@seedgrid/ai-toolkit 0.0.0-stage → 0.3.0

package/seedgridKB/SeedGrid/Extensions/login-tenancy/Configuracao-Rust.md

@@ -0,0 +1,124 @@
+---
+tags: [seedgrid, extension, login-tenancy, rust, configuracao]
+fonte: rust/seedgrid-rust-crate-login-tenancy
+branch: main
+commit: be738a2d1e
+analisado-em: 2026-10-14
+---
+
+# Configuração Rust — `seedgrid-rust-crate-login-tenancy`
+
+Volta para: [[SeedGrid/Extensions/login-tenancy/Rust|Porte Rust do login-tenancy]] · Java: [[SeedGrid/Extensions/login-tenancy/Configuracao|Configuração do login-tenancy (Quarkus)]]
+
+## 1. Cabeçalho
+
+| Item | Valor |
+|---|---|
+| Struct | `LoginTenancyConfig` (`app`, `foundation`, `bootstrap`, `modules`), todas com `Default`; fachada `LoginTenancyFoundationConfig`; registry `ModuleRegistry` — `src/config.rs` |
+| Prefixo lógico | `seedgrid.login-tenancy` (porte de `@ConfigMapping(prefix = "seedgrid.login-tenancy")`, `LoginTenancyConfig.java`) |
+| Mecanismo | `LoginTenancyConfig::from_env()` com `std::env::var("SEEDGRID_LOGIN_TENANCY_*")`; booleans via closure `flag`: `true` (sem caixa) → `true`, **qualquer outro valor → `false`**, ausente → default |
+| Leitura | boot — o host chama `from_env()` e passa a `LoginTenancyState::builder(pool, LoginTenancyFoundationConfig::new(cfg))`; ou `orchestrator::assemble_all` faz isso |
+| Leituras fora do `from_env` | `src/error.rs` lê `SEEDGRID_SHOW_DEV_MESSAGE` **a cada resposta de erro**; `src/orchestrator.rs` (`assemble_all`) lê `SEEDGRID_SECURITY_DEFAULT_COMPANY_CNPJ`, `SEEDGRID_SECURITY_FIRST_ADMIN_USER_EMAIL` e testa a existência de `SEEDGRID_SECURITY_ACCOUNT_ASSIGNABLE_PERMISSION_AUDIENCES`; chama também `SecurityConfig::from_env()` e `AuditConfig::from_env()` |
+| Regra fechada | não existe `seedgrid.login-tenancy.enabled`; a dependência presente ativa o baseline (comentário de `src/config.rs`) |
+| Features Cargo | nenhuma (depende de `seedgrid-billing` com `default-features = false`) |
+| Origem | caminhos relativos a `rust/seedgrid-rust-crate-login-tenancy/` |
+
+## 2. Propriedades do crate
+
+### 2.1 Aplicação
+
+| Propriedade | Tipo | Valores aceitos | Padrão | Obrigatória | Comportamento | Uso | Relações | Leitura | Origem |
+|---|---|---|---|---|---|---|---|---|---|
+| `SEEDGRID_LOGIN_TENANCY_APP_CODE` → `app.code` | `String` | qualquer (sem trim) | `seedgrid-app` | Não | código da aplicação | `GET /public/login-tenancy/status` (`app.code`) | Java: `seedgrid.login-tenancy.app.code` | boot | `src/config.rs` → `from_env`; consumo `src/routes.rs` → `status_handler` |
+| `SEEDGRID_LOGIN_TENANCY_APP_NAME` → `app.name` | `String` | qualquer | `SeedGrid Application` | Não | nome de exibição | status endpoint; e-mail de confirmação do signup (`appName`) | Java: `...app.name` | boot | idem; `src/signup.rs:445` |
+
+### 2.2 Superfície técnica e bootstrap
+
+| Propriedade | Tipo | Valores aceitos | Padrão | Obrigatória | Comportamento | Uso | Relações | Leitura | Origem |
+|---|---|---|---|---|---|---|---|---|---|
+| `SEEDGRID_LOGIN_TENANCY_FOUNDATION_STATUS_ENABLED` → `foundation.status_enabled` | `bool` | `true`/outro | `true` | Não | `false` → `GET /public/login-tenancy/status` responde 404 | `src/routes.rs` → `status_handler` | Java: `...foundation.status.enabled` | boot | `src/config.rs` |
+| `SEEDGRID_LOGIN_TENANCY_BOOTSTRAP_ENABLED` → `bootstrap.enabled` | `bool` | idem | `true` | Não | só reportado no status (`bootstrap.enabled`); **não** controla o bootstrap do security (que é `LoginTenancyPlatformOverrides.run_security_bootstrap`) | status endpoint | Java: `...bootstrap.enabled` | boot | idem |
+| `SEEDGRID_LOGIN_TENANCY_BOOTSTRAP_ADMIN_ENABLED` → `bootstrap.admin_enabled` | `bool` | idem | `true` | Não | `admin_bootstrap_enabled()` = `bootstrap.enabled && admin_enabled`; só reportado no status | status endpoint | Java: `...bootstrap.admin.enabled` | boot | idem |
+
+### 2.3 Módulos de foundation
+
+| Propriedade | Tipo | Valores aceitos | Padrão | Obrigatória | Comportamento | Uso | Relações | Leitura | Origem |
+|---|---|---|---|---|---|---|---|---|---|
+| `SEEDGRID_LOGIN_TENANCY_MODULES_BILLING_ENABLED` | `bool` | `true`/outro | `true` | Não | ativação lógica; aparece em `activeModules` do status | `ModuleRegistry::active_modules` → status | Java: `...modules.billing.enabled` | boot | `src/config.rs` |
+| `SEEDGRID_LOGIN_TENANCY_MODULES_APIKEYS_ENABLED` | `bool` | idem | `true` | Não | idem | idem | Java: `...modules.apikeys.enabled` | boot | idem |
+| `SEEDGRID_LOGIN_TENANCY_MODULES_BACKUP_ENABLED` | `bool` | idem | `true` | Não | idem | idem | Java: `...modules.backup.enabled` | boot | idem |
+| `SEEDGRID_LOGIN_TENANCY_MODULES_FILEMANAGEMENT_ENABLED` | `bool` | idem | `true` | Não | idem | idem | Java: `...modules.filemanagement.enabled` | boot | idem |
+
+As flags de módulo **não** ligam/desligam nada além do relatório: `assemble_all` não monta billing/apikeys/backup/filemanagement (Confirmado em `src/orchestrator.rs`).
+
+### 2.4 Erros e leituras cruzadas
+
+| Propriedade | Tipo | Valores aceitos | Padrão | Obrigatória | Comportamento | Uso | Relações | Leitura | Origem |
+|---|---|---|---|---|---|---|---|---|---|
+| `SEEDGRID_SHOW_DEV_MESSAGE` | `bool` | `true` (sem caixa) liga | `false` | Não | inclui `devMessage` (mensagem da exceção) no corpo RFC 7807 | `src/error.rs` → `show_dev_message_enabled` / `ProblemJson` | Java: `seedgrid.show-dev-message` (env por regra MicroProfile; Confirmado no comentário) | por request | `src/error.rs` |
+| `SEEDGRID_SECURITY_DEFAULT_COMPANY_CNPJ` (lida aqui) | `String` | CNPJ (só dígitos são mantidos) | — | Condicional: sem ela o `assemble_all` não registra `LoginTenancyAllowedCompaniesResolver` nem `LoginTenancyJwtTokenCustomizer` (audiência `platform`/`client`) e loga warn | super-leitura + audiência JWT | `src/orchestrator.rs` → `assemble_all` | propriedade do security: [[SeedGrid/Extensions/security/Configuracao-Rust\|config Rust do security]] | boot (`assemble_all`) | `src/orchestrator.rs` |
+| `SEEDGRID_SECURITY_FIRST_ADMIN_USER_EMAIL` (lida aqui) | `String` | e-mail | — | Não | alimenta `firstAdminConfigured` do status | `LoginTenancyStateBuilder::first_admin_email` | idem (security) | boot (`assemble_all`) | `src/orchestrator.rs` |
+| `SEEDGRID_SECURITY_ACCOUNT_ASSIGNABLE_PERMISSION_AUDIENCES` (existência testada) | — | — | se **ausente**, `assemble_all` força `["client"]` | Não | default do login-tenancy para audiences atribuíveis pela conta | `src/orchestrator.rs` (`std::env::var_os(...).is_none()`) | propriedade do security | boot | `src/orchestrator.rs` |
+
+### 2.5 Seams/struct do host (sem env)
+
+| Propriedade | Tipo | Padrão | Comportamento | Origem |
+|---|---|---|---|---|
+| `LoginTenancyPlatformOverrides.email` | `Option<Arc<dyn EmailService>>` | `LoggingEmailService` do security (só loga) | transporte do e-mail de signup | `src/orchestrator.rs` |
+| `.template` | `Option<Arc<dyn LoginTenancyTemplateProvider>>` | `DefaultLoginTenancyTemplateProvider` | template do e-mail | idem |
+| `.signup_confirmed` | `Option<Arc<dyn SignupConfirmedHandler>>` | `None` | pós-processamento de domínio | idem |
+| `.password_policy` | `Option<PasswordPolicy>` | `PasswordPolicy::default()` = `min_length 8`, `require_upper/lower/special = false` | política de senha do signup — **independente** da política do security (`SECURITY_PASSWORD_*` não se aplica aqui) | `src/state.rs` |
+| `.run_security_bootstrap` | `bool` | `true` | roda `seedgrid_security::bootstrap` | `src/orchestrator.rs` |
+
+## 3. Propriedades de frameworks/bibliotecas
+
+- O `assemble_all` delega ao security (`SecurityConfig::from_env()`, chaves RSA obrigatórias para habilitar) e ao audit (`AuditConfig::from_env()`; auditoria só com `enabled` + estratégia JPA). Ver [[SeedGrid/Extensions/security/Configuracao-Rust|security]] e [[SeedGrid/Extensions/audit/Configuracao-Rust|audit]].
+- Rate limits do signup: `config_key` `signup` (10/min), `signup-email-exists` (10/min), `signup-confirm-email` (10/min), `signup-resend-email` (5/h) (`src/ratelimit.rs`). As fábricas existem, mas o `router` do crate **não** aplica a camada — fica com o host (comentário de `src/routes.rs`). O kill-switch citado `seedgrid.ratelimit.<config_key>.enabled` depende do `ConfigSource` que o host der ao `RateLimitService` (crate resilience).
+
+## 4. Propriedades usadas só em testes e exemplos
+
+- `rust/examples/seedgrid-login-tenancy-example`: `DATABASE_URL`, `BIND_ADDR` (lidas no `main.rs`) e, no `.env.example`, envs do security (`SECURITY_JWT_ISSUER`, `SECURITY_JWT_TTL_SECONDS`, `SECURITY_ENCRYPTION_KEY`, `SECURITY_FRONTEND_BASE_URL`, `SEEDGRID_SECURITY_DEFAULT_COMPANY_CNPJ`, `SEEDGRID_SECURITY_FIRST_ADMIN_USER_EMAIL`).
+- `tests/foundation_it.rs` (Testcontainers) e testes unitários de `src/error.rs` que alteram `SEEDGRID_SHOW_DEV_MESSAGE`.
+
+## 5. Aliases, obsoletas, renomeações
+
+Sem aliases. Nomes `SEEDGRID_LOGIN_TENANCY_*` = regra MicroProfile das propriedades Java. O status endpoint legado `/public/accounttenancy/status` foi removido.
+
+## 6. Configuração mínima
+
+Nenhuma env do próprio crate é obrigatória. Para a foundation funcionar via `assemble_all`: chaves RSA do security e, recomendado, `SEEDGRID_SECURITY_DEFAULT_COMPANY_CNPJ` (+ corporate/trade name).
+
+```dotenv
+SEEDGRID_SECURITY_JWT_PRIVATE_KEY_LOCATION=./keys/private.pem
+SEEDGRID_SECURITY_JWT_PUBLIC_KEY_LOCATION=./keys/public.pem
+SEEDGRID_SECURITY_DEFAULT_COMPANY_CNPJ=<cnpj-da-plataforma>
+SEEDGRID_SECURITY_DEFAULT_COMPANY_CORPORATE_NAME=<razao-social>
+SEEDGRID_SECURITY_DEFAULT_COMPANY_TRADE_NAME=<nome-fantasia>
+```
+
+## 7. Configuração completa comentada
+
+```dotenv
+SEEDGRID_LOGIN_TENANCY_APP_CODE=seedgrid-app
+SEEDGRID_LOGIN_TENANCY_APP_NAME=SeedGrid Application     # aparece no e-mail de confirmação
+SEEDGRID_LOGIN_TENANCY_FOUNDATION_STATUS_ENABLED=true     # false -> status 404
+SEEDGRID_LOGIN_TENANCY_BOOTSTRAP_ENABLED=true             # só reportado no status
+SEEDGRID_LOGIN_TENANCY_BOOTSTRAP_ADMIN_ENABLED=true       # só reportado no status
+SEEDGRID_LOGIN_TENANCY_MODULES_BILLING_ENABLED=true
+SEEDGRID_LOGIN_TENANCY_MODULES_APIKEYS_ENABLED=true
+SEEDGRID_LOGIN_TENANCY_MODULES_BACKUP_ENABLED=true
+SEEDGRID_LOGIN_TENANCY_MODULES_FILEMANAGEMENT_ENABLED=true
+SEEDGRID_SHOW_DEV_MESSAGE=false                           # true só em dev
+```
+
+## 8. Receitas
+
+- **Esconder o status:** `SEEDGRID_LOGIN_TENANCY_FOUNDATION_STATUS_ENABLED=false`.
+- **Audiência `platform`/`client` no JWT:** defina `SEEDGRID_SECURITY_DEFAULT_COMPANY_CNPJ` antes de chamar `assemble_all`.
+- **Política de senha do signup igual à do security:** passe `LoginTenancyPlatformOverrides { password_policy: Some(PasswordPolicy { .. }), .. }` — não é derivada das envs `SECURITY_PASSWORD_*`.
+
+## 9. Dúvidas e lacunas
+
+- `bootstrap.*` e `modules.*` só afetam o corpo do status endpoint — **Confirmado** por grep.
+- Flags booleanas aceitam só `true` (case-insensitive); `1`/`yes` viram `false` — **Confirmado**.
+- A `PasswordPolicy` do signup não aplica `prohibit_repeated_sequence` nem histórico (o Java usa `passwordService.validate`) — **Inferência** a partir de `PasswordPolicy` (4 campos) em `src/state.rs`.

package/seedgridKB/SeedGrid/Extensions/login-tenancy/Configuracao.md

@@ -0,0 +1,195 @@
+---
+tags: [seedgrid, extension, login-tenancy, configuracao]
+fonte: java/seedgrid-quarkus-ext-login-tenancy
+branch: main
+commit: c67581bda9
+analisado-em: 2026-10-14
+---
+
+# Login-tenancy (Quarkus) — configuração
+
+Voltar: [[SeedGrid/Extensions/login-tenancy/Visao-geral|Visão geral do login-tenancy]] · [[SeedGrid/Extensions/login-tenancy/Exemplos|Exemplos]] · [[SeedGrid/Extensions/login-tenancy/Rust|Porte Rust]]
+
+## 1. Cabeçalho
+
+| Item | Valor |
+|---|---|
+| Prefixo próprio | `seedgrid.login-tenancy` (não existe `seedgrid.login-tenancy.enabled`) |
+| Classe de config | `java/seedgrid-quarkus-ext-login-tenancy/runtime/src/main/java/br/com/seedgrid/logintenancy/configs/LoginTenancyConfig.java` → `LoginTenancyConfig` (grupos `App`, `Database`, `Foundation.Status`, `Foundation.Health`, `Bootstrap`, `Bootstrap.Admin`, `Modules.Billing/Apikeys/Backup/Filemanagement`) |
+| Fachada | `LoginTenancyFoundationConfig` (bean CDI que os demais componentes consomem) |
+| Mecanismo | SmallRye `@ConfigMapping(prefix = "seedgrid.login-tenancy")` (registrado automaticamente; sem `ConfigMappingBuildItem`). Também: `@ConfigProperty` em `LoginTenancyMongoAuditDatabaseProducer`, `LoginTenancyMigrationService`, `LoginTenancyBootstrapService`, `LoginTenancySecurityBridge`, `LoginTenancyApiExceptionExtension`; `@SeedGridRateLimit(configKey=...)` no `LoginTenancySignupController`; defaults em `runtime/src/main/resources/META-INF/microprofile-config.properties` e `RunTimeConfigurationDefaultBuildItem` em `LoginTenancyProcessor`. |
+| Fase | Runtime (todas as propriedades `seedgrid.login-tenancy.*`). Os defaults `quarkus.*` do `microprofile-config.properties` incluem chaves build-time do Quarkus. |
+
+Variáveis de ambiente: regra MicroProfile, ex.: `seedgrid.login-tenancy.app.code` → `SEEDGRID_LOGIN_TENANCY_APP_CODE` (o hífen vira `_`; o SmallRye resolve para a propriedade conhecida do mapping). O código não lê env diretamente.
+
+## 2. Propriedades da extension (`seedgrid.login-tenancy.*`)
+
+### Identidade da aplicação
+
+| Propriedade | Tipo | Valores aceitos | Padrão | Obrigatória | Comportamento | Uso | Relações | Fase | Origem |
+|---|---|---|---|---|---|---|---|---|---|
+| `seedgrid.login-tenancy.app.code` | `String` | texto | `seedgrid-app` | Não | Código curto da aplicação; exibido no status e no log do bootstrap; base do nome do banco Mongo de auditoria (`<code>_audit_db`) quando não há `seedgrid.audit.mongodb.database`. | Identificar o produto | Lido também por `@ConfigProperty` (Optional) no producer Mongo: se vier vazio lá, o banco vira `audit_db`; se o `@WithDefault("seedgrid-app")` do mapping é visível para esse `@ConfigProperty` é Não confirmado (ver §9) | Runtime | Decl.: `LoginTenancyConfig.App#code()`; `LoginTenancyMongoAuditDatabaseProducer#appCode`. Consumo: `LoginTenancyFoundationConfig#appCode()` → `LoginTenancyStatusController`, `LoginTenancyBootstrapService`; `LoginTenancyMongoAuditDatabaseProducer#resolveDatabaseName` |
+| `seedgrid.login-tenancy.app.name` | `String` | texto | `SeedGrid Application` | Não | Nome de exibição: usado nos e-mails (assunto e template `{appName}`) de confirmação, boas-vindas e ativação de usuário, e no status. | Branding dos e-mails | — | Runtime | Decl.: `LoginTenancyConfig.App#name()`. Consumo: `LoginTenancySignupController#sendConfirmationEmail`/`#sendWelcomeEmail`, `LoginTenancyAccountUserActivationMailer#deliver`, `LoginTenancyStatusController` |
+
+### Banco / migrations
+
+| Propriedade | Tipo | Valores aceitos | Padrão | Obrigatória | Comportamento | Uso | Relações | Fase | Origem |
+|---|---|---|---|---|---|---|---|---|---|
+| `seedgrid.login-tenancy.database.migrate-at-start` | `boolean` | `true`/`false` | `true` | Não | `false`: pula **todas** as migrations orquestradas (foundation + app). | Controlar migração no boot | O Flyway nativo fica desligado (`quarkus.flyway.enabled=false`), então com `false` ninguém migra | Runtime | Decl.: `LoginTenancyConfig.Database#migrateAtStart()`. Consumo: `LoginTenancyMigrationService#onStart` |
+| `seedgrid.login-tenancy.database.baseline-on-migrate` | `boolean` | `true`/`false` | `true` | Não | Passado ao `Flyway.configure().baselineOnMigrate(...)` de cada módulo. | Bancos pré-existentes | — | Runtime | Decl.: `LoginTenancyConfig.Database#baselineOnMigrate()`. Consumo: `LoginTenancyMigrations#migrateModule` |
+| `seedgrid.login-tenancy.database.locations` | `String` | location Flyway (ex.: `classpath:db/migration/app`) | `classpath:db/migration/app` | Não | Location das migrations da **aplicação**, executadas por último com a tabela `flyway_schema_history`. | Migrations do host | Não use `classpath:db/migration` (scan recursivo pegaria as subpastas de foundation — javadoc). Um único valor `String` (não lista). | Runtime | Decl.: `LoginTenancyConfig.Database#locations()`. Consumo: `LoginTenancyMigrationService#onStart` via `applicationMigrationsLocation()` |
+
+### Superfície técnica
+
+| Propriedade | Tipo | Valores aceitos | Padrão | Obrigatória | Comportamento | Uso | Relações | Fase | Origem |
+|---|---|---|---|---|---|---|---|---|---|
+| `seedgrid.login-tenancy.foundation.status.enabled` | `boolean` | `true`/`false` | `true` | Não | `false`: `GET /public/login-tenancy/status` responde 404. | Expor status técnico | — | Runtime | Decl.: `LoginTenancyConfig.Foundation.Status#enabled()`. Consumo: `LoginTenancyStatusController#status` |
+| `seedgrid.login-tenancy.foundation.health.enabled` | `boolean` | `true`/`false` | `true` | Não | `false`: o readiness `login-tenancy-foundation` reporta UP sem tocar o banco. | Readiness do datasource | — | Runtime | Decl.: `LoginTenancyConfig.Foundation.Health#enabled()`. Consumo: `LoginTenancyReadinessCheck#call` |
+
+### Bootstrap
+
+| Propriedade | Tipo | Valores aceitos | Padrão | Obrigatória | Comportamento | Uso | Relações | Fase | Origem |
+|---|---|---|---|---|---|---|---|---|---|
+| `seedgrid.login-tenancy.bootstrap.enabled` | `boolean` | `true`/`false` | `true` | Não | `false`: o `LoginTenancyBootstrapService` só loga que está desligado. Não impede o bootstrap do security nem as migrations. Também aparece no status. | Coordenação/log do bootstrap | `bootstrap.admin.enabled` só vale se este for `true` | Runtime | Decl.: `LoginTenancyConfig.Bootstrap#enabled()`. Consumo: `LoginTenancyBootstrapService#onStart`, `LoginTenancyFoundationConfig#adminBootstrapEnabled`, status |
+| `seedgrid.login-tenancy.bootstrap.admin.enabled` | `boolean` | `true`/`false` | `true` | Não | Intenção de criar o primeiro admin. É **só coordenação**: quem cria é o security, a partir de `seedgrid.security.first-admin-user.email`. Se `false` e o e-mail estiver preenchido, emite WARN e o admin é criado mesmo assim. | Sinalização/status | Efetivo = `bootstrap.enabled && bootstrap.admin.enabled` | Runtime | Decl.: `LoginTenancyConfig.Bootstrap.Admin#enabled()`. Consumo: `LoginTenancyBootstrapService#coordinateAdminBootstrap`, status |
+
+### Ativação lógica dos módulos
+
+| Propriedade | Tipo | Valores aceitos | Padrão | Obrigatória | Comportamento | Uso | Relações | Fase | Origem |
+|---|---|---|---|---|---|---|---|---|---|
+| `seedgrid.login-tenancy.modules.billing.enabled` | `boolean` (um por constante de [[SeedGrid/Extensions/login-tenancy/Enums#FoundationModule|FoundationModule]]) | `true`/`false` | `true` | Não | `false`: não roda as migrations de billing, não provisiona conta/trial no signup confirmado e (via default do `microprofile-config.properties`) desliga `seedgrid.billing.api.enabled`. | Desligar billing | Default de `seedgrid.billing.api.enabled=${seedgrid.login-tenancy.modules.billing.enabled:true}` | Runtime | Decl.: `LoginTenancyConfig.Modules.Billing#enabled()`. Consumo: `LoginTenancyModuleRegistry` → `LoginTenancyMigrationService`, `LoginTenancyBillingProvisioner`, status; `META-INF/microprofile-config.properties` |
+| `seedgrid.login-tenancy.modules.apikeys.enabled` | `boolean` | `true`/`false` | `true` | Não | `false`: não roda as migrations de apikeys; some de `activeModules`. Beans/endpoints do apikeys continuam presentes. | Desligar migrations de apikeys | — | Runtime | Decl.: `LoginTenancyConfig.Modules.Apikeys#enabled()`. Consumo: `LoginTenancyMigrationService`, status |
+| `seedgrid.login-tenancy.modules.backup.enabled` | `boolean` | `true`/`false` | `true` | Não | `false`: não roda as migrations de backup; some de `activeModules`. Beans do backup continuam. | Desligar migrations de backup | — | Runtime | Decl.: `LoginTenancyConfig.Modules.Backup#enabled()`. Consumo: `LoginTenancyMigrationService`, status |
+| `seedgrid.login-tenancy.modules.filemanagement.enabled` | `boolean` | `true`/`false` | `true` | Não | Só afeta `activeModules` (status/log); filemanagement não tem migrations no baseline. | Informativo | — | Runtime | Decl.: `LoginTenancyConfig.Modules.Filemanagement#enabled()`. Consumo: `LoginTenancyModuleRegistry#activeModules` (status e log do bootstrap) |
+
+Total `seedgrid.login-tenancy.*`: **13 propriedades**.
+
+### Propriedades de outros prefixos `seedgrid.*` **lidas** pela login-tenancy
+
+| Propriedade | Tipo | Valores aceitos | Padrão | Obrigatória | Comportamento | Uso | Relações | Fase | Origem |
+|---|---|---|---|---|---|---|---|---|---|
+| `seedgrid.audit.mongodb.database` | `Optional<String>` | nome de banco Mongo | — (deriva `<app.code>_audit_db`, ou `audit_db`) | Não | Override do banco Mongo de auditoria produzido pela foundation (banco único). | Audit MongoDB | Só existe bean se o Mongo estiver no classpath; conexão via `seedgrid.audit.mongodb.connection-string` (módulo audit — ver [[SeedGrid/Extensions/audit/Configuracao|audit]]) | Runtime | `LoginTenancyMongoAuditDatabaseProducer#auditDatabase` |
+| `seedgrid.audit.persistence.strategy` | `Optional<String>` | `jpa` (case-insensitive) habilita | — | Condicional (sem `jpa`, a migration de audit é pulada) | Decide se as migrations `db/migration/audit` rodam. | Orquestração | Chave do módulo audit | Runtime | `LoginTenancyMigrationService#isAuditJpa` |
+| `seedgrid.ai-pricing.migration.enabled` | `boolean` | `true`/`false` | `false` | Não | Roda `classpath:db/migration/ai-pricing` com `flyway_schema_history_ai_pricing`. | Hosts com ai-pricing | Mesma chave lida pelo `MigrationService` do subdomain-tenancy | Runtime | `LoginTenancyMigrationService#aiPricingMigrationsEnabled` |
+| `seedgrid.exchange.migration.enabled` | `boolean` | `true`/`false` | `false` | Não | Roda `classpath:db/migration/exchange` com `flyway_schema_history_exchange`. | Hosts com exchange | Idem | Runtime | `LoginTenancyMigrationService#exchangeMigrationsEnabled` |
+| `seedgrid.security.first-admin-user.email` | `Optional<String>` | e-mail | — | Não | Só lida para decidir logs/WARN e `firstAdminConfigured` no status. | Coordenação | Ver [[SeedGrid/Extensions/security/Configuracao|security]] | Runtime | `LoginTenancyBootstrapService`, `LoginTenancySecurityBridge` |
+| `seedgrid.security.jwt.issuer` | `Optional<String>` | URL/issuer | — | Não | Exibido em `security.jwtIssuer` no status. | Informativo | security | Runtime | `LoginTenancySecurityBridge` |
+| `seedgrid.show-dev-message` | `boolean` | `true`/`false` | `false` | Não | Inclui `devMessage` nos problem+json das exceções da login-tenancy. | Depuração | Mesma chave usada por security e billing | Runtime | `LoginTenancyApiExceptionExtension` (construtor) |
+
+### Rate limit dos endpoints de signup (`seedgrid.ratelimit.<configKey>.*`, lido pelo `seedgrid-resilience`)
+
+A login-tenancy define os `configKey`; o mecanismo (`RateLimitService`) lê `enabled` (padrão `true`), `permits` e `window` (padrão = valores da anotação) e também `min-spacing`, `burst-capacity`, `algorithm` (ver [[SeedGrid/Extensions/resilience/Configuracao|resilience]]). O README afirma que o limite é por IP (Não confirmado aqui).
+
+| Propriedade | Tipo | Valores aceitos | Padrão | Obrigatória | Comportamento | Uso | Relações | Fase | Origem |
+|---|---|---|---|---|---|---|---|---|---|
+| `seedgrid.ratelimit.signup.enabled` | `boolean` | `true`/`false` | `true` | Não | `false` desliga o limite do `POST /public/signup` | Anti-flood | — | Runtime | `@SeedGridRateLimit(configKey="signup")` em `LoginTenancySignupController#signup`; leitura em `RateLimitService#isEnabled` |
+| `seedgrid.ratelimit.signup.permits` | `long` | ≥ 1 | `10` | Não | Pedidos por janela | Anti-flood | com `window` | Runtime | idem (`#resolvePermits`) |
+| `seedgrid.ratelimit.signup.window` | `Duration` | ISO-8601 | `PT1M` | Não | Janela | Anti-flood | com `permits` | Runtime | idem (`#resolveWindowMs`) |
+| `seedgrid.ratelimit.signup-email-exists.enabled` | `boolean` | `true`/`false` | `true` | Não | Limite de `GET /public/signup/email-exists` | Anti-enumeração | — | Runtime | `LoginTenancySignupController#emailExists` |
+| `seedgrid.ratelimit.signup-email-exists.permits` | `long` | ≥ 1 | `10` | Não | idem | — | — | Runtime | idem |
+| `seedgrid.ratelimit.signup-email-exists.window` | `Duration` | ISO-8601 | `PT1M` | Não | idem | — | — | Runtime | idem |
+| `seedgrid.ratelimit.signup-cnpj-status.enabled` | `boolean` | `true`/`false` | `true` | Não | Limite de `GET /public/signup/cnpj-status` | Anti-enumeração | — | Runtime | `LoginTenancySignupController#cnpjStatus` |
+| `seedgrid.ratelimit.signup-cnpj-status.permits` | `long` | ≥ 1 | `10` | Não | idem | — | — | Runtime | idem |
+| `seedgrid.ratelimit.signup-cnpj-status.window` | `Duration` | ISO-8601 | `PT1M` | Não | idem | — | — | Runtime | idem |
+| `seedgrid.ratelimit.signup-confirm-email.enabled` | `boolean` | `true`/`false` | `true` | Não | Limite de `POST /public/signup/confirm-email` | Anti brute-force do código | — | Runtime | `LoginTenancySignupController#confirmEmail` |
+| `seedgrid.ratelimit.signup-confirm-email.permits` | `long` | ≥ 1 | `10` | Não | idem | — | — | Runtime | idem |
+| `seedgrid.ratelimit.signup-confirm-email.window` | `Duration` | ISO-8601 | `PT1M` | Não | idem | — | — | Runtime | idem |
+| `seedgrid.ratelimit.signup-resend-email.enabled` | `boolean` | `true`/`false` | `true` | Não | Limite de `POST /public/signup/resend-email` | Anti-spam | — | Runtime | `LoginTenancySignupController#resendEmail` |
+| `seedgrid.ratelimit.signup-resend-email.permits` | `long` | ≥ 1 | `5` | Não | idem | — | — | Runtime | idem |
+| `seedgrid.ratelimit.signup-resend-email.window` | `Duration` | ISO-8601 | `PT1H` | Não | idem | — | — | Runtime | idem |
+
+### Defaults que a extension define para outros módulos SeedGrid (sobrescrevíveis)
+
+| Propriedade | Valor default | Onde | Efeito |
+|---|---|---|---|
+| `seedgrid.billing.api.enabled` | `${seedgrid.login-tenancy.modules.billing.enabled:true}` | `microprofile-config.properties` | Endpoints do billing somem com o módulo desligado |
+| `seedgrid.security.account.assignable-permission-audiences` | `client` | `microprofile-config.properties` | Perfis de conta-cliente recebem permissões de audience `client` (e sem audience) |
+| `seedgrid.filemanagement.filesystem.base-path` | `./data/files` | `LoginTenancyProcessor#registerOptionalModuleDefaults` | Storage local padrão |
+
+### Obrigatórias de outros contratos (segundo javadoc de `LoginTenancyConfig` e `docs/configuration.md`)
+
+`quarkus.datasource.jdbc.url`, `quarkus.datasource.username`, 🔒 `quarkus.datasource.password`, `seedgrid.security.jwt.private-key-location`, `seedgrid.security.jwt.public-key-location`; mínimos de `seedgrid.billing.*`/`seedgrid.filemanagement.*` se ativos. Além disso o host precisa de um `BillingProvider`.
+
+## 3. Propriedades de frameworks definidas pela extension
+
+| Propriedade | Valor | Onde | Fase Quarkus |
+|---|---|---|---|
+| `quarkus.flyway.enabled` | `false` (crítico: migrations são do `LoginTenancyMigrationService`) | `microprofile-config.properties` | build time |
+| `quarkus.datasource.db-kind` | `postgresql` | `microprofile-config.properties` | build time |
+| `quarkus.hibernate-orm.schema-management.strategy` | `none` | `microprofile-config.properties` | — |
+| `quarkus.hibernate-orm.physical-naming-strategy` | `org.hibernate.boot.model.naming.CamelCaseToUnderscoresNamingStrategy` | `microprofile-config.properties` | build time |
+
+## 4. Propriedades usadas só em testes
+
+`runtime/src/test/resources/application.properties` (valores sensíveis não copiados):
+
+| Grupo | Propriedades |
+|---|---|
+| Quarkus | `quarkus.datasource.db-kind`, `quarkus.hibernate-orm.schema-management.strategy`, `quarkus.hibernate-orm.sql-load-script=no-file`, `quarkus.index-dependency.seedgrid-filemanagement.group-id/artifact-id`, `quarkus.arc.exclude-types` (storages de nuvem do filemanagement), `quarkus.mailer.mock`, `quarkus.mailer."security".mock`, `quarkus.http.test-port=0` |
+| JWT | `seedgrid.security.jwt.issuer`, `.kid`, `.private-key-location`, `.public-key-location`; `mp.jwt.verify.publickey.location`, `mp.jwt.verify.issuer`, `smallrye.jwt.sign.key.location`, `smallrye.jwt.new-token.issuer`, `smallrye.jwt.new-token.lifespan` (chaves PEM de teste) |
+| Security | 🔒 `seedgrid.security.encryption.key` (`<SEGREDO:security-encryption-key>`), `seedgrid.security.mailer.from`, `seedgrid.security.frontend.*` (base-url e paths), `seedgrid.security.default-company.*`, `seedgrid.security.first-admin-user.*` (🔒 `initial-password`), `seedgrid.security.password.*` |
+| Audit | `seedgrid.audit.persistence.strategy=JPA`, `seedgrid.audit.jpa.db-kind=postgresql` |
+| Login-tenancy | `seedgrid.login-tenancy.app.code=login-tenancy-it`, `seedgrid.login-tenancy.app.name=LoginTenancy IT` |
+| Rate limit | `seedgrid.ratelimit.signup.enabled`, `signup-email-exists.enabled`, `signup-confirm-email.enabled`, `signup-resend-email.enabled`, `user-activation-resend.enabled` = `false` (o último é `configKey` de outro módulo) |
+
+## 5. Aliases, obsoletas, renomeações
+
+- Não existe `seedgrid.login-tenancy.enabled` (regra fechada).
+
+## 6. Configuração mínima
+
+```properties
+quarkus.datasource.jdbc.url=jdbc:postgresql://<HOST>:5432/<BANCO>
+quarkus.datasource.username=<USUARIO>
+quarkus.datasource.password=<SEGREDO:db-password>
+seedgrid.security.jwt.private-key-location=<CAMINHO-CHAVE-PRIVADA>
+seedgrid.security.jwt.public-key-location=<CAMINHO-CHAVE-PUBLICA>
+seedgrid.login-tenancy.app.code=<codigo-do-produto>
+seedgrid.login-tenancy.app.name=<Nome do Produto>
+```
+
+Mais as configurações obrigatórias do [[SeedGrid/Extensions/security/Configuracao|security]] (company default, e-mail etc.) e um `BillingProvider` no classpath.
+
+## 7. Configuração completa comentada
+
+```properties
+# Identidade
+seedgrid.login-tenancy.app.code=seedgrid-app
+seedgrid.login-tenancy.app.name=SeedGrid Application
+# Migrations orquestradas (Flyway nativo fica desligado)
+seedgrid.login-tenancy.database.migrate-at-start=true
+seedgrid.login-tenancy.database.baseline-on-migrate=true
+seedgrid.login-tenancy.database.locations=classpath:db/migration/app
+# Superfície técnica
+seedgrid.login-tenancy.foundation.status.enabled=true
+seedgrid.login-tenancy.foundation.health.enabled=true
+# Bootstrap (coordenação; o admin é criado pelo security)
+seedgrid.login-tenancy.bootstrap.enabled=true
+seedgrid.login-tenancy.bootstrap.admin.enabled=true
+# Módulos (ativação lógica)
+seedgrid.login-tenancy.modules.billing.enabled=true
+seedgrid.login-tenancy.modules.apikeys.enabled=true
+seedgrid.login-tenancy.modules.backup.enabled=true
+seedgrid.login-tenancy.modules.filemanagement.enabled=true
+# Migrations opcionais de produto
+seedgrid.ai-pricing.migration.enabled=false
+seedgrid.exchange.migration.enabled=false
+# Auditoria
+seedgrid.audit.persistence.strategy=jpa
+#seedgrid.audit.mongodb.database=<banco-de-auditoria>
+# Rate limit do signup (exemplo: apertar o confirm-email)
+seedgrid.ratelimit.signup-confirm-email.permits=5
+seedgrid.ratelimit.signup-confirm-email.window=PT5M
+```
+
+## 8. Receitas
+
+- **Produto sem cobrança**: `seedgrid.login-tenancy.modules.billing.enabled=false` (sem migrations de billing, sem trial no signup e `seedgrid.billing.api.enabled=false` por default). O `BillingProvider` ainda é exigido pelo `billing-core` (README) — Não confirmado se continua obrigatório com o módulo desligado.
+- **Migrations aplicadas por pipeline externo**: `seedgrid.login-tenancy.database.migrate-at-start=false`.
+- **Não criar admin**: deixe `seedgrid.security.first-admin-user.email` vazio (o flag `bootstrap.admin.enabled` sozinho não basta).
+- **Auditoria em MongoDB**: dependência `seedgrid-audit-mongodb`, `seedgrid.audit.persistence.strategy=MONGODB`; o banco vira `<app.code>_audit_db` ou `seedgrid.audit.mongodb.database`.
+- **Testes de integração**: desligue os rate limits (`seedgrid.ratelimit.<configKey>.enabled=false`), como faz o `application.properties` de teste.
+
+## 9. Dúvidas e lacunas
+
+- Se o `@ConfigProperty(name="seedgrid.login-tenancy.app.code") Optional<String>` do producer Mongo enxerga o `@WithDefault` do mapping: o SmallRye normalmente registra os defaults de mappings como valores default da config, o que daria `seedgrid-app_audit_db` sem `app.code` explícito; caso contrário, `audit_db`. Não confirmado/não testado.

package/seedgridKB/SeedGrid/Extensions/login-tenancy/Enums.md

@@ -0,0 +1,71 @@
+---
+tags: [seedgrid, extension, login-tenancy, enum]
+fonte: java/seedgrid-quarkus-ext-login-tenancy
+branch: main
+commit: c67581bda9
+analisado-em: 2026-10-14
+---
+
+# Login-tenancy (Quarkus) — enums
+
+Voltar: [[SeedGrid/Extensions/login-tenancy/Visao-geral|Visão geral do login-tenancy]] · [[SeedGrid/Extensions/login-tenancy/Configuracao|Configuração]]
+
+## Índice
+
+| Enum | Pacote/arquivo | Usado em | Público? |
+|---|---|---|---|
+| [[#SignupRequestStatus]] | `br.com.seedgrid.logintenancy.enums` — `runtime/src/main/java/br/com/seedgrid/logintenancy/enums/SignupRequestStatus.java` | coluna `signup_request.status`; respostas de `POST /public/signup`, `/resend-email`, `/confirm-email` | Sim |
+| [[#CnpjSignupStatus]] | `br.com.seedgrid.logintenancy.enums` — `.../enums/CnpjSignupStatus.java` | resposta de `GET /public/signup/cnpj-status` | Sim |
+| [[#FoundationModule]] | `br.com.seedgrid.logintenancy.configs` — `.../configs/FoundationModule.java` | `LoginTenancyModuleRegistry` (bean público), `activeModules` do status | Sim |
+
+## SignupRequestStatus
+
+FQN: `br.com.seedgrid.logintenancy.enums.SignupRequestStatus` — "Estado de uma solicitação de cadastro institucional pendente" (javadoc).
+
+| Valor | Significado | Efeito / onde é tratado | Observações |
+|---|---|---|---|
+| `PENDING_EMAIL_VERIFICATION` | Solicitação criada, aguardando o código enviado por e-mail | Valor inicial (`SignupRequestEntity` `@PrePersist`, quando nulo); reatribuído no `resend-email`; filtro de `SignupRequestRepository#findPendingByCnpj` (reaproveitamento da solicitação e `cnpj-status = PENDING_CONFIRMATION`); índices únicos parciais da `V703` | Confirmado |
+| `CONFIRMED` | Código confirmado: `Company` e usuário root criados | Atribuído em `LoginTenancySignupController#confirmEmail`; a linha sai dos índices parciais da V703 e vira histórico | Confirmado |
+
+- **Persistência**: `@Enumerated(EnumType.STRING)`, coluna `status varchar(64) not null` (V700). Não há CHECK constraint; a V703 só referencia `'PENDING_EMAIL_VERIFICATION'` nos índices parciais (coerente com o enum).
+- **JSON**: nome da constante (`SignupResponse.status`, `ConfirmSignupResponse.status`), serialização padrão do Jackson.
+- **Observação (Confirmado)**: `SignupRequestRepository#findByEmail` não filtra por status; logo `resend-email` numa solicitação já `CONFIRMED` gera novo código e a devolve a `PENDING_EMAIL_VERIFICATION`.
+
+```mermaid
+stateDiagram-v2
+    [*] --> PENDING_EMAIL_VERIFICATION: POST /public/signup
+    PENDING_EMAIL_VERIFICATION --> PENDING_EMAIL_VERIFICATION: POST /resend-email (novo código)
+    PENDING_EMAIL_VERIFICATION --> CONFIRMED: POST /confirm-email
+    CONFIRMED --> PENDING_EMAIL_VERIFICATION: POST /resend-email (sem filtro de status)
+```
+
+## CnpjSignupStatus
+
+FQN: `br.com.seedgrid.logintenancy.enums.CnpjSignupStatus` — situação de um CNPJ na tela de cadastro, consultada antes do submit.
+
+| Valor | Significado | Efeito / onde é tratado | Observações |
+|---|---|---|---|
+| `AVAILABLE` | Sem company e sem solicitação pendente: pode cadastrar | `CnpjStatusResponse.available()` — também devolvido para CNPJ vazio | Confirmado |
+| `REGISTERED` | Já existe `Company` com o CNPJ: o caminho é o login | `CnpjStatusResponse.registered()` | Confirmado |
+| `PENDING_CONFIRMATION` | Há solicitação `PENDING_EMAIL_VERIFICATION`: o caminho é o reenvio | `CnpjStatusResponse.pending(maskedEmail)` — único caso com `pendingEmailMasked` preenchido | Confirmado |
+
+- **JSON**: campo `status` de `CnpjStatusResponse` com o nome da constante. Não é persistido.
+
+## FoundationModule
+
+FQN: `br.com.seedgrid.logintenancy.configs.FoundationModule` — módulos de foundation da v1 (contrato interno de ativação; "não representa conceito de tenant").
+
+| Valor | Significado | Efeito / onde é tratado | Observações |
+|---|---|---|---|
+| `BILLING` | Módulo billing | `seedgrid.login-tenancy.modules.billing.enabled`: migrations de billing (`LoginTenancyMigrationService`) e conta+trial no signup (`LoginTenancyBillingProvisioner`) | Confirmado |
+| `APIKEYS` | Módulo apikeys | `modules.apikeys.enabled`: migrations de apikeys | Confirmado |
+| `BACKUP` | Módulo backup | `modules.backup.enabled`: migrations de backup | Confirmado |
+| `FILEMANAGEMENT` | Módulo filemanagement | `modules.filemanagement.enabled`: só entra em `activeModules` (status/log) | Confirmado |
+
+- Não é tipo de propriedade: cada constante tem sua propriedade booleana (ver [[SeedGrid/Extensions/login-tenancy/Configuracao|Configuração]]); o mapeamento é o `switch` de `LoginTenancyFoundationConfig#moduleEnabled`.
+- **JSON**: em `GET /public/login-tenancy/status`, `activeModules` lista os nomes em minúsculas (`billing`, `apikeys`, `backup`, `filemanagement`), na ordem do enum.
+- API: `LoginTenancyModuleRegistry#isActive(FoundationModule)`, `#activeModules()`.
+
+## Internos
+
+Nenhum.

package/seedgridKB/SeedGrid/Extensions/login-tenancy/Exemplos.md

@@ -0,0 +1,149 @@
+---
+tags: [seedgrid, extension, login-tenancy, exemplos]
+fonte: java/seedgrid-quarkus-ext-login-tenancy
+branch: main
+commit: c67581bda9
+analisado-em: 2026-10-14
+---
+
+# Login-tenancy (Quarkus) — exemplos
+
+Voltar: [[SeedGrid/Extensions/login-tenancy/Visao-geral|Visão geral do login-tenancy]] · [[SeedGrid/Extensions/login-tenancy/Configuracao|Configuração]]
+
+## 1. Dependências do host
+
+Fonte: `README.md`, `docs/example-consumo.md` e `pom.xml`.
+
+```xml
+<dependency>
+  <groupId>br.com.seedgrid</groupId>
+  <artifactId>seedgrid-login-tenancy</artifactId>
+  <version>2026.10.14-1</version>
+</dependency>
+<!-- Provider concreto de billing: o login-tenancy só traz o billing-core -->
+<dependency>
+  <groupId>br.com.seedgrid</groupId>
+  <artifactId>seedgrid-billing-stripe</artifactId>
+  <version>2026.10.14-1</version>
+</dependency>
+```
+
+## 2. `application.properties` mínimo
+
+Fonte: `docs/example-consumo.md` (placeholders no lugar de valores).
+
+```properties
+quarkus.datasource.jdbc.url=${SEEDGRID_DB_URL}
+quarkus.datasource.username=${SEEDGRID_DB_USERNAME}
+quarkus.datasource.password=${SEEDGRID_DB_PASSWORD}
+
+seedgrid.security.jwt.private-key-location=<CAMINHO-CHAVE-PRIVADA>
+seedgrid.security.jwt.public-key-location=<CAMINHO-CHAVE-PUBLICA>
+seedgrid.security.jwt.issuer=<ISSUER>
+
+# Bootstrap inicial (opcional — executado pelo seedgrid-security)
+seedgrid.security.first-admin-user.email=${FIRST_ADMIN_EMAIL:}
+seedgrid.security.first-admin-user.initial-password=<SEGREDO:first-admin-password>
+seedgrid.security.default-company.cnpj=<CNPJ-DA-EMPRESA-DONA-DO-PRODUTO>
+
+seedgrid.login-tenancy.app.code=minha-app
+seedgrid.login-tenancy.app.name=Minha App
+```
+
+Migrations do domínio em `src/main/resources/db/migration/app/`.
+
+## 3. Pós-processar o cadastro confirmado
+
+Fonte: `SignupConfirmedEvent` (record com `cnpj`, `companyPublicId`, `corporateName`, `tradeName`, `rootEmail`, `representativeName`) e o padrão usado por `LoginTenancyBillingProvisioner`.
+
+```java
+import br.com.seedgrid.logintenancy.dtos.SignupConfirmedEvent;
+import jakarta.enterprise.context.ApplicationScoped;
+import jakarta.enterprise.event.Observes;
+import jakarta.enterprise.event.TransactionPhase;
+import jakarta.transaction.Transactional;
+
+@ApplicationScoped
+public class MeuOnboarding {
+
+    @Transactional(Transactional.TxType.REQUIRES_NEW)
+    void onSignupConfirmed(@Observes(during = TransactionPhase.AFTER_SUCCESS) SignupConfirmedEvent event) {
+        // ex.: criar dados iniciais do domínio para event.companyPublicId()
+    }
+}
+```
+
+A conta de billing com trial já é criada pela própria extension quando `seedgrid.login-tenancy.modules.billing.enabled=true`.
+
+## 4. Sobrescrever os templates de e-mail
+
+Fonte: `LoginTenancyTemplateProvider`, `DefaultLoginTenancyTemplateProvider`.
+
+**Por arquivo** — coloque no host (placeholders `{name}`, `{token}`, `{appName}`, `{companyName}`, `{email}`, `{link}`, `{password}`):
+
+```
+src/main/resources/templates/logintenancy/signup-confirmation.html
+src/main/resources/templates/logintenancy/signup-welcome.html
+src/main/resources/templates/logintenancy/user-activation.html
+```
+
+**Por bean** — o default é `@DefaultBean`, então um bean do host vence:
+
+```java
+import br.com.seedgrid.logintenancy.spis.LoginTenancyTemplateProvider;
+
+@ApplicationScoped
+public class MeusTemplates implements LoginTenancyTemplateProvider {
+    @Override public String signupConfirmation(String recipientName, String confirmationToken, String appName) { ... }
+    @Override public String signupWelcome(String recipientName, String companyName, String appName) { ... }
+    @Override public String userActivation(String recipientName, String email, String confirmationUrl,
+            String initialPassword, String appName) { ... }
+}
+```
+
+## 5. Fluxo de signup (HTTP)
+
+Fonte: `LoginTenancySignupController`, `InstitutionalSignupRequest`.
+
+```http
+GET /public/signup/cnpj-status?cnpj=12345678000199
+→ { "status": "AVAILABLE", "pendingEmailMasked": null }
+
+POST /public/signup
+{
+  "cnpj": "12345678000199",
+  "corporateName": "Acme Tecnologia LTDA",
+  "tradeName": "Acme Labs",
+  "address": { "street": "...", "number": "1000", "complement": "...", "postalCode": "01310100",
+               "city": "São Paulo", "state": "SP", "district": "...", "phone": "1133334444" },
+  "legalRepresentative": { "firstName": "Maria", "lastName": "Silva", "cpf": "<CPF>",
+                           "birthDate": "1990-05-20", "phone": "...", "whatsapp": "..." },
+  "rootEmail": "maria@acme.com",
+  "plainRootPassword": "<SEGREDO:senha>"
+}
+→ 202 { "status": "PENDING_EMAIL_VERIFICATION", "signupRequestId": "<publicId>", "emailDelivered": true }
+
+POST /public/signup/confirm-email
+{ "token": "123-456" }
+→ 200 { "status": "CONFIRMED", "companyId": "<companyPublicId>", "signupRequestId": "<publicId>" }
+```
+
+## 6. Status técnico
+
+```http
+GET /public/login-tenancy/status
+→ { "app": {"code": "...", "name": "..."}, "activeModules": ["billing","apikeys","backup","filemanagement"],
+    "bootstrap": {"enabled": true, "admin": true},
+    "security": {"jwtIssuer": "...", "firstAdminConfigured": true} }
+```
+
+## 7. Desligar rate limit em testes
+
+Fonte: `runtime/src/test/resources/application.properties`.
+
+```properties
+seedgrid.ratelimit.signup.enabled=false
+seedgrid.ratelimit.signup-email-exists.enabled=false
+seedgrid.ratelimit.signup-confirm-email.enabled=false
+seedgrid.ratelimit.signup-resend-email.enabled=false
+```