             * @description TTL del RECURSO: cuándo caduca la org si nadie la reclama (`null` = no caduca).
+             */
+            expiresAt?: string | null;
+            /** @description Id público (`org_…`). */
+            id: string;
+            /** Format: date-time */
+            insertedAt?: string;
+            name: string;
+            slug: string;
+            /**
+             * @description Estado de propiedad de la org.
+             * @enum {string}
+             */
+            status: "active" | "unclaimed" | "claimed";
+            /** Format: date-time */
+            updatedAt?: string;
+        };
+        /**
+         * ClaimableOrganizationCreateResponse
+         * @description La claimable organization recién provisionada, con TODAS sus credenciales en claro — la ÚNICA vez que se pueden leer (patrón Stripe: las keys no vuelven en lecturas posteriores). Guárdalas de inmediato (p. ej. en el `.env`).
+         */
+        ClaimableOrganizationCreateResponse: {
+            data: {
+                /** @description Machine access token (`mat_…`, preset `account_as_code`): la autoridad del agente sobre la org hasta el claim (se ROTA al reclamarse). */
+                accessToken: string;
+                /** @description El par de API keys del canal público. */
+                apiKeys: {
+                    /** @description `pk_…` (browser-safe). */
+                    publishableKey: string;
+                    /** @description `sk_…` (solo servidor). */
+                    secretKey: string;
+                };
+                /**
+                 * Format: date-time
+                 * @description TTL del claim LINK (reloj distinto del `expiresAt` del recurso).
+                 */
+                claimExpiresAt: string;
+                /** @description El link (panel) con el que un humano reclama la org. Un solo uso; caduca en `claimExpiresAt` y se renueva con `POST /v1/organization/refresh-claim-url`. */
+                claimUrl: string;
+                organization: components["schemas"]["ClaimableOrganization"];
+            };
+        };
+        /**
+         * ClaimableOrganizationRequest
+         * @description Provisión de una **claimable organization** (el signup invertido): un agente crea la org SIN cuenta humana y un humano la reclama después abriendo el `claimUrl`.
+         */
+        ClaimableOrganizationRequest: {
+            /** @description Nombre visible de la organización. */
+            name: string;
+            /** @description Datos para precargar el claim (patrón Stripe `prefill`). Se guardan cifrados. */
+            prefill?: {
+                /**
+                 * Format: email
+                 * @description Email del humano que reclamará la org.
+                 */
+                email?: string;
+            } | null;
+        };
         /**
          * ContactContent
          * @description Payload de un mensaje `contact` (compartir contacto, estilo WhatsApp). El cliente pinta una tarjeta con acción 'Agregar a contactos'. `vcard` es el vCard crudo opcional (fuente de verdad para importar); `name`/`phones` son la vista renderizable.
@@ -6229,6 +6722,20 @@ interface components {
         LoginRequest: {
             user: components["schemas"]["LoginCredentials"];
         };
+        /**
+         * MachineOrganizationResponse
+         * @description La organización del token de máquina, con su estado de propiedad. Es el endpoint de polling del agente tras provisionar una claimable org: cuando el humano reclama, los tokens del agente se rotan, así que el `401` posterior significa "reclamada (o vencida)".
+         */
+        MachineOrganizationResponse: {
+            data: {
+                /**
+                 * Format: date-time
+                 * @description Cuándo caduca el claim link vigente (`null` si no hay).
+                 */
+                claimExpiresAt?: string | null;
+                organization: components["schemas"]["ClaimableOrganization"];
+            };
+        };
         /**
          * ManifestAgent
          * @description Un agente de IA declarado, identificado por `handle`. Archivar (no declararlo) lo revoca. `ownerUserId` (id público `user_…`) es obligatorio al crear con un access token de máquina; con un usuario, el creador es el dueño por defecto.
@@ -6497,6 +7004,23 @@ interface components {
              */
             protocol: "saml" | "oidc";
         };
+        /**
+         * ManifestWebhookEndpoint
+         * @description Un webhook endpoint declarado (webhooks salientes): la URL de un sistema externo suscrita a eventos del event store, identificada por `slug`. Estructura AUTORITATIVA: un endpoint no declarado se BORRA (deja de recibir entregas). El **signing secret (`whsec_…`) NO se declara** — un secreto no vive en YAML versionado: lo genera la plataforma al crear el endpoint y se recupera con `GET /v1/webhooks/:id/secret`.
+         */
+        ManifestWebhookEndpoint: {
+            /** @description Event types a suscribir (al menos uno): `record.created`, `record.updated`, `record.deleted`, `record.restored`, `edge.created`, `edge.deleted`. */
+            enabledEvents: string[];
+            /** @description Identidad estable, única por organización (match key). */
+            slug: string;
+            /**
+             * @description Omitido = `enabled`. `disabled` pausa las entregas sin borrar el endpoint.
+             * @enum {string}
+             */
+            status?: "enabled" | "disabled";
+            /** @description URL https del receptor del POST firmado (http solo se admite hacia localhost). */
+            url: string;
+        };
         /**
          * ManifestWorkflow
          * @description Una definición de workflow declarada: la máquina de estados como dato (trigger + states). El grafo `states` se valida ESTRUCTURALMENTE en el `plan` (como un linter de state machine): cada `activity` debe pertenecer al catálogo declarable y su `config` solo acepta claves conocidas; toda transición `on` debe apuntar a un estado existente (MISSING_TRANSITION_TARGET); no puede haber estados inalcanzables desde `initialState`; y debe existir al menos un estado terminal (`type: final`, MISSING_END_STATE). Esos errores bloquean el apply — no llegan a runtime. Descubre el espacio declarable completo en `GET /v1/account-config/capabilities`.
@@ -6999,6 +7523,11 @@ interface components {
             myRole?: string | null;
             name: string;
             slug: string;
+            /**
+             * @description Propiedad de la org: `active` (creada por un humano), `unclaimed` (provisionada por un agente, sin dueño), `claimed` (reclamada).
+             * @enum {string}
+             */
+            status?: "active" | "unclaimed" | "claimed";
             /** @description Identificador fiscal (RFC/EIN/VAT). */
             taxId?: string | null;
             /** Format: date-time */
@@ -7040,6 +7569,11 @@ interface components {
             insertedAt?: string;
             name: string;
             slug: string;
+            /**
+             * @description Propiedad de la org: `active` (creada por un humano), `unclaimed` (provisionada por un agente, sin dueño), `claimed` (reclamada).
+             * @enum {string}
+             */
+            status?: "active" | "unclaimed" | "claimed";
             /** Format: date-time */
             updatedAt?: string;
             /**
@@ -7185,6 +7719,7 @@ interface components {
         Policy: {
             /** @enum {string} */
             action: "read" | "create" | "update" | "delete";
+            /** @description Predicado por fila: hoja `{attr, op, value|value_from}` o árbol `and`/`or`. `attr` admite un attribute path de UN nivel por un attribute `reference` (`pet.owner`: condiciona sobre el record destino; fail-closed si la referencia es nula). */
             condition?: Record<string, never>;
             /** @enum {string} */
             effect: "allow" | "deny";
@@ -7206,6 +7741,7 @@ interface components {
         PolicyInput: {
             /** @enum {string} */
             action: "read" | "create" | "update" | "delete";
+            /** @description Predicado por fila: hoja `{attr, op, value|value_from}` o árbol `and`/`or`. `attr` admite un attribute path de UN nivel por un attribute `reference` (`pet.owner`: condiciona sobre el record destino; fail-closed si la referencia es nula). */
             condition?: Record<string, never>;
             /** @enum {string} */
             effect: "allow" | "deny";
@@ -7503,6 +8039,49 @@ interface components {
         RecordResponse: {
             data: components["schemas"]["Record"];
         };
+        /**
+         * RecordUploadRequest
+         * @description Archivo a adjuntar a un attribute `file` de un record: para qué attribute es y qué se va a subir. El servidor lo valida contra el config del attribute (`accepted_content_types` con comodines `image/*`, `max_size_bytes`) antes de emitir la URL de subida.
+         */
+        RecordUploadRequest: {
+            /** @description Slug del attribute `data_type: file` del object al que se adjuntará. */
+            attribute: string;
+            /** @description MIME type del archivo (p. ej. `image/jpeg`). Se valida contra `accepted_content_types` del attribute. */
+            contentType: string;
+            /** @description Nombre del archivo (p. ej. `firulais.jpg`). */
+            filename: string;
+            /** @description Tamaño declarado en bytes (opcional). Si excede `max_size_bytes` el presign se rechaza aquí (fail-fast); la verdad final la impone el storage al confirmar el record (el tamaño REAL se relee del blob). */
+            size?: number | null;
+        };
+        /** RecordUploadResponse */
+        RecordUploadResponse: {
+            data: components["schemas"]["RecordUploadTarget"];
+        };
+        /**
+         * RecordUploadTarget
+         * @description Destino de subida prefirmado (*staged upload target*, patrón Shopify `stagedUploadsCreate` / S3 presigned upload): el cliente hace `PUT` del blob crudo a `uploadUrl` con `headers`, y luego CONFIRMA escribiendo el record con `fileUrl` en el envelope del attribute `file` (`{"url": fileUrl, "filename": …, "content_type": …}`). Un blob nunca confirmado expira solo en el staging.
+         */
+        RecordUploadTarget: {
+            /** @description URL del blob (en staging `pending/…`): va como `url` en el envelope del attribute `file` al crear/actualizar el record. Al confirmarse, el servidor la reescribe a la definitiva. */
+            fileUrl: string;
+            /** @description Cabeceras que el cliente debe enviar en el `PUT` (p. ej. `content-type`). */
+            headers?: {
+                [key: string]: string;
+            };
+            /** @description Destino del `PUT` del blob (URL prefirmada, expira). */
+            uploadUrl: string;
+        };
+        /**
+         * RefreshClaimUrlResponse
+         * @description El claim link renovado (el anterior deja de canjear al instante).
+         */
+        RefreshClaimUrlResponse: {
+            data: {
+                /** Format: date-time */
+                claimExpiresAt: string;
+                claimUrl: string;
+            };
+        };
         /** RegisterCredentials */
         RegisterCredentials: {
             /** Format: email */
@@ -7956,6 +8535,117 @@ interface components {
                 taxId: string;
             };
         };
+        /** WebhookDeliveriesResponse */
+        WebhookDeliveriesResponse: {
+            data: components["schemas"]["WebhookDelivery"][];
+        };
+        /**
+         * WebhookDelivery
+         * @description Una **delivery**: un evento entregado (o en camino) a un webhook endpoint, con su bitácora de intentos. La entrega es at-least-once: el receptor deduplica por el header `webhook-id` (= `eventId`, estable entre reintentos).
+         */
+        WebhookDelivery: {
+            attemptCount: number;
+            /** Format: date-time */
+            deliveredAt?: string | null;
+            /** @description Detalle del último fallo. */
+            error?: string | null;
+            /** @description El evento entregado (`evt_…`). */
+            eventId: string;
+            /** @description P. ej. `record.created`. */
+            eventType: string;
+            /** @description Id de la delivery (`whd_…`). */
+            id: string;
+            /** Format: date-time */
+            insertedAt?: string;
+            /** @description HTTP status del último intento (si el receptor respondió). */
+            responseStatus?: number | null;
+            /**
+             * @description `pending` (encolada/reintentando), `succeeded` (el receptor respondió 2xx), `failed` (agotó los reintentos).
+             * @enum {string}
+             */
+            status: "pending" | "succeeded" | "failed";
+        };
+        /**
+         * WebhookEndpoint
+         * @description Un **webhook endpoint**: la URL de un sistema externo suscrita a eventos del event store. Cuando ocurre un evento de `enabledEvents`, la plataforma le hace un POST firmado (spec Standard Webhooks: headers `webhook-id`/`webhook-timestamp`/`webhook-signature`). El signing secret NO se incluye aquí — se revela al crear, en `GET .../secret` y al rotar.
+         */
+        WebhookEndpoint: {
+            /** Format: date-time */
+            disabledAt?: string | null;
+            /** @description `delivery_failures` (auto-disable, modelo Stripe) o `manual`. */
+            disabledReason?: string | null;
+            /** @description Event types suscritos: `record.created`, `record.updated`, `record.deleted`, `record.restored`, `edge.created`, `edge.deleted`. */
+            enabledEvents: string[];
+            /** @description Id del endpoint (`we_…`). */
+            id: string;
+            /** Format: date-time */
+            insertedAt?: string;
+            /** Format: date-time */
+            lastFailureAt?: string | null;
+            /** Format: date-time */
+            lastSuccessAt?: string | null;
+            /** @description Primeros caracteres del signing secret (no secretos), p. ej. `whsec_A1B2`. */
+            prefix?: string;
+            /** @description Identificador declarable, único por organización. */
+            slug: string;
+            /**
+             * @description `enabled` recibe entregas; `disabled` (manual o auto-disable por fallos) no.
+             * @enum {string}
+             */
+            status: "enabled" | "disabled";
+            /** Format: date-time */
+            updatedAt?: string;
+            /** @description URL https destino del POST firmado. */
+            url: string;
+        };
+        /**
+         * WebhookEndpointRequest
+         * @description Datos de un webhook endpoint. El signing secret no se manda: lo genera la plataforma y se devuelve en la respuesta del create (y en `GET .../secret`).
+         */
+        WebhookEndpointRequest: {
+            /** @description Event types a suscribir (al menos uno): `record.created`, `record.updated`, `record.deleted`, `record.restored`, `edge.created`, `edge.deleted`. */
+            enabledEvents: string[];
+            /** @description Identificador único por organización (minúsculas, dígitos, `-`/`_`), p. ej. `erp-sync`. */
+            slug: string;
+            /**
+             * @description Omitir = `enabled`. `disabled` pausa las entregas sin borrar el endpoint.
+             * @enum {string}
+             */
+            status?: "enabled" | "disabled";
+            /** @description URL https del receptor (http solo se admite hacia localhost, para desarrollo). */
+            url: string;
+        };
+        /** WebhookEndpointResponse */
+        WebhookEndpointResponse: {
+            data: components["schemas"]["WebhookEndpoint"];
+        };
+        /**
+         * WebhookEndpointWithSecret
+         * @description El endpoint con su **signing secret** en claro (`whsec_…`): la respuesta del create, del reveal (`GET .../secret`) y del rotate. Con él el receptor verifica la firma de cada entrega (librerías de Standard Webhooks).
+         */
+        WebhookEndpointWithSecret: {
+            enabledEvents: string[];
+            id: string;
+            /** Format: date-time */
+            insertedAt?: string;
+            prefix?: string;
+            /** @description El signing secret en claro (`whsec_…`). Guárdalo en el receptor. */
+            secret: string;
+            slug: string;
+            /** @enum {string} */
+            status: "enabled" | "disabled";
+            /** Format: date-time */
+            updatedAt?: string;
+            url: string;
+        };
+        /** WebhookEndpointWithSecretResponse */
+        WebhookEndpointWithSecretResponse: {
+            data: components["schemas"]["WebhookEndpointWithSecret"];
+        };
+        /** WebhookEndpointsResponse */
+        WebhookEndpointsResponse: {
+            data: components["schemas"]["WebhookEndpoint"][];
+        };
         /**
          * Whoami
          * @description Identidad de una credencial de máquina: la organización que resuelve del token y sus permisos efectivos. Deja que una herramienta externa infiera la org sin que el desarrollador la configure.
@@ -11008,7 +11698,119 @@ interface operations {
             };
         };
     };
-    "HablalaApiWeb.Orgs.OrganizationController.index": {
+    "HablalaApiWeb.Machine.UploadController.create": {
+        parameters: {
+            query?: never;
+            header?: never;
+            path: {
+                object_slug: string;
+            };
+            cookie?: never;
+        };
+        /** @description Archivo a subir */
+        requestBody?: {
+            content: {
+                "application/json": components["schemas"]["RecordUploadRequest"];
+            };
+        };
+        responses: {
+            /** @description Destino de subida prefirmado */
+            200: {
+                headers: {
+                    [name: string]: unknown;
+                };
+                content: {
+                    "application/json": components["schemas"]["RecordUploadResponse"];
+                };
+            };
+            /** @description Objeto desconocido */
+            404: {
+                headers: {
+                    [name: string]: unknown;
+                };
+                content: {
+                    "application/json": components["schemas"]["Error"];
+                };
+            };
+            /** @description Attribute inexistente/no-file, MIME no admitido o tamaño excedido */
+            422: {
+                headers: {
+                    [name: string]: unknown;
+                };
+                content: {
+                    "application/json": components["schemas"]["Error"];
+                };
+            };
+        };
+    };
+    "HablalaApiWeb.Machine.OrganizationController.show": {
+        parameters: {
+            query?: never;
+            header?: never;
+            path?: never;
+            cookie?: never;
+        };
+        requestBody?: never;
+        responses: {
+            /** @description La organización del token */
+            200: {
+                headers: {
+                    [name: string]: unknown;
+                };
+                content: {
+                    "application/json": components["schemas"]["MachineOrganizationResponse"];
+                };
+            };
+            /** @description Token inválido (o la org fue reclamada/venció) */
+            401: {
+                headers: {
+                    [name: string]: unknown;
+                };
+                content: {
+                    "application/json": components["schemas"]["Error"];
+                };
+            };
+        };
+    };
+    "HablalaApiWeb.Machine.OrganizationController.refresh_claim_url": {
+        parameters: {
+            query?: never;
+            header?: never;
+            path?: never;
+            cookie?: never;
+        };
+        requestBody?: never;
+        responses: {
+            /** @description Claim link renovado */
+            200: {
+                headers: {
+                    [name: string]: unknown;
+                };
+                content: {
+                    "application/json": components["schemas"]["RefreshClaimUrlResponse"];
+                };
+            };
+            /** @description La org ya no es unclaimed */
+            409: {
+                headers: {
+                    [name: string]: unknown;
+                };
+                content: {
+                    "application/json": components["schemas"]["Error"];
+                };
+            };
+            /** @description El recurso venció */
+            410: {
+                headers: {
+                    [name: string]: unknown;
+                };
+                content: {
+                    "application/json": components["schemas"]["Error"];
+                };
+            };
+        };
+    };
+    "HablalaApiWeb.Orgs.OrganizationController.index": {
         parameters: {
             query?: never;
             header?: never;
@@ -11062,6 +11864,114 @@ interface operations {
             };
         };
     };
+    "HablalaApiWeb.Orgs.ClaimableOrganizationController.claim": {
+        parameters: {
+            query?: never;
+            header?: never;
+            path?: never;
+            cookie?: never;
+        };
+        /** @description El claim token */
+        requestBody?: {
+            content: {
+                "application/json": components["schemas"]["ClaimRequest"];
+            };
+        };
+        responses: {
+            /** @description Transferencia consumada */
+            200: {
+                headers: {
+                    [name: string]: unknown;
+                };
+                content: {
+                    "application/json": components["schemas"]["ClaimResponse"];
+                };
+            };
+            /** @description Sin sesión */
+            401: {
+                headers: {
+                    [name: string]: unknown;
+                };
+                content: {
+                    "application/json": components["schemas"]["Error"];
+                };
+            };
+            /** @description Token inválido, vencido o ya reclamado */
+            404: {
+                headers: {
+                    [name: string]: unknown;
+                };
+                content: {
+                    "application/json": components["schemas"]["Error"];
+                };
+            };
+        };
+    };
+    "HablalaApiWeb.Orgs.ClaimableOrganizationController.create": {
+        parameters: {
+            query?: never;
+            header?: never;
+            path?: never;
+            cookie?: never;
+        };
+        /** @description Datos de la organización */
+        requestBody?: {
+            content: {
+                "application/json": components["schemas"]["ClaimableOrganizationRequest"];
+            };
+        };
+        responses: {
+            /** @description Organización provisionada (credenciales reveladas una única vez) */
+            201: {
+                headers: {
+                    [name: string]: unknown;
+                };
+                content: {
+                    "application/json": components["schemas"]["ClaimableOrganizationCreateResponse"];
+                };
+            };
+            /** @description Error de validación */
+            422: {
+                headers: {
+                    [name: string]: unknown;
+                };
+                content: {
+                    "application/json": components["schemas"]["Error"];
+                };
+            };
+            /** @description Cuota excedida */
+            429: {
+                headers: {
+                    [name: string]: unknown;
+                };
+                content: {
+                    "application/json": components["schemas"]["Error"];
+                };
+            };
+        };
+    };
+    "HablalaApiWeb.Orgs.ClaimableOrganizationController.preview": {
+        parameters: {
+            query: {
+                token: string;
+            };
+            header?: never;
+            path?: never;
+            cookie?: never;
+        };
+        requestBody?: never;
+        responses: {
+            /** @description Preview del claim */
+            200: {
+                headers: {
+                    [name: string]: unknown;
+                };
+                content: {
+                    "application/json": components["schemas"]["ClaimPreviewResponse"];
+                };
+            };
+        };
+    };
     "HablalaApiWeb.Orgs.OrganizationController.show": {
         parameters: {
             query?: never;
@@ -16853,14 +17763,9 @@ interface operations {
             };
         };
     };
-    "HablalaApiWeb.Workflows.WorkflowExecutionController.index": {
+    "HablalaApiWeb.Webhooks.WebhookController.index": {
         parameters: {
-            query?: {
-                /** @description Filtrar por definición (wfd_…). */
-                workflowDefinitionId?: string;
-                /** @description Filtrar por estado: running | completed | failed. */
-                status?: string;
-            };
+            query?: never;
             header?: never;
             path: {
                 organization_id: string;
@@ -16869,13 +17774,40 @@ interface operations {
         };
         requestBody?: never;
         responses: {
-            /** @description Ejecuciones */
+            /** @description Endpoints */
             200: {
                 headers: {
                     [name: string]: unknown;
                 };
                 content: {
-                    "application/json": components["schemas"]["WorkflowExecutionsResponse"];
+                    "application/json": components["schemas"]["WebhookEndpointsResponse"];
+                };
+            };
+        };
+    };
+    "HablalaApiWeb.Webhooks.WebhookController.create": {
+        parameters: {
+            query?: never;
+            header?: never;
+            path: {
+                organization_id: string;
+            };
+            cookie?: never;
+        };
+        /** @description Datos del endpoint */
+        requestBody?: {
+            content: {
+                "application/json": components["schemas"]["WebhookEndpointRequest"];
+            };
+        };
+        responses: {
+            /** @description Endpoint creado (con secret) */
+            201: {
+                headers: {
+                    [name: string]: unknown;
+                };
+                content: {
+                    "application/json": components["schemas"]["WebhookEndpointWithSecretResponse"];
                 };
             };
             /** @description Sin permiso */
@@ -16887,9 +17819,18 @@ interface operations {
                     "application/json": components["schemas"]["Error"];
                 };
             };
+            /** @description Error de validación */
+            422: {
+                headers: {
+                    [name: string]: unknown;
+                };
+                content: {
+                    "application/json": components["schemas"]["Error"];
+                };
+            };
         };
     };
-    "HablalaApiWeb.Workflows.WorkflowExecutionController.show": {
+    "HablalaApiWeb.Webhooks.WebhookController.show": {
         parameters: {
             query?: never;
             header?: never;
@@ -16901,16 +17842,16 @@ interface operations {
         };
         requestBody?: never;
         responses: {
-            /** @description Ejecución */
+            /** @description Endpoint */
             200: {
                 headers: {
                     [name: string]: unknown;
                 };
                 content: {
-                    "application/json": components["schemas"]["WorkflowExecutionResponse"];
+                    "application/json": components["schemas"]["WebhookEndpointResponse"];
                 };
             };
-            /** @description No encontrada */
+            /** @description No existe */
             404: {
                 headers: {
                     [name: string]: unknown;
@@ -16921,7 +17862,7 @@ interface operations {
             };
         };
     };
-    "HablalaApiWeb.Workflows.WorkflowExecutionController.signal": {
+    "HablalaApiWeb.Webhooks.WebhookController.update": {
         parameters: {
             query?: never;
             header?: never;
@@ -16931,33 +17872,274 @@ interface operations {
             };
             cookie?: never;
         };
-        /** @description Signal */
+        /** @description Cambios */
         requestBody?: {
             content: {
-                "application/json": components["schemas"]["WorkflowSignalRequest"];
+                "application/json": components["schemas"]["WebhookEndpointRequest"];
             };
         };
         responses: {
-            /** @description Signal entregado */
+            /** @description Endpoint actualizado */
             200: {
                 headers: {
                     [name: string]: unknown;
                 };
                 content: {
-                    "application/json": components["schemas"]["WorkflowExecutionResponse"];
-                };
-            };
-            /** @description Sin permiso */
-            403: {
-                headers: {
-                    [name: string]: unknown;
-                };
-                content: {
-                    "application/json": components["schemas"]["Error"];
+                    "application/json": components["schemas"]["WebhookEndpointResponse"];
                 };
             };
-            /** @description No encontrada */
-            404: {
+            /** @description Error de validación */
+            422: {
+                headers: {
+                    [name: string]: unknown;
+                };
+                content: {
+                    "application/json": components["schemas"]["Error"];
+                };
+            };
+        };
+    };
+    "HablalaApiWeb.Webhooks.WebhookController.delete": {
+        parameters: {
+            query?: never;
+            header?: never;
+            path: {
+                organization_id: string;
+                id: string;
+            };
+            cookie?: never;
+        };
+        requestBody?: never;
+        responses: {
+            /** @description Borrado */
+            204: {
+                headers: {
+                    [name: string]: unknown;
+                };
+                content?: never;
+            };
+            /** @description Sin permiso */
+            403: {
+                headers: {
+                    [name: string]: unknown;
+                };
+                content: {
+                    "application/json": components["schemas"]["Error"];
+                };
+            };
+        };
+    };
+    "HablalaApiWeb.Webhooks.WebhookController.update (2)": {
+        parameters: {
+            query?: never;
+            header?: never;
+            path: {
+                organization_id: string;
+                id: string;
+            };
+            cookie?: never;
+        };
+        /** @description Cambios */
+        requestBody?: {
+            content: {
+                "application/json": components["schemas"]["WebhookEndpointRequest"];
+            };
+        };
+        responses: {
+            /** @description Endpoint actualizado */
+            200: {
+                headers: {
+                    [name: string]: unknown;
+                };
+                content: {
+                    "application/json": components["schemas"]["WebhookEndpointResponse"];
+                };
+            };
+            /** @description Error de validación */
+            422: {
+                headers: {
+                    [name: string]: unknown;
+                };
+                content: {
+                    "application/json": components["schemas"]["Error"];
+                };
+            };
+        };
+    };
+    "HablalaApiWeb.Webhooks.WebhookController.deliveries": {
+        parameters: {
+            query?: never;
+            header?: never;
+            path: {
+                organization_id: string;
+                id: string;
+            };
+            cookie?: never;
+        };
+        requestBody?: never;
+        responses: {
+            /** @description Deliveries */
+            200: {
+                headers: {
+                    [name: string]: unknown;
+                };
+                content: {
+                    "application/json": components["schemas"]["WebhookDeliveriesResponse"];
+                };
+            };
+        };
+    };
+    "HablalaApiWeb.Webhooks.WebhookController.rotate": {
+        parameters: {
+            query?: never;
+            header?: never;
+            path: {
+                organization_id: string;
+                id: string;
+            };
+            cookie?: never;
+        };
+        requestBody?: never;
+        responses: {
+            /** @description Secret rotado */
+            201: {
+                headers: {
+                    [name: string]: unknown;
+                };
+                content: {
+                    "application/json": components["schemas"]["WebhookEndpointWithSecretResponse"];
+                };
+            };
+        };
+    };
+    "HablalaApiWeb.Webhooks.WebhookController.secret": {
+        parameters: {
+            query?: never;
+            header?: never;
+            path: {
+                organization_id: string;
+                id: string;
+            };
+            cookie?: never;
+        };
+        requestBody?: never;
+        responses: {
+            /** @description Endpoint con secret */
+            200: {
+                headers: {
+                    [name: string]: unknown;
+                };
+                content: {
+                    "application/json": components["schemas"]["WebhookEndpointWithSecretResponse"];
+                };
+            };
+        };
+    };
+    "HablalaApiWeb.Workflows.WorkflowExecutionController.index": {
+        parameters: {
+            query?: {
+                /** @description Filtrar por definición (wfd_…). */
+                workflowDefinitionId?: string;
+                /** @description Filtrar por estado: running | completed | failed. */
+                status?: string;
+            };
+            header?: never;
+            path: {
+                organization_id: string;
+            };
+            cookie?: never;
+        };
+        requestBody?: never;
+        responses: {
+            /** @description Ejecuciones */
+            200: {
+                headers: {
+                    [name: string]: unknown;
+                };
+                content: {
+                    "application/json": components["schemas"]["WorkflowExecutionsResponse"];
+                };
+            };
+            /** @description Sin permiso */
+            403: {
+                headers: {
+                    [name: string]: unknown;
+                };
+                content: {
+                    "application/json": components["schemas"]["Error"];
+                };
+            };
+        };
+    };
+    "HablalaApiWeb.Workflows.WorkflowExecutionController.show": {
+        parameters: {
+            query?: never;
+            header?: never;
+            path: {
+                organization_id: string;
+                id: string;
+            };
+            cookie?: never;
+        };
+        requestBody?: never;
+        responses: {
+            /** @description Ejecución */
+            200: {
+                headers: {
+                    [name: string]: unknown;
+                };
+                content: {
+                    "application/json": components["schemas"]["WorkflowExecutionResponse"];
+                };
+            };
+            /** @description No encontrada */
+            404: {
+                headers: {
+                    [name: string]: unknown;
+                };
+                content: {
+                    "application/json": components["schemas"]["Error"];
+                };
+            };
+        };
+    };
+    "HablalaApiWeb.Workflows.WorkflowExecutionController.signal": {
+        parameters: {
+            query?: never;
+            header?: never;
+            path: {
+                organization_id: string;
+                id: string;
+            };
+            cookie?: never;
+        };
+        /** @description Signal */
+        requestBody?: {
+            content: {
+                "application/json": components["schemas"]["WorkflowSignalRequest"];
+            };
+        };
+        responses: {
+            /** @description Signal entregado */
+            200: {
+                headers: {
+                    [name: string]: unknown;
+                };
+                content: {
+                    "application/json": components["schemas"]["WorkflowExecutionResponse"];
+                };
+            };
+            /** @description Sin permiso */
+            403: {
+                headers: {
+                    [name: string]: unknown;
+                };
+                content: {
+                    "application/json": components["schemas"]["Error"];
+                };
+            };
+            /** @description No encontrada */
+            404: {
                 headers: {
                     [name: string]: unknown;
                 };
@@ -17763,6 +18945,60 @@ interface operations {
             };
         };
     };
+    "HablalaApiWeb.PublicApi.UploadController.create": {
+        parameters: {
+            query?: never;
+            header?: never;
+            path: {
+                object_slug: string;
+            };
+            cookie?: never;
+        };
+        /** @description Archivo a subir */
+        requestBody?: {
+            content: {
+                "application/json": components["schemas"]["RecordUploadRequest"];
+            };
+        };
+        responses: {
+            /** @description Destino de subida prefirmado */
+            200: {
+                headers: {
+                    [name: string]: unknown;
+                };
+                content: {
+                    "application/json": components["schemas"]["RecordUploadResponse"];
+                };
+            };
+            /** @description Sin policy allow de create/update para este principal */
+            403: {
+                headers: {
+                    [name: string]: unknown;
+                };
+                content: {
+                    "application/json": components["schemas"]["Error"];
+                };
+            };
+            /** @description Objeto desconocido */
+            404: {
+                headers: {
+                    [name: string]: unknown;
+                };
+                content: {
+                    "application/json": components["schemas"]["Error"];
+                };
+            };
+            /** @description Attribute inexistente/no-file, MIME no admitido o tamaño excedido */
+            422: {
+                headers: {
+                    [name: string]: unknown;
+                };
+                content: {
+                    "application/json": components["schemas"]["Error"];
+                };
+            };
+        };
+    };
     "HablalaApiWeb.PublicApi.QueryController.create (2)": {
         parameters: {
             query?: never;
@@ -17941,7 +19177,53 @@ interface operations {
                 headers: {
                     [name: string]: unknown;
                 };
-                content?: never;
+                content?: never;
+            };
+            /** @description Sin permiso ABAC sobre este record */
+            403: {
+                headers: {
+                    [name: string]: unknown;
+                };
+                content: {
+                    "application/json": components["schemas"]["Error"];
+                };
+            };
+            /** @description No encontrado (o de otro objeto) */
+            404: {
+                headers: {
+                    [name: string]: unknown;
+                };
+                content: {
+                    "application/json": components["schemas"]["Error"];
+                };
+            };
+        };
+    };
+    "HablalaApiWeb.PublicApi.RecordController.update (4)": {
+        parameters: {
+            query?: never;
+            header?: never;
+            path: {
+                object_slug: string;
+                id: string;
+            };
+            cookie?: never;
+        };
+        /** @description Propiedades del record */
+        requestBody?: {
+            content: {
+                "application/json": components["schemas"]["RecordRequest"];
+            };
+        };
+        responses: {
+            /** @description Record actualizado */
+            200: {
+                headers: {
+                    [name: string]: unknown;
+                };
+                content: {
+                    "application/json": components["schemas"]["RecordResponse"];
+                };
             };
             /** @description Sin permiso ABAC sobre este record */
             403: {
@@ -17961,35 +19243,43 @@ interface operations {
                     "application/json": components["schemas"]["Error"];
                 };
             };
+            /** @description Error de validación */
+            422: {
+                headers: {
+                    [name: string]: unknown;
+                };
+                content: {
+                    "application/json": components["schemas"]["Error"];
+                };
+            };
         };
     };
-    "HablalaApiWeb.PublicApi.RecordController.update (4)": {
+    "HablalaApiWeb.PublicApi.UploadController.create (2)": {
         parameters: {
             query?: never;
             header?: never;
             path: {
                 object_slug: string;
-                id: string;
             };
             cookie?: never;
         };
-        /** @description Propiedades del record */
+        /** @description Archivo a subir */
         requestBody?: {
             content: {
-                "application/json": components["schemas"]["RecordRequest"];
+                "application/json": components["schemas"]["RecordUploadRequest"];
             };
         };
         responses: {
-            /** @description Record actualizado */
+            /** @description Destino de subida prefirmado */
             200: {
                 headers: {
                     [name: string]: unknown;
                 };
                 content: {
-                    "application/json": components["schemas"]["RecordResponse"];
+                    "application/json": components["schemas"]["RecordUploadResponse"];
                 };
             };
-            /** @description Sin permiso ABAC sobre este record */
+            /** @description Sin policy allow de create/update para este principal */
             403: {
                 headers: {
                     [name: string]: unknown;
@@ -17998,7 +19288,7 @@ interface operations {
                     "application/json": components["schemas"]["Error"];
                 };
             };
-            /** @description No encontrado (o de otro objeto) */
+            /** @description Objeto desconocido */
             404: {
                 headers: {
                     [name: string]: unknown;
@@ -18007,7 +19297,7 @@ interface operations {
                     "application/json": components["schemas"]["Error"];
                 };
             };
-            /** @description Error de validación */
+            /** @description Attribute inexistente/no-file, MIME no admitido o tamaño excedido */
             422: {
                 headers: {
                     [name: string]: unknown;
@@ -19057,6 +20347,267 @@ interface operations {
             };
         };
     };
+    "HablalaApiWeb.Machine.WebhookController.index": {
+        parameters: {
+            query?: never;
+            header?: never;
+            path?: never;
+            cookie?: never;
+        };
+        requestBody?: never;
+        responses: {
+            /** @description Endpoints */
+            200: {
+                headers: {
+                    [name: string]: unknown;
+                };
+                content: {
+                    "application/json": components["schemas"]["WebhookEndpointsResponse"];
+                };
+            };
+        };
+    };
+    "HablalaApiWeb.Machine.WebhookController.create": {
+        parameters: {
+            query?: never;
+            header?: never;
+            path?: never;
+            cookie?: never;
+        };
+        /** @description Datos del endpoint */
+        requestBody?: {
+            content: {
+                "application/json": components["schemas"]["WebhookEndpointRequest"];
+            };
+        };
+        responses: {
+            /** @description Endpoint creado (con secret) */
+            201: {
+                headers: {
+                    [name: string]: unknown;
+                };
+                content: {
+                    "application/json": components["schemas"]["WebhookEndpointWithSecretResponse"];
+                };
+            };
+            /** @description Sin permiso */
+            403: {
+                headers: {
+                    [name: string]: unknown;
+                };
+                content: {
+                    "application/json": components["schemas"]["Error"];
+                };
+            };
+            /** @description Error de validación */
+            422: {
+                headers: {
+                    [name: string]: unknown;
+                };
+                content: {
+                    "application/json": components["schemas"]["Error"];
+                };
+            };
+        };
+    };
+    "HablalaApiWeb.Machine.WebhookController.show": {
+        parameters: {
+            query?: never;
+            header?: never;
+            path: {
+                id: string;
+            };
+            cookie?: never;
+        };
+        requestBody?: never;
+        responses: {
+            /** @description Endpoint */
+            200: {
+                headers: {
+                    [name: string]: unknown;
+                };
+                content: {
+                    "application/json": components["schemas"]["WebhookEndpointResponse"];
+                };
+            };
+            /** @description No existe */
+            404: {
+                headers: {
+                    [name: string]: unknown;
+                };
+                content: {
+                    "application/json": components["schemas"]["Error"];
+                };
+            };
+        };
+    };
+    "HablalaApiWeb.Machine.WebhookController.update": {
+        parameters: {
+            query?: never;
+            header?: never;
+            path: {
+                id: string;
+            };
+            cookie?: never;
+        };
+        /** @description Cambios */
+        requestBody?: {
+            content: {
+                "application/json": components["schemas"]["WebhookEndpointRequest"];
+            };
+        };
+        responses: {
+            /** @description Endpoint actualizado */
+            200: {
+                headers: {
+                    [name: string]: unknown;
+                };
+                content: {
+                    "application/json": components["schemas"]["WebhookEndpointResponse"];
+                };
+            };
+            /** @description Error de validación */
+            422: {
+                headers: {
+                    [name: string]: unknown;
+                };
+                content: {
+                    "application/json": components["schemas"]["Error"];
+                };
+            };
+        };
+    };
+    "HablalaApiWeb.Machine.WebhookController.delete": {
+        parameters: {
+            query?: never;
+            header?: never;
+            path: {
+                id: string;
+            };
+            cookie?: never;
+        };
+        requestBody?: never;
+        responses: {
+            /** @description Borrado */
+            204: {
+                headers: {
+                    [name: string]: unknown;
+                };
+                content?: never;
+            };
+            /** @description Sin permiso */
+            403: {
+                headers: {
+                    [name: string]: unknown;
+                };
+                content: {
+                    "application/json": components["schemas"]["Error"];
+                };
+            };
+        };
+    };
+    "HablalaApiWeb.Machine.WebhookController.update (2)": {
+        parameters: {
+            query?: never;
+            header?: never;
+            path: {
+                id: string;
+            };
+            cookie?: never;
+        };
+        /** @description Cambios */
+        requestBody?: {
+            content: {
+                "application/json": components["schemas"]["WebhookEndpointRequest"];
+            };
+        };
+        responses: {
+            /** @description Endpoint actualizado */
+            200: {
+                headers: {
+                    [name: string]: unknown;
+                };
+                content: {
+                    "application/json": components["schemas"]["WebhookEndpointResponse"];
+                };
+            };
+            /** @description Error de validación */
+            422: {
+                headers: {
+                    [name: string]: unknown;
+                };
+                content: {
+                    "application/json": components["schemas"]["Error"];
+                };
+            };
+        };
+    };
+    "HablalaApiWeb.Machine.WebhookController.deliveries": {
+        parameters: {
+            query?: never;
+            header?: never;
+            path: {
+                id: string;
+            };
+            cookie?: never;
+        };
+        requestBody?: never;
+        responses: {
+            /** @description Deliveries */
+            200: {
+                headers: {
+                    [name: string]: unknown;
+                };
+                content: {
+                    "application/json": components["schemas"]["WebhookDeliveriesResponse"];
+                };
+            };
+        };
+    };
+    "HablalaApiWeb.Machine.WebhookController.rotate": {
+        parameters: {
+            query?: never;
+            header?: never;
+            path: {
+                id: string;
+            };
+            cookie?: never;
+        };
+        requestBody?: never;
+        responses: {
+            /** @description Secret rotado */
+            201: {
+                headers: {
+                    [name: string]: unknown;
+                };
+                content: {
+                    "application/json": components["schemas"]["WebhookEndpointWithSecretResponse"];
+                };
+            };
+        };
+    };
+    "HablalaApiWeb.Machine.WebhookController.secret": {
+        parameters: {
+            query?: never;
+            header?: never;
+            path: {
+                id: string;
+            };
+            cookie?: never;
+        };
+        requestBody?: never;
+        responses: {
+            /** @description Endpoint con secret */
+            200: {
+                headers: {
+                    [name: string]: unknown;
+                };
+                content: {
+                    "application/json": components["schemas"]["WebhookEndpointWithSecretResponse"];
+                };
+            };
+        };
+    };
     "HablalaApiWeb.Machine.WhoamiController.show": {
         parameters: {
             query?: never;