Summary

Fix do achado SEC-003 (🟠 ALTO) da auditoria back-end sênior 2026-05-22.

_shared/dispatcher-auth.ts:240-253 (webhook-dispatcher) e :286-294 (crons) aceitavam chamadas anônimas como "legacy_no_auth" quando o secret esperado não estava em vault nem em env. Apenas console.warn era emitido. PROD está OK (os 3 secrets — WEBHOOK_DISPATCHER_SECRET, CRON_SECRET, CONNECTIONS_AUTO_TEST_SECRET — estão no vault, validado via SELECT name FROM vault.decrypted_secrets), mas qualquer ambiente clonado herdava o comportamento fail-open.

Changes

Operação pós-merge

Obrigatório:

• Confirmar que os 3 secrets de cron/dispatcher estão no vault de PROD (validado em 2026-05-22 via SELECT name FROM vault.decrypted_secrets — todos presentes: CONNECTIONS_AUTO_TEST_SECRET, CRON_SECRET, WEBHOOK_DISPATCHER_SECRET).

Para clones (staging, dev, preview Lovable, fork):

• Antes do primeiro deploy de cron/dispatcher, provisionar os mesmos secrets:

  # Vault (preferido)
  SELECT vault.create_secret('valor-aleatorio', 'WEBHOOK_DISPATCHER_SECRET');
  SELECT vault.create_secret('valor-aleatorio', 'CRON_SECRET');
  SELECT vault.create_secret('valor-aleatorio', 'CONNECTIONS_AUTO_TEST_SECRET');
  
  # OU env (fallback)
  npx supabase secrets set WEBHOOK_DISPATCHER_SECRET=... --project-ref <ref>

• Atualizar comandos das cron jobs em cron.job para usar public.get_edge_function_secret('<NOME>') no header x-cron-secret (PROD já está assim — verificar em clones).

Impacto comportamental

Test plan

• Lint do diff manual (sem typos, imports OK)
• grep -rn "legacy_no_auth" supabase/ src/ retorna apenas o comentário explicativo no próprio arquivo
• Sem callers externos do mode "legacy_no_auth" (grep em auth.mode, result.mode, DispatcherAuthMode, CronAuthMode fora do _shared)
• CI greens: Edge Functions — Deno typecheck
• Após merge, exercitar manualmente um cron job em PROD para confirmar que mode: "secret_vault" continua funcionando (não regressão)

Notas sobre CI

3 checks do CI estão falhando em main por motivos não relacionados (issues #58, #59, #61 — typecheck baseline regression, mocks de teste quebrados, smoke E2E timeout). Este PR não introduz nada que conserte ou agrave esses problemas.

Severidade & prioridade

https://claude.ai/code/session_011Lgxm1NZGmAztRSvZHX9U3

Generated by Claude Code

Summary by cubic

Enforce fail-closed auth for webhook dispatcher and crons: when required secrets are missing, return 503 service_misconfigured instead of accepting anonymous calls (SEC-003). Prod is unchanged; clones without secrets will now get 503 until configured.

• Bug Fixes

  • In supabase/functions/_shared/dispatcher-auth.ts, authorizeDispatcher and authorizeCron return 503 with { error: "service_misconfigured" } when the expected secret is missing; removed "legacy_no_auth" from DispatcherAuthMode and CronAuthMode.
  • Tests now await async calls and validate the 503 path; updated the header comment in webhook-dispatcher/index.ts.

• Migration

  • Set WEBHOOK_DISPATCHER_SECRET, CRON_SECRET, and CONNECTIONS_AUTO_TEST_SECRET in vault (preferred) or env before deploying non-prod.
  • Ensure cron jobs send x-cron-secret using public.get_edge_function_secret('<NAME>').

^{Written for commit 1b50279. Summary will update on new commits. Review in cubic}

Summary by CodeRabbit

• Bug Fixes

  • Melhorada segurança de autorização: requisições sem segredo configurado agora são rejeitadas com erro 503.
  • Removido suporte ao modo legado de autorização sem autenticação.

• Documentation

  • Atualizada descrição da política fail-closed (SEC-003) para webhooks e jobs cron.