Changelog

Toda mudança no contrato da API entra aqui, com a data — campo novo, evento novo, código de erro novo, correção de comportamento. Mudanças incompatíveis também chegam por e-mail ao dono da conta, com antecedência (veja a política).

1. 2026-09-02

   POST /scans com todas as opções da ronda, cancelar, PDF e progresso

   • POST /scans aceita as opções da tela: authenticated, aggressive (com authorized_intrusive), lgpd, infra e infra_scope — com os mesmos gates de plano e de verificação do app. As opções da ronda.
   • Novo POST /scans/{id}/cancel: cancela uma ronda em andamento e libera a reserva de cota de IA. Idempotente.
   • Novo GET /scans/{id}/report.pdf: o mesmo PDF do “Salvar PDF” do painel, com a marca da conta no Business.
   • GET /scans/{id} ganhou progress (fase, feito/total, módulo da vez) enquanto a ronda roda; null fora disso.
   • A declaração de autorização passou pra criação da chave com scans:write. authorized no corpo de POST /scans deixou de existir: quem ainda manda o campo não quebra — ele é ignorado. A declaração.
   • Códigos novos: 403 feature_locked (recurso fora do plano; traz feature e upgradeTo) e 400 intrusive_unauthorized (agressivo sem a confirmação por ronda).
2. 2026-09-02

   Documentação nova, OpenAPI e x-request-id

   • Documentação reescrita, com a referência gerada de uma spec única — a mesma que gera o OpenAPI.
   • /docs/api/openapi.json: o contrato em OpenAPI 3.1, incluindo os webhooks.
   • /docs/api/llms.txt: a doc inteira em texto, pra colar no contexto da sua IA.
   • Toda resposta da API passa a trazer o header x-request-id — cite-o ao falar com o suporte.
   • Nenhuma mudança de contrato nos endpoints.
3. 2026-08-30

   Revogar e remover sem depender do plano

   • Revogar uma chave e remover um destino de webhook passam a funcionar em qualquer plano — reduzir acesso nunca exige assinatura.
   • E-mail ao dono da conta quando um destino de webhook para de responder, uma vez por sequência de falhas.
4. 2026-08-29

   Lançamento da API pública v1

   • Seis endpoints sob /v1/public: conta, apps, histórico, disparo, estado e relatório de rondas.
   • Chaves gsk_ com escopos scans:read, scans:write e apps:read.
   • Webhooks de saída assinados, com três eventos: scan.completed, scan.failed e finding.opened.