tempest-fastapi-sdk 0.335.0__tar.gz → 0.337.0__tar.gz

{tempest_fastapi_sdk-0.335.0 → tempest_fastapi_sdk-0.337.0}/CHANGELOG.md

@@ -7,6 +7,121 @@ and this project adheres to [Semantic Versioning](https://semver.org/spec/v2.0.0
 
 ## [Unreleased]
 
+## [0.337.0] — 2026-10-30
+
+### Added
+
+- `CardCharge.installment_amount_cents` e `CardCharge.payer_total_cents`: a
+  parcela e o total que o pagador deve, com juros. O adapter do Mercado Pago
+  lê `payment_method.installment_amount` e o `paid_amount` do pagamento
+  (não o `total_paid_amount` da order, que arredonda a oferta um centavo
+  abaixo). Valor ausente ou ilegível vira `None`, nunca recusa a order.
+
+### Fixed
+
+- `CardChargeRequest.amount_cents` documentava o valor da oferta de parcelas;
+  é o preço, e o provedor soma os juros (medido com 3x de R$ 1.000,00 no
+  Amex de teste). A receita do Mercado Pago dizia que as parcelas dependiam
+  da conta: dependem do BIN e do valor.
+
+## [0.336.0] — 2026-10-30
+
+### Security
+
+- `CORSSettings.production_violations()` passa a recusar, com
+  `CORS_ALLOW_CREDENTIALS=true`: `"*"` em `CORS_ORIGINS` (agora com mensagem própria), `"null"` em
+  `CORS_ORIGINS` e um `CORS_ORIGIN_REGEX` que casa com uma origem reservada
+  `.invalid` (`.*`, `https://.*`). Com credenciais ligadas, o
+  `CORSMiddleware` do Starlette devolve a própria `Origin` do chamador com
+  `Access-Control-Allow-Credentials: true`. Vale só sob `ENV=production`;
+  desenvolvimento e teste continuam aceitando o par. Docstrings do
+  `CORSSettings` e o `hint` do check `security.W003` deixam de afirmar que o
+  navegador bloqueia `*` com credenciais.
+- `AsyncMinIOClient.accel_redirect_response` (e `serve_object` com
+  `accel_redirect=True`) monta os overrides `response-*` pelo mesmo
+  `download_overrides` do `presigned_get_url`: o `media_type=` precisa ser um
+  `tipo/subtipo` puro, e qualquer outro valor sobe `ValueError` antes de
+  assinar. Mudança de comportamento: um `media_type` com parâmetro (`;
+  charset=...`) passa a ser recusado nesse caminho, como já era no link
+  presignado. O `inline` (em todo helper de download) deixa de valer para um
+  tipo com vírgula ou quebra de linha, que o navegador pode ler como outro
+  tipo.
+- Busca textual (`BaseRepository.search`, `search_condition`,
+  `full_text_search`, `full_text_condition` e as funções de `db.search`)
+  passa a recusar sempre `hashed_password` e as colunas de
+  `__secret_columns__` com `422`. Novo `searchable_columns` no
+  `BaseRepository` (atributo de classe ou argumento do construtor, no formato
+  do `orderable_columns`) e novo `searchable=` em `resolve_search_column`,
+  `like_search_condition`, `full_text_condition` e `full_text_rank`
+  restringem `fields` a um conjunto declarado. A recusa de campo
+  desconhecido deixa de listar todas as colunas do model em
+  `details["allowed"]`: a chave só aparece com um conjunto declarado, e
+  lista só ele. Mudança de comportamento: a mensagem passa a ser
+  `... has no searchable column ...`.
+- Stripe: `create`, `retrieve`, `update` e `delete` dos recursos do
+  `StripeClient` conferem o campo `object` da resposta contra o tipo do
+  recurso e levantam o novo `StripeObjectMismatchError` (subclasse de
+  `StripeError`) quando ele difere ou falta. `StripeResource` ganha
+  `object_type=` (default `None`, sem conferência) e `StripeClient.request`
+  ganha `expected_object=`. Mudança de comportamento: um `2xx` de outro tipo
+  de objeto deixa de ser devolvido.
+- `hostbridge.ps_single_quote` dobra também as aspas tipográficas U+2018,
+  U+2019, U+201A e U+201B, que o lexer do PowerShell lê como aspa simples do
+  mesmo jeito que `'` — antes só o apóstrofo ASCII era dobrado. Afeta o script
+  que `HostBridge.pick_file` gera para `title`, `filter` e `initial_dir`.
+- `SSEBroker.run()` isola cada mensagem do pub/sub: payload que não é o
+  envelope do `publish` (não é JSON, não é objeto, `event`/`id`/`retry` com tipo
+  errado) é registrado em `WARNING` — canal e tipo do erro, sem o conteúdo — e
+  pulado. Antes a exceção encerrava o loop e o worker parava de entregar
+  eventos sem aviso.
+- `SSEBroker` com cliente Redis e o `channel_prefix` default `"sse"` registra
+  um `WARNING` na construção: pub/sub do Redis ignora o índice de DB, então
+  serviços na mesma instância com o mesmo prefixo recebem os eventos uns dos
+  outros. O default continua `"sse"` por compatibilidade; a receita de SSE
+  passa a usar um prefixo próprio do serviço.
+- Web Push: `WebPushSubscriptionService.subscribe` (e, por ele, o
+  `POST /subscribe` do `make_web_push_router`) e o registro `web` do
+  `DeviceService.register` / `make_push_router` recusam com
+  `422 PUSH_ENDPOINT_NOT_PUBLIC` o endpoint que o dispatcher recusaria na
+  entrega — não `https`, ou com host que é ou resolve para endereço não
+  público. A checagem é o novo `WebPushDispatcher.check_endpoint`, com o
+  mesmo `resolver` e o mesmo `allow_private_networks` do envio; host que não
+  resolve no momento é aceito. Novos símbolos: `WebPushEndpointRefusedError`
+  (subclasse de `WebPushError`, com `permanent`) e
+  `PushEndpointNotPublicException`. Mudança de comportamento: o
+  `send_many` passa a devolver para poda o endpoint recusado de forma
+  permanente (não `https`, ou IP literal não público), e o
+  `WebPushTransport` o traduz em `PushDeviceGoneError`; recusa decidida por
+  resposta de DNS continua só no log (#660).
+- `tempest user set-password` passa a apagar as passkeys WebAuthn do usuário
+  por padrão, na mesma transação do hash novo, como o `mfa-reset`: a troca
+  feita pelo operador é recuperação de conta. Ganha
+  `--webauthn-credential-model` (default
+  `src.db.models:UserWebAuthnCredentialModel`, usado quando existe) e
+  `--keep-passkeys` como saída explícita; as duas juntas saem com código 2, e
+  a saída diz quantas passkeys foram apagadas (#659). Mudança de
+  comportamento.
+- `POST /auth/password-change` responde **200** com `LoginResponseSchema` em
+  vez de `204`, sem nunca abrir sessão mais forte que o `/auth/login` para as
+  mesmas provas (#662). A troca continua revogando todas as sessões. Conta sem
+  MFA recebe um par novo (em cookies no modo cookie). Conta com MFA: sem o
+  novo campo opcional `code` em `PasswordChangeSchema`, a senha muda e a
+  resposta é o desafio do login (`mfa_required`, `mfa_token`); com `code`
+  válido (TOTP ou recovery code, gasto antes da troca sob o `mfa_throttle`),
+  par com `amr` de MFA; com `code` errado, `401` e nada muda. O segundo
+  fator do `amr` do access token atual nunca é copiado para o par. Mudança de contrato da rota.
+- `SIGNUP_PROTECTED_FIELDS` passa a incluir as colunas do `MFAMixin`
+  (`totp_secret`, `totp_enabled_at`, `totp_last_step`), e o signup recusa
+  também toda coluna que o user model declara em `__secret_columns__`. Novo
+  `UserAuthService.signup_protected_fields()` devolve o conjunto do model; o
+  `signup_schema` do `make_auth_router` descarta esses nomes antes de gravar
+  (#663).
+- `IntrospectionAuth` ganha `audiences=` (keyword-only): com ele, a resposta
+  do `userinfo` precisa nomear um dos valores em `aud` (string ou lista),
+  `azp` ou `client_id`, senão a requisição responde `401` e a resposta não
+  entra no cache. Sem ele o comportamento não muda, e a instância registra um
+  `WARNING` na construção apontando para a receita.
+
 ## [0.335.0] — 2026-10-30
 
 ### Security

{tempest_fastapi_sdk-0.335.0 → tempest_fastapi_sdk-0.337.0}/PKG-INFO

@@ -1,6 +1,6 @@
 Metadata-Version: 2.5
 Name: tempest-fastapi-sdk
-Version: 0.335.0
+Version: 0.337.0
 Summary: Shared FastAPI building blocks: base schemas, ORM model, async repository, exceptions, pagination and settings — the conventions used across Tempest projects.
 Project-URL: Homepage, https://github.com/mauriciobenjamin700/tempest-fastapi-sdk
 Project-URL: Repository, https://github.com/mauriciobenjamin700/tempest-fastapi-sdk
@@ -2694,7 +2694,7 @@ Each mixin owns its own env-var prefix — pick only the ones the service needs:
 | `WebPushSettings` | `VAPID_PUBLIC_KEY`, `VAPID_PRIVATE_KEY`, `VAPID_SUBJECT`, `WEBPUSH_DEFAULT_TTL_SECONDS` |
 | `StorageSettings` | `STORAGE_ENABLED`, `STORAGE_BACKEND` (`s3` / `local`), `STORAGE_ENDPOINT`, `STORAGE_ACCESS_KEY`, `STORAGE_SECRET_KEY`, `STORAGE_SECURE`, `STORAGE_REGION`, `STORAGE_DEFAULT_BUCKET`, `STORAGE_PUBLIC_ENDPOINT`, `STORAGE_PUBLIC_SECURE`, `STORAGE_ACCEL_REDIRECT`, `STORAGE_ACCEL_PREFIX`, `STORAGE_LOCAL_DIR`, `STORAGE_LOCAL_PUBLIC_URL`, `STORAGE_LOCAL_ROUTE_PREFIX`, `STORAGE_LOCAL_SIGNING_SECRET`, `STORAGE_LOCAL_MAX_UPLOAD_BYTES` |
 
-**Production guard.** Compose `EnvironmentSettings` and set `ENV=production`: the settings then refuse to build while any composed mixin still holds a development value — SQLite in `DATABASE_URL`, the placeholder `JWT_SECRET`, `"*"` in `CORS_ORIGINS`, an empty `TOKEN_SECRET`, `SERVER_DEBUG` / `SERVER_RELOAD` on, an empty `TASKIQ_BROKER_URL` (the in-memory broker), the `minioadmin` storage keys or `STORAGE_SECURE=false` (with `STORAGE_BACKEND=local`: the placeholder `STORAGE_LOCAL_SIGNING_SECRET`, a plain-HTTP `STORAGE_LOCAL_PUBLIC_URL` or a relative `STORAGE_LOCAL_DIR` instead), a Mailpit/MailHog SMTP host, a placeholder `SMTP_FROM_ADDR` (`noreply@example.com`), a TLS mode swapped with the port (`SMTP_USE_SSL=true` on `587`, `SMTP_USE_TLS=true` on `465`, or both on), or the development-only auth switches `AUTH_AUTO_ACTIVATE=true` and `AUTH_RETURN_TOKEN_IN_RESPONSE=true`. Every offending field is listed in one error, by name, never by value. Each mixin declares its own rules in `production_violations()`; override it (calling `super()`) to add a rule of yours or drop one you accepted on purpose. `BaseAppSettings` also sets `hide_input_in_errors=True`, so no validation error echoes the environment. An integration that ships later is switched off instead of faked: `STORAGE_ENABLED`, `EMAIL_ENABLED`, `FIREBASE_ENABLED` or `REVENUECAT_ENABLED` set to `false` skips that mixin's rules, lists it in `settings.disabled_integrations()`, and makes the client built from the same settings (`AsyncMinIOClient(**settings.storage_kwargs())`, `EmailUtils(**settings.email_kwargs())`, `FirebaseAuth(**settings.firebase_kwargs())`) refuse every call with `IntegrationDisabledException` — `503`, `code="INTEGRATION_DISABLED"`.
+**Production guard.** Compose `EnvironmentSettings` and set `ENV=production`: the settings then refuse to build while any composed mixin still holds a development value — SQLite in `DATABASE_URL`, the placeholder `JWT_SECRET`, `"*"` in `CORS_ORIGINS` (and, with `CORS_ALLOW_CREDENTIALS=true`, `"null"` or a `CORS_ORIGIN_REGEX` that accepts any origin), an empty `TOKEN_SECRET`, `SERVER_DEBUG` / `SERVER_RELOAD` on, an empty `TASKIQ_BROKER_URL` (the in-memory broker), the `minioadmin` storage keys or `STORAGE_SECURE=false` (with `STORAGE_BACKEND=local`: the placeholder `STORAGE_LOCAL_SIGNING_SECRET`, a plain-HTTP `STORAGE_LOCAL_PUBLIC_URL` or a relative `STORAGE_LOCAL_DIR` instead), a Mailpit/MailHog SMTP host, a placeholder `SMTP_FROM_ADDR` (`noreply@example.com`), a TLS mode swapped with the port (`SMTP_USE_SSL=true` on `587`, `SMTP_USE_TLS=true` on `465`, or both on), or the development-only auth switches `AUTH_AUTO_ACTIVATE=true` and `AUTH_RETURN_TOKEN_IN_RESPONSE=true`. Every offending field is listed in one error, by name, never by value. Each mixin declares its own rules in `production_violations()`; override it (calling `super()`) to add a rule of yours or drop one you accepted on purpose. `BaseAppSettings` also sets `hide_input_in_errors=True`, so no validation error echoes the environment. An integration that ships later is switched off instead of faked: `STORAGE_ENABLED`, `EMAIL_ENABLED`, `FIREBASE_ENABLED` or `REVENUECAT_ENABLED` set to `false` skips that mixin's rules, lists it in `settings.disabled_integrations()`, and makes the client built from the same settings (`AsyncMinIOClient(**settings.storage_kwargs())`, `EmailUtils(**settings.email_kwargs())`, `FirebaseAuth(**settings.firebase_kwargs())`) refuse every call with `IntegrationDisabledException` — `503`, `code="INTEGRATION_DISABLED"`.
 
 **`MinIOSettings` → `StorageSettings`.** The storage mixin speaks to any S3-compatible target, so its variables are now `STORAGE_*`. The old `MINIO_*` names keep working — each field reads `STORAGE_X` first and falls back to `MINIO_X` — and setting both names of a pair to different values refuses to boot instead of silently picking one. `MinIOSettings` stays importable as a deprecated subclass (it emits `DeprecationWarning` and keeps the `settings.MINIO_*` attributes); `minio_kwargs()` returns the same dict as the new `storage_kwargs()`.
 

{tempest_fastapi_sdk-0.335.0 → tempest_fastapi_sdk-0.337.0}/README.md

@@ -2472,7 +2472,7 @@ Each mixin owns its own env-var prefix — pick only the ones the service needs:
 | `WebPushSettings` | `VAPID_PUBLIC_KEY`, `VAPID_PRIVATE_KEY`, `VAPID_SUBJECT`, `WEBPUSH_DEFAULT_TTL_SECONDS` |
 | `StorageSettings` | `STORAGE_ENABLED`, `STORAGE_BACKEND` (`s3` / `local`), `STORAGE_ENDPOINT`, `STORAGE_ACCESS_KEY`, `STORAGE_SECRET_KEY`, `STORAGE_SECURE`, `STORAGE_REGION`, `STORAGE_DEFAULT_BUCKET`, `STORAGE_PUBLIC_ENDPOINT`, `STORAGE_PUBLIC_SECURE`, `STORAGE_ACCEL_REDIRECT`, `STORAGE_ACCEL_PREFIX`, `STORAGE_LOCAL_DIR`, `STORAGE_LOCAL_PUBLIC_URL`, `STORAGE_LOCAL_ROUTE_PREFIX`, `STORAGE_LOCAL_SIGNING_SECRET`, `STORAGE_LOCAL_MAX_UPLOAD_BYTES` |
 
-**Production guard.** Compose `EnvironmentSettings` and set `ENV=production`: the settings then refuse to build while any composed mixin still holds a development value — SQLite in `DATABASE_URL`, the placeholder `JWT_SECRET`, `"*"` in `CORS_ORIGINS`, an empty `TOKEN_SECRET`, `SERVER_DEBUG` / `SERVER_RELOAD` on, an empty `TASKIQ_BROKER_URL` (the in-memory broker), the `minioadmin` storage keys or `STORAGE_SECURE=false` (with `STORAGE_BACKEND=local`: the placeholder `STORAGE_LOCAL_SIGNING_SECRET`, a plain-HTTP `STORAGE_LOCAL_PUBLIC_URL` or a relative `STORAGE_LOCAL_DIR` instead), a Mailpit/MailHog SMTP host, a placeholder `SMTP_FROM_ADDR` (`noreply@example.com`), a TLS mode swapped with the port (`SMTP_USE_SSL=true` on `587`, `SMTP_USE_TLS=true` on `465`, or both on), or the development-only auth switches `AUTH_AUTO_ACTIVATE=true` and `AUTH_RETURN_TOKEN_IN_RESPONSE=true`. Every offending field is listed in one error, by name, never by value. Each mixin declares its own rules in `production_violations()`; override it (calling `super()`) to add a rule of yours or drop one you accepted on purpose. `BaseAppSettings` also sets `hide_input_in_errors=True`, so no validation error echoes the environment. An integration that ships later is switched off instead of faked: `STORAGE_ENABLED`, `EMAIL_ENABLED`, `FIREBASE_ENABLED` or `REVENUECAT_ENABLED` set to `false` skips that mixin's rules, lists it in `settings.disabled_integrations()`, and makes the client built from the same settings (`AsyncMinIOClient(**settings.storage_kwargs())`, `EmailUtils(**settings.email_kwargs())`, `FirebaseAuth(**settings.firebase_kwargs())`) refuse every call with `IntegrationDisabledException` — `503`, `code="INTEGRATION_DISABLED"`.
+**Production guard.** Compose `EnvironmentSettings` and set `ENV=production`: the settings then refuse to build while any composed mixin still holds a development value — SQLite in `DATABASE_URL`, the placeholder `JWT_SECRET`, `"*"` in `CORS_ORIGINS` (and, with `CORS_ALLOW_CREDENTIALS=true`, `"null"` or a `CORS_ORIGIN_REGEX` that accepts any origin), an empty `TOKEN_SECRET`, `SERVER_DEBUG` / `SERVER_RELOAD` on, an empty `TASKIQ_BROKER_URL` (the in-memory broker), the `minioadmin` storage keys or `STORAGE_SECURE=false` (with `STORAGE_BACKEND=local`: the placeholder `STORAGE_LOCAL_SIGNING_SECRET`, a plain-HTTP `STORAGE_LOCAL_PUBLIC_URL` or a relative `STORAGE_LOCAL_DIR` instead), a Mailpit/MailHog SMTP host, a placeholder `SMTP_FROM_ADDR` (`noreply@example.com`), a TLS mode swapped with the port (`SMTP_USE_SSL=true` on `587`, `SMTP_USE_TLS=true` on `465`, or both on), or the development-only auth switches `AUTH_AUTO_ACTIVATE=true` and `AUTH_RETURN_TOKEN_IN_RESPONSE=true`. Every offending field is listed in one error, by name, never by value. Each mixin declares its own rules in `production_violations()`; override it (calling `super()`) to add a rule of yours or drop one you accepted on purpose. `BaseAppSettings` also sets `hide_input_in_errors=True`, so no validation error echoes the environment. An integration that ships later is switched off instead of faked: `STORAGE_ENABLED`, `EMAIL_ENABLED`, `FIREBASE_ENABLED` or `REVENUECAT_ENABLED` set to `false` skips that mixin's rules, lists it in `settings.disabled_integrations()`, and makes the client built from the same settings (`AsyncMinIOClient(**settings.storage_kwargs())`, `EmailUtils(**settings.email_kwargs())`, `FirebaseAuth(**settings.firebase_kwargs())`) refuse every call with `IntegrationDisabledException` — `503`, `code="INTEGRATION_DISABLED"`.
 
 **`MinIOSettings` → `StorageSettings`.** The storage mixin speaks to any S3-compatible target, so its variables are now `STORAGE_*`. The old `MINIO_*` names keep working — each field reads `STORAGE_X` first and falls back to `MINIO_X` — and setting both names of a pair to different values refuses to boot instead of silently picking one. `MinIOSettings` stays importable as a deprecated subclass (it emits `DeprecationWarning` and keeps the `settings.MINIO_*` attributes); `minio_kwargs()` returns the same dict as the new `storage_kwargs()`.
 

{tempest_fastapi_sdk-0.335.0 → tempest_fastapi_sdk-0.337.0}/SHIPPED.md

@@ -1650,6 +1650,18 @@ The SDK currently covers (Sep 2025+, post-v0.31.x):
   declara `AdminAuthBackend[BaseUserModel]`. Runtime intocado; `mypy --strict`
   passa a exigir o parâmetro em subclasse de consumidor
   (`disallow_any_generics`), o que o guia de migração cobre com a linha exata.
+- **Segunda rodada de segurança (v0.336.0)** — os 7 achados
+  `needs_validation` da auditoria de 2026-10-29 ganharam conserto do lado do
+  SDK e as issues #659–#663 foram fechadas: guard de produção do CORS cobre
+  `"null"` e regex aberto com credenciais, `accel_redirect` valida o
+  `media_type`, a busca textual exclui colunas secretas e ganha
+  `searchable_columns`, `StripeObjectMismatchError`, `set-password` apaga
+  passkeys, `/auth/password-change` responde `200` (par, ou o desafio do
+  login em conta com MFA sem `code`), `SIGNUP_PROTECTED_FIELDS` cobre o TOTP,
+  `IntrospectionAuth(audiences=)`, `SSEBroker` sobrevive a mensagem malformada,
+  inscrição Web Push recusa endpoint interno (`PUSH_ENDPOINT_NOT_PUBLIC`) e
+  `ps_single_quote` dobra as aspas tipográficas. Defaults trocados em
+  `docs/migration.md` (seções 0.336.0).
 - **Release de segurança da auditoria (v0.335.0)** — 45 achados confirmados
   da auditoria completa de 2026-10-29 (artefatos fora do repo, em
   `~/security-audit-skill/tempest-fastapi-sdk/run-1`), mais três itens que o
@@ -3966,3 +3978,15 @@ obrigatório em `text` e status sem `update`.
 - Testes: `tests/integrations/messaging/zap/test_inbox.py`.
 - Fora de escopo: decidir a resposta (regra do consumidor) e baixar mídia
   (continua `client.get_message_media`).
+
+## Parcelas do cartão no Mercado Pago, v0.337.0 (2026-10-30)
+
+Issue #502, segunda metade. A trava de "só 1x" da vendedora de teste era o
+BIN do Visa de teste, não a conta: o Amex de teste parcela de 1x a 18x, e uma
+cobrança 3x de R$ 1.000,00 foi medida (`vendor/mercadopago-evidence.md` §10).
+`CardCharge` ganhou `installment_amount_cents` e `payer_total_cents` (o
+`paid_amount` do pagamento, juros incluídos); `CardChargeRequest.amount_cents`
+passou a documentar o que o provedor faz — recebe o preço e soma os juros. A
+mesma seção registra a conta real liberada para Orders e o shape mínimo do
+`transaction-intents` em modo de teste (#499, ainda sem `PayoutProvider`).
+

{tempest_fastapi_sdk-0.335.0 → tempest_fastapi_sdk-0.337.0}/docs/integrated.en.md

@@ -29,7 +29,7 @@ cache = AsyncRedisManager(settings.REDIS_URL)
 email = EmailUtils(**settings.email_kwargs())
 mq = MessageBroker.rabbitmq(settings.RABBITMQ_URL)      # cross-service events
 tq = TaskQueue.rabbitmq(settings.TASKIQ_BROKER_URL)     # work off the request
-events = SSEBroker(redis=cache.client_proxy)                  # real-time status
+events = SSEBroker(redis=cache.client_proxy, channel_prefix="checkout:sse")  # real-time status
 ```
 
 They all start/stop in the lifespan (`connect`/`disconnect`) — see the

{tempest_fastapi_sdk-0.335.0 → tempest_fastapi_sdk-0.337.0}/docs/integrated.md

@@ -29,7 +29,7 @@ cache = AsyncRedisManager(settings.REDIS_URL)
 email = EmailUtils(**settings.email_kwargs())
 mq = MessageBroker.rabbitmq(settings.RABBITMQ_URL)      # eventos entre serviços
 tq = TaskQueue.rabbitmq(settings.TASKIQ_BROKER_URL)     # trabalho fora do request
-events = SSEBroker(redis=cache.client_proxy)                  # status em tempo real
+events = SSEBroker(redis=cache.client_proxy, channel_prefix="checkout:sse")  # status em tempo real
 ```
 
 Todos sobem/descem no lifespan (`connect`/`disconnect`) — veja o

{tempest_fastapi_sdk-0.335.0 → tempest_fastapi_sdk-0.337.0}/docs/migration.en.md

@@ -2,6 +2,32 @@
 
 Breaking-change walkthroughs grouped by minor release. Stick to the version that matches what you're upgrading **from**. The release sections are listed newest-first, so on a multi-version jump read and apply them bottom-up.
 
+## 0.336.0 — security fixes (real time)
+
+| Where | What changes | What to do |
+| --- | --- | --- |
+| `SSEBroker` with Redis | With the default `channel_prefix` `"sse"`, construction logs a `WARNING`: Redis pub/sub ignores the DB index, and another service on the same instance with the same prefix exchanges events with this one | Pass a service-specific `channel_prefix` (`"orders-api:sse"`) on every worker at once — workers with different prefixes do not see each other |
+| Web Push subscription (`WebPushSubscriptionService.subscribe`, `make_web_push_router`, `web` registration on `make_push_router`) | An endpoint that is or resolves to a non-public address answers `422 PUSH_ENDPOINT_NOT_PUBLIC` and is not stored; `send_many` returns for pruning a previously stored endpoint that is not `https` or whose host is a non-public IP literal | Nothing, if the push service is public. Self-hosted push service on the internal network: `allow_private_networks=True` on the `WebPushDispatcher` opens subscription and delivery together |
+
+## 0.336.0 — `password-change` returns a fresh pair, `set-password` deletes passkeys
+
+| Where | What changes | What to do |
+| --- | --- | --- |
+| `POST /auth/password-change` | Answers **200** with `LoginResponseSchema` instead of `204` with no body, and the body takes an optional `code`. Account without MFA: a fresh pair, issued after every session is revoked (in cookies for a caller that authenticated with the access cookie). Account with MFA and no `code`: the password changes and the response is the login challenge (`mfa_required: true`, `mfa_token`), with no pair. With a valid `code`: a pair with an MFA `amr`; a wrong `code`: **401** and nothing changes | Bearer client: store the response's pair and drop the old one; on an MFA account, send the `code` along or handle `mfa_required` as at login. A client that treated any `2xx` as success does not break, but still gets signed out when the access token's TTL ends unless it stores the pair |
+| `tempest user set-password` | Deletes the user's WebAuthn passkeys in the same transaction when it finds the table (`--webauthn-credential-model`, default `src.db.models:UserWebAuthnCredentialModel`) | `--keep-passkeys` keeps the old behaviour; tell the user they register their passkey again |
+| `signup(fields=...)` and `signup_schema` | `totp_secret`, `totp_enabled_at`, `totp_last_step` and every `__secret_columns__` column of the user model are refused (`ValueError` in the service, dropped by the route) | Nothing for the MFA columns, which only the enrollment flow writes. If your signup writes a `__secret_columns__` column of your own, move that write to `on_signup` |
+| `IntrospectionAuth` | New `audiences=`; without it, one `WARNING` per instance at construction | Pass `audiences=` with the service's client id at the provider. See [Bind the token to this service](recipes/introspection-auth.md#bind-the-token-to-this-service-audiences) |
+
+## 0.336.0 — CORS, storage, text search and Stripe
+
+| Where | What changes | What to do |
+| --- | --- | --- |
+| `CORSSettings` with `ENV=production` | With `CORS_ALLOW_CREDENTIALS=true`, `"null"` in `CORS_ORIGINS` or a `CORS_ORIGIN_REGEX` that matches a `.invalid` origin (`.*`, `https://.*`) stop the boot, as `"*"` already did | List the frontend origins in `CORS_ORIGINS`, or anchor the regex to your domain |
+| `accel_redirect_response`, `serve_object(accel_redirect=True)` | A `media_type` outside `type/subtype` (parameter, comma, CR/LF) raises `ValueError`, as in `presigned_get_url`; `text/plain; charset=utf-8` is no longer accepted on this path | Pass the type without parameters (`text/plain`) |
+| Text search (`search`, `search_condition`, `full_text_search`) | `hashed_password` and the `__secret_columns__` answer `422`; the message becomes `... has no searchable column ...`, and `details["allowed"]` only appears when the repository declares `searchable_columns` | If the search takes the field from the request, declare `searchable_columns` on the repository |
+| `StripeClient` | `create`, `retrieve`, `update` and `delete` raise `StripeObjectMismatchError` when the response's `object` is not the resource's | Handle it where you handle `StripeError` today (it is a subclass) |
+| `ps_single_quote` (hostbridge) | Also doubles the typographic quotes U+2018–U+201B | Nothing |
+
 ## 0.335.0 — `BaseUserModel` gains the `email_verified_at` column
 
 `BaseUserModel` now maps `email_verified_at` (timezone-aware timestamp,

{tempest_fastapi_sdk-0.335.0 → tempest_fastapi_sdk-0.337.0}/docs/migration.md

@@ -2,6 +2,32 @@
 
 Passo a passo das mudanças que quebram compatibilidade, agrupadas por release minor. Siga a versão que casa com aquela **de onde** você está atualizando. As seções estão listadas da mais nova para a mais antiga, então num salto de várias versões leia e aplique-as de baixo para cima.
 
+## 0.336.0 — correções de segurança (tempo real)
+
+| Onde | O que muda | O que fazer |
+| --- | --- | --- |
+| `SSEBroker` com Redis | Com o `channel_prefix` default `"sse"`, a construção registra um `WARNING`: o pub/sub do Redis ignora o índice de DB, e outro serviço na mesma instância com o mesmo prefixo troca eventos com este | Passe um `channel_prefix` próprio do serviço (`"orders-api:sse"`) em todo worker ao mesmo tempo — workers com prefixos diferentes não se enxergam |
+| Inscrição Web Push (`WebPushSubscriptionService.subscribe`, `make_web_push_router`, registro `web` do `make_push_router`) | Endpoint que é ou resolve para endereço não público responde `422 PUSH_ENDPOINT_NOT_PUBLIC` e não é gravado; o `send_many` devolve para poda o endpoint gravado antes que não é `https` ou é IP literal não público | Nada, se o push service é público. Push service próprio na rede interna: `allow_private_networks=True` no `WebPushDispatcher` abre inscrição e envio juntos |
+
+## 0.336.0 — `password-change` devolve um par novo, `set-password` apaga passkeys
+
+| Onde | O que muda | O que fazer |
+| --- | --- | --- |
+| `POST /auth/password-change` | Responde **200** com `LoginResponseSchema` em vez de `204` sem corpo, e o corpo aceita `code` opcional. Conta sem MFA: par novo, emitido depois da revogação de todas as sessões (em cookies para quem se autenticou pelo cookie de acesso). Conta com MFA sem `code`: a senha muda e a resposta é o desafio do login (`mfa_required: true`, `mfa_token`), sem par. Com `code` válido: par com `amr` de MFA; `code` errado: **401** e nada muda | Cliente bearer: guarde o par da resposta e descarte o antigo; numa conta com MFA, mande o `code` junto ou trate o `mfa_required` como no login. Cliente que tratava qualquer `2xx` como sucesso não quebra, mas continua deslogando no fim do TTL do access token se não guardar o par |
+| `tempest user set-password` | Apaga as passkeys WebAuthn do usuário na mesma transação, quando acha a tabela (`--webauthn-credential-model`, default `src.db.models:UserWebAuthnCredentialModel`) | `--keep-passkeys` mantém o comportamento antigo; avise o usuário que ele cadastra a passkey de novo |
+| `signup(fields=...)` e `signup_schema` | `totp_secret`, `totp_enabled_at`, `totp_last_step` e toda coluna de `__secret_columns__` do user model são recusados (`ValueError` no service, descartados pela rota) | Nada para as colunas do MFA, que só o fluxo de inscrição grava. Se o seu cadastro grava uma coluna própria de `__secret_columns__`, mova a escrita para o `on_signup` |
+| `IntrospectionAuth` | Novo `audiences=`; sem ele, um `WARNING` por instância na construção | Passe `audiences=` com o client id do serviço no provedor. Veja [Amarrar o token a este serviço](recipes/introspection-auth.md#amarrar-o-token-a-este-servico-audiences) |
+
+## 0.336.0 — CORS, storage, busca textual e Stripe
+
+| Onde | O que muda | O que fazer |
+| --- | --- | --- |
+| `CORSSettings` com `ENV=production` | Com `CORS_ALLOW_CREDENTIALS=true`, `"null"` em `CORS_ORIGINS` ou um `CORS_ORIGIN_REGEX` que casa com uma origem `.invalid` (`.*`, `https://.*`) impedem o boot, como `"*"` já impedia | Liste as origens do frontend em `CORS_ORIGINS`, ou ancore o regex no seu domínio |
+| `accel_redirect_response`, `serve_object(accel_redirect=True)` | `media_type` fora de `tipo/subtipo` (parâmetro, vírgula, CR/LF) levanta `ValueError`, como no `presigned_get_url`; `text/plain; charset=utf-8` deixa de ser aceito nesse caminho | Passe o tipo sem parâmetros (`text/plain`) |
+| Busca textual (`search`, `search_condition`, `full_text_search`) | `hashed_password` e as colunas de `__secret_columns__` respondem `422`; a mensagem passa a ser `... has no searchable column ...`, e `details["allowed"]` só aparece quando o repositório declara `searchable_columns` | Se a busca recebe o campo da requisição, declare `searchable_columns` no repositório |
+| `StripeClient` | `create`, `retrieve`, `update` e `delete` levantam `StripeObjectMismatchError` quando o `object` da resposta não é o do recurso | Trate a exceção onde hoje trata `StripeError` (é subclasse dela) |
+| `ps_single_quote` (hostbridge) | Dobra também as aspas tipográficas U+2018–U+201B | Nada |
+
 ## 0.335.0 — `BaseUserModel` ganha a coluna `email_verified_at`
 
 O `BaseUserModel` passou a mapear `email_verified_at` (timestamp com fuso,

{tempest_fastapi_sdk-0.335.0 → tempest_fastapi_sdk-0.337.0}/docs/recipes/auth-flow.en.md

@@ -195,7 +195,7 @@ uv run tempest db upgrade
 | GET | `/auth/me` *(v0.198.0+)* | — → `AuthUserSchema` | **Authenticated.** Returns the account owning the bearer token. Never serializes the password hash: the handler returns the whole model and the `response_model` filters. Swap in your own schema with `me_response_model=` to expose extra columns. |
 | POST | `/auth/password-reset/request` | `PasswordResetRequestSchema` → `PasswordResetResponseSchema` | Always HTTP 202 + generic body. Link via email (A/B) or body (C). |
 | POST | `/auth/password-reset/confirm` | `PasswordResetConfirmSchema` → `LoginResponseSchema` | Consumes token + writes new password + revokes sessions + issues JWT pair. With MFA enrolled on the account, it answers the challenge (`mfa_required=true` + `mfa_token`) instead of the pair — finish at `/auth/mfa/verify`. |
-| POST | `/auth/password-change` | `PasswordChangeSchema` → `204` | **Authenticated** (bearer token). Change your own password: confirm the current password + write the new one. No email token. |
+| POST | `/auth/password-change` | `PasswordChangeSchema` → `LoginResponseSchema` | **Authenticated** (bearer token). Change your own password: confirm the current password (and the `code` on an MFA account) + write the new one. No email token. |
 | POST | `/auth/email-change/request` *(v0.92.0+)* | `EmailChangeRequestSchema` → `EmailChangeResponseSchema` | **Authenticated.** Confirm the current password + email a confirmation link to the **new** address. Always 202. |
 | POST | `/auth/email-change/confirm` *(v0.92.0+)* | `EmailChangeConfirmSchema` → `EmailChangeResponseSchema` | Consume the token + apply the new email + (optionally) notify the old address. |
 | POST | `/auth/email-verify/request` *(v0.92.0+)* | — → `EmailChangeResponseSchema` | **Authenticated.** Re-send a verification link to the **current** email. |
@@ -217,8 +217,9 @@ uv run tempest db upgrade
     - **`/auth/password-change`** — the user **remembers** their password
       and is **logged in**. They send the `access_token` in the
       `Authorization: Bearer …` header and re-confirm their
-      `current_password`. No email or reset token involved. Returns
-      **204** and the current tokens stay valid.
+      `current_password`. No email or reset token involved. Answers
+      **200**: every session is revoked and the caller gets a fresh pair
+      (or, on an MFA account without `code`, the login challenge).
 
 ### Closed system — no registration door *(v0.272.0+)*
 
@@ -427,11 +428,15 @@ catalog=default_message_catalog())` it comes out translated (`Conflito de
 recurso` under pt-BR), and `code`, `details` and `field` do not change.
 
 !!! warning "A protected column never comes from the body"
-    `id`, `email`, `hashed_password`, `is_active`, `is_admin` and
-    `email_verified_at` (`SIGNUP_PROTECTED_FIELDS`) belong to the SDK. A `signup_schema` with an
-    `is_admin` field promotes nobody: the route drops those names before
-    writing. Calling the service directly,
-    `signup(fields={"is_admin": True})` raises `ValueError`.
+    `id`, `email`, `hashed_password`, `is_active`, `is_admin`,
+    `email_verified_at` and the `MFAMixin` columns (`totp_secret`,
+    `totp_enabled_at`, `totp_last_step`) — the `SIGNUP_PROTECTED_FIELDS` —
+    belong to the SDK, and every column your model declares in
+    `__secret_columns__` joins them (`service.signup_protected_fields()`
+    returns the set for your model). A `signup_schema` with an `is_admin`
+    field promotes nobody, and one with `totp_enabled_at` turns on no
+    factor: the route drops those names before writing. Calling the service
+    directly, `signup(fields={"is_admin": True})` raises `ValueError`.
 
 Annotate the hook with **your** classes — the concrete model and the concrete
 schema — as above: that is what makes `payload.accept_terms` type-check on
@@ -1269,12 +1274,50 @@ curl -X POST localhost:8000/auth/password-change \
   -d '{"current_password": "current-pass", "new_password": "new-strong-pass-12"}'
 ```
 
-Returns **204** and **revokes the user's sessions** in the same
-transaction that writes the new password, like the reset: a refresh token
-issued before the change — the caller's included — can no longer be
-exchanged, and the cookie session of the [auth pages](auth-pages.md) ends
-too. The current access token lives until its short TTL ends; the next
-session starts at login. Wrong `current_password` → **401**. Calling the
+It **revokes the user's sessions** in the same transaction that writes
+the new password, like the reset: a refresh token issued before the
+change — the caller's included — can no longer be exchanged, and the
+cookie session of the [auth pages](auth-pages.md) ends too. So the device
+that changed the password stays signed in, the response is **200** with a
+**fresh pair** (through 0.335.0 it was `204` with no body — see the
+[migration guide](../migration.md)), issued after the revocation — it is the only
+refresh token left:
+
+```json
+{
+  "user_id": "7d8e4d5a-9f4b-4c3a-bd0a-1234567890ab",
+  "access_token": "eyJhbGciOi…",
+  "refresh_token": "Zm9vYmFy…",
+  "mfa_required": false,
+  "mfa_token": null
+}
+```
+
+Store both and drop the old ones. A caller that authenticated with the
+access cookie gets the pair in cookies, and the body carries only the
+`user_id`. Wrong `current_password` → **401**, no pair.
+
+The rule: the route **never** returns a stronger session than `/auth/login`
+would for the same proofs. The current password proves the first factor
+only, so on an account **with MFA**:
+
+| Body | What happens |
+| --- | --- |
+| no `code` | The password changes and the sessions end; the response is the login challenge (`mfa_required: true`, `mfa_token`), with no pair. Finish at `POST /auth/mfa/verify` as after login |
+| valid `code` (TOTP or recovery code) | The code is spent before the change (the same TOTP step does not work twice); the password changes and a pair with `amr == ["pwd", "otp"]` comes back |
+| wrong `code` | **401**: nothing changes, neither the password nor the sessions |
+
+```bash
+curl -X POST localhost:8000/auth/password-change \
+  -H "Authorization: Bearer eyJhbGciOi…" \
+  -H "Content-Type: application/json" \
+  -d '{"current_password": "current-pass", "new_password": "new-strong-pass-12", "code": "123456"}'
+```
+
+The current access token's `amr` is **not** copied into the new pair: on an
+account without MFA the pair carries `["pwd"]` (or the token's methods that
+are not a second factor), and the second factor only shows up when a `code`
+was proved in this request. Calling the
 service directly, `change_password(..., revoke_sessions=False)` is the
 explicit opt-out. The passkeys stay: the caller just proved the current
 password, so this is not account recovery.

{tempest_fastapi_sdk-0.335.0 → tempest_fastapi_sdk-0.337.0}/docs/recipes/auth-flow.md

@@ -193,7 +193,7 @@ uv run tempest db upgrade
 | GET | `/auth/me` *(v0.198.0+)* | — → `AuthUserSchema` | **Autenticado.** Devolve a conta dona do bearer token. Nunca serializa o hash da senha: o handler entrega o modelo inteiro e o `response_model` filtra. Troque o schema por um seu com `me_response_model=` pra expor colunas próprias. |
 | POST | `/auth/password-reset/request` | `PasswordResetRequestSchema` → `PasswordResetResponseSchema` | Sempre HTTP 202 + corpo genérico. Link via e-mail (A/B) ou no body (C). |
 | POST | `/auth/password-reset/confirm` | `PasswordResetConfirmSchema` → `LoginResponseSchema` | Consome token + grava nova senha + revoga as sessões + emite JWT pair. Com MFA inscrito na conta, responde o desafio (`mfa_required=true` + `mfa_token`) em vez do par — conclua em `/auth/mfa/verify`. |
-| POST | `/auth/password-change` | `PasswordChangeSchema` → `204` | **Autenticado** (bearer token). Troca a própria senha: confirma a senha atual + grava a nova. Sem token de e-mail. |
+| POST | `/auth/password-change` | `PasswordChangeSchema` → `LoginResponseSchema` | **Autenticado** (bearer token). Troca a própria senha: confirma a senha atual (e o `code` numa conta com MFA) + grava a nova. Sem token de e-mail. |
 | POST | `/auth/email-change/request` *(v0.92.0+)* | `EmailChangeRequestSchema` → `EmailChangeResponseSchema` | **Autenticado.** Confirma a senha atual + envia link de confirmação pro **novo** e-mail. Sempre 202. |
 | POST | `/auth/email-change/confirm` *(v0.92.0+)* | `EmailChangeConfirmSchema` → `EmailChangeResponseSchema` | Consome o token + aplica o novo e-mail + (opcional) avisa o e-mail antigo. |
 | POST | `/auth/email-verify/request` *(v0.92.0+)* | — → `EmailChangeResponseSchema` | **Autenticado.** Reenvia link de verificação pro e-mail **atual**. |
@@ -214,8 +214,9 @@ uv run tempest db upgrade
     - **`/auth/password-change`** — o usuário **lembra** a senha e está
       **logado**. Manda o `access_token` no header `Authorization:
       Bearer …` e reconfirma a `current_password`. Não envolve e-mail
-      nem token de reset. Retorna **204** e os tokens atuais continuam
-      válidos.
+      nem token de reset. Responde **200**: todas as sessões são
+      revogadas e quem chamou recebe um par novo (ou, numa conta com MFA
+      sem `code`, o desafio do login).
 
 ### Sistema fechado — sem porta de cadastro *(v0.272.0+)*
 
@@ -420,11 +421,15 @@ catalog=default_message_catalog())` ele sai traduzido (`Conflito de recurso`),
 e `code`, `details` e `field` não mudam.
 
 !!! warning "Coluna protegida nunca vem do corpo"
-    `id`, `email`, `hashed_password`, `is_active`, `is_admin` e
-    `email_verified_at` (`SIGNUP_PROTECTED_FIELDS`) são do SDK. Um `signup_schema` com um campo
-    `is_admin` não promove ninguém: a rota descarta esses nomes antes de
-    gravar. Chamando o service direto, `signup(fields={"is_admin": True})`
-    levanta `ValueError`.
+    `id`, `email`, `hashed_password`, `is_active`, `is_admin`,
+    `email_verified_at` e as colunas do `MFAMixin` (`totp_secret`,
+    `totp_enabled_at`, `totp_last_step`) — o `SIGNUP_PROTECTED_FIELDS` — são
+    do SDK, e toda coluna que o seu model declara em `__secret_columns__`
+    entra junto (`service.signup_protected_fields()` devolve o conjunto do
+    seu model). Um `signup_schema` com um campo `is_admin` não promove
+    ninguém, e um com `totp_enabled_at` não liga fator nenhum: a rota
+    descarta esses nomes antes de gravar. Chamando o service direto,
+    `signup(fields={"is_admin": True})` levanta `ValueError`.
 
 Anote o hook com as **suas** classes — o model concreto e o schema concreto —
 como acima: é o que faz `payload.accept_terms` passar no type-checker do seu
@@ -1251,12 +1256,50 @@ curl -X POST localhost:8000/auth/password-change \
   -d '{"current_password": "senha-atual", "new_password": "nova-senha-forte-12"}'
 ```
 
-Retorna **204** e **revoga as sessões** do usuário na mesma transação que
-grava a senha nova, como o reset: refresh token emitido antes da troca —
-inclusive o de quem chamou — deixa de ser trocável, e o cookie de sessão
-das [páginas de auth](auth-pages.md) também cai. O access token atual vale
-até o TTL curto acabar; a próxima sessão começa no login.
-`current_password` errada → **401**. Chamando o service direto,
+**Revoga as sessões** do usuário na mesma transação que grava a senha
+nova, como o reset: refresh token emitido antes da troca — inclusive o de
+quem chamou — deixa de ser trocável, e o cookie de sessão das
+[páginas de auth](auth-pages.md) também cai. Para o dispositivo que trocou
+a senha continuar logado, a resposta é **200** com um **par novo**
+(até a 0.335.0 era `204` sem corpo — veja o
+[guia de migração](../migration.md)), emitido depois da revogação — é o único refresh token que
+sobra:
+
+```json
+{
+  "user_id": "7d8e4d5a-9f4b-4c3a-bd0a-1234567890ab",
+  "access_token": "eyJhbGciOi…",
+  "refresh_token": "Zm9vYmFy…",
+  "mfa_required": false,
+  "mfa_token": null
+}
+```
+
+Guarde os dois e descarte os antigos. Quem se autenticou pelo cookie de
+acesso recebe o par em cookies, e o corpo traz só o `user_id`.
+`current_password` errada → **401**, sem par.
+
+A regra é: a rota **nunca** devolve uma sessão mais forte do que o
+`/auth/login` devolveria para as mesmas provas. A senha atual prova só o
+primeiro fator, então numa conta **com MFA**:
+
+| Corpo | O que acontece |
+| --- | --- |
+| sem `code` | A senha muda e as sessões caem; a resposta é o desafio do login (`mfa_required: true`, `mfa_token`), sem par. Complete em `POST /auth/mfa/verify` como depois do login |
+| `code` válido (TOTP ou recovery code) | O código é gasto antes da troca (o mesmo passo TOTP não vale duas vezes); a senha muda e vem um par com `amr == ["pwd", "otp"]` |
+| `code` errado | **401**: nada muda, nem a senha nem as sessões |
+
+```bash
+curl -X POST localhost:8000/auth/password-change \
+  -H "Authorization: Bearer eyJhbGciOi…" \
+  -H "Content-Type: application/json" \
+  -d '{"current_password": "senha-atual", "new_password": "nova-senha-forte-12", "code": "123456"}'
+```
+
+O `amr` do access token atual **não** é copiado para o par novo: numa conta
+sem MFA o par sai com `["pwd"]` (ou os métodos do token que não são segundo
+fator), e o segundo fator só aparece quando um `code` foi provado nesta
+requisição. Chamando o service direto,
 `change_password(..., revoke_sessions=False)` é a saída explícita. As
 passkeys ficam: quem chama acabou de provar a senha atual, então não é
 recuperação de conta.

{tempest_fastapi_sdk-0.335.0 → tempest_fastapi_sdk-0.337.0}/docs/recipes/cli.en.md

@@ -988,6 +988,9 @@ tempest user set-password --email ana@example.com \
 # Replace the password and leave the sessions alive (explicit opt-out)
 tempest user set-password --email ana@example.com --keep-sessions
 
+# Replace the password and keep the passkeys (explicit opt-out)
+tempest user set-password --email ana@example.com --keep-passkeys
+
 # First privileged account born with MFA + audit event in the same transaction
 tempest user create --email staff@example.com --admin --require-mfa \
     --audit-model src.db.models:AuditLogModel --event staff.bootstrapped
@@ -1069,6 +1072,7 @@ tempest user set-password --email ana@example.com
 # Confirm:
 # Password updated for ana@example.com (id=6f0c...)
 # Revoked 2 active refresh token(s).
+# Deleted 1 passkey(s).
 ```
 
 !!! check "Changing the password revokes the sessions — by default"
@@ -1097,6 +1101,18 @@ tempest user set-password --email ana@example.com
     revoked row is not counted again, so running it twice prints
     `Revoked 0 active refresh token(s).`
 
+!!! check "And it deletes the passkeys — by default too"
+    The operator's password change is account recovery, like
+    `mfa-reset`: a passkey signs in without the password, and one
+    registered by whoever held the account would survive the new hash. So
+    the command deletes **every** passkey of the user in the same
+    transaction (`UserAuthService.revoke_user_passkeys`), by the same rules
+    as the sessions: `--webauthn-credential-model` (default
+    `src.db.models:UserWebAuthnCredentialModel`; without a table, it says
+    on stderr that no passkey was deleted), `--keep-passkeys` as the
+    explicit opt-out, and both together refused with code 2. The owner
+    registers the passkey again afterwards.
+
 !!! tip "The same thing, from code"
     `await service.revoke_user_sessions(session, user_id=user.id)` is the
     administrative counterpart of `revoke_refresh_token`:

{tempest_fastapi_sdk-0.335.0 → tempest_fastapi_sdk-0.337.0}/docs/recipes/cli.md

@@ -984,6 +984,9 @@ tempest user set-password --email ana@example.com \
 # Troca a senha e deixa as sessões vivas (opt-out explícito)
 tempest user set-password --email ana@example.com --keep-sessions
 
+# Troca a senha e mantém as passkeys (opt-out explícito)
+tempest user set-password --email ana@example.com --keep-passkeys
+
 # Primeira conta privilegiada já com MFA + evento de auditoria na mesma transação
 tempest user create --email staff@example.com --admin --require-mfa \
     --audit-model src.db.models:AuditLogModel --event staff.bootstrapped
@@ -1064,6 +1067,7 @@ tempest user set-password --email ana@example.com
 # Confirm:
 # Password updated for ana@example.com (id=6f0c...)
 # Revoked 2 active refresh token(s).
+# Deleted 1 passkey(s).
 ```
 
 !!! check "Trocar a senha derruba as sessões — por padrão"
@@ -1091,6 +1095,18 @@ tempest user set-password --email ana@example.com
     revogada não é recontada, então rodar de novo imprime
     `Revoked 0 active refresh token(s).`
 
+!!! check "E apaga as passkeys — também por padrão"
+    A troca feita pelo operador é recuperação de conta, como o
+    `mfa-reset`: uma passkey entra sem a senha, e a que foi cadastrada por
+    quem segurou a conta sobreviveria ao hash novo. Então o comando apaga
+    **todas** as passkeys do usuário na mesma transação
+    (`UserAuthService.revoke_user_passkeys`), pelas mesmas regras das
+    sessões: `--webauthn-credential-model` (default
+    `src.db.models:UserWebAuthnCredentialModel`; sem tabela, avisa no
+    stderr que nenhuma passkey foi apagada), `--keep-passkeys` como saída
+    explícita, e as duas juntas recusadas com código 2. O dono cadastra a
+    passkey de novo depois.
+
 !!! tip "O mesmo, de dentro do código"
     `await service.revoke_user_sessions(session, user_id=user.id)` é o
     par administrativo do `revoke_refresh_token`: logout-everywhere