Até a PR chore(security) que introduziu este arquivo, o repositório versionava os seguintes artefatos sensíveis:

Esses arquivos foram removidos do índice (git rm --cached), mas continuam recuperáveis em qualquer commit anterior. Remover do tracking não é rotacionar. Enquanto a rotação abaixo não for feita, assuma que qualquer pessoa com acesso ao histórico (clones, forks, CI caches) consegue forjar tokens válidos e acessar o banco.

1. Chave RSA do JWT
   • Em produção, gerar uma nova chave no volume apontado por JWT_RSA_KEYS_DIR com nome lexicograficamente maior que m4vNIvWOllU (ex.: openssl genrsa -out "$JWT_RSA_KEYS_DIR/zz-$(date +%Y%m%d).pem" 2048) ou simplesmente remover o .pem antigo e deixar a aplicação gerar outra.
   • Remover m4vNIvWOllU.pem do volume. Como não há revogação de tokens, todo access/refresh token emitido com a chave vazada deve passar a falhar na validação — isso só acontece quando o .pem antigo some do diretório.
   • Clientes que fazem cache do JWKS precisam recarregar as chaves.
2. BOOTSTRAP_SECRET: gerar novo valor (openssl rand -base64 32), atualizar no ambiente da API e em todos os clientes que chamam /applications/sync e /password-reset/* via HMAC.
3. Senha do PostgreSQL: ALTER USER <usuario> WITH PASSWORD '<nova>', atualizar DB_PASSWORD/PGPASSWORD/DATABASE_URL em todos os ambientes e ferramentas (incluindo mcp/postgres/.env local).
4. Revisar logs de acesso ao banco e à API no período de exposição.

Reescrever histórico é destrutivo e exige coordenação com todos que têm clone. Fazer em uma janela combinada, depois da rotação acima:

# 1. Instalar git-filter-repo (https://github.com/newren/git-filter-repo)
brew install git-filter-repo   # ou: pip install git-filter-repo

# 2. Clonar uma cópia fresca (filter-repo recusa rodar em clone "sujo")
git clone --mirror git@github.com:theretechlabs/retech-auth-api.git auth-api-purge.git
cd auth-api-purge.git

# 3. Remover os caminhos sensíveis de TODOS os commits
git filter-repo --invert-paths \
  --path .env \
  --path mcp/postgres/.env \
  --path keys/m4vNIvWOllU.pem \
  --path-glob 'keys/*.pem' \
  --path mcp/postgres/node_modules

# 4. Conferir que nada sobrou
git log --all --diff-filter=A --name-only --format= | grep -E '\.env$|\.pem$' || echo OK

# 5. Forçar push de todas as refs (branches e tags)
git push --force --mirror

# 6. No GitHub: Settings > General > "Danger Zone" não basta — abrir ticket no
#    suporte GitHub pedindo limpeza de objetos órfãos/caches de PR, e pedir que
#    todos os colaboradores apaguem clones antigos e clonem novamente.

Não abra issue pública. Envie e-mail para suporte@theretech.com.br com assunto [SECURITY] retech-auth-api, incluindo passos de reprodução, impacto e versão/commit afetado. Respondemos em até 5 dias úteis e combinamos prazo de divulgação coordenada. Se precisar de canal cifrado, solicite a chave PGP na primeira mensagem.

Como a chave RSA é gerada, armazenada (volume em /app/keys) e o roadmap de rotação/backup/KMS: docs/roadmap-chaves-jwt.md.

Itens identificados em revisão e não corrigidos nesta PR (que se limitou a higiene de repositório e CI, sem alterar comportamento). Ordem aproximada de prioridade.