Autenticação - Patrimonion

Visão Geral

A API usa Session Cookie para autenticação — não Bearer Token. O fluxo é:

Frontend chama POST /auth/login com e-mail e senha
O backend valida as credenciais na Firebase Identity Toolkit, cria um session cookie via Firebase Admin SDK e o seta na resposta
Todas as requisições seguintes enviam o cookie automaticamente (browser/fetch com credentials: "include")
O middleware verificarToken valida o cookie em cada requisição usando admin.auth().verifySessionCookie()

O cookie tem nome configurável via SESSION_COOKIE_NAME (padrão: imob_session) e expira em SESSION_EXPIRES_DAYS dias (padrão: 5).

POST /auth/login
Content-Type: application/json

{
  "email": "usuario@email.com",
  "password": "suasenha"
}

Resposta 200

{
  "message": "Login realizado com sucesso.",
  "user": {
    "uid": "uid_do_usuario",
    "email": "usuario@email.com",
    "role": "LOCADOR",
    "tipoPessoa": "PF",
    "nome": "João da Silva"
  }
}

O cookie imob_session é setado automaticamente na resposta com as flags httpOnly, secure e sameSite: none em produção. Erros possíveis:

401 — Credenciais inválidas

{ "error": "E-mail ou senha incorretos." }

403 — Conta desativada

{ "error": "Sua conta está desativada. Entre em contato com o suporte." }

Como fazer requisições autenticadas

No frontend, use credentials: "include" em todas as chamadas para que o browser envie o cookie automaticamente:

const res = await fetch("https://api.patrimonion.com.br/imoveis", {
  credentials: "include",
});

Nenhum header Authorization é necessário — o cookie é enviado automaticamente pelo browser.

Logout

Invalida o cookie e revoga os refresh tokens do Firebase.

POST /auth/logout

Resposta 200

{ "message": "Logout realizado com sucesso." }

Registro

Cria uma conta nova. O primeiro usuário registrado recebe automaticamente o role SUPER_ADMIN. Os demais recebem LOCADOR. Suporta Pessoa Física (PF) e Pessoa Jurídica (PJ).

POST /auth/register
Content-Type: application/json

{
  "email": "novo@email.com",
  "password": "senha123",
  "tipoPessoa": "PF",
  "nomeCompleto": "João da Silva",
  "cpf": "123.456.789-00",
  "telefone": "(11) 99999-0000",
  "cep": "01310-100",
  "rua": "Rua das Flores",
  "numero": "123",
  "bairro": "Centro",
  "cidade": "São Paulo",
  "estado": "SP"
}

Resposta 201

{
  "message": "Conta criada com sucesso. Verifique seu e-mail para ativar a conta.",
  "user": {
    "uid": "uid_gerado",
    "email": "novo@email.com",
    "role": "LOCADOR",
    "nome": "João da Silva"
  }
}

Um e-mail de verificação é enviado via Brevo automaticamente após o registro. A chamada não é bloqueada pelo envio — se falhar, apenas um aviso é logado.

Campos obrigatórios por tipo de pessoa

PF: nomeCompleto, cpf, mais o endereço completo. PJ: razaoSocial, cnpj, nomeResponsavel, mais o endereço completo.

Verificação de e-mail

Reenviar e-mail de verificação

Rate limit interno: 1 envio a cada 2 minutos por usuário.

POST /auth/resend-verification

Confirmar verificação

Chamado pelo frontend após o usuário clicar no link e o Firebase processar. Atualiza emailVerificado: true no Firestore.

POST /auth/confirm-email

Recuperação de senha

Envia o link de redefinição via Brevo. Por segurança, a resposta é sempre 200 independente de o e-mail existir ou não.

POST /auth/forgot-password
Content-Type: application/json

{
  "email": "usuario@email.com"
}

Resposta 200

{
  "message": "Se este e-mail estiver cadastrado, você receberá o link em instantes."
}

Perfil do usuário autenticado

Buscar perfil

GET /auth/perfil

Atualizar perfil

Campos protegidos e ignorados mesmo que enviados: userId, email, role, tipoPessoa, cpf, cnpj, criadoEm, emailVerificado.

PATCH /auth/perfil
Content-Type: application/json

{
  "telefone": "(11) 98765-4321",
  "profissao": "Arquiteto"
}

Erros de autenticação

Status	Causa
`401`	Cookie ausente, inválido ou expirado
`403`	Cookie válido, mas conta desativada ou sem permissão para o recurso

{ "error": "Sessão inválida ou expirada." }

Como a autenticação usa cookie HttpOnly, ela não funciona via ferramentas como Postman ou curl sem configuração adicional. Para testar endpoints autenticados nessas ferramentas, faça o login primeiro e copie o valor do cookie imob_session da resposta.

​Visão Geral

​Login

​Como fazer requisições autenticadas

​Logout

​Registro

​Campos obrigatórios por tipo de pessoa

​Verificação de e-mail

​Reenviar e-mail de verificação

​Confirmar verificação

​Recuperação de senha

​Perfil do usuário autenticado

​Buscar perfil

​Atualizar perfil

​Erros de autenticação

Visão Geral

Login

Como fazer requisições autenticadas

Logout

Registro

Campos obrigatórios por tipo de pessoa

Verificação de e-mail

Reenviar e-mail de verificação

Confirmar verificação

Recuperação de senha

Perfil do usuário autenticado

Buscar perfil

Atualizar perfil

Erros de autenticação