wyzecash 0.1.0 → 0.3.0

package/CHANGELOG.md

@@ -0,0 +1,33 @@
+# Mudanças
+
+## 0.3.0 (15/11/2026)
+
+**Atualize antes de 01/12/2026:** a 0.2.0 só lê o cabeçalho `X-Bukio-Signature`, que deixa de vir nos webhooks em 01/12/2026. A partir desse dia, o plugin `wyzecash/fastify` da 0.2.0 recusa todos os avisos.
+
+**Mudanças que pedem ajuste no seu código:**
+
+- Os webhooks passam a vir com os cabeçalhos `X-WyzeCash-Signature`, `X-WyzeCash-Event` e `X-WyzeCash-Delivery`. Até 30/11/2026 (23h59 de Brasília) os antigos `X-Bukio-*` vêm junto, com o mesmo valor; a partir de 01/12/2026, só os novos. A assinatura continua no mesmo formato.
+- `SIGNATURE_HEADER` passa a ser `x-wyzecash-signature`; o antigo fica em `LEGACY_SIGNATURE_HEADER` (`x-bukio-signature`). O plugin `wyzecash/fastify` lê o cabeçalho novo primeiro e, sem ele, o antigo (com o plugin, nada muda no seu código). Se você lê o cabeçalho na mão, passe o `x-wyzecash-signature` para o `verifyWebhook`.
+- A chave de API passa a começar com `wyze_` no lugar de `bk_live_` (a mesma chave, só o começo muda: `bk_live_ABC123_XYZ` vira `wyze_ABC123_XYZ`). A `bk_live_` vale até 30/11/2026; a partir de 01/12/2026, a API recusa com `401 OLD_KEY_PREFIX`. Troque o começo da chave na variável `WYZECASH_API_KEY`.
+- As mensagens do `WyzeCashWebhookError` citam o `X-WyzeCash-Signature` (os códigos, como `MISSING_SIGNATURE`, não mudam).
+
+**Novidades:**
+
+- `subaccounts.updateSettings` aceita `medFeeToSubaccount`: repassar a taxa de MED à subconta (a Taxa de MED recebido de um MED numa venda da subconta sai dela).
+
+## 0.2.0
+
+**Mudanças que pedem ajuste no seu código:**
+
+- Saem `pix.send`, `pix.list` e `pix.retrieve`: enviar Pix e sacar são o mesmo Pix que sai, então use `withdrawals.create` (com `destination` ou `copyPaste`). A rota antiga `/v1/pix/payments` continua respondendo por enquanto, mas vai ser removida.
+- Sai `meds.downloadAttachment`: as provas do MED são internas da WyzeCash e não se baixam pela API (a rota já recusava).
+
+**Novidades:**
+
+- `meds.respond(id, { defense, evidence })`: responde um MED com a defesa e até 5 provas (em base64), num pedido só. Precisa da permissão `/meds/respond` na chave.
+- O endereço padrão passa a ser `https://api.wyzecash.com.br`. O antigo continua funcionando, e quem passa `baseUrl` não muda nada.
+- `payments.retrieve` e `withdrawals.retrieve` explicam no editor que, para saber quando a cobrança é paga ou o saque conclui, o caminho é o webhook (ou o WebSocket), não a consulta em sequência, que gasta o limite de 100 pedidos por minuto da conta. O README ganhou a seção "Saber quando foi pago".
+
+## 0.1.0
+
+Primeira versão.

package/README.md

@@ -1,6 +1,6 @@
 # wyzecash
 
-SDK oficial da [WyzeCash](https://bukio.mintlify.app) para Node.js 20+, Bun e Deno: cobranças por Pix, cartão e cripto, links de pagamento, saldo e extrato, saques, Pix enviado, estornos, MED, subcontas e webhooks. Sem dependências.
+SDK oficial da [WyzeCash](https://docs.wyzecash.com.br) para Node.js 20+, Bun e Deno: cobranças por Pix, cartão e cripto, links de pagamento, saldo e extrato, saques, estornos, MED, subcontas e webhooks. Sem dependências.
 
 ```bash
 npm install wyzecash
@@ -21,7 +21,7 @@ const cobranca = await wyzecash.payments.create({
 console.log(cobranca.copyPaste); // Pix Copia e Cola
 ```
 
-A chave de API (`bk_live_…`) é criada no painel, em Integrações e API, com uma permissão por rota. Sem passar a chave, o SDK lê a variável `WYZECASH_API_KEY`.
+A chave de API (`wyze_…`) é criada no painel, em Integrações e API, com uma permissão por rota. Sem passar a chave, o SDK lê a variável `WYZECASH_API_KEY`.
 
 Não existe ambiente de testes: todo pedido é de verdade. Para testar, faça uma cobrança pequena.
 
@@ -38,8 +38,7 @@ Não existe ambiente de testes: todo pedido é de verdade. Para testar, faça um
 | `transactions` | `list`, `retrieve` |
 | `search` | `query` |
 | `receipts` | `retrieve` |
-| `meds` | `list`, `retrieve`, `downloadAttachment` |
-| `pix` | `send`, `list`, `retrieve` |
+| `meds` | `list`, `retrieve`, `respond` |
 | `withdrawals` | `create`, `list`, `retrieve` |
 | `refunds` | `create`, `list`, `retrieve` |
 | `subaccounts` | `create`, `list`, `retrieve`, `update`, `delete`, `retrieveSettings`, `updateSettings`, `previewSettings`, `listEntries`, `fund`, `transfer`, `returnToAccount`, `withdraw` |
@@ -90,20 +89,31 @@ try {
 
 Opções do cliente: `new WyzeCash(chave, { maxRetries: 2, timeout: 60000, baseUrl, fetch })`.
 
+## Saber quando foi pago
+
+**Use os webhooks ou o tempo real (WebSocket), não `payments.retrieve` em sequência.**
+
+Chamar a consulta da cobrança em sequência para ver se ela foi paga gasta o limite de **100 pedidos por minuto da conta** (somando todas as rotas e todas as chaves). Uma tela consultando a cada 2 segundos gasta 30 por minuto; com quatro abertas, **todo** pedido da conta, até criar cobrança, volta `429 RATE_LIMITED` até liberar. Os avisos do webhook e do WebSocket não contam no limite.
+
+- O seu sistema tem um endereço HTTPS: use os [webhooks](#webhooks) (`payment.paid`, `payment.expired`, `withdrawal.completed`...).
+- Não tem (bot de Discord ou Telegram, programa num VPS): use o [tempo real](#tempo-real-websocket), de todas as cobranças ou só de uma (`ws.subscribePayment("BKY-…")`).
+- A tela de "aguardando pagamento" pergunta ao **seu** servidor (que o webhook ou o WebSocket atualizou), nunca direto à WyzeCash: a chave de API não vai para o navegador nem para o app.
+- `payments.retrieve` só para conferir uma vez (o webhook não chegou em alguns minutos). Sem webhook nem WebSocket, consulte no máximo a cada 5 segundos e pare na primeira situação final (`paid`, `expired` ou `refunded`).
+
 ## Webhooks
 
-Cada aviso chega com o cabeçalho `X-Bukio-Signature`. Confira sempre com o corpo cru, como chegou:
+Cada aviso chega com o cabeçalho `X-WyzeCash-Signature` (junto vêm o `X-WyzeCash-Event`, com o tipo do evento, e o `X-WyzeCash-Delivery`, com o código da entrega). Até 30/11/2026 os antigos `X-Bukio-*` vêm junto, com o mesmo valor; a partir de 01/12/2026, só os novos. Confira sempre com o corpo cru, como chegou:
 
 ```ts
 import { verifyWebhook } from "wyzecash";
 
-const evento = await verifyWebhook(corpoCru, request.headers["x-bukio-signature"], process.env.WYZECASH_WEBHOOK_SECRET);
+const evento = await verifyWebhook(corpoCru, request.headers["x-wyzecash-signature"], process.env.WYZECASH_WEBHOOK_SECRET);
 if (evento.type === "payment.paid") {
   // marque o pedido como pago (use evento.id para não processar duas vezes)
 }
 ```
 
-Aviso com assinatura errada, sem assinatura ou assinado há mais de 5 minutos lança `WyzeCashWebhookError`.
+Aviso com assinatura errada, sem assinatura ou assinado há mais de 5 minutos lança `WyzeCashWebhookError`. Os nomes dos cabeçalhos ficam em `SIGNATURE_HEADER` (`x-wyzecash-signature`) e `LEGACY_SIGNATURE_HEADER` (o antigo, `x-bukio-signature`).
 
 ### Fastify
 
@@ -126,7 +136,7 @@ await app.register(wyzecashWebhooks, {
 await app.listen({ port: 3000 });
 ```
 
-O plugin lê o corpo cru só na rota dele (o resto da aplicação continua lendo JSON como sempre) e responde `200` quando deu certo, `400` quando o aviso não é da WyzeCash e `500` quando o `onEvent` falha (a WyzeCash manda de novo mais tarde).
+O plugin lê o corpo cru só na rota dele (o resto da aplicação continua lendo JSON como sempre), confere o `X-WyzeCash-Signature` (sem ele, o antigo `X-Bukio-Signature`) e responde `200` quando deu certo, `400` quando o aviso não é da WyzeCash e `500` quando o `onEvent` falha (a WyzeCash manda de novo mais tarde).
 
 ## Tempo real (WebSocket)
 
@@ -147,6 +157,34 @@ ws.on("error", (erro) => console.error(erro.code, erro.message));
 - Chave apagada ou inválida fecha a conexão (código 1008) e não reconecta. `ws.close()` fecha de vez.
 - No Node 20, que não tem WebSocket, passe o do pacote `ws`: `wyzecash.realtime({ WebSocket })` com `import WebSocket from "ws"`.
 
+## Atualizar da 0.2.0
+
+```bash
+npm install wyzecash@0.3.0
+```
+
+> **Atualize antes de 01/12/2026.** A 0.2.0 só lê o cabeçalho `X-Bukio-Signature`, que deixa de vir nos webhooks em 01/12/2026: a partir desse dia, o plugin `wyzecash/fastify` da 0.2.0 recusa todos os avisos.
+
+| Na 0.2.0 | Na 0.3.0 |
+| --- | --- |
+| Cabeçalho `X-Bukio-Signature` | `X-WyzeCash-Signature`. Até 30/11/2026 o antigo vem junto, com o mesmo valor |
+| `SIGNATURE_HEADER` é `x-bukio-signature` | `SIGNATURE_HEADER` é `x-wyzecash-signature`, e o antigo fica em `LEGACY_SIGNATURE_HEADER` |
+| Chave de API `bk_live_…` | `wyze_…` (a mesma chave, só o começo muda) |
+
+**Webhooks:** com o plugin `wyzecash/fastify`, nada muda no seu código: ele lê o cabeçalho novo e, sem ele, o antigo. Se você lê o cabeçalho na mão, passe o novo para o `verifyWebhook` (a assinatura continua no mesmo formato):
+
+```ts
+// Antes (0.2.0)
+const evento = await verifyWebhook(corpoCru, request.headers["x-bukio-signature"], process.env.WYZECASH_WEBHOOK_SECRET);
+
+// Agora (0.3.0)
+const evento = await verifyWebhook(corpoCru, request.headers["x-wyzecash-signature"], process.env.WYZECASH_WEBHOOK_SECRET);
+```
+
+**Chave de API:** troque o começo da chave onde ela fica guardada (a variável `WYZECASH_API_KEY`): `bk_live_ABC123_XYZ` vira `wyze_ABC123_XYZ`. A `bk_live_` vale até 30/11/2026; a partir de 01/12/2026, a API recusa com `401 OLD_KEY_PREFIX`. O resto do código não muda.
+
+**O que mais mudou:** `subaccounts.updateSettings` aceita `medFeeToSubaccount`, para repassar a taxa de MED à subconta.
+
 ## Documentação
 
-Referência completa da API: https://bukio.mintlify.app
+Referência completa da API: https://docs.wyzecash.com.br

package/dist/client.d.ts

@@ -3,9 +3,9 @@ import { type OperationId, Resources } from "./generated.js";
 import { ListPromise } from "./pagination.js";
 import { RealtimeConnection, type RealtimeOptions } from "./realtime.js";
 import { Webhooks } from "./webhooks.js";
-export declare const DEFAULT_BASE_URL = "https://bukio-backend-production.up.railway.app";
+export declare const DEFAULT_BASE_URL = "https://api.wyzecash.com.br";
 export interface ClientOptions {
-    /** A chave de API (`bk_live_…`). Sem ela, vale a variável de ambiente `WYZECASH_API_KEY`. */
+    /** A chave de API (`wyze_…`). Sem ela, vale a variável de ambiente `WYZECASH_API_KEY`. */
     apiKey?: string;
     /** Endereço da API (padrão: o de produção). */
     baseUrl?: string;

package/dist/client.js

@@ -11,7 +11,7 @@ import { ListPromise } from "./pagination.js";
 import { RealtimeConnection } from "./realtime.js";
 import { VERSION } from "./version.js";
 import { Webhooks } from "./webhooks.js";
-export const DEFAULT_BASE_URL = "https://bukio-backend-production.up.railway.app";
+export const DEFAULT_BASE_URL = "https://api.wyzecash.com.br";
 const env = (name) => globalThis.process?.env?.[name];
 const wait = (ms) => new Promise((resolve) => setTimeout(resolve, ms));
 export class WyzeCash extends Resources {

package/dist/fastify.js

@@ -7,13 +7,21 @@
 //     async onEvent(evento) { if (evento.type === "payment.paid") ... },
 //   });
 //
-// A rota lê o corpo cru (a assinatura é conferida nos bytes como chegaram). O plugin não é
-// "fastify-plugin" de propósito: a troca do leitor de JSON fica só dentro dele e o resto da sua
-// aplicação continua lendo JSON como sempre. Responde 200 quando deu certo, 400 quando o aviso não
-// é da WyzeCash e 500 quando o seu onEvent falha (aí a WyzeCash manda de novo mais tarde).
+// A rota lê o corpo cru (a assinatura é conferida nos bytes como chegaram) e a assinatura do
+// cabeçalho X-WyzeCash-Signature; sem ele, a do antigo X-Bukio-Signature, que vem junto até
+// 30/11/2026. O plugin não é "fastify-plugin" de propósito: a troca do leitor de JSON fica só
+// dentro dele e o resto da sua aplicação continua lendo JSON como sempre. Responde 200 quando deu
+// certo, 400 quando o aviso não é da WyzeCash e 500 quando o seu onEvent falha (aí a WyzeCash
+// manda de novo mais tarde).
 import { WyzeCashWebhookError } from "./errors.js";
-import { SIGNATURE_HEADER, verifyWebhook } from "./webhooks.js";
+import { LEGACY_SIGNATURE_HEADER, SIGNATURE_HEADER, verifyWebhook } from "./webhooks.js";
 const env = (name) => globalThis.process?.env?.[name];
+/** O valor de um cabeçalho (o primeiro, se vier repetido), ou nada quando falta ou vem vazio. */
+function header(request, name) {
+    const value = request.headers[name];
+    const text = Array.isArray(value) ? value[0] : value;
+    return text || undefined;
+}
 export async function wyzecashWebhooks(fastify, options) {
     const secret = options.secret ?? env("WYZECASH_WEBHOOK_SECRET");
     if (!secret)
@@ -28,7 +36,7 @@ export async function wyzecashWebhooks(fastify, options) {
             return reply.code(400).send({ error: "Corpo do aviso vazio ou fora do JSON." });
         let event;
         try {
-            event = await verifyWebhook(raw, request.headers[SIGNATURE_HEADER], secret, { tolerance: options.tolerance });
+            event = await verifyWebhook(raw, header(request, SIGNATURE_HEADER) ?? header(request, LEGACY_SIGNATURE_HEADER), secret, { tolerance: options.tolerance });
         }
         catch (error) {
             if (error instanceof WyzeCashWebhookError) {

package/dist/generated.d.ts

@@ -1362,153 +1362,74 @@ export type MedsRetrieveResponse = {
     /** Quando foi criado. */
     createdAt: string;
 };
-/** Pedido de `pix.send` (Enviar Pix). */
-export type PixSendParams = {
-    /** Valor do Pix, em centavos. Com Copia e Cola que já tem valor, pode ficar sem ou precisa ser o mesmo. */
-    amount?: number;
-    /** Para onde vai o Pix. */
-    destination?: {
-        /** Tipo da chave Pix: `cpf`, `cnpj`, `email`, `phone` ou `random`. */
-        keyType: "cpf" | "cnpj" | "email" | "phone" | "random";
-        /** A chave Pix. */
-        key: string;
-    };
-    /** Pix Copia e Cola estático para pagar (no lugar de `destination`). */
-    copyPaste?: string;
-    /** A sua referência (ex.: o número do pedido). Volta no Pix enviado e no webhook. */
-    description?: string;
-};
-/** Resposta de `pix.send` (Enviar Pix). */
-export type PixSendResponse = {
-    /** Código. */
-    id: string;
-    /** `processing` (Em processamento), `completed` (Concluído), `failed` ou `rejected` (Não realizado: o valor volta ao saldo). */
-    status: string;
-    /** Valor do Pix, em centavos. Com Copia e Cola que já tem valor, pode ficar sem ou precisa ser o mesmo. */
-    amount: number;
-    /** Tarifa, em centavos. */
-    fee: number;
-    /** O que sai no total (valor + tarifa), em centavos. */
-    total: number;
-    /** De onde foi pedido: `painel`, `app`, `api` ou `auto` (saque automático). */
-    channel: string;
-    /** A sua referência (ex.: o número do pedido). Volta no Pix enviado e no webhook. */
-    description: string | null;
-    /** Para onde vai o Pix. */
-    destination: {
-        /** Nome de quem recebe (o que o banco confirmou). */
-        name: string;
-        /** Banco de quem recebe. */
-        institution: string | null;
-        /** Tipo da chave Pix: `cpf`, `cnpj`, `email`, `phone` ou `random`. */
-        keyType: string | null;
-        /** A chave Pix. */
-        key: string;
-        /** Pix Copia e Cola. */
-        copyPaste: boolean;
-    };
-    /** Identificador do Pix no Banco Central (E2E). */
-    endToEndId: string | null;
-    /** Por que não foi feito. */
-    failureReason: string | null;
-    /** Quando foi criado. */
-    createdAt: string;
-    /** Quando foi concluído. */
-    completedAt: string | null;
-    /** Link público do comprovante (imagem). `null` até concluir. */
-    receiptUrl: string | null;
-};
-/** Pedido de `pix.list` (Listar Pix enviados). */
-export type PixListParams = {
-    /** Quantos por página (até 100). */
-    limit?: number;
-    /** O `nextCursor` da página anterior. */
-    cursor?: string;
-};
-/** Resposta de `pix.list` (Listar Pix enviados). */
-export type PixListResponse = {
-    /** Os itens desta página. */
-    items: Array<{
-        /** Código. */
-        id: string;
-        /** Situação. */
-        status: string;
-        /** Valor, em centavos. */
-        amount: number;
-        /** Tarifa, em centavos. */
-        fee: number;
-        /** O que sai no total (valor + tarifa), em centavos. */
-        total: number;
-        /** De onde foi pedido: `painel`, `app`, `api` ou `auto` (saque automático). */
-        channel: string;
-        /** Descrição. */
-        description: string | null;
-        /** Para onde vai o Pix. */
-        destination: {
-            /** Nome de quem recebe (o que o banco confirmou). */
-            name: string;
-            /** Banco de quem recebe. */
-            institution: string;
-            /** Tipo da chave Pix: `cpf`, `cnpj`, `email`, `phone` ou `random`. */
-            keyType: string;
-            /** A chave Pix. */
-            key: string;
-            /** Pix Copia e Cola. */
-            copyPaste: boolean;
-        };
-        /** Identificador do Pix no Banco Central (E2E). */
-        endToEndId: string;
-        /** Por que não foi feito. */
-        failureReason: string | null;
-        /** Quando foi criado. */
-        createdAt: string;
-        /** Quando foi concluído. */
-        completedAt: string;
-        /** Link público do comprovante (imagem). `null` até concluir. */
-        receiptUrl: string;
+/** Pedido de `meds.respond` (Responder MED). */
+export type MedsRespondParams = {
+    /** A defesa que você escreveu (a automática nunca aparece). */
+    defense: string;
+    evidence?: Array<{
+        fileName?: string;
+        contentBase64: string;
     }>;
-    /** Cursor da próxima página (`null` no fim). Mande em `cursor`. */
-    nextCursor: string | null;
 };
-/** Resposta de `pix.retrieve` (Consultar Pix enviado). */
-export type PixRetrieveResponse = {
+/** Resposta de `meds.respond` (Responder MED). */
+export type MedsRespondResponse = {
     /** Código. */
     id: string;
-    /** `processing` (Em processamento), `completed` (Concluído), `failed` ou `rejected` (Não realizado: o valor volta ao saldo). */
+    /** A venda paga em que o MED foi aberto. */
+    original: unknown;
+    /** Situação. */
     status: string;
+    /** Situação em texto, como aparece no painel. */
+    statusTitle: string;
     /** Valor, em centavos. */
     amount: number;
+    /** Reservado (MED ou estorno em andamento), em centavos. */
+    blocked: number;
+    /** O que ficou faltando quando foi devolvido sem saldo, em centavos. */
+    owed: number;
     /** Tarifa, em centavos. */
     fee: number;
-    /** O que sai no total (valor + tarifa), em centavos. */
-    total: number;
-    /** De onde foi pedido: `painel`, `app`, `api` ou `auto` (saque automático). */
-    channel: string;
+    /** Taxa de MED recebido, em centavos. */
+    receivedFee: number;
+    /** Parte da Taxa de MED recebido que ficou para as próximas entradas, em centavos. */
+    receivedFeeOwed: number;
+    /** Motivo. */
+    reason: string;
+    /** Motivo em texto. */
+    reasonTitle: string;
     /** Descrição. */
     description: string | null;
-    /** Para onde vai o Pix. */
-    destination: {
-        /** Nome de quem recebe (o que o banco confirmou). */
+    /** Prazo para responder. */
+    deadline: string;
+    /** A defesa que você escreveu (a automática nunca aparece). */
+    defense: string;
+    /** Quem respondeu: `user` (você), `auto` (defesa automática) ou `null`. */
+    answered: string;
+    /** Quando foi respondido. */
+    answeredAt: string;
+    /** Origem da defesa: `user` ou `auto`. */
+    defenseSource: string;
+    /** Arquivos enviados como prova. */
+    attachments: Array<{
+        /** Código do anexo. */
+        id: string;
+        /** Nome do arquivo. */
         name: string;
-        /** Banco de quem recebe. */
-        institution: string;
-        /** Tipo da chave Pix: `cpf`, `cnpj`, `email`, `phone` ou `random`. */
-        keyType: string;
-        /** A chave Pix. */
-        key: string;
-        /** Pix Copia e Cola. */
-        copyPaste: boolean;
-    };
-    /** Identificador do Pix no Banco Central (E2E). */
-    endToEndId: string | null;
-    /** Por que não foi feito. */
-    failureReason: string | null;
+        /** Tamanho, em bytes. */
+        size: number;
+        /** Tipo do arquivo. */
+        contentType: string;
+        /** Quando foi criado. */
+        createdAt: string;
+    }>;
+    /** Observação da decisão. */
+    decisionNote: string | null;
+    /** Quando a defesa foi enviada. */
+    defenseAt: string;
+    /** Quando foi decidido. */
+    decidedAt: unknown;
     /** Quando foi criado. */
     createdAt: string;
-    /** Quando foi concluído. */
-    completedAt: string | null;
-    /** Link público do comprovante (imagem). `null` até concluir. */
-    receiptUrl: string | null;
 };
 /** Pedido de `withdrawals.create` (Sacar). */
 export type WithdrawalsCreateParams = {
@@ -1901,6 +1822,8 @@ export type SubaccountsCreateResponse = {
     active: boolean;
     /** Bloqueio: `none`, `receive` (não recebe), `withdraw` (não saca) ou `full` (bloqueio total). Devolver à principal sempre vale. */
     lockMode: string;
+    /** Bloqueio da WyzeCash: `none`, `receive` (não recebe), `withdraw` (não saca, não transfere, não devolve à principal e não é excluída) ou `full` (os dois). Vale por cima do `lockMode` e só a WyzeCash tira. */
+    platformLock: string;
     /** Saque travado pelo bloqueio automático do MED. */
     medLocked: boolean;
     /** O que falta reservar ou pagar do MED, em centavos (sai das próximas entradas da subconta). */
@@ -1996,6 +1919,8 @@ export type SubaccountsListResponse = {
         active: boolean;
         /** Bloqueio: `none`, `receive` (não recebe), `withdraw` (não saca) ou `full` (bloqueio total). Devolver à principal sempre vale. */
         lockMode: string;
+        /** Bloqueio da WyzeCash: `none`, `receive` (não recebe), `withdraw` (não saca, não transfere, não devolve à principal e não é excluída) ou `full` (os dois). Vale por cima do `lockMode` e só a WyzeCash tira. */
+        platformLock: string;
         /** Saque travado pelo bloqueio automático do MED. */
         medLocked: boolean;
         /** O que falta reservar ou pagar do MED, em centavos (sai das próximas entradas da subconta). */
@@ -2083,6 +2008,8 @@ export type SubaccountsRetrieveResponse = {
     active?: boolean;
     /** Bloqueio: `none`, `receive` (não recebe), `withdraw` (não saca) ou `full` (bloqueio total). Devolver à principal sempre vale. */
     lockMode?: string;
+    /** Bloqueio da WyzeCash: `none`, `receive` (não recebe), `withdraw` (não saca, não transfere, não devolve à principal e não é excluída) ou `full` (os dois). Vale por cima do `lockMode` e só a WyzeCash tira. */
+    platformLock?: string;
     /** Saque travado pelo bloqueio automático do MED. */
     medLocked?: boolean;
     /** O que falta reservar ou pagar do MED, em centavos (sai das próximas entradas da subconta). */
@@ -2246,6 +2173,8 @@ export type SubaccountsUpdateResponse = {
     active: boolean;
     /** Bloqueio: `none`, `receive` (não recebe), `withdraw` (não saca) ou `full` (bloqueio total). Devolver à principal sempre vale. */
     lockMode: string;
+    /** Bloqueio da WyzeCash: `none`, `receive` (não recebe), `withdraw` (não saca, não transfere, não devolve à principal e não é excluída) ou `full` (os dois). Vale por cima do `lockMode` e só a WyzeCash tira. */
+    platformLock: string;
     /** Saque travado pelo bloqueio automático do MED. */
     medLocked: boolean;
     /** O que falta reservar ou pagar do MED, em centavos (sai das próximas entradas da subconta). */
@@ -2386,6 +2315,8 @@ export type SubaccountsUpdateSettingsParams = {
     };
     /** Bloqueio automático por MED: subconta sem saldo livre para o MED fica sem sacar até pagar. */
     medAutoLock?: boolean;
+    /** Repassar a taxa de MED à subconta: a Taxa de MED recebido de um MED numa venda da subconta sai dela (na venda dividida, cada uma paga a parte dela); sem saldo livre, fica pendente e sai das próximas entradas dela. */
+    medFeeToSubaccount?: boolean;
     /** Saque para o titular: `off`, `notify` (avisa quando é outra pessoa) ou `cpf_only` (só a chave CPF/CNPJ do titular). */
     holderWithdrawal?: "off" | "notify" | "cpf_only";
 };
@@ -2951,38 +2882,11 @@ export declare const OPERATIONS: {
         readonly moneyOut: false;
         readonly binary: false;
     };
-    readonly baixar_prova_med: {
-        readonly method: "GET";
-        readonly path: "/v1/meds/{id}/attachments/{attachmentId}";
-        readonly query: readonly [];
-        readonly body: false;
-        readonly idempotent: false;
-        readonly moneyOut: false;
-        readonly binary: true;
-    };
-    readonly enviar_pix: {
+    readonly responder_med: {
         readonly method: "POST";
-        readonly path: "/v1/pix/payments";
+        readonly path: "/v1/meds/{id}/respond";
         readonly query: readonly [];
         readonly body: true;
-        readonly idempotent: true;
-        readonly moneyOut: true;
-        readonly binary: false;
-    };
-    readonly listar_pix_enviados: {
-        readonly method: "GET";
-        readonly path: "/v1/pix/payments";
-        readonly query: readonly ["limit", "cursor"];
-        readonly body: false;
-        readonly idempotent: false;
-        readonly moneyOut: false;
-        readonly binary: false;
-    };
-    readonly consultar_pix_enviado: {
-        readonly method: "GET";
-        readonly path: "/v1/pix/payments/{id}";
-        readonly query: readonly [];
-        readonly body: false;
         readonly idempotent: false;
         readonly moneyOut: false;
         readonly binary: false;
@@ -3211,6 +3115,8 @@ export declare class PaymentsResource {
      *
      * **Permissão da chave:** `payments:get`.
      *
+     * - Para saber quando é paga, use o webhook `payment.paid` (ou o WebSocket `/v1/ws`), não esta consulta em sequência: cada consulta conta no limite de 100 pedidos por minuto da conta e o excesso volta 429. Consulte uma vez para conferir.
+     *
      * `GET /v1/payments/{id}`
      */
     retrieve(id: string, options?: RequestOptions): Promise<PaymentsRetrieveResponse>;
@@ -3466,56 +3372,19 @@ export declare class MedsResource {
      */
     retrieve(id: string, options?: RequestOptions): Promise<MedsRetrieveResponse>;
     /**
-     * Baixar uma prova do MED
+     * Responder MED
      *
-     * Baixa uma prova anexada à defesa de um MED (o arquivo, como anexo).
+     * Manda a defesa de um MED aberto (`defense`, de 20 a 4.000 caracteres, explicando a venda e a entrega) com até 5 provas em `evidence` (imagem JPG, PNG ou WEBP ou PDF, em base64 em `contentBase64`, até 5 MB cada). A WyzeCash leva a defesa e as provas ao banco de quem pagou; depois disso o MED segue a situação de sempre.
      *
-     * **Permissão da chave:** `meds:evidence`.
+     * **Permissão da chave:** `meds:respond`.
      *
-     * `GET /v1/meds/{id}/attachments/{attachmentId}`
-     */
-    downloadAttachment(id: string, attachmentId: string, options?: RequestOptions): Promise<ArrayBuffer>;
-}
-export declare class PixResource {
-    private readonly client;
-    constructor(client: Requester);
-    /**
-     * Enviar Pix
-     *
-     * Envia um Pix (ENV-) para uma chave (`destination`) ou paga um Pix Copia e Cola (`copyPaste`).
-     *
-     * **Permissão da chave:** `pix:create`.
-     *
-     * Pede o cabeçalho `Idempotency-Key`.
-     *
-     * **Tira dinheiro da conta de verdade.**
+     * - Só com o MED `open` e dentro do prazo (`deadline`): depois, `409 MED_NOT_OPEN` ou `409 MED_DEADLINE_PASSED`. Uma resposta por MED.
+     * - As provas não voltam para baixar: ficam guardadas com a WyzeCash e só vão para o banco de quem pagou.
+     * - O MCP não manda a defesa: só mostra como o seu sistema faz.
      *
-     * - A chave com `pix:create` só é criada com o 2FA ligado na conta e o código do app autenticador.
-     * - A resposta vem `processing` até concluir; o webhook `pix.sent` (com `receiptUrl`) ou `pix.failed` avisa o resultado.
-     *
-     * `POST /v1/pix/payments`
-     */
-    send(params?: PixSendParams, options?: RequestOptions): Promise<PixSendResponse>;
-    /**
-     * Listar Pix enviados
-     *
-     * Os Pix enviados (concluído traz o `receiptUrl`).
-     *
-     * **Permissão da chave:** `pix:list`.
-     *
-     * `GET /v1/pix/payments`
+     * `POST /v1/meds/{id}/respond`
      */
-    list(params?: PixListParams, options?: RequestOptions): ListPromise<PixListResponse, PixListResponse["items"][number]>;
-    /**
-     * Consultar Pix enviado
-     *
-     * Um Pix enviado pelo código ENV-.
-     *
-     * **Permissão da chave:** `pix:get`.
-     *
-     * `GET /v1/pix/payments/{id}`
-     */
-    retrieve(id: string, options?: RequestOptions): Promise<PixRetrieveResponse>;
+    respond(id: string, params: MedsRespondParams, options?: RequestOptions): Promise<MedsRespondResponse>;
 }
 export declare class WithdrawalsResource {
     private readonly client;
@@ -3556,6 +3425,8 @@ export declare class WithdrawalsResource {
      *
      * **Permissão da chave:** `withdrawals:get`.
      *
+     * - Para saber quando conclui, use os webhooks `withdrawal.completed` e `withdrawal.failed` (ou o WebSocket `/v1/ws`), não esta consulta em sequência: ela conta no limite de 100 pedidos por minuto da conta.
+     *
      * `GET /v1/withdrawals/{id}`
      */
     retrieve(id: string, options?: RequestOptions): Promise<WithdrawalsRetrieveResponse>;
@@ -3614,7 +3485,7 @@ export declare class SubaccountsResource {
      *
      * - Sem taxa no pedido, a subconta segue a taxa global da Configuração das subcontas (`feeMode: "global"`); com comissão por venda (`saleFeeBps`, `saleFeeFixed`) ou taxa por saque (`withdrawFeeBps`, `withdrawFeeFixed`), fica com a própria (`feeMode: "custom"`). `pixKey` é a chave Pix do cliente para o saque dele.
      * - Os `limits` que não vierem no pedido usam os limites padrão da Configuração das subcontas.
-     * - O `name` tem de 2 a 80 caracteres. Use só o nome do cliente: o CPF/CNPJ vai em `document` e o id do seu sistema em `externalId`.
+     * - O `name` é o nome do cliente (com CPF, nome e sobrenome; com CNPJ, a razão social; até 100 caracteres), sem CPF/CNPJ, id ou colchetes: o CPF/CNPJ vai em `document` e o id do seu sistema em `externalId`. Até 30/11/2026 o nome fora da regra ainda passa, com o cabeçalho `Warning`; a partir de 01/12/2026, `422 INVALID_NAME`.
      * - Opcionais: `document` (CPF ou CNPJ do titular, guardado criptografado; volta inteiro ao abrir a subconta e mascarado na lista), `lockMode` (`none`, `receive`, `withdraw` ou `full`) e `limits` (`perWithdrawal`, `daily`, `monthly` em centavos para o saque da subconta; `null` sem limite).
      *
      * `POST /v1/subaccounts`
@@ -3663,7 +3534,7 @@ export declare class SubaccountsResource {
     /**
      * Configuração das subcontas
      *
-     * A taxa global (`saleFee`, `withdrawFee`: o que você ganha em cada venda e saque das subcontas com `feeMode` global), os limites padrão das subcontas novas (`limits`), o bloqueio automático por MED (`medAutoLock`), o saque para o titular (`holderWithdrawal`: `off`, `notify` ou `cpf_only`), quantas seguem a global (`subaccounts`) e as tarifas da WyzeCash na conta (`platform`). Centavos e pontos-base.
+     * A taxa global (`saleFee`, `withdrawFee`: o que você ganha em cada venda e saque das subcontas com `feeMode` global), os limites padrão das subcontas novas (`limits`), o bloqueio automático por MED (`medAutoLock`), o repasse da taxa de MED à subconta (`medFeeToSubaccount`), o saque para o titular (`holderWithdrawal`: `off`, `notify` ou `cpf_only`), quantas seguem a global (`subaccounts`) e as tarifas da WyzeCash na conta (`platform`, com a Taxa de MED recebido em `med`). Centavos e pontos-base.
      *
      * **Permissão da chave:** `subaccounts:get`.
      *
@@ -3673,7 +3544,7 @@ export declare class SubaccountsResource {
     /**
      * Mudar a Configuração das subcontas
      *
-     * Muda a taxa global (`saleFeeBps`, `saleFeeFixed`, `withdrawFeeBps`, `withdrawFeeFixed`), os limites padrão (`limits`, que não passam dos da conta), o bloqueio automático por MED (`medAutoLock`) e o saque para o titular (`holderWithdrawal`). O que não vier fica como está. Só o dono da conta.
+     * Muda a taxa global (`saleFeeBps`, `saleFeeFixed`, `withdrawFeeBps`, `withdrawFeeFixed`), os limites padrão (`limits`, que não passam dos da conta), o bloqueio automático por MED (`medAutoLock`), o repasse da taxa de MED à subconta (`medFeeToSubaccount`: a Taxa de MED recebido de um MED numa venda da subconta sai dela; sem saldo livre, fica pendente nela) e o saque para o titular (`holderWithdrawal`). O que não vier fica como está. Só o dono da conta.
      *
      * **Permissão da chave:** `subaccounts:update`.
      *
@@ -3696,7 +3567,7 @@ export declare class SubaccountsResource {
     /**
      * Movimentos da subconta
      *
-     * Os movimentos SUB- da subconta; filtros `from`/`to` e `kind` (`sale`, `fund`, `transfer`, `withdraw`, `return`, `refund`, `med`).
+     * Os movimentos SUB- da subconta; filtros `from`/`to` e `kind` (`sale`, `fund`, `transfer`, `withdraw`, `return`, `refund`, `med`, `med_fee`, a taxa de MED repassada).
      *
      * **Permissão da chave:** `subaccounts:entries`.
      *
@@ -3777,7 +3648,6 @@ export declare abstract class Resources {
     readonly search: SearchResource;
     readonly receipts: ReceiptsResource;
     readonly meds: MedsResource;
-    readonly pix: PixResource;
     readonly withdrawals: WithdrawalsResource;
     readonly refunds: RefundsResource;
     readonly subaccounts: SubaccountsResource;

package/dist/generated.js

@@ -26,10 +26,7 @@ export const OPERATIONS = {
     comprovante: { method: "GET", path: "/v1/receipts/{id}", query: [], body: false, idempotent: false, moneyOut: false, binary: false },
     listar_meds: { method: "GET", path: "/v1/meds", query: ["limit", "cursor", "status"], body: false, idempotent: false, moneyOut: false, binary: false },
     consultar_med: { method: "GET", path: "/v1/meds/{id}", query: [], body: false, idempotent: false, moneyOut: false, binary: false },
-    baixar_prova_med: { method: "GET", path: "/v1/meds/{id}/attachments/{attachmentId}", query: [], body: false, idempotent: false, moneyOut: false, binary: true },
-    enviar_pix: { method: "POST", path: "/v1/pix/payments", query: [], body: true, idempotent: true, moneyOut: true, binary: false },
-    listar_pix_enviados: { method: "GET", path: "/v1/pix/payments", query: ["limit", "cursor"], body: false, idempotent: false, moneyOut: false, binary: false },
-    consultar_pix_enviado: { method: "GET", path: "/v1/pix/payments/{id}", query: [], body: false, idempotent: false, moneyOut: false, binary: false },
+    responder_med: { method: "POST", path: "/v1/meds/{id}/respond", query: [], body: true, idempotent: false, moneyOut: false, binary: false },
     criar_saque: { method: "POST", path: "/v1/withdrawals", query: [], body: true, idempotent: true, moneyOut: true, binary: false },
     listar_saques: { method: "GET", path: "/v1/withdrawals", query: ["limit", "cursor", "subaccountId"], body: false, idempotent: false, moneyOut: false, binary: false },
     consultar_saque: { method: "GET", path: "/v1/withdrawals/{id}", query: [], body: false, idempotent: false, moneyOut: false, binary: false },
@@ -109,6 +106,8 @@ export class PaymentsResource {
      *
      * **Permissão da chave:** `payments:get`.
      *
+     * - Para saber quando é paga, use o webhook `payment.paid` (ou o WebSocket `/v1/ws`), não esta consulta em sequência: cada consulta conta no limite de 100 pedidos por minuto da conta e o excesso volta 429. Consulte uma vez para conferir.
+     *
      * `GET /v1/payments/{id}`
      */
     retrieve(id, options) {
@@ -426,65 +425,20 @@ export class MedsResource {
         return this.client.request("consultar_med", [id], undefined, options);
     }
     /**
-     * Baixar uma prova do MED
-     *
-     * Baixa uma prova anexada à defesa de um MED (o arquivo, como anexo).
-     *
-     * **Permissão da chave:** `meds:evidence`.
-     *
-     * `GET /v1/meds/{id}/attachments/{attachmentId}`
-     */
-    downloadAttachment(id, attachmentId, options) {
-        return this.client.request("baixar_prova_med", [id, attachmentId], undefined, options);
-    }
-}
-export class PixResource {
-    client;
-    constructor(client) {
-        this.client = client;
-    }
-    /**
-     * Enviar Pix
+     * Responder MED
      *
-     * Envia um Pix (ENV-) para uma chave (`destination`) ou paga um Pix Copia e Cola (`copyPaste`).
+     * Manda a defesa de um MED aberto (`defense`, de 20 a 4.000 caracteres, explicando a venda e a entrega) com até 5 provas em `evidence` (imagem JPG, PNG ou WEBP ou PDF, em base64 em `contentBase64`, até 5 MB cada). A WyzeCash leva a defesa e as provas ao banco de quem pagou; depois disso o MED segue a situação de sempre.
      *
-     * **Permissão da chave:** `pix:create`.
-     *
-     * Pede o cabeçalho `Idempotency-Key`.
-     *
-     * **Tira dinheiro da conta de verdade.**
+     * **Permissão da chave:** `meds:respond`.
      *
-     * - A chave com `pix:create` só é criada com o 2FA ligado na conta e o código do app autenticador.
-     * - A resposta vem `processing` até concluir; o webhook `pix.sent` (com `receiptUrl`) ou `pix.failed` avisa o resultado.
+     * - Só com o MED `open` e dentro do prazo (`deadline`): depois, `409 MED_NOT_OPEN` ou `409 MED_DEADLINE_PASSED`. Uma resposta por MED.
+     * - As provas não voltam para baixar: ficam guardadas com a WyzeCash e só vão para o banco de quem pagou.
+     * - O MCP não manda a defesa: só mostra como o seu sistema faz.
      *
-     * `POST /v1/pix/payments`
+     * `POST /v1/meds/{id}/respond`
      */
-    send(params, options) {
-        return this.client.request("enviar_pix", [], params, options);
-    }
-    /**
-     * Listar Pix enviados
-     *
-     * Os Pix enviados (concluído traz o `receiptUrl`).
-     *
-     * **Permissão da chave:** `pix:list`.
-     *
-     * `GET /v1/pix/payments`
-     */
-    list(params, options) {
-        return this.client.list("listar_pix_enviados", [], params, options);
-    }
-    /**
-     * Consultar Pix enviado
-     *
-     * Um Pix enviado pelo código ENV-.
-     *
-     * **Permissão da chave:** `pix:get`.
-     *
-     * `GET /v1/pix/payments/{id}`
-     */
-    retrieve(id, options) {
-        return this.client.request("consultar_pix_enviado", [id], undefined, options);
+    respond(id, params, options) {
+        return this.client.request("responder_med", [id], params, options);
     }
 }
 export class WithdrawalsResource {
@@ -532,6 +486,8 @@ export class WithdrawalsResource {
      *
      * **Permissão da chave:** `withdrawals:get`.
      *
+     * - Para saber quando conclui, use os webhooks `withdrawal.completed` e `withdrawal.failed` (ou o WebSocket `/v1/ws`), não esta consulta em sequência: ela conta no limite de 100 pedidos por minuto da conta.
+     *
      * `GET /v1/withdrawals/{id}`
      */
     retrieve(id, options) {
@@ -602,7 +558,7 @@ export class SubaccountsResource {
      *
      * - Sem taxa no pedido, a subconta segue a taxa global da Configuração das subcontas (`feeMode: "global"`); com comissão por venda (`saleFeeBps`, `saleFeeFixed`) ou taxa por saque (`withdrawFeeBps`, `withdrawFeeFixed`), fica com a própria (`feeMode: "custom"`). `pixKey` é a chave Pix do cliente para o saque dele.
      * - Os `limits` que não vierem no pedido usam os limites padrão da Configuração das subcontas.
-     * - O `name` tem de 2 a 80 caracteres. Use só o nome do cliente: o CPF/CNPJ vai em `document` e o id do seu sistema em `externalId`.
+     * - O `name` é o nome do cliente (com CPF, nome e sobrenome; com CNPJ, a razão social; até 100 caracteres), sem CPF/CNPJ, id ou colchetes: o CPF/CNPJ vai em `document` e o id do seu sistema em `externalId`. Até 30/11/2026 o nome fora da regra ainda passa, com o cabeçalho `Warning`; a partir de 01/12/2026, `422 INVALID_NAME`.
      * - Opcionais: `document` (CPF ou CNPJ do titular, guardado criptografado; volta inteiro ao abrir a subconta e mascarado na lista), `lockMode` (`none`, `receive`, `withdraw` ou `full`) e `limits` (`perWithdrawal`, `daily`, `monthly` em centavos para o saque da subconta; `null` sem limite).
      *
      * `POST /v1/subaccounts`
@@ -661,7 +617,7 @@ export class SubaccountsResource {
     /**
      * Configuração das subcontas
      *
-     * A taxa global (`saleFee`, `withdrawFee`: o que você ganha em cada venda e saque das subcontas com `feeMode` global), os limites padrão das subcontas novas (`limits`), o bloqueio automático por MED (`medAutoLock`), o saque para o titular (`holderWithdrawal`: `off`, `notify` ou `cpf_only`), quantas seguem a global (`subaccounts`) e as tarifas da WyzeCash na conta (`platform`). Centavos e pontos-base.
+     * A taxa global (`saleFee`, `withdrawFee`: o que você ganha em cada venda e saque das subcontas com `feeMode` global), os limites padrão das subcontas novas (`limits`), o bloqueio automático por MED (`medAutoLock`), o repasse da taxa de MED à subconta (`medFeeToSubaccount`), o saque para o titular (`holderWithdrawal`: `off`, `notify` ou `cpf_only`), quantas seguem a global (`subaccounts`) e as tarifas da WyzeCash na conta (`platform`, com a Taxa de MED recebido em `med`). Centavos e pontos-base.
      *
      * **Permissão da chave:** `subaccounts:get`.
      *
@@ -673,7 +629,7 @@ export class SubaccountsResource {
     /**
      * Mudar a Configuração das subcontas
      *
-     * Muda a taxa global (`saleFeeBps`, `saleFeeFixed`, `withdrawFeeBps`, `withdrawFeeFixed`), os limites padrão (`limits`, que não passam dos da conta), o bloqueio automático por MED (`medAutoLock`) e o saque para o titular (`holderWithdrawal`). O que não vier fica como está. Só o dono da conta.
+     * Muda a taxa global (`saleFeeBps`, `saleFeeFixed`, `withdrawFeeBps`, `withdrawFeeFixed`), os limites padrão (`limits`, que não passam dos da conta), o bloqueio automático por MED (`medAutoLock`), o repasse da taxa de MED à subconta (`medFeeToSubaccount`: a Taxa de MED recebido de um MED numa venda da subconta sai dela; sem saldo livre, fica pendente nela) e o saque para o titular (`holderWithdrawal`). O que não vier fica como está. Só o dono da conta.
      *
      * **Permissão da chave:** `subaccounts:update`.
      *
@@ -700,7 +656,7 @@ export class SubaccountsResource {
     /**
      * Movimentos da subconta
      *
-     * Os movimentos SUB- da subconta; filtros `from`/`to` e `kind` (`sale`, `fund`, `transfer`, `withdraw`, `return`, `refund`, `med`).
+     * Os movimentos SUB- da subconta; filtros `from`/`to` e `kind` (`sale`, `fund`, `transfer`, `withdraw`, `return`, `refund`, `med`, `med_fee`, a taxa de MED repassada).
      *
      * **Permissão da chave:** `subaccounts:entries`.
      *
@@ -791,7 +747,6 @@ export class Resources {
     search;
     receipts;
     meds;
-    pix;
     withdrawals;
     refunds;
     subaccounts;
@@ -807,7 +762,6 @@ export class Resources {
         this.search = new SearchResource(client);
         this.receipts = new ReceiptsResource(client);
         this.meds = new MedsResource(client);
-        this.pix = new PixResource(client);
         this.withdrawals = new WithdrawalsResource(client);
         this.refunds = new RefundsResource(client);
         this.subaccounts = new SubaccountsResource(client);

package/dist/index.d.ts

@@ -5,4 +5,4 @@ export * from "./generated.js";
 export { ListPromise } from "./pagination.js";
 export { RealtimeConnection, matchesEvent, type RealtimeEvent, type RealtimeOptions, type WebSocketConstructor, type WebSocketLike } from "./realtime.js";
 export { VERSION } from "./version.js";
-export { SIGNATURE_HEADER, WEBHOOK_EVENT_TYPES, signWebhook, verifyWebhook, type VerifyOptions, type WebhookEvent, type WebhookEventType } from "./webhooks.js";
+export { LEGACY_SIGNATURE_HEADER, SIGNATURE_HEADER, WEBHOOK_EVENT_TYPES, signWebhook, verifyWebhook, type VerifyOptions, type WebhookEvent, type WebhookEventType } from "./webhooks.js";

package/dist/index.js

@@ -4,4 +4,4 @@ export * from "./generated.js";
 export { ListPromise } from "./pagination.js";
 export { RealtimeConnection, matchesEvent } from "./realtime.js";
 export { VERSION } from "./version.js";
-export { SIGNATURE_HEADER, WEBHOOK_EVENT_TYPES, signWebhook, verifyWebhook } from "./webhooks.js";
+export { LEGACY_SIGNATURE_HEADER, SIGNATURE_HEADER, WEBHOOK_EVENT_TYPES, signWebhook, verifyWebhook } from "./webhooks.js";

package/dist/version.d.ts

@@ -1 +1 @@
-export declare const VERSION = "0.1.0";
+export declare const VERSION = "0.3.0";

package/dist/version.js

@@ -1 +1 @@
-export const VERSION = "0.1.0";
+export const VERSION = "0.3.0";

package/dist/webhooks.d.ts

@@ -13,7 +13,10 @@ export interface VerifyOptions {
     /** Agora, em segundos (para testes). */
     now?: number;
 }
-export declare const SIGNATURE_HEADER = "x-bukio-signature";
+/** O cabeçalho da assinatura (em minúsculas, como o Node entrega). */
+export declare const SIGNATURE_HEADER = "x-wyzecash-signature";
+/** O cabeçalho antigo: vem junto, com o mesmo valor, até 30/11/2026; a partir de 01/12/2026, não vem mais. */
+export declare const LEGACY_SIGNATURE_HEADER = "x-bukio-signature";
 /**
  * Confere a assinatura e devolve o evento. Lança `WyzeCashWebhookError` quando o aviso não é da
  * WyzeCash (assinatura errada, sem assinatura ou fora do prazo).

package/dist/webhooks.js

@@ -1,7 +1,8 @@
 // Conferir a assinatura dos webhooks da WyzeCash. Cada aviso chega com o cabeçalho
-//   X-Bukio-Signature: t=<unix>,v1=<HMAC-SHA256 em hex de "<t>.<corpo>">
-// feito com o segredo do webhook (painel › Integrações e API › Webhooks). Confira sempre com o
-// corpo cru, como chegou: o JSON lido e escrito de novo muda os bytes e a assinatura não bate.
+//   X-WyzeCash-Signature: t=<unix>,v1=<HMAC-SHA256 em hex de "<t>.<corpo>">
+// feito com o segredo do webhook (painel › Integrações e API › Webhooks). Até 30/11/2026 o antigo
+// X-Bukio-Signature vem junto, com o mesmo valor; a partir de 01/12/2026, só o novo. Confira sempre
+// com o corpo cru, como chegou: o JSON lido e escrito de novo muda os bytes e a assinatura não bate.
 // Usa o Web Crypto, então funciona no Node 20+, Bun, Deno e servidores na borda.
 import { WyzeCashWebhookError } from "./errors.js";
 export const WEBHOOK_EVENT_TYPES = [
@@ -20,7 +21,10 @@ export const WEBHOOK_EVENT_TYPES = [
     "subaccount.debited",
     "webhook.test",
 ];
-export const SIGNATURE_HEADER = "x-bukio-signature";
+/** O cabeçalho da assinatura (em minúsculas, como o Node entrega). */
+export const SIGNATURE_HEADER = "x-wyzecash-signature";
+/** O cabeçalho antigo: vem junto, com o mesmo valor, até 30/11/2026; a partir de 01/12/2026, não vem mais. */
+export const LEGACY_SIGNATURE_HEADER = "x-bukio-signature";
 const encoder = new TextEncoder();
 function toBytes(body) {
     if (typeof body === "string")
@@ -49,12 +53,12 @@ export async function verifyWebhook(body, signatureHeader, secret, options = {})
     if (!secret)
         throw new Error("Passe o segredo do webhook (painel › Integrações e API › Webhooks).");
     if (!signatureHeader)
-        throw new WyzeCashWebhookError("Aviso sem o cabeçalho X-Bukio-Signature.", "MISSING_SIGNATURE");
+        throw new WyzeCashWebhookError("Aviso sem o cabeçalho X-WyzeCash-Signature.", "MISSING_SIGNATURE");
     const parts = signatureHeader.split(",").map((part) => part.trim().split("="));
     const timestamp = Number(parts.find(([k]) => k === "t")?.[1]);
     const signatures = parts.filter(([k]) => k === "v1").map(([, v]) => v ?? "");
     if (!Number.isInteger(timestamp) || !signatures.length)
-        throw new WyzeCashWebhookError("Cabeçalho X-Bukio-Signature em formato errado.", "INVALID_SIGNATURE");
+        throw new WyzeCashWebhookError("Cabeçalho X-WyzeCash-Signature em formato errado.", "INVALID_SIGNATURE");
     const tolerance = options.tolerance ?? 300;
     const now = options.now ?? Math.floor(Date.now() / 1000);
     if (Math.abs(now - timestamp) > tolerance)

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "wyzecash",
-  "version": "0.1.0",
+  "version": "0.3.0",
   "description": "SDK oficial da WyzeCash para Node.js, Bun e Deno: cobranças por Pix, cartão e cripto, saques, subcontas e webhooks (com plugin para o Fastify).",
   "license": "MIT",
   "type": "module",
@@ -17,7 +17,7 @@
     },
     "./package.json": "./package.json"
   },
-  "files": ["dist", "README.md", "LICENSE"],
+  "files": ["dist", "README.md", "CHANGELOG.md", "LICENSE"],
   "sideEffects": false,
   "engines": {
     "node": ">=20"