Whitelabel · Acesso

Verify-email / verify-phone (/app/auth/verify-*) existem na API, mas o app whitelabel atual não os usa na jornada principal — fora do escopo deste guia.

POST {{url_base}}/api/v1/app/auth/login
Content-Type: application/json
X-Progem-ID: {{tenant_id}}
X-Device-ID: {{device_id}}

{ "identificador": "maria@exemplo.com", "senha": "SenhaForte!2025" }

Response 200 — AppAuthResponse

Tokens saem em snake_case JSON: access_token, refresh_token.

{
  "access_token": "eyJ…",
  "refresh_token": "eyJ…",
  "userId": 1001,
  "nome": "Maria Silva",
  "email": "maria@exemplo.com",
  "cpf": "12345678901",
  "roles": ["ASSOCIADO"],
  "progemLink": { }
}

Status: 200 · 400 tenant/device · 401 credenciais.

POST {{url_base}}/api/v1/app/auth/refresh
Content-Type: application/json
X-Device-ID: {{device_id}}

{ "refreshToken": "eyJ…", "deviceId": "{{device_id}}" }

{ "accessToken": "eyJ…", "refreshToken": "eyJ…" }

Revoga refresh do device. Resposta 204.

POST {{url_base}}/api/v1/app/auth/logout
Authorization: Bearer {{access_token}}
X-Progem-ID: {{tenant_id}}
X-Device-ID: {{device_id}}
Content-Type: application/json

{ "deviceId": "{{device_id}}" }

POST {{url_base}}/api/v1/app/auth/register
Content-Type: application/json
X-Progem-ID: {{tenant_id}}
X-Device-ID: {{device_id}}

{
  "nome": "Maria Silva",
  "email": "maria@exemplo.com",
  "senha": "SenhaForte!2025",
  "cpf": "12345678901",
  "celular": "11999998888",
  "dataNascimento": "1990-05-12",
  "aceiteTermos": true,
  "aceitePrivacidade": true
}

GET {{url_base}}/api/v1/app/me
Authorization: Bearer {{access_token}}
X-Progem-ID: {{tenant_id}}

{
  "id": 1001,
  "nome": "Maria Silva",
  "email": "maria@exemplo.com",
  "cpf": "12345678901",
  "celular": "11999998888",
  "dataNascimento": "1990-05-12",
  "emailVerificado": true,
  "celularVerificado": false,
  "progemLink": { }
}

Atualização oficial: PUT /api/v1/app/me (204). Não confundir com GET /api/v1/mobile/me (Acesso Mobile).

POST /api/v1/app/password/forgot

O código (6 dígitos, válido por 10 minutos) é enviado somente por e-mail, para o e-mail cadastrado do usuário. identifier aceita e-mail, CPF ou celular (com ou sem máscara). Resposta cega 200: a mesma resposta existindo ou não o usuário, sem e-mail real cadastrado ou acima do limite de 6 códigos por hora (nesse caso nenhum e-mail sai; não há 429). Pedir um novo código invalida o anterior.

POST {{url_base}}/api/v1/app/password/forgot
Authorization: Bearer {{client_token}}
Content-Type: application/json
X-Progem-ID: {{tenant_id}}

{ "identifier": "maria@exemplo.com" }

POST /api/v1/app/password/reset

Sucesso 200 e todos os refresh tokens do usuário são revogados (novo login em todos os devices). Usuário inexistente, código errado, expirado ou já usado: 400 code: "RESET_CODE_INVALID", message: "Código inválido ou expirado.". Após 5 tentativas erradas o código é invalidado e é preciso pedir outro.

POST {{url_base}}/api/v1/app/password/reset
Authorization: Bearer {{client_token}}
Content-Type: application/json
X-Progem-ID: {{tenant_id}}

{
  "identifier": "maria@exemplo.com",
  "codigo": "482913",
  "novaSenha": "NovaSenhaForte2025"
}

{
  "status": 400,
  "error": "Bad Request",
  "message": "Código inválido ou expirado.",
  "code": "RESET_CODE_INVALID"
}

POST /api/v1/app/password/change

Usuário autenticado (o usuário vem do token). email é opcional; se enviado precisa ser o do próprio usuário (403 caso contrário). Senha atual errada ou nova igual à atual: 400.

POST {{url_base}}/api/v1/app/password/change
Authorization: Bearer {{access_token}}
X-Progem-ID: {{tenant_id}}
Content-Type: application/json

{
  "senhaAtual": "SenhaForte2025",
  "novaSenha": "NovaSenhaForte2025"
}

Alternativas na API (não usadas pelo whitelabel atual, mesma política de senha): PATCH /app/me/password, PATCH /app/me/trocar/password.

GET /api/v1/app/sessoes

GET {{url_base}}/api/v1/app/sessoes
Authorization: Bearer {{access_token}}
X-Progem-ID: {{tenant_id}}

[
  {
    "id": 10,
    "deviceId": "web-abc",
    "userAgent": "Mozilla/…",
    "ip": "203.0.113.10",
    "expiraEm": "2026-10-01T12:00:00Z"
  }
]

DELETE /api/v1/app/sessoes/{deviceId}

Revoga sessões daquele device do próprio usuário. 204.

DELETE {{url_base}}/api/v1/app/sessoes/web-abc
Authorization: Bearer {{access_token}}
X-Progem-ID: {{tenant_id}}

• Sempre enviar X-Progem-ID + X-Device-ID no login/register/refresh/logout.
• Tratar diferença de casing: login access_token vs refresh accessToken.
• Guardar refresh por device; após refresh, substituir o par completo.
• Forgot é resposta cega — UX não deve depender de “usuário encontrado”.
• Depois do token: seguir Whitelabel (domínio).
• Cobrador / Vendedor / CRM / Agenda → Acesso Mobile.