Parecer em uma página

O que o time opera hoje

Levantamento do commit b4f81c9 + contas ligadas ao preview e ao “prod” (ainda no mesmo projeto Vercel).

02.1Superfície de software

02.2Ambientes

02.3Contas e quem tem a chave

02.4Dependências que carregam risco

02.5Arquivos que importam

app/
  api/v1/invoices/route.ts     N+1
  api/webhooks/route.ts        P0 webhook
  (dashboard)/admin/           fora do matcher
src/lib/stripe.ts              NEXT_PUBLIC_ secret
src/lib/ai.ts                  key no client
src/lib/db.ts                  pool sessão
src/agents/reconcile.ts        embedding sem cache
src/agents/invoice-gpt.ts      retry cego
prisma/schema.prisma           sem index tenant+created_at
middleware.ts                  ignora /admin
next.config.mjs                env inlined
workers/split/src/index.ts     proxy Stripe, 30s

Do clique ao split

Dois caminhos quentes. Os achados estão nestes hops — não em “a arquitetura no geral”.

A. Checkout → dinheiro no tenant

1. Browser → POST /api/checkout (Vercel)
2. Stripe Checkout (live) — key lida de NEXT_PUBLIC_STRIPE_SECRET_KEY
3. Stripe → workers/split (CF) → POST /api/webhooks
4. Handler grava invoice.paid sem constructEvent
5. Prisma → Supabase (porta 5432 sessão) → split Connect

Qualquer POST no passo 4 libera comissão. O Worker só encaminha; não valida assinatura.

B. Lista de faturas (tela que o cliente abre o dia todo)

1. GET /api/v1/invoices
2. invoice.findMany + loop invoiceItem.findMany (N+1)
3. Por linha: reconcile.ts re-embeda a descrição
4. Miss de cache → OpenAI embeddings (~40k/semana)
5. Classificação GPT-4o no mesmo request, 5 retries

Carga de 40 sessões: p99 3.2s, pool cheio, Worker 502. É o caminho que a campanha vai martelar.

03.1Identidade e isolamento

• Auth: NextAuth credentials. Cookie sem __Host-.
• Multi-tenant: tenantId no JWT, mas RLS do Supabase está off. Query sem filtro no admin.
• Admin: pasta app/(dashboard)/admin fora do matcher do middleware.

16 achados, uma tabela

P0 bloqueia go-live. P1 quebra sob carga ou come margem. P2 é dívida com dono — não “um dia”.

3 · P0 5 · P1 8 · P2

Detalhe dos P0 em Segurança. P1 de banco em Dados. IA em IA & custo.

Credenciais e superfície HTTP

// hoje
new Stripe(process.env.NEXT_PUBLIC_STRIPE_SECRET_KEY!)

// correção — só server, sem PUBLIC
new Stripe(process.env.STRIPE_SECRET_KEY!, { apiVersion: "2024-06-20" })

// hoje
const body = await req.json()
if (body.type === "invoice.paid") { /* update */ }

// correção
const event = stripe.webhooks.constructEvent(raw, sig, process.env.STRIPE_WEBHOOK_SECRET)
// persistir só depois; idempotência em event.id

Postgres, Prisma, isolamento

Um cluster Supabase (sa-east-1), 12 models, sem RLS. Preview e prod escrevem no mesmo banco.

const invoices = await prisma.invoice.findMany({ where: { tenantId } })
for (const inv of invoices) {
  inv.items = await prisma.invoiceItem.findMany({ where: { invoiceId: inv.id } })
}

include: { items: true }, take: 50, orderBy: { createdAt: "desc" }

Onde o token some

Dois agentes no caminho do GET. Sem fila, sem cache, sem teto por tenant. Volume 25–31/08: base da conta de ~US$ 1.840/mês.

for (let i = 0; i < 5; i++) {
  try { return await openai.chat.completions.create({ model: "gpt-4o", messages }) }
  catch { /* imediato, sem AbortSignal */ }
}

Onde roda e o que falta

O que separar antes de vender “produção”

• Projeto Vercel de preview com Supabase próprio (branch).
• Stripe test só no preview; live só no prod, nunca no client.
• PITR no Postgres se já tem dinheiro de cliente no banco.
• Log de auditoria em invoice.paid (quem, event.id, hash).

Fila, não backlog eterno

Quem faz, até quando, o que muda no score. Sem isso o relatório vira PDF.

Este recorte é o formato de uma auditoria fechada (nomes anonimizados). O relatório de vocês vem com os arquivos e as linhas do repo de vocês.