cdp-edge 2.3.0 → 2.3.1

package/README.md

@@ -2,7 +2,7 @@
 
 **Padrão Quantum Tracking: 100% Cloudflare Edge.** Sem GTM. Sem Stape. Sem cookies de terceiros.
 
-> **v2.3.0** — TypeScript Nativo · Worker 100% tipado · `types.ts` centralizado · `tsconfig.json` · `tsc --noEmit` zero erros · Cloudflare Workers · Meta CAPI v22.0 · GA4 MP · TikTok Events API v1.3
+> **v2.3.1** — Hardening Enterprise · PII removido dos logs · Script de deploy seguro (`deploy-client.js`) · WhatsApp secrets alinhados à Meta Cloud API v22.0 · `api-versions.json` v1.1.0
 
 > ⚠️ **REGRA DE OURO (SQUAD):** Todas as atualizações, correções ou novas features devem OBRIGATORIAMENTE ser documentadas de forma sincronizada neste `README.md`, no arquivo de instruções `CLAUDE.md` e no dossiê de diretoria `CDP-EDGE-BUSINESS-BOOK.md`. Nenhuma alteração passa sem esse tripé.
 
@@ -27,6 +27,29 @@ Meu ecossistema opera como um Cérebro de Conversão Privado na borda. Quando um
 
 ---
 
+## 📋 CHANGELOG v2.3.1 — Hardening Enterprise (12 de Abril de 2026)
+
+### 🔒 Segurança & Conformidade
+
+- **PII removido dos logs:** `DeviceGraph` parou de logar `user_id` nos Workers logs — dados sensíveis nunca aparecem no Cloudflare dashboard
+- **Deploy seguro:** novo `deploy-client.js` — lê credenciais de `.client.env` (gitignored), gera `wrangler.deploy.toml` temporário, faz deploy e autodestrói o arquivo. Credenciais de cliente nunca entram no repo
+- **`.gitignore` reforçado:** `.client.env` e `wrangler.deploy.toml` explicitamente ignorados
+- **WhatsApp secrets alinhados à Meta Cloud API v22.0:** `resolvePhoneNumberId()` e `resolveAccessToken()` com fallback canônico → legado — backwards compat garantido
+- **`api-versions.json` v1.1.0:** metadata `updated_at` corrigido para `2026-04-12`
+- **`/health` WhatsApp:** reflete corretamente secrets com nomes canônicos ou legados
+
+### 🔧 Deploy de Cliente — Novo Fluxo
+
+```bash
+cd server-edge-tracker
+cp .client.env.example .client.env
+# preencher DATABASE_ID, SITE_DOMAIN, pixels
+node deploy-client.js --dry-run   # valida sem subir
+node deploy-client.js             # deploy real
+```
+
+---
+
 ## 📋 CHANGELOG v2.3.0 — TypeScript Nativo (12 de Abril de 2026)
 
 ### 🔷 Worker 100% TypeScript — Migração Completa

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "cdp-edge",
-  "version": "2.3.0",
+  "version": "2.3.1",
   "description": "CDP Edge - Quantum Tracking - Sistema multi-agente para tracking digital Cloudflare Native (Workers + D1)",
   "main": "dist/index.js",
   "type": "module",

package/server-edge-tracker/.client.env.example

@@ -0,0 +1,14 @@
+# CDP Edge — Variáveis do cliente para deploy
+# Copie este arquivo para .client.env e preencha com os dados reais.
+# .client.env é gitignored — NUNCA commitado.
+
+# Cloudflare D1 — obter com: wrangler d1 list
+DATABASE_ID=SEU_DATABASE_ID
+
+# Domínio do projeto (sem https://)
+SITE_DOMAIN=seudominio.com.br
+
+# Pixels de rastreamento (opcional — deixar vazio se não usar)
+META_PIXEL_ID=
+GA4_MEASUREMENT_ID=
+TIKTOK_PIXEL_ID=

package/server-edge-tracker/deploy-client.js

@@ -0,0 +1,76 @@
+#!/usr/bin/env node
+/**
+ * CDP Edge — deploy-client.js
+ *
+ * Deploy do Worker com variáveis reais do cliente, sem commitar credenciais no repo.
+ * Lê de .client.env (gitignored) e gera um wrangler.deploy.toml temporário.
+ *
+ * Uso:
+ *   node deploy-client.js           → deploy completo
+ *   node deploy-client.js --dry-run → valida sem subir ao Cloudflare
+ *
+ * Setup:
+ *   cp .client.env.example .client.env
+ *   # edite .client.env com os valores do cliente
+ *   node deploy-client.js
+ */
+
+const fs   = require('fs');
+const path = require('path');
+const { execSync } = require('child_process');
+
+const ROOT    = __dirname;
+const TOML    = path.join(ROOT, 'wrangler.toml');
+const DEPLOY  = path.join(ROOT, 'wrangler.deploy.toml');
+const ENV     = path.join(ROOT, '.client.env');
+const DRY_RUN = process.argv.includes('--dry-run');
+
+// ── Carregar .client.env ──────────────────────────────────────────────────────
+if (!fs.existsSync(ENV)) {
+  console.error('\n❌  .client.env não encontrado.');
+  console.error('   cp .client.env.example .client.env  e preencha os valores do cliente.\n');
+  process.exit(1);
+}
+
+const env = {};
+fs.readFileSync(ENV, 'utf8').split('\n').forEach(line => {
+  const trimmed = line.trim();
+  if (!trimmed || trimmed.startsWith('#')) return;
+  const [key, ...rest] = trimmed.split('=');
+  if (key) env[key.trim()] = rest.join('=').trim();
+});
+
+const required = ['DATABASE_ID', 'SITE_DOMAIN'];
+const missing  = required.filter(k => !env[k]);
+if (missing.length > 0) {
+  console.error(`\n❌  Variáveis obrigatórias faltando no .client.env: ${missing.join(', ')}\n`);
+  process.exit(1);
+}
+
+// ── Substituir placeholders no wrangler.toml → wrangler.deploy.toml ───────────
+let toml = fs.readFileSync(TOML, 'utf8');
+
+toml = toml
+  .replace(/SEU_DATABASE_ID/g,  env.DATABASE_ID)
+  .replace(/SEU_DOMINIO/g,       env.SITE_DOMAIN)
+  .replace(/META_PIXEL_ID\s*=\s*""/,      `META_PIXEL_ID      = "${env.META_PIXEL_ID      || ''}"`)
+  .replace(/GA4_MEASUREMENT_ID\s*=\s*""/,  `GA4_MEASUREMENT_ID = "${env.GA4_MEASUREMENT_ID || ''}"`)
+  .replace(/TIKTOK_PIXEL_ID\s*=\s*""/,     `TIKTOK_PIXEL_ID    = "${env.TIKTOK_PIXEL_ID    || ''}"`);
+
+fs.writeFileSync(DEPLOY, toml);
+
+// ── Executar wrangler deploy ──────────────────────────────────────────────────
+const cmd = `wrangler deploy --config wrangler.deploy.toml${DRY_RUN ? ' --dry-run' : ''}`;
+console.log(`\n🚀  ${DRY_RUN ? '[DRY-RUN] ' : ''}Deploying com config do cliente...\n`);
+
+try {
+  execSync(cmd, { stdio: 'inherit', cwd: ROOT });
+  console.log(`\n✅  Deploy ${DRY_RUN ? '(dry-run) ' : ''}concluído.\n`);
+} catch (err) {
+  console.error('\n❌  Deploy falhou.\n');
+  process.exit(1);
+} finally {
+  // sempre remove o arquivo temporário
+  if (fs.existsSync(DEPLOY)) fs.unlinkSync(DEPLOY);
+  console.log('🧹  wrangler.deploy.toml removido.\n');
+}

package/server-edge-tracker/index.ts

@@ -218,8 +218,8 @@ export default {
         META_ACCESS_TOKEN:        env.META_ACCESS_TOKEN        ? 'set' : 'MISSING',
         GA4_API_SECRET:           env.GA4_API_SECRET           ? 'set' : 'MISSING',
         WA_WEBHOOK_VERIFY_TOKEN:  env.WA_WEBHOOK_VERIFY_TOKEN  ? 'set' : 'MISSING',
-        WHATSAPP_ACCESS_TOKEN:    env.WHATSAPP_ACCESS_TOKEN    ? 'set' : 'not set (optional - only for auto-reply)',
-        WHATSAPP_PHONE_NUMBER_ID: env.WHATSAPP_PHONE_NUMBER_ID ? 'set' : 'not set (optional - only for auto-reply)',
+        WHATSAPP_ACCESS_TOKEN:    (env.WHATSAPP_ACCESS_TOKEN || env.WA_ACCESS_TOKEN)       ? 'set' : 'not set (optional - only for auto-reply)',
+        WHATSAPP_PHONE_NUMBER_ID: (env.WHATSAPP_PHONE_NUMBER_ID || env.WA_PHONE_ID)         ? 'set' : 'not set (optional - only for auto-reply)',
         WA_NOTIFY_NUMBER:         env.WA_NOTIFY_NUMBER         ? 'set' : 'not set (optional - only for auto-reply)',
         TIKTOK_ACCESS_TOKEN:      env.TIKTOK_ACCESS_TOKEN      ? 'set' : 'not set (optional)',
         CALLMEBOT_PHONE:          env.CALLMEBOT_PHONE          ? 'set' : 'not set (optional)',

package/server-edge-tracker/modules/db.ts

@@ -226,7 +226,7 @@ export async function resolveDeviceGraph(DB: D1Database, currentUserId: string,
         VALUES (?, ?, ?, ?)
       `).bind(primary, secondary, matchType, matchConfidence).run();
 
-      console.log(`[DeviceGraph] Linked ${secondary} → ${primary} via ${matchType} (confidence: ${matchConfidence})`);
+      // sem log de user IDs — dados sensíveis não entram em Workers log
     }
   } catch (err: any) {
     console.error('resolveDeviceGraph error:', err?.message || String(err));

package/server-edge-tracker/modules/dispatch/whatsapp.ts

@@ -40,9 +40,19 @@ interface WhatsAppMessage {
   };
 }
 
+// ── Resolvedores de secrets (canônico + legado) ────────────────────────────────
+// Meta Cloud API v22.0 usa PHONE_NUMBER_ID e ACCESS_TOKEN como termos oficiais.
+// Suportamos ambos os nomes para compatibilidade com secrets já configurados.
+function resolvePhoneNumberId(env: Env): string | undefined {
+  return env.WHATSAPP_PHONE_NUMBER_ID || env.WA_PHONE_ID;
+}
+function resolveAccessToken(env: Env): string | undefined {
+  return env.WHATSAPP_ACCESS_TOKEN || env.WA_ACCESS_TOKEN;
+}
+
 // ── sendWhatsApp — envia mensagem via Meta Cloud API ──────────────────────────
 export async function sendWhatsApp(env: Env, tipo: string, payload: TrackPayload, options: WhatsAppOptions = {}): Promise<any> {
-  if (!env.WHATSAPP_PHONE_NUMBER_ID || !env.WHATSAPP_ACCESS_TOKEN || !env.WA_NOTIFY_NUMBER) {
+  if (!resolvePhoneNumberId(env) || !resolveAccessToken(env) || !env.WA_NOTIFY_NUMBER) {
     return { skipped: 'WhatsApp não configurado' };
   }
 
@@ -116,9 +126,11 @@ export async function sendWhatsApp(env: Env, tipo: string, payload: TrackPayload
 // ── _sendWARequest — executor interno ─────────────────────────────────────────
 async function _sendWARequest(env: Env, body: Record<string, any>): Promise<any> {
   try {
-    const res = await fetch(`https://graph.facebook.com/v22.0/${env.WHATSAPP_PHONE_NUMBER_ID}/messages`, {
+    const phoneNumberId = resolvePhoneNumberId(env);
+    const accessToken   = resolveAccessToken(env);
+    const res = await fetch(`https://graph.facebook.com/v22.0/${phoneNumberId}/messages`, {
       method: 'POST',
-      headers: { 'Content-Type': 'application/json', 'Authorization': `Bearer ${env.WHATSAPP_ACCESS_TOKEN}` },
+      headers: { 'Content-Type': 'application/json', 'Authorization': `Bearer ${accessToken}` },
       body: JSON.stringify(body),
     });
     const data = await res.json();

package/server-edge-tracker/types.ts

@@ -33,8 +33,12 @@ export interface Env {
   GA4_API_SECRET?: string;
   TIKTOK_ACCESS_TOKEN?: string;
   WA_WEBHOOK_VERIFY_TOKEN?: string;
-  WHATSAPP_ACCESS_TOKEN?: string;
-  WHATSAPP_PHONE_NUMBER_ID?: string;
+  // WhatsApp Cloud API — nomes canônicos (Meta Cloud API v22.0)
+  WHATSAPP_ACCESS_TOKEN?: string;       // canonical: Bearer token do System User
+  WHATSAPP_PHONE_NUMBER_ID?: string;    // canonical: ID numérico do número no Meta Business
+  // WhatsApp Cloud API — nomes legados (backwards compat)
+  WA_ACCESS_TOKEN?: string;
+  WA_PHONE_ID?: string;
   WA_NOTIFY_NUMBER?: string;
   CALLMEBOT_PHONE?: string;
   WEBHOOK_SECRET_TICTO?: string;

package/server-edge-tracker/wrangler.toml

@@ -17,19 +17,19 @@ workers_dev = true
 # zone_name = "SEU_DOMINIO"
 
 [[routes]]
-pattern  = "lancamentosabc.com.br/track*"
-zone_name = "lancamentosabc.com.br"
+pattern  = "SEU_DOMINIO/track*"
+zone_name = "SEU_DOMINIO"
 
 [[routes]]
-pattern  = "*.lancamentosabc.com.br/track*"
-zone_name = "lancamentosabc.com.br"
+pattern  = "*.SEU_DOMINIO/track*"
+zone_name = "SEU_DOMINIO"
 
 # ── Variáveis públicas (não são segredos) ─────────────────────────────────────
 [vars]
 META_PIXEL_ID      = ""
 GA4_MEASUREMENT_ID = ""
 TIKTOK_PIXEL_ID    = ""
-SITE_DOMAIN        = "lancamentosabc.com.br"
+SITE_DOMAIN        = "SEU_DOMINIO"
 
 # ── Banco D1 ──────────────────────────────────────────────────────────────────
 # Após criar o banco com "wrangler d1 create cdp-edge-db",
@@ -37,7 +37,7 @@ SITE_DOMAIN        = "lancamentosabc.com.br"
 [[d1_databases]]
 binding      = "DB"
 database_name = "cdp-edge-db"
-database_id  = "7867d38f-5fa8-4c17-b465-386211422c09"
+database_id  = "SEU_DATABASE_ID"
 
 # ── Queues — Retry + Dead Letter Queue ───────────────────────────────────────
 # Produtor: worker envia eventos com falha para cdp-edge-retry