Autenticação

Não há JWT, OAuth nem recurso de usuários. São dois mecanismos separados.

Rotas /v1/* — x-api-key

Todas as rotas de contas, afiliado, fetch e tasks exigem o header:

x-api-key: SUA_CHAVE

A chave identifica o tenant (hash SHA-256). Qualquer valor não-vazio é aceito como identificador. Sem o header, a API responde 401 com API key ausente.

curl http://localhost:8000/v1/accounts/amazon/status \
  -H "x-api-key: SUA_CHAVE"

Cada tenant tem o próprio cofre de contas (amazon, mercadolivre, shopee). Tasks também são isoladas por tenant.

Rotas de métricas — METRICS_TOKEN

GET /metrics e GET /health/diagnostics usam um token estático de ambiente (METRICS_TOKEN). Não é JWT — a API compara a string literal.

Duas formas equivalentes:

# Bearer
curl http://localhost:8000/metrics \
  -H "Authorization: Bearer SEU_METRICS_TOKEN"

# Header dedicado
curl http://localhost:8000/metrics \
  -H "x-metrics-token: SEU_METRICS_TOKEN"

Em production/staging o token é obrigatório. Sem ele (quando configurado), a resposta é 401.

Rotas públicas

Sem autenticação:

• GET /health — liveness (não checa banco nem Redis)
• GET /health/ready — Postgres (SELECT 1) + Redis (PING)